Embed Size (px)
Citation preview
Publié dans: ZRFC – Risk, Fraud & Compliance, Volume 9, Juin 2014
Lutte contre le blanchiment d'argent et la fraude dans les banques et
assurances soutenue par l'informatique
Valeur ajoutée dans une logique holistique de GRC
Frank Holzenthal, informaticien diplômé*1
Sur la base d'une approche holistique "Gouvernance, Risque & Conformité" - en bref l´approche de GRC-
aujourd´hui les réponses appropriées sont données aux défis de l´économie dans un monde de plus en
plus interconnecté. Les systèmes informatiques qui intègrent des fonctions de GRC aident les banques et
les assurances à remplir les nombreuses demandes légales, juridiques et régulatrices, à obtenir la
transparence dans les relations d'affaires, à projeter et à poursuivre des mesures et contrôles et à
prendre des décisions stratégiques en vue du risque et de la conformité.
1 Défis pour les banques et les assurances
1.1 Lutte contre le blanchiment d'argent et le financement du terrorisme
Le blanchiment d'argent est l'introduction des valeurs patrimoniales provenant du traffic de drogue
illégal, de la prostitution, du jeu de hasard illégal ou du commerce d'armes dans la circulation financière
et économique légale en dissimulant l'origine. Avec la globalisation des marchés les méthodes sont
devenues plus complexes et l'empêchement plus difficile. Pour endiguer l'élargissement de la criminalité
organisée et protéger le système financier de l'abus, des standards et une multitude de lois et règles
(entre autres la directive d'UE concernant le blanchiment d'argent, USA Patriot Act, Bank Secrecy Act,
Recommandations FATF (40+9) ont été développés au monde qui sont renforcés régulièrement.
Les banques et les assurances sont particulièrement affectées du risque de blanchiment d'argent en
raison de leurs produits offerts. Les départements de conformité qui ont vocation à lutter le blanchiment
d'argent font face au défi de protéger continuellement leur banque contre l'abus et de remplir les
directives légales actuelles. La pression exige de fournir une preuve complète des liaisons d'affaires et
l'observation des nombreuses exigences régulatrices.
1 Frank Holzenthal, informaticien diplômé et membre de direction de TONBELLER AG, Bensheim, contact : [email protected]
Publié dans: ZRFC – Risk, Fraud & Compliance, Volume 9, Juin 2014
Une stratégie de contrôle effective à base de technologie d´information devient un facteur de
compétition décisif pour les prestataires de services financiers. A côté de l'observation des directives
légales, la flexibilité et les investissements des frais et du temps réduit pour le maintien et la mise à jour
des processus de contrôle contre le blanchiment d'argent sont décisifs.
1.2 Lutte contre la fraude et prévention de fraude
Aussi la lutte contre la fraude et la prévention de la fraude se mettent de plus en plus au centre
d'attention des banques et des assurances. En principe, le sujet n’est limité ni à une région, ni à un
secteur, ni à une branche de l’industrie, ni à la taille d’une organisation. Des études nationales et
internationales, comme par exemple de l´ « Association of Certified Fraud Examiners » (ACFE)2 prouvent
que le dommage à cause des actions frauduleuses prend des dimensions macro- et microéconomiques
considérables. En outre, une multitude d'exigences légales (p. ex. UK Bribery Act, loi sur le crédit)
demande l'extension des contrôles à "d'autres infractions pénales". Cela comporte la nécessité de
rechercher les actions frauduleuses.
La créativité des criminels produit toujours des nouvelles variantes de fraude - s'il s'agit de la fraude des
services bancaires en ligne, la fraude d'assurance ou la fraude interne. Pour leurs actions criminelles les
fraudeurs utilisent de plus en plus de moyens électroniques. Justement ces transactions financières
électroniques "invisibles" et "anonymes" permettent de dissimuler plus facilement la fraude.
Les coûts réels qui résultent de la fraude dépassent largement la perte financière. Les banques et les
assurances ne se trouvent pas seulement devant le défi de protéger les valeurs en capital, apportées par
le client et empêcher les propres inconvénients financiers, mais encore de prévenir le dommage à long
terme de leur propre réputation.
