Questions d'entretien Responsable conformité

J'utilise un cadre basé sur les risques pour prioriser. Chaque obligation est évaluée selon deux dimensions : la probabilité qu'une infraction se produise et la gravité des conséquences si c'est le cas. La gravité couvre à la fois les sanctions réglementaires et les préjudices pour les clients ou la réputation de l'entreprise. Les éléments hautement prioritaires sont ceux où les deux dimensions sont élevées : généralement les obligations de conduite fondamentales, les exigences de lutte contre le blanchiment d'argent, et les règles de protection des données sous le RGPD. Je cartographie ces éléments sur une matrice des risques et la révise trimestriellement, ou immédiatement lorsqu'un régulateur publie de nouvelles orientations. J'examine aussi les priorités du régulateur dans son programme de supervision actuel, car ses priorités doivent guider les miennes. Les obligations à risque faible bénéficient d'un niveau de surveillance proportionné, souvent par auto-certification ou révision annuelle plutôt que par un suivi continu.

Le point de départ est de comprendre pourquoi les gens la perçoivent ainsi. Dans la plupart des cas, la conformité a été communiquée comme une série d'interdictions sans explication de la justification sous-jacente : ne faites pas ceci, signez ce formulaire, suivez cette formation. Je change cela en reliant les obligations de conformité à des résultats qui intéressent les gens : protéger les clients, protéger la licence d'exploitation de l'entreprise et protéger les individus de la responsabilité personnelle. J'essaie d'intervenir en amont des équipes commerciales lors de la conception de nouveaux produits ou processus, plutôt que d'arriver à la fin pour dire non. Je veille aussi à ce que la formation soit spécifique au rôle, pas un diaporama annuel générique. Le changement le plus important survient lorsqu'un vrai cas de sanction ou un quasi-incident est utilisé comme moment d'apprentissage au niveau de la direction : quand les dirigeants le prennent au sérieux, la culture suit.

Je commence par définir clairement le périmètre : quelles obligations réglementaires, quelle unité commerciale, et quelle période. Je conçois ensuite une méthodologie de test proportionnelle au risque, qui peut aller d'une revue exhaustive des dossiers à un échantillon ciblé basé sur la taille des transactions ou le type de contrepartie. Pour chaque obligation, je définis les preuves spécifiques que je recherche et ce à quoi ressemble un résultat satisfaisant ou non avant de commencer les tests, pour garder l'évaluation objective. Pendant la revue, je conserve un registre détaillé de chaque dossier examiné et de chaque constat, avec la référence réglementaire ou de politique spécifique. À la fin, je produis un rapport qui catégorise les constats par gravité, donne la cause racine de chaque problème, et fait des recommandations spécifiques et exploitables. Je présente les constats directement à l'unité commerciale concernée avant d'escalader à la direction, pour lui donner l'opportunité de comprendre et de répondre.

Je maintiens un processus de veille réglementaire qui couvre les publications clés : documents de consultation, déclarations de politique, orientations sur la protection des données et mises à jour sectorielles. J'utilise un journal des changements réglementaires qui capture chaque nouvelle exigence ou exigence modifiée, la date d'entrée en vigueur, l'unité commerciale impactée et le responsable de la mise en oeuvre. Je révise ce journal mensuellement avec les unités commerciales concernées. Je trouve également utile de participer à des tables rondes réglementaires et de m'engager avec des pairs d'autres entreprises : les régulateurs signalent souvent leurs priorités informellement avant la publication de guidance formels. Lorsqu'un changement significatif se prépare, je construis le calendrier de mise en oeuvre à rebours à partir de la date d'entrée en vigueur pour que l'entreprise ait suffisamment de préavis.

Lors d'une revue de routine de notre documentation d'entrée en relation, j'ai remarqué que nos conditions générales n'avaient pas été mises à jour pour refléter une modification des orientations de mise en oeuvre publiées six mois plus tôt. Le manque se situait dans la section couvrant la divulgation de l'évaluation de la juste valeur : notre formulation respectait l'ancienne norme mais ne satisfaisait pas la nouvelle exigence. J'ai escaladé cela au Responsable de la Conformité et au Directeur Juridique le jour même, et nous avons constitué un groupe de travail urgent avec l'équipe produit et les conseils juridiques. Nous avons révisé la documentation en trois semaines et mené une revue rétrospective pour vérifier si les clients existants devaient recevoir des communications mises à jour. Aucune action réglementaire ne s'est ensuivie, mais la rapidité de réponse nous a permis de démontrer lors de notre prochaine réunion de supervision que nous disposions d'un programme de surveillance opérationnel.

