Pour un professionnel assujetti à la lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT), une solution de conformité réglementaire couvre la connaissance du client, le criblage, la notation du risque, la surveillance des opérations et le filtrage des flux. Elle se juge aux preuves qu’elle produit lors d’un contrôle. Chaque alerte, chaque décision et chaque réglage doivent rester traçables.
| Fonction | Ce qu’elle doit faire | Preuve à produire lors d’un contrôle | Question à poser à l’éditeur |
| Connaissance du client et criblage | Identifier le client et ses bénéficiaires effectifs, effectuer un criblage au regard des listes de sanctions, de gel des avoirs et de PPE | Historique daté des criblages, décision motivée pour chaque alerte | Qui règle les seuils de rapprochement et comment le réglage est-il tracé ? |
| Notation du risque | Classer chaque client selon des facteurs de risque documentés et réviser la note | Justification de chaque note, historique des révisions | La note s’explique-t-elle facteur par facteur ? |
| Surveillance des opérations | Détecter les opérations atypiques à l’aide de scénarios et hiérarchiser les alertes | Scénarios en vigueur, alertes générées, suites données | Qui crée ou modifie un scénario ? |
| Filtrage des flux | Contrôler les paiements au regard des sanctions, des embargos, des pays et des devises faisant l’objet de restrictions | Journal des messages bloqués ou libérés, avec leur motif | Quels formats de messages sont pris en charge ? |
| Gestion des alertes | Affecter, instruire, valider et clôturer chaque alerte dans un circuit défini | Auteur, date et motif de chaque décision | Le circuit de validation se configure-t-il sans développement ? |
| Piste d’audit | Conserver chaque action et produire des états pour la direction et l’autorité de contrôle | Piste d’audit reconstituable, exports datés | Peut-on reconstituer une décision ancienne avec les règles alors en vigueur ? |
| Veille réglementaire | Intégrer les évolutions des textes et des listes sans projet spécifique | Journal des versions et des mises à jour | À quel rythme la solution est-elle mise à jour et qui en assume la charge ? |
| Intégration et hébergement | Se raccorder au système d’information et héberger les données | Schéma d’intégration, lieu d’hébergement, tests de sécurité | Où les données sont-elles hébergées et par qui ? |
Choisir une solution de conformité revient à déterminer ce que vous pourrez présenter le jour d’un contrôle. Les démonstrations se ressemblent, mais les écarts apparaissent dès que l’on demande qui règle un seuil, comment une décision ancienne peut être reconstituée et qui prend en charge les mises à jour réglementaires.
Qu’attend-on d’une solution de conformité réglementaire ?
Une solution de conformité réglementaire outille le dispositif LCB-FT d’un professionnel assujetti. Elle centralise les données, applique les règles, produit les alertes et conserve les preuves. Elle ne remplace ni la procédure ni la décision humaine.
L’Autorité de contrôle prudentiel et de résolution (ACPR) vérifie la qualité du dispositif LCB-FT des organismes placés sous son contrôle, selon une approche fondée sur les risques. Le professionnel reste responsable de la classification, de l’instruction des alertes et de la décision de déclarer un soupçon. La solution l’assiste en automatisant le criblage, en évaluant les risques, en surveillant les flux et en traçant les décisions.
Un outil efficace réduit le temps consacré aux faux positifs, documente chaque décision et se met à jour sans mobiliser inutilement l’équipe technique. Le projet se structure en suivant les étapes d’une mise en conformité.
Quelles fonctions une solution de conformité doit-elle couvrir ?
Une solution complète couvre huit fonctions, de l’entrée en relation à la surveillance des opérations et à la conservation des preuves.
Connaissance du client, criblage et notation du risque
La connaissance du client (KYC) permet d’identifier le client, ses représentants et ses bénéficiaires effectifs. Le criblage compare ces identités aux listes de sanctions internationales, de gel des avoirs et de personnes politiquement exposées. La notation du risque classe le client selon des facteurs documentés tels que le pays, le secteur, les produits et les montants.
Ces trois fonctions interviennent lors de l’entrée en relation, puis tout au long de la relation d’affaires, notamment à l’occasion des révisions périodiques. Elles permettent d’appliquer une vigilance adaptée. Une vigilance simplifiée peut être mise en œuvre, sous conditions, lorsque le risque est faible, tandis que des mesures renforcées s’imposent lorsque le profil présente des facteurs de risque élevés.
Le responsable de la conformité doit pouvoir expliquer comment chaque client a été classé et pourquoi une alerte a été déclenchée, confirmée ou clôturée. Une solution qui produit une note sans détailler les facteurs ne permet pas d’apporter cette justification. Pour le criblage, une grille en 10 critères aide à comparer les offres.