La lutte efficiente contre la fraude nécessite des solutions de progiciel qui découvrent non seulement les
actions frauduleuses, mais aussi aident à les rendre impossible. Des composantes de temps réel
enchâssés, permettent des temps de réaction minimaux avec une haute qualité de décision, et visent
aux activités frauduleuses avec un haut potentiel de dommage.
2 http://www.acfe.com/uploadedFiles/ACFE_Website/Content/rttn/2012-report-to-nations.pdf
Publié dans: ZRFC – Risk, Fraud & Compliance, Volume 9, Juin 2014
2 Systèmes informatiques pour la lutte contre le blanchiment
d'argent et la fraude
2.1 Plus-value par des systèmes informatiques intégrés et des logiciels standards
flexibles
En connectant les domaines de Gouvernance, Risques et Conformité les organisations évitent le
dommage économique et juridique ou la diffamation et obtiennent des avantages de compétition avec
un effet durable. En intégrant des fonctions GRC dans les départements spécialisés et unités
commerciales locales, les solutions informatiques produisent immédiatement de la plus-value pour la
direction de l'entreprise.
Cette intégration est un facteur critique pour le succès et la rentabilité des systèmes de conformité, car
la liaison du système de risque, système de surveillance et système de conduite augmente la
transparence du processus de conformité et par ceci rend la complexité saisissable. Si les fonctions
particulières de conformité sont conduites dans des systèmes isolés, l'intégration des informations est
plus difficile. Des interdépendances de risque dans les domaines d'entreprise qui identifient et
surveillent des risques indépendamment l'un de l'autre, ne sont pas reconnues dans le cas le plus
défavorable, et produisent ou augmentent le dommage possible pour l'entreprise ou empêchent la
reconnaissance de liens qui donnent une indication sur la criminalité financière.
À l'aide des systèmes informatiques intégrés, les "îles" individuelles des opérations de conformité
peuvent être regroupées dans un système compact et pertinent lors de la lutte contre la criminalité
financière. L'intégration permet la transparence nécessaire ainsi qu'une approche coordonnée à travers
les frontières des départements et des organisations. L'intégration des systèmes de conformité élargit le
radar de la gestion du risque qui dépasse maintenant les risques purement opérationnels. La liaison avec
la gestion du risque assure que la "camisole de force" de la conformité devient un "gilet pare-balles". Et
la gouvernance profite de son côté d'une base plus solide pour la gestion de l'entreprise. L'intégration
augmente la profitabilité d'une entreprise, des frais sont réduits parce que des services ont moins de
chevauchements et de redondances dans leurs processus.
Dans les banques et les assurances des solutions de standard flexibles devraient être préférées. Elles
peuvent être adaptées individuellement sans ajustement fait sur mesure coûteux à des structures, des
processus et des systèmes informatiques ou des directives ainsi qu'être intégrées dans les systèmes GRC
Publié dans: ZRFC – Risk, Fraud & Compliance, Volume 9, Juin 2014
existants. La flexibilité joue aussi un rôle en vue de la technicité. Des solutions implémentées de manière
rigide ne conviennent pas pour tenir compte de l'approche basée sur le risque qui est légalement exigé.
Si on suit celui-ci il est raisonnable que la solution puisse être adaptée sans connaissance de
programmation à la situation de risque de l'entreprise. Cela se produit via des éditeurs de scénarios par
lesquels des patterns de détection peuvent être définis facilement sur les données de base de la
clientèle, des comptes, des transactions, mais aussi des données de profil de client.
