La détection des PPE (personnes politiquement exposées, « PEP » en anglais) repose sur un criblage des clients et de leurs bénéficiaires effectifs, à l’entrée en relation puis pendant toute la relation d’affaires. L’équipe conformité doit pouvoir régler elle-même le périmètre, le seuil de rapprochement des noms et le traitement des alertes, tout en conservant la trace de chaque réglage à des fins de contrôle.
Quand le seuil de rapprochement d’un outil de criblage ne peut être modifié qu’au moyen d’un ticket adressé à l’éditeur, l’équipe conformité subit les alertes au lieu de les piloter. La détection des PPE exige au contraire que les réglages métier soient confiés aux personnes qui répondent du dispositif et que chaque changement soit tracé.
| Réglage ou tâche | Qui le pilote | Ce que l’équipe conformité doit pouvoir faire seule | Trace à conserver pour le contrôle |
| Périmètre du criblage : clients, bénéficiaires effectifs, catégories de PPE, entourage | Équipe conformité | Activer une catégorie, ajouter une population à cribler | Décision datée, motif, auteur |
| Seuil de rapprochement des noms (logique floue) | Équipe conformité | Régler la tolérance aux variantes d’orthographe et de translittération, tester le réglage sur un échantillon avant de l’appliquer | Ancienne et nouvelle valeur, résultat du test |
| Règles de réduction des alertes : date de naissance, pays, fonction | Équipe conformité | Ajouter un critère secondaire pour écarter les homonymes | Règle, date d’effet, validation |
| Fréquence du criblage du portefeuille | Équipe conformité, selon la classification des risques | Planifier un nouveau criblage et le déclencher à la demande | Historique des criblages et des écarts constatés |
| Circuit de traitement des alertes | Équipe conformité | Définir les niveaux de validation et les motifs de clôture | Décision, justification et auteur pour chaque alerte |
| Sources de données et mise à jour des listes | Éditeur de l’outil et fournisseur de données | Consulter la source et la date de mise à jour associées à chaque alerte | Journal des mises à jour |
| Intégration au système d’information, habilitations, sécurité des accès | DSI, avec l’éditeur | Gérer les profils d’utilisateurs une fois l’intégration réalisée | Matrice des habilitations |
Que doit détecter un outil de détection des PPE ?
Le criblage des PPE couvre le client, ses bénéficiaires effectifs et leur entourage, à l’entrée en relation puis pendant toute la relation d’affaires. L’outil interroge les bases de données sur les personnes politiquement exposées et rapproche les noms, prénoms, dates de naissance et nationalités des personnes contrôlées avec les profils répertoriés.
Client, bénéficiaire effectif, entourage : le périmètre à cribler
Le Code monétaire et financier impose de cribler le client et ses bénéficiaires effectifs. Les lignes directrices de l’ACPR sur les personnes politiquement exposées précisent que l’entourage familial et professionnel proche entre dans le périmètre. L’outil doit couvrir chacune de ces catégories et permettre d’en ajuster le paramétrage selon votre analyse des risques.
À l’entrée en relation et pendant la relation d’affaires
Un client peut devenir PPE après l’entrée en relation. Le criblage se poursuit donc pendant toute la relation d’affaires. Vous en déterminez la fréquence en fonction de votre classification des risques et devez pouvoir planifier ces passages ou les déclencher à la demande.
Qui règle quoi dans un criblage des PPE ?
Les règles métier relèvent de l’équipe conformité. L’intégration au système d’information et les habilitations restent du ressort de la DSI, tandis que les sources de données relèvent de l’éditeur. Cette répartition permet aux personnes qui répondent du dispositif de le piloter, sans dépendre d’un ticket pour chaque réglage.
Que doit pouvoir paramétrer l’équipe conformité sans développement ?
L’équipe conformité doit maîtriser les paramètres qui déterminent le périmètre, la précision et le traitement des résultats du criblage.
Périmètre et catégories criblées
Vous devez pouvoir paramétrer les catégories de PPE ciblées, sans exclure celles que couvre la réglementation. L’ajout du conjoint, des enfants et des parents de ces personnes, ainsi que de leurs partenaires d’affaires connus, s’effectue depuis la même interface. Chaque changement de périmètre doit être daté et attribué.
Seuil de rapprochement et homonymes
Le seuil de rapprochement règle la tolérance de l’outil aux variantes d’orthographe, de translittération et d’ordre des prénoms. Un seuil trop strict risque de manquer des correspondances réelles, tandis qu’un seuil trop large génère des alertes sur des homonymes. Vous devez pouvoir tester un nouveau seuil sur un échantillon avant de l’appliquer.