Surveillance des opérations et filtrage des flux
La surveillance des opérations (transaction monitoring) détecte les comportements atypiques, tels que des montants inhabituels, une fréquence anormale ou des opérations vers des pays incohérents avec le profil du client. Elle repose sur des scénarios paramétrables qui génèrent des alertes.
Le filtrage contrôle les paiements et les messages financiers inclus dans son périmètre au moment de leur émission ou de leur traitement. Il bloque ou signale, selon les règles définies, les opérations impliquant des personnes, des entités, des pays ou des devises faisant l’objet de sanctions ou de restrictions. La solution doit prendre en charge les formats utilisés par l’établissement, notamment ISO 20022 ou MT lorsqu’ils sont présents dans sa chaîne de paiement. Ces deux fonctions produisent un volume important d’alertes, qu’une solution efficace doit hiérarchiser tout en réduisant les faux positifs afin que l’équipe traite en priorité les dossiers présentant les risques les plus élevés.
Les fonctions indispensables d’un outil de conformité LCB-FT : alertes, piste d’audit, mises à jour
Au-delà du criblage et de la surveillance, trois fonctions transversales conditionnent l’efficacité du dispositif. La gestion des alertes organise leur affectation, leur instruction et leur clôture. Chaque décision est assortie du nom de son auteur, de sa date et de son motif.
La piste d’audit conserve l’historique des actions, notamment le client criblé, l’auteur du criblage, sa date, son résultat et les réglages alors en vigueur. Elle permet de reconstituer une décision ancienne, ce qui constitue une preuve importante lors d’un contrôle. La veille réglementaire intègre les évolutions des textes et des listes sans mobiliser inutilement l’équipe technique. Vérifiez le rythme de publication et déterminez qui en assume la charge.
L’intégration au système d’information et l’hébergement influent sur le délai de mise en œuvre et la maîtrise des données.
Quelles preuves la solution doit-elle produire en cas de contrôle ?
Un contrôle de l’autorité compétente (par exemple l’ACPR pour les organismes placés sous sa supervision) peut notamment porter sur la traçabilité des décisions. De son côté, Tracfin dispose d’un droit de communication lui permettant de demander à un professionnel assujetti des pièces et documents relatifs à une opération. L’établissement doit donc être en mesure de présenter des dossiers complets, des alertes instruites, des analyses motivées et des preuves de l’application cohérente de ses règles.
La piste d’audit doit permettre de reconstituer chaque étape, notamment la date du criblage du client, le résultat obtenu, l’identité de la personne ayant levé l’alerte et le fondement de sa décision. Si un seuil a été modifié, la date, l’auteur et le motif de cette modification doivent être conservés. Une solution qui efface les réglages anciens ou ne conserve que le résultat final fragilise la capacité de l’établissement à démontrer la réalité et la cohérence de ses diligences.
L’explicabilité des résultats constitue une attente croissante. Un moteur qui produit un score sans détailler les facteurs fonctionne comme une « boîte noire ». Face à un contrôle, l’établissement peut alors éprouver des difficultés à justifier le classement d’un client à risque élevé. Les solutions reposant sur une approche d’Intelligence Augmentée dite « Glass Box » rendent visibles les facteurs utilisés et leur poids, sous réserve d’un paramétrage et d’une gouvernance adaptés.
Comment la solution s’intègre-t-elle à votre système d’information ?
Une solution de conformité doit se raccorder aux applications existantes, notamment à la gestion des clients, au système bancaire central (core banking) et au gestionnaire de documents. Le délai d’intégration dépend du mode de déploiement, de la qualité des données, des volumes, des interfaces disponibles et du niveau de paramétrage attendu. En mode SaaS, l’application est hébergée par l’éditeur ou par son prestataire d’hébergement.
L’établissement ne gère généralement ni les serveurs applicatifs ni les sauvegardes, selon la répartition des responsabilités prévue au contrat. Les données peuvent être transmises par API REST, par fichiers ou par d’autres connecteurs. Le mode API pur intègre la solution comme un service appelé par les applications, tandis que le mode hybride combine un portail web et une API.
L’installation sur site place l’application sur les serveurs de l’établissement. Elle offre davantage de maîtrise sur l’infrastructure, mais exige les compétences nécessaires à son administration et à sa sécurité. La répartition de la responsabilité des mises à jour dépend du contrat et du modèle de maintenance retenu. Si votre dispositif a vieilli, voyez comment moderniser un dispositif LCB-FT devenu obsolète.
Avant de choisir, posez trois questions :
- quel est le délai d’intégration pour vos volumes ?