2.2 Lutte contre le blanchiment d'argent s'appuyant sur l'informatique
2.2.1 Évaluer et gérer les risques du blanchiment d'argent
Une solution globale pour la lutte contre le blanchiment d'argent soutient la création et le
développement continu de l'analyse de danger spécifique à l'institut. Pour ce but l'identification, la
catégorisation et l'évaluation des risques du blanchiment d'argent constituent la base pour toutes les
activités de suivi afin d'initier et former des programmes contre le blanchiment d'argent. Des étapes
ciblées organisatrices peuvent alors être déduites, et des mesures de prévention s'appuyant sur la
technologie de l'information peuvent être implémentées. Ainsi pas seulement le contrôle individuel des
risques du blanchiment d'argent est supporté. Par la focalisation sur les risques essentiels il est possible
de réaliser des avantages de frais par l'utilisation de ressources plus effectives et les processus de
contrôle plus efficaces. Des flux de travaux intégrés pour l'évaluation des risques à travers les divisions,
des possibilités de documentation sécurisées à réviser et des possibilités d’exploitation individuelles
devraient arrondir l´étendue de fonction d´une évaluation de risque.
2.2.2 Classification de risque de nouveaux clients
La classification de risque de nouveaux clients s'effectue sur la base des informations relevées lors de la
réception du client. Ces données devraient être comparées avec toutes les bases de données
disponibles. D'une part il s'agit des bases de données qui identifient le bénéficiaire effectif pour un client
d'entreprise. Si l'un des bénéficiaires effectif présente par exemple un risque élevé pour l'entreprise
entière il est à traiter comme présentant un risque élevé. D'autre part les listes de sanction et listes PEP
qui sont à comparer avec les données de client (et éventuellement les bénéficiaires effectifs) sont à
prendre en considération. Les personnes sanctionnées doivent déjà être rejetées lors de l'ébauche de la
relation d'affaires. Des personnes avouées comme politiquement exposées (PEP) sont à regarder comme
des clients à haut risque et à traiter par la suite avec une obligation de diligence renforcée. En outre, les
Publié dans: ZRFC – Risk, Fraud & Compliance, Volume 9, Juin 2014
demandeurs sont à classifier sur la base de leurs indications à l'aide d'une classification de risque. Pour
cela il est judicieux que les critères pour une classification de risque soient réglables librement, c.-à-d. sur
la base des données3 relevées individuellement sur le nouveau client.
2.2.3 Classification de risque des clients fidélisés
Contrairement à la classification de risque initial d'un nouveau client, la classification de risque des
clients fidélisés est un processus continu qui doit être effectué dans des cycles réguliers. Une
reclassification est à représenter sur demande. Pour la classification de risque des clients fidélisés un
système de recherche peut invoquer beaucoup plus d'informations que lors d'une classification initiale,
car le comportement de transaction, les données de profil de client ainsi que l'utilisation de produit
actuel sont déjà connus en général. Une intégration dans la classification initiale de risque permet la
reconnaissance des déviations du comportement mentionné lors de la réception du client et de prendre
en considération cette information lors de la classification de risque continue.
2.2.4 Détection du blanchiment d'argent sur la base de scénarios définissables
Des obligations de diligence convenable sont à 4appliquer à chaque client classifié de risque (p. ex. client
privé à haut risque) dans le cadre de la recherche du blanchiment d'argent. La méthode d´imagerie de
ces obligations de diligence graduées doit être un élément standard d'une solution pour la découverte
du blanchiment d'argent. En outre, un système devrait déjà être livré avec un assortiment des règles de
contrôle du blanchiment d'argent définies. En font partie des règles pour le contrôle de Smurfing, les
comptes dormants chez les banques avec des augmentations de chiffre d'affaires soudaines ou la
résiliation précoce de polices, le changement fréquent des bénéficiaires, la demande de remboursement
des contributions trop payés chez les assurances. Les solutions se distinguent par ce que le responsable
de conformité peut décrire lui-même d'autres scénarios du blanchiment à travers des surfaces
graphiques.
Si le processus de la réception de clients est intégré il est aussi possible de détecter de manière
automatisée des déviations du comportement qui a été déclaré initialement comme "projeté". Si un
client se comporte autrement, une alerte est déclenchée. Des fonctionnalités intégrées de la gestion des
3Appartiennent aux données individuellement relevées les données de base, données pertinentes à la conformité, informations sur l'utilisation de produit projetée, le comportement de transaction projeté ou les buts des relations d'affaires. 4 Selon la directive d'UE No. 2005/60/EG
Publié dans: ZRFC – Risk, Fraud & Compliance, Volume 9, Juin 2014
cas devraient offrir du soutien pour l'examen des messages d'alerte, et implémenter le processus
complet de la prise de décision jusqu'à l'infirmation de la suspicion, ou au fait de porter une plainte en
suspicion.