Circuit de traitement des alertes
Une alerte PPE passe par un ou plusieurs niveaux de validation. Vous devez pouvoir définir ces niveaux, attribuer les rôles et fixer les motifs de clôture acceptables. Chaque décision relative à une alerte doit indiquer son auteur, sa justification et sa date.
Comment modifier un réglage sans affaiblir la détection ?
Chaque changement de paramétrage suit une procédure :
- test sur un échantillon avant l’application ;
- validation par une seconde personne ;
- inscription dans un journal des modifications ;
- revue périodique des réglages en vigueur.
L’outil doit dater chaque modification et permettre de reconstituer l’état du dispositif à une date donnée.
Quelles preuves présenter à l’autorité de contrôle ?
L’autorité de contrôle attend votre procédure de détection des PPE, le journal des paramétrages, l’historique des criblages effectués et les décisions motivées relatives aux alertes. Une fois la PPE confirmée, vous mettez en œuvre les mesures de vigilance complémentaires prévues par le Code monétaire et financier. Ces mesures sont décrites dans votre procédure de KYC renforcé.
Quelles questions poser à un éditeur pendant la démonstration ?
Demandez :
- qui peut modifier un seuil de rapprochement et en combien d’étapes ;
- qui peut consulter l’historique des modifications ;
- quelles sont la source des données sur les PPE et leur fréquence de mise à jour ;
- dans quelle langue le support répond ;
- où les données sont hébergées.
Vérifiez que l’interface permet de tester un réglage avant de l’appliquer à l’ensemble du portefeuille. Comparez ces réponses aux dix critères de choix d’une solution de criblage.
Comment AP Scan répond-il à ce besoin ?
AP Scan, la solution de criblage d’AP Solutions IO, permet à l’équipe conformité de paramétrer le périmètre, le seuil de rapprochement et les règles de réduction des alertes depuis une interface sans code. Chaque modification est datée et attribuée. Le nouveau criblage du portefeuille se planifie selon votre classification des risques.
Les données proviennent de sources institutionnelles et commerciales régulièrement actualisées. L’hébergement est assuré en France et le support répond en français. La piste d’audit permet de reconstituer et de documenter chaque décision à des fins de contrôle. Listez les réglages que votre équipe ne peut pas modifier seule aujourd’hui et vérifiez, lors de la démonstration, que le nouvel outil les place entre les mains des personnes qui répondent du dispositif.
Foire aux questions
Quelle différence entre le criblage des PPE et le criblage des sanctions ?
Le criblage des sanctions recherche les personnes et les entités visées par une mesure de gel des avoirs ; une correspondance confirmée impose de bloquer les fonds. Le criblage des PPE repère une fonction publique exposée et déclenche des mesures de vigilance complémentaires. Les deux contrôles peuvent être effectués dans le même outil, avec des règles distinctes. Voici pourquoi les PPE sont un enjeu de la lutte contre le blanchiment.
Faut-il cribler de nouveau tout le portefeuille après l’entrée en relation ?
Oui. Un client peut devenir PPE après l’entrée en relation. La détection se poursuit donc pendant toute la relation d’affaires, selon une fréquence déterminée par votre classification des risques. Vérifiez que l’outil permet à l’équipe conformité de planifier ces passages, de les déclencher à la demande et d’en conserver l’historique.
Que faire quand une alerte PPE concerne un homonyme ?
Comparez les données secondaires. Si elles écartent la correspondance, clôturez l’alerte avec un motif écrit et conservez la décision. Si le doute persiste, demandez un complément d’information au client. Un outil qui applique ces critères avant de créer l’alerte réduit le nombre de dossiers à instruire manuellement. Un paramétrage fin permet de réduire les faux positifs du criblage.
Le paramétrage sans code dispense-t-il de faire appel à la DSI ?
Non : la DSI conserve la responsabilité de l’intégration au système d’information, des habilitations et de la sécurité des accès. Le paramétrage sans code porte sur les règles métier. L’équipe conformité les modifie depuis l’interface, sans développement. Chaque changement doit rester daté, attribué et consultable lors d’un contrôle.
AP Scan détecte-t-il aussi les proches d’une PPE ?
Oui. AP Scan couvre les PPE, leur entourage familial et professionnel proche, ainsi que les sanctions et les mesures de gel des avoirs. La configuration s’effectue sans code et chaque décision reste traçable grâce à une piste d’audit reconstituable. Les catégories et les obligations associées sont détaillées dans le guide sur la personne politiquement exposée.
