Sommaire

On est conformes… ou on ne l’est pas !
La conformité remonte dans les priorités des entreprises
Des preuves multi-facettes
La difficile gestion des sources de données
Mais où sont les données de conformité ?
Les données, juge de paix de la conformité
De la « bonne foi » à la « preuve par la donnée »
La donnée comme preuve : les cinq prérequis

Les données, incontournables preuves règlementaires 

Toutes les réglementations imposent aux organisations et aux individus concernés d’être en mesure de produire des preuves tangibles de conformité. C’est précisément ce qui distingue le respect effectif des exigences de la simple déclaration de conformité. Dans de nombreux domaines, cette logique de preuve est déjà profondément intégrée, notamment dans les sphères policière et judiciaire où elle est définie comme « ce qui sert à établir qu’une chose est vraie, à prouver la réalité d’une situation. ». En droit, la preuve renvoie à tout élément permettant d’établir la réalité d’un fait, d’une situation ou d’une obligation, et d’en démontrer l’exactitude de manière objective. 

On est conformes… ou on ne l’est pas ! 

La conformité ne tolère pas l’approximation. Les régulateurs, qu’il s’agisse de l’ACPR, de l’AMF ou des standards internationaux du GAFI, n’évaluent pas des intentions, mais des obligations de résultat démontrables. La preuve constitue ici un critère déterminant : elle est par nature binaire, soit elle existe, soit elle n’existe pas. Dans ce cadre, une organisation ne peut se prévaloir d’une conformité « partielle » ou « globale » sans éléments vérifiables à l’appui. 

La conformité remonte dans les priorités des entreprises 

Ce principe est d’ailleurs de moins en moins recevable. Selon l’étude du cabinet PWC sur les priorités des directions financières des entreprises françaises, la conformité règlementaire est ainsi passée de la sixième place en 2024 à la quatrième place en 2026. « Illustration complémentaire de la pression croissante liée à la complexité réglementaire et aux risques de sanctions, la conformité s’impose comme l’enjeu majeur, cité par 76 % des entreprises », soulignent les auteurs de l’étude. Il s’agit de « préserver, voire augmenter, les ressources dédiées aux nécessaires projets de transformation ou de conformité, dans un environnement de coûts contraints à la stabilité voire à la baisse. »  

Des preuves multi-facettes 

La preuve, en tant que résultat démontrable, repose sur la donnée. Dans le cadre de la conformité LCB-FT, ces données sont de nature variée. Les entités assujetties doivent ainsi être en mesure de produire plusieurs catégories d’informations et d’éléments probants afin de démontrer la réalité et l’effectivité de leurs dispositifs de contrôle. 

– Les preuves d’identification 

Les bases de la LCB-FT, avec l’approche KYC (Know Your Customer) ! L’organisation doit prouver qu’elle sait exactement avec qui elle traite. Pour les particuliers, cela inclut généralement la copie, physique ou numérique, d’un document d’identité officiel ainsi qu’un justificatif de domicile récent (moins de trois mois). Pour les entreprises, les éléments attendus couvrent notamment un extrait Kbis à jour, les statuts en vigueur, ainsi que l’identification des bénéficiaires effectifs, élément central du dispositif de lutte contre le blanchiment et le financement du terrorisme. 

– Les preuves d’analyse des risques 

Le régulateur ne demande pas seulement de collecter des données, mais de prouver qu’elles ont bien été analysées. Cela concerne notamment une classification des risques, par un document écrit justifiant pourquoi un client est classé en risque « faible », « modéré » ou « élevé », selon son pays d’origine, son secteur d’activité, ou son statut de Personne Politiquement Exposée (PPE).  

– Les preuves de vigilance (piste d’audit) 

En cas de contrôle, l’entreprise doit pouvoir reconstituer l’historique des contrôles effectués sur une transaction. Pour toute opération inhabituelle (montant élevé, montage complexe…), elle doit produire les pièces justificatives demandées au client : factures, actes de vente immobilière, contrats de cession, justificatifs de gains (succession, casino, etc.). De même, il faut apporter les preuves que le système de détection a bien fonctionné, incluant les alertes levées par les algorithmes et les conclusions de l’analyste humain qui a décidé de classer l’alerte ou de la transformer en déclaration de soupçon. 