Un chargé de relation senior voulait intégrer un client potentiel avec une documentation incomplète, arguant que le client était réputé et que l'opportunité commerciale était significative. Mon examen du dossier a révélé deux lacunes : aucune documentation sur l'origine des fonds et un résultat de screening PPE (Personne Politiquement Exposée) non résolu. J'ai refusé d'approuver l'entrée en relation et j'ai expliqué par écrit exactement quelles exigences n'étaient pas satisfaites et quels éléments étaient nécessaires. Le chargé de relation a escaladé à son directeur, qui est revenu vers moi informellement pour discuter d'une solution de contournement. J'ai maintenu ma position et proposé à la place une revue accélérée si le client pouvait fournir la documentation manquante dans un délai défini. La documentation est arrivée dans les cinq jours et l'entrée en relation a été approuvée. J'ai ensuite signalé à la direction que cette pression pour contourner la LCB-FT était elle-même un indicateur de risque.

J'ai refondu notre programme de formation LCB-FT après que les taux d'achèvement annuels étaient élevés mais qu'une revue de surveillance montrait des erreurs persistantes dans le traitement des alertes de surveillance des transactions. Le problème était que la formation existante utilisait des scénarios abstraits sans rapport avec les types de transactions réels traités par notre équipe. J'ai reconstruit la formation autour de six cas réels (anonymisés) issus de notre propre système de surveillance, illustrant chacun une typologie spécifique : fractionnement, stratification via le financement du commerce et flux liés aux PPE. J'ai dispensé la nouvelle formation en petits groupes plutôt qu'en e-learning, ce qui m'a permis de répondre aux questions en temps réel. Trois mois plus tard, le taux de décisions insuffisamment documentées avait chuté de 34 % à 9 %. J'ai présenté ces données au comité des risques du conseil comme preuve que la formation doit être ciblée et spécifique au rôle pour changer les comportements.

Un programme LCB-FT efficace comporte six composantes fondamentales. D'abord, une évaluation des risques actuelle et précise, spécifique à la clientèle, aux produits, aux zones géographiques et aux canaux de distribution de l'entreprise. Ensuite, une diligence raisonnable client (KYC) basée sur les risques, avec une diligence renforcée pour les clients à risque élevé. Troisièmement, une surveillance continue des transactions et des comportements clients, pas seulement des vérifications lors de l'entrée en relation. Quatrièmement, un processus clair de déclaration de soupçon avec du personnel formé qui sait quoi chercher et comment déclarer sans alerter le client. Cinquièmement, une formation régulière adaptée aux risques spécifiques de blanchiment d'argent propres à chaque rôle. Sixièmement, des tests de conformité indépendants pour vérifier que le programme fonctionne comme prévu. Le MLRO (responsable de la déclaration) est personnellement responsable du programme et doit être une figure véritablement senior avec un accès direct au conseil.

Lorsqu'une demande d'accès concerne des informations sur des tiers, la tension fondamentale est entre le droit d'accès de la personne concernée et les droits à la vie privée du tiers. Mon approche commence par un examen attentif des données détenues : j'identifie chaque document ou enregistrement qui fait référence au demandeur, puis j'évalue chaque référence à un tiers individuellement. Là où les données du tiers peuvent être occultées sans affecter la substance des informations fournies au demandeur, je les occulte. Là où les données du tiers sont indissociablement liées aux propres informations du demandeur, j'applique un test de proportionnalité. Je documente chaque décision de suppression avec une justification spécifique. Je vérifie également si les données relèvent d'une exemption, comme le secret professionnel ou l'exemption de détection de crimes. La réponse est émise dans le délai d'un mois prévu par la loi.

L'évaluation de l'efficacité des conflits d'intérêts nécessite des tests à trois niveaux. D'abord, je vérifie que le registre des conflits est complet et à jour : tous les conflits matériels sont-ils réellement documentés, ou le registre est-il une formalité de conformité sans lien opérationnel avec l'activité ? Je compare le registre avec une revue des activités, des relations clients et des structures d'incitation de l'entreprise pour identifier les conflits potentiels non enregistrés. Ensuite, je teste les contrôles : pour chaque conflit documenté, je vérifie que l'atténuation décrite est effectivement appliquée. Troisièmement, je vérifie la divulgation : là où les conflits ne peuvent pas être gérés, sont-ils divulgués aux clients de manière véritablement informative plutôt qu'enfouie dans les conditions générales ? Je présente ensuite les constats comme une analyse des écarts par rapport aux exigences réglementaires applicables.