La SFPMEI sanctionnée d’une amende de 100.000€ et d’un blâme

Partager cette actualité

 

La décision en bref

Le 12/12/2023, la Commission des sanctions de l’Autorité de Contrôle Prudentiel et de Résolution (ACPR) a rendu publique une décision de sanction à l’encontre de la SFPMEI (Société financière du porte-monnaie électronique interbancaire), agréée en tant qu’établissement de monnaie électronique (EME).

L’ACPR relève de nombreux manquements relatifs aux obligations d’un prestataire de services de paiement (PSP) à ses obligations de lutte contre le blanchiment de capitaux et de financement du terrorisme (LCB-FT).

Parmi les griefs retenus par la Commission des sanctions de l’ACPR on retrouve :

1)  Le défaut d’enregistrement de la société mandataire en qualité d’agent de prestataire de service de paiement (APSP) auprès de l’ACPR ;

2)  L’absence de contrôle des activités externalisées auprès du mandataire ;

3)  Le défaut de protection de la clientèle de la part du prestataire de service de paiement ;

4)  L’absence de déclarations de soupçon auprès de Tracfin au seul motif de la rupture de la relation contractuelle entre le mandataire et les prestataires de service de paiement.

Néanmoins la Commission des sanctions de l’ACPR ne retient pas le grief concernant l’absence de contrat écrit au début de la relation d’affaires entre le PSP et un potentiel APSP. En effet, le PSP a l’obligation d’enregistrer son agent auprès de l’ACPR et l’APSP doit informer  ses clients sur  son statut d’agent. L’ACPR fait preuve de maladresse en ce qui concerne le formalisme de mandat d’agent. En effet, elle ne fonde pas correctement son grief 2 mais rappelle que le mandat d’agent doit être écrit selon l’article 233 et 238 de l’arrêté du 3 novembre 2014. Afin que l’agent soit enregistré, le PSP doit formaliser par écrit les missions confiées à l’APSP.

La Commission de l’ACPR estime que l’ensemble de ces griefs sont des manquements « très sérieux ». Néanmoins, l’ACPR tient compte du contexte particulier de la situation de la SFPMEI et prononce un blâme et une sanction pécuniaire à hauteur de 100.000 euros.

 

 

I – Le défaut d’enregistrement de l’agent 

 

A)      Rappel des faits

 

La SFPMEI et la société A ont noué une relation contractuelle à compter de juillet 2020.

L’ACPR reproche à  la SFPMEI d’avoir ouvert des comptes de paiement pour le compte de clients de la société A et d’avoir géré des volumes de flux significatifs dès le mois de juillet 2020, soit antérieurement au dépôt d’une demande d’enregistrement de la société A en tant qu’agent de PSP et à la signature du contrat de mandat d’agent (8 octobre 2020). Et ce, alors même que ledit contrat conditionnait le lancement des services de paiement à l’obtention du statut d’agent.

La SFPMEI soutient que la relation contractuelle a commencé antérieurement à la signature formelle du contrat en qualifiant cette période de « test ». En vertu de ce mandat, la société A fournit les services de paiement pour le compte de la SFPMEI :

  • Le retrait d’espèces sur un compte de paiement et les opérations de gestion d’un compte de paiement (service 2) ;
  • Le service 3 d’exécution d’opérations de paiement (prélèvements, virements, paiements par carte) ; 
  • Le service 5 (émission d’instruments de paiement /acquisition d’ordres de paiement).

Il est à noter que l’ACPR n’a pas rendu de décision définitive concernant cette demande d’enregistrement. Par ailleurs, le 14 avril 2021 la SFPMEI a retiré sa demande d’enregistrement de la société A.

Le volume des transactions pendant cette période s’évalue pour un montant de 3,2 millions d’euros soit plus de 5.700 transactions.