- quelle charge le paramétrage représente-t-il ?
- qui prend en charge les montées de version ?
Suite internationale, développement interne ou RegTech : que comparer ?
Les solutions se répartissent en trois familles : les suites des éditeurs internationaux historiques, les solutions développées en interne et les RegTech récentes. Le tableau suivant présente les critères à examiner pour chacune d’elles.
| Critère | Suites internationales historiques | Solutions internes | RegTech récentes |
| Paramétrage | Riche ; vérifier ce que l’équipe de conformité peut modifier seule | Sur mesure ; dépend de l’équipe de développement | Souvent accessible depuis l’interface ; vérifier la finesse |
| Intégration | Projet à cadrer ; faire chiffrer le délai | Construite pour le système existant ; à maintenir | Par API ; vérifier la tenue en charge |
| Veille réglementaire | Comprise dans la maintenance ; vérifier le périmètre et le rythme | À la charge de l’établissement | Souvent comprise dans l’abonnement ; vérifier le périmètre et le rythme |
| Support et hébergement | Vérifier la langue, le fuseau horaire et le pays d’hébergement | Internes à l’établissement | Vérifier la langue et le pays d’hébergement |
| Coût total | Licence, intégration et maintenance à additionner | Développement, maintenance et dette technique | Abonnement et intégration ; vérifier l’évolution |
| Références | Vérifier les références dans votre secteur | Sans objet | Vérifier l’ancienneté de l’équipe et les références |
Une suite internationale offre généralement une couverture large et de nombreuses références. Vérifiez où les données sont hébergées, dans quelle langue le support intervient et si les paramétrages sont accessibles sans faire appel à un consultant.
Une solution interne peut être conçue pour répondre précisément aux besoins. Elle impose toutefois de maintenir l’équipe, d’organiser la veille et d’appliquer les évolutions. La dette technique s’accumule si les ressources manquent.
Une RegTech peut apporter de l’agilité et des mises à jour fréquentes. Vérifiez l’ancienneté de l’équipe, ses références et la robustesse de la solution pour vos volumes. Le panorama des solutions RegTech situe les différentes catégories.
Comment évaluer le coût total de possession d’une solution de conformité ?
Le coût total correspond à l’ensemble des dépenses engagées pendant la durée du contrat. Une solution peu coûteuse à l’achat peut se révéler onéreuse après la prise en compte de l’intégration, de la maintenance et du traitement des alertes.
Les postes à prendre en compte comprennent :
- la licence ou l’abonnement ;
- l’intégration, le paramétrage et la formation ;
- la maintenance et les mises à jour ;
- le temps consacré au traitement des alertes.
Ce dernier poste varie selon la capacité du moteur à réduire les faux positifs. Une solution qui en génère un volume élevé mobilise l’équipe sur des correspondances non pertinentes. À l’inverse, un moteur qui réduit les faux positifs grâce à des critères fins et à des techniques de rapprochement adaptées libère du temps pour l’analyse.
Les mises à jour réglementaires constituent un poste souvent sous-estimé. Une solution qui nécessite un développement pour chaque nouvelle liste impose de budgétiser des jours de travail. Une solution qui intègre la veille et publie régulièrement de nouvelles versions peut réduire sensiblement ce poste.
La réversibilité des données doit être négociée avant la signature. L’établissement doit pouvoir récupérer l’historique complet dans un format exploitable. Une solution qui ne permet pas cette extraction peut imposer de conserver deux systèmes en parallèle.
Quelles questions poser à un éditeur avant de s’engager ?
Avant de signer, demandez à voir la solution fonctionner avec un jeu de données représentatif. Une démonstration générique ne permet pas de vérifier la finesse du paramétrage ni la pertinence des alertes.
Posez par écrit les questions suivantes :
- où les données sont-elles hébergées, qui peut y accéder, dans quelle langue le support intervient-il, à quel rythme les versions sont-elles publiées et qui les applique ?
- pour le criblage, qui règle les seuils, comment une alerte est-elle justifiée et l’historique des réglages est-il conservé ?
- pour la notation, chaque note est-elle explicable et l’établissement peut-il ajouter un critère sans développement ?
- pour la surveillance, qui crée les scénarios, comment les alertes sont-elles hiérarchisées et le circuit de validation se configure-t-il sans coder ?
- pour le filtrage, quels formats de messages, pays, devises et types d’opérations sont pris en charge ?
Demandez des références dans votre secteur, avec des volumes comparables. Faites chiffrer le délai et la charge d’intégration. Les exigences applicables sont résumées dans le guide de la conformité réglementaire pour les professionnels assujettis.
Comment AP Solutions IO couvre-t-elle ces fonctions ?
AP Solutions IO propose quatre modules complémentaires, chacun consacré à une fonction précise. Ils s’intègrent par API REST ou en mode hybride, avec un hébergement en France. L’éditeur annonce une nouvelle version de l’application tous les quatre mois, déployée automatiquement en mode SaaS.
| Module | Fonction | Cas d’usage | Caractéristiques | Fiche produit |
| AP Scan | Criblage et détection | KYC, entrée en relation | Criblage automatisé au regard des sanctions, du gel des avoirs et des PPE ; moteur de réduction des faux positifs par logique floue ; API REST en temps réel ; piste d’audit | AP Scan |
| AP Scoring | Notation du risque | Approche par les risques | Notation du risque client et transactionnel ; facteurs paramétrables sans développement ; révision automatique ; notation explicable | AP Scoring |
| AP Monitoring | Surveillance continue | KYT, analyse des opérations atypiques | Surveillance en temps réel ; scénarios configurables ; détection des comportements atypiques ; hiérarchisation ; circuit de validation | AP Monitoring |
| AP Filter | Filtrage des sanctions | Flux de paiement | Filtrage au regard des sanctions, des embargos, des pays et des devises ; compatible avec les formats ISO 20022 et MT ; intégration à la chaîne de paiement | AP Filter |
Les quatre modules partagent les caractéristiques suivantes :
- un hébergement en France ;
- une configuration no-code ;
- une traçabilité des actions ;
- une API REST sécurisée par OAuth 2.
Ils peuvent être déployés ensemble ou séparément. L’Intelligence Augmentée « Glass Box » rend explicables les résultats produits par l’outil. Un rapprochement est justifié par les critères déclencheurs, une note se décompose en facteurs visibles et un scénario expose ses seuils. Cette traçabilité contribue à répondre aux attentes des autorités de contrôle.
AP Solutions IO accompagne des acteurs de la conformité financière comme par exemple Bpifrance. Les données sont hébergées en France, le support intervient en français et les nouvelles versions sont déployées automatiquement en mode SaaS. AP Solutions IO propose quatre solutions LCB-FT complémentaires.
Commencez par noter, fonction par fonction, les preuves que votre outil actuel sait produire. Si une fonction ne conserve pas l’historique, elle ne vous permet pas de démontrer pleinement vos diligences lors d’un contrôle. Demandez une démonstration pour comparer les preuves.
FAQ
Quelle différence entre une solution de conformité réglementaire et un logiciel LCB-FT ?
L’expression « solution de conformité réglementaire » désigne tout outil qui aide une entreprise à respecter ses obligations. Un logiciel LCB-FT en est une forme spécialisée. Il couvre notamment la connaissance du client, le criblage, la notation du risque et la surveillance nécessaires au dispositif des professionnels assujettis. Pour un établissement financier, il peut constituer le cœur de la solution.
Une solution de conformité remplace-t-elle l’analyse du responsable de la conformité ?
Non. La solution trie, rapproche, note et génère des alertes, mais la décision reste humaine. Le professionnel, par l’intermédiaire des personnes habilitées, confirme une correspondance, qualifie une opération atypique ou décide d’effectuer une déclaration de soupçon. Une solution efficace fait gagner du temps sur le tri et fournit les éléments nécessaires pour justifier la décision, notamment la source de l’alerte, la règle appliquée et l’historique.
Faut-il une plateforme unique ou plusieurs modules spécialisés ?
Les deux approches se défendent. Une plateforme unique simplifie le pilotage et la piste d’audit. Des modules spécialisés permettent d’équiper d’abord la fonction la plus exposée, puis d’étendre le dispositif. Dans les deux cas, vérifiez que les fonctions peuvent partager le même dossier client et un historique cohérent.
Une solution en SaaS est-elle compatible avec l’hébergement des données en France ?
Oui, si l’éditeur s’y engage par contrat et organise son infrastructure en conséquence. Le mode SaaS ne donne à lui seul aucune indication sur le lieu d’hébergement. Demandez le pays, l’hébergeur, la localisation des sauvegardes et les conditions d’accès du support. AP Solutions IO indique héberger les données en France. Faites figurer ces points dans le contrat.
Comment vérifier qu’une solution suit les évolutions réglementaires ?
Demandez comment l’éditeur organise sa veille, à quel rythme il publie ses versions et qui prend en charge les mises à jour. Demandez également à consulter le journal des versions et la manière dont une nouvelle liste a été intégrée. AP Solutions IO annonce une nouvelle version de son application tous les quatre mois.
