Comment déterminer et justifier un certain profil de risque en matière de LBC/FT ?

Comment déterminer le bon profil de risque ?

C'est une question que l'on pose régulièrement. En matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT), on distingue trois niveaux de risque : faible, moyen et élevé. C'est à partir des informations fournies par le client que vous déterminez son profil de risque, ainsi que le suivi et les mesures de vigilance qui en découlent. En voici un bref aperçu.

Risque faible

• Société cotée sur un marché réglementé (ou filiale détenue à 100 % par une telle société)
• Administration ou organisme public
• Établissement soumis à une supervision (établissement financier, par exemple)

Une société cotée, ou sa filiale détenue à 100 %, est soumise à des obligations de transparence et à une supervision. À l'instar d'un organisme public ou d'un établissement régulé, elle présente donc en principe un profil de risque faible.

Risque moyen

C'est le point de départ de toute analyse. Par défaut, chaque client se voit attribuer un profil de risque moyen, tant que les éléments recueillis ne justifient pas de le classer en risque faible ou élevé. C'est l'examen de différents facteurs qui vous permet de confirmer ou non ce classement.

Risque élevé

Un profil de risque élevé se détermine au regard des éléments suivants :

• lien avec un pays tiers à haut risque ;
• présence d'une personne politiquement exposée (PPE) ;
• complexité de la structure de détention ;
• activité ou secteur du client ;
• nature de l'opération ou de la prestation.

Comment justifier le profil de risque retenu ?

Il m'arrive de trouver dans un dossier une note de l'avocat indiquant : « Risque faible, je connais ce client depuis toujours. » Ce n'est malheureusement pas une justification recevable au regard des exigences LBC/FT. Je vous recommande de ne procéder à l'évaluation finale qu'une fois toutes les informations nécessaires réunies, lorsque vous disposez d'une vue d'ensemble de votre client. Vous rédigez alors une courte synthèse de votre analyse : vous indiquez le profil de risque retenu et expliquez pourquoi.

J'interviens comme responsable de la conformité pour plusieurs structures. Lorsque j'évalue un dossier présentant un risque moyen, je mentionne :

• le pays dans lequel le client est établi ;
• la transparence, ou non, de la structure de détention ;
• le pays de résidence du bénéficiaire effectif ;
• le résultat du filtrage (correspondances éventuelles avec les listes de sanctions, de gel des avoirs ou de PPE) ;
• toute autre particularité relevée au regard des prestations fournies et de l'activité ou du secteur du client.

Il s'agit en somme d'une courte liste des risques potentiels et des éventuelles particularités identifiées. Dans un précédent article, j'ai détaillé les éléments à filtrer ; un autre présente les documents nécessaires à l'identification et à la vérification.

Voici trois exemples de justification, un pour chaque profil de risque :

• Risque faible : « Le client est une filiale détenue à 100 % par une société américaine cotée en bourse, soumise à la supervision de la SEC. Aucune autre particularité n'a été relevée concernant l'activité du client ou les prestations fournies. »

• Risque moyen : « Le client est établi au Luxembourg. Son bénéficiaire effectif réside également au Luxembourg. La structure de détention est simple et entièrement transparente. Aucune autre particularité n'a été relevée concernant l'activité du client ou les prestations fournies. »

• Risque élevé : « Le client est établi dans un pays tiers à haut risque. Sa structure de détention est complexe, mais s'explique de manière cohérente. Aucune autre particularité n'a été relevée concernant l'activité du client ou les prestations fournies. »

En résumé, nul besoin de rédiger une dissertation. Portez simplement une attention particulière aux pays concernés, aux bénéficiaires effectifs, à la structure de détention et à toute autre particularité, par exemple l'adéquation des prestations demandées au secteur d'activité du client.

Quelles mesures de vigilance selon le profil de risque ?

Une fois le profil de risque déterminé, justifié et consigné au dossier, vous passez à l'étape suivante : la mise en œuvre des mesures de vigilance. Leur intensité dépend en règle générale du profil de risque.

• Vigilance simplifiée : Elle s'applique notamment lorsque le client est une société cotée (ou une filiale détenue à 100 % par une telle société), un organisme public ou un établissement régulé.

• Vigilance standard : C'est le régime de droit commun, applicable aux profils de risque moyen. Lorsque j'évalue un dossier relevant de ce régime, je précise qu'aucun élément ne justifie de mesures simplifiées ou renforcées.

• Vigilance renforcée : Un profil de risque élevé impose des diligences approfondies : examen de l'origine des fonds et du patrimoine, analyse de la structure de détention, points d'attention relatifs au financement de l'opération, etc. Dans l'application RegLab, lorsque vous cochez l'option de vigilance renforcée, des questions complémentaires s'affichent automatiquement et, selon vos réponses, vous êtes guidé vers le parcours adapté. Très pratique !

• Risque faible, mais vigilance renforcée : Il arrive qu'un client présentant un profil de risque faible appelle néanmoins des mesures de vigilance renforcée, par exemple s'il souhaite créer une société dans un pays tiers à haut risque. Son profil peut alors rester faible, mais l'implication d'un pays tiers à haut risque dans l'opération impose des diligences renforcées. Cette situation reste rare en pratique, mais il nous semblait utile de signaler ce type d'exception.

Que consigner au dossier ? Exemples pratiques

Vous devez indiquer le niveau de vigilance retenu, le raisonnement suivi et les résultats obtenus. Voici quelques exemples :

• Vigilance simplifiée : « Le client est une filiale détenue à 100 % par une société américaine cotée en bourse, soumise à la supervision de la SEC et à des obligations de transparence. Des mesures de vigilance simplifiées sont donc jugées appropriées. »

• Vigilance standard : « Aucun élément ne justifie la mise en œuvre de mesures de vigilance simplifiées ou renforcées. »

• Vigilance renforcée : « Le client est établi dans un pays tiers à haut risque et s'inscrit dans une structure internationale. Les raisons de la complexité de sa structure de détention sont connues et plausibles. Des mesures de vigilance renforcées sont donc jugées appropriées. »