2.2.5 Contrôle des transactions financières par rapport aux listes de sanctions
Toutes les entreprises qui effectuent des transactions doivent assurer selon les demandes
internationales5 qu'ils ne financent pas involontairement le terrorisme. Pour cela des transactions sont à
examiner en temps réel par rapport aux listes de sanction publiques, librement accessibles6. En cas de
concordance le paiement doit être arrêté immédiatement et présenté au responsable pour une décision.
Ici, il s'agit d'un processus critique en vue de la sécurité et du temps qui doit être soutenu par un flux de
travaux (ci-inclus avertissement par e-mail, authentification de l'utilisateur, double contrôle etc.). Des
systèmes intelligents n'effectuent pas seulement le contrôle par rapport aux listes de sanctions mais
permettent aussi de définir des business rules individuelles. Ces business rules peuvent aiguiser le
résultat des listes de sanctions, éviter des faux positifs ou par exemple informer sur un paiement via e-
mail au cas de certaines constellations de données.
2.2.6 Visualisation, gestion et controlling des mesures pour la lutte contre le blanchiment
d'argent
La gestion des risques du blanchiment d'argent active à travers tous les départements et établissements
dans le pays et à l'étranger connectés, requiert une vue globale, du jour central aux plus importantes
variables réglantes. Les cockpits peuvent offrir aux banques une vue holistique de l'analyse de risque
avec toutes les mesures de prévention et leurs état dans une présentation unique et visuellement
agréable. Sur la base des données agrégées des systèmes intégrés d´évaluation du risque et recherche
des indicateurs, peuvent être calculés et illustrés de manière simple et structurée par le biais des
techniques de visualisation sophistiquées.
2.3 Lutte contre la fraude et prévention de fraude basé sur l'informatique
2.3.1 Évaluer et gérer les risques de fraude
5 Selon la directive d'UE No. 2580/2001, No. 881/2002, US Patriot Act et d'autres 6 p. ex. listes de surveillance de l'Union Européenne, du Office of Foreign Assets Control (OFAC), du ministère de finances des États Unis, de la résolution NU 1267 et 1988, du HM Treasury (le ministère de l'économie et des finances du Royaume Uni)
Publié dans: ZRFC – Risk, Fraud & Compliance, Volume 9, Juin 2014
Une lutte efficace contre la fraude suppose une évaluation de risque dans toute l'entreprise et requiert
des instruments pour saisir et surveiller les risques connus et les risques nouveaux complexes. Si
l'évaluation du risque basé sur l'informatique est couplée au système de recherche pour la lutte contre la
fraude, l'analyse de dangers peut être enrichie par des indicateurs réels. L'efficacité des actions de
prévention informatisées peut alors être déterminée automatiquement et l'évaluation du risque peut
être affinée de manière continue par les mesures résultantes.
2.3.2 Classification de risque des clients nouveaux et fidélisés
La classification du risque des clients nouveaux et fidélisés sous l'aspect des actions frauduleuses
potentielles peut être comprise comme extension de la classification de risque sous l'aspect du
blanchiment d'argent déjà décrit en sections 2.2.2. et 2.2.3. À ce sujet non seulement les données de
transactions et les profils de clients sont à utiliser, mais aussi d'autres données et des événements non
monétaires (p. ex. changements d'adresse multiples, interrogation fréquente de certaines données,
résiliations prématurées de contrats conclus) sont à prendre en considération. En outre il est nécessaire
de ne pas seulement soumettre les clients à une classification de risque mais aussi prendre en
considération d'autres partis qui participent à la transaction (comme les banques, les destinataires et les
employés exécutifs).