– Les preuves de déclaration (Tracfin) 

Si un soupçon persiste, la preuve ultime de conformité est la transmission d’une déclaration de soupçon (DS). Lorsqu’une transaction suspecte a été identifiée mais écartée, l’entreprise doit pouvoir présenter le dossier d’analyse expliquant pourquoi le soupçon a été levé. 

– Les preuves de gouvernance et de conservation 

Toutes les preuves doivent être conservées pendant plusieurs années (généralement cinq ans) après la fin de la relation d’affaires ou l’exécution de l’opération. De même, il faut pouvoir prouver que le dispositif LCB-FT est testé et mis à jour régulièrement. En cas de contrôle, le défaut de production de ces preuves est sanctionné aussi lourdement que le blanchiment lui-même, car il empêche le régulateur de remonter les filières criminelles. 

La difficile gestion des sources de données 

Dans la réalité, collecter, centraliser, conserver et accéder aux données constituent de véritables challenges. L’un des problèmes, que l’on connaît depuis longtemps notamment dans les domaines de la comptabilité, des ventes et du marketing, est d’aboutir à ce que les données reflètent exactement la réalité. C’est le concept de SSOT (ou Single Source Of Truth), ou source unique de référence, une pratique qui consiste à rassembler toutes les données d’une entreprise en un seul endroit ou au sein d’un même processus.  C’est difficile pour plusieurs raisons : d’abord, parce que de nombreuses données sont non structurées, rendant leur collecte et leur exploitation relativement difficile. Globalement, les données non structurées représentent 80 à 90 % des données créées par les entreprises.  Ensuite, parce que la gestion des données repose souvent sur des silos organisationnels (métiers, processus multiples, entités juridiques…) qui ne communiquent pas de façon fluide. Surtout lorsque les données sont stockées dans des fichiers Excel et disséminées dans toute l’organisation, sans vue d’ensemble.  Enfin, parce que la culture de la donnée comme élément central de preuve n’est pas toujours répandue comme elle le devrait. Et à mesure que la surface de conformité s’étend, avec le renforcement des règlementations LCB-FT, ces difficultés s’accentuent.  

Mais où sont les données de conformité ? 

Ce problème de gestion des données se retrouve également dans les exigences de conformité liées à la RSE. Une étude de Tennaxia, Bpifrance et LCL, publiée fin 2024, indique que plus d’un tiers des entreprises interrogées (36 %) ne savent pas encore localiser l’ensemble des données nécessaires à leur reporting ESG. Cette difficulté s’explique notamment par la dispersion des informations, souvent stockées dans des fichiers Excel, alors même qu’elles sont essentielles aux obligations de reporting.  De même, une étude de Mimecast de 2026 révèle que près de 91 % des organisations peinent à maîtriser la gouvernance et la conformité de leurs données. En parallèle, 59 % des entreprises doutent de leur « capacité à identifier rapidement les informations nécessaires aux obligations réglementaires ou légales. Dans un contexte de durcissement législatif, ce manque de visibilité constitue une véritable bombe à retardement pour leur sécurité et leur responsabilité juridique », avertissent les auteurs de l’étude.  A cela s’ajoute un déficit, encore trop répandu, de connaissances (et de préparation) vis-à-vis des règlementations, par exemple dans le domaine de la sécurité :  une enquête d’Ipsos pour Okta a montré que, en 2024, 26 % des décideurs affirment ne pas connaître du tout les principes du règlement DORA, directive sur la Résilience Opérationnelle Numérique. Malgré le battage médiatique de ces deux dernières années et le fait que la sécurité des systèmes fait partie des exigences règlementaires ! 

Les données, juge de paix de la conformité 

C’est en matière de LCB-FT que la donnée, en tant qu’élément de preuve, exprime pleinement sa portée. Le blanchiment repose en effet sur des mécanismes de dissimulation, de fragmentation et de réintégration des flux financiers. Pour y faire face, la donnée doit satisfaire trois critères essentiels afin d’être considérée comme probante : 

– L’exhaustivité 

Le « Know Your Customer » n’est plus une pile de dossiers papier, mais un graphe de relations. La donnée doit prouver l’identité de l’UBO (Ultimate Beneficial Owner). Sans une gestion fine de cette donnée, l’entreprise s’expose à une rupture de la chaîne de preuve. 

– La granularité des transactions 

Pour détecter un signal faible (par exemple un schéma de smurfing ou blanchiment par fractionnement), il faut pouvoir isoler chaque micro-donnée transactionnelle. 

– La temporalité 

La preuve réglementaire doit être historique. La donnée doit permettre de reconstituer un scénario à l’instant T, prouvant que les décisions de l’époque étaient fondées sur les informations disponibles. 

De la « bonne foi » à la « preuve par la donnée » 

Une entreprise ne peut démontrer l’absence de blanchiment qu’en établissant soit qu’elle a identifié les anomalies potentielles, soit qu’elle a déployé des dispositifs capables de les détecter efficacement. Dans ce cadre, la donnée constitue la matérialisation concrète de la due diligence. Un dispositif de gestion des données bien structuré renforce fortement l’auditabilité des contrôles, en réduisant la part de variabilité humaine et en standardisant les décisions. L’intelligence augmentée peut contribuer à améliorer la détection d’anomalies sur de grands volumes de données, en complément des approches basées sur des règles.  La structuration des données permet ainsi de produire une traçabilité exploitable lors des audits : un journal des actions, des alertes et des décisions, conçu pour garantir leur intégrité et leur reconstitution a posteriori. C’est cet ensemble de preuves opérationnelles qui permet de démontrer au régulateur que les contrôles requis ont bien été effectués.  

La donnée comme preuve : les cinq prérequis  

– Garantir la qualité  

Une donnée erronée (un nom mal orthographié, une adresse incomplète…) n’est pas seulement une erreur informatique, c’est une faille de conformité. Aux yeux de la loi, une donnée de mauvaise qualité est une preuve irrecevable, laissant l’institution sans protection face aux sanctions financières.  

– Collecter et centraliser  

Le danger principal pour une organisation est la fragmentation des données. Si les données de paiement, les données client et les registres de risques ne communiquent pas, la « preuve » devient incomplète, donc caduque. 

– Conserver les données de preuves 

Du fait des obligations règlementaires, il faut conserver les preuves et, donc, disposer d’un processus et d’outils de stockage performants (et auditable…). 

– Accéder aux données  

En cas de contrôle, les entreprises doivent avoir accès rapidement aux preuves, ce qui est difficile si elles sont disséminées dans plusieurs systèmes, services ou zones géographiques.  Ces défis, qui peuvent sembler difficilement surmontables, trouvent en réalité des réponses concrètes grâce aux solutions proposées par les acteurs de la RegTech, dont AP Solutions IO, fondées sur l’automatisation, l’intelligence augmentée et la traçabilité des décisions. Dans ce contexte, les données ne sont plus de simples sous-produits des dispositifs de conformité : elles deviennent la matérialisation même de la preuve réglementaire. Maîtriser ses données revient ainsi à documenter sa capacité de conformité et sa robustesse opérationnelle.  À l’heure de la finance numérique, ne pas maîtriser ses données de conformité, n’est-ce pas accepter par avance sa propre condamnation ? Pour reprendre l’analogie avec le monde judiciaire, les données de conformité (si, bien sûr, elles sont fiables…), les applications qui les gèrent et le système d’information qui les pilotent sont les principaux témoins à décharge des entreprises assujetties à la LCB-FT !  

Dominique Baumier
Responsable des ventes et du marketing – Spécialiste conformité