2.3.3 Protection contre des essais de fraude
Au contraire de la vérification simple du blanchiment d'argent, le contrôle des "autres actes
sanctionnables" est plus sophistiqué. Les scénarios ne sont pas clairement définis et les modèles des
actes sanctionnables changent quotidiennement. Aussi, il s'agit fréquemment des événements
complexes à détecter en cohabitation et dans une suite temporelle restreinte. Une solution du
traitement des événements complexes associe des événements différents qui ne sont pas connectés à
l`évidence. Si des modèles et séquences suspects sont détecté,s cela déclenche tout d'abord un
avertissement et à partir d'un seuil d´anomalies une alerte qui est annoncée en temps réel et doit être
décidée rapidement. Seulement ainsi il est possible d'éviter ou d'endiguer les dommages qui résultent
des actions frauduleuses.
Publié dans: ZRFC – Risk, Fraud & Compliance, Volume 9, Juin 2014
Figure 1 : Prévention de la fraude en temps réel
Figure 1 illustre ceci:
Fraude interne : Un employé interroge fréquemment un compte inactif. Ici à l'âge du titulaire du
compte est pris en garde. Ensuite l'adresse du client est modifiée pour que le client bancaire ne
reçoive plus de relevés de compte. À ce point le système génère déjà un avertissement. Dès que
l'employé transfère de l'argent du compte une alerte est déclenchée automatiquement en temps réel.
Fraude externe : Au guichet automatique bancaire une petite somme est retirée moyennant une
carte. Dans un délai relativement court la même chose se produit dans un deuxième guichet
automatique avec la même carte. Maintenant le système peut déjà générer un avertissement, en
particulier si les deux guichets bancaires ne se trouvent pas à proximité géographique l'un de l'autre.
Si cela étaient des retraits de test le fraudeur ayant testé deux fois essayera parfois de retirer des
sommes plus grandes après peu de temps. Le système génère immédiatement un message d'alerte et
la carte sera d'abord bloquée automatiquement.
Une solution qui supporte le traitement des événements complexes permet aux banques et aux
assurances de réagir rapidement et de définir des scénarios flexibles. Il faut prendre en considération
que le système de détection basé sur l'informatique doit être associé étroitement avec les processus
bancaires. Du point de vue professionne,l la délégation du personnel et la cassation doivent toujours
être "prises à bord" à l’introduction de telle solution basée à l´informatique, en particulier s'il s'agit de la
lutte contre la fraude interne. Les données sensibles doivent être anonymisées et pseudonymisées.
Seulement dans un cas suspect justifié, ces données sensibles sont à déchiffrer en consultant un tiers (p.
ex. la cassation).
Publié dans: ZRFC – Risk, Fraud & Compliance, Volume 9, Juin 2014
2.3.4 Visualisation, gestion et controlling des mesures pour la détection de la fraude
Comme lors de la lutte contre le blanchiment d'argent il est aussi indispensable pour la lutte contre la
fraude, et la prévention de la fraude d'obtenir une vue holistique sur des dommages produits et
empêchés ainsi que sur des domaines de fraude potentiels (clients, produits, types de transactions et
pays) afin de disposer de paramètres pertinentes pour la gestion. Pour cela des tableaux de bord et des
cockpits sont nécessaires.
3 Considérations finales
Seulement par la réalisation d'une approche informatique intégrative qui relie les domaines de
gouvernance, de risque et de conformité dans les banques ou assurances les mesures pour la lutte
contre la criminalité financière et économique puissent être passées dans les faits effectivement. Ce qui
est important c'est une connexion intelligente de toutes les disciplines, partant de l'analyse de risque
(analyse de menace), à travers la détection efficace des actions frauduleuses et la lutte contre elles
(fraude, blanchiment d'argent, financement du terrorisme et d'autres) jusqu'à la représentation
intégrale et la visualisation des indicateurs et variables réglantes pertinents dans une vue d'ensemble.
Les solutions informatiques doivent être appropriées pour l'utilisateur final, les interfaces doivent être
intuitives et offrir un accès rapide aux fonctions dont on a besoin. Le service informatique ne devrait être
consulté que lors de l'introduction d´un logiciel de façon analogue et dans le cadre de l'entretien. Des
logiciels standards qui offrent de la flexibilité et implémentent la complexité professionnelle sont à
favoriser. En même temps les systèmes informatiques devraient se laisser intégrer entièrement dans les
processus existants chez les banques et assurances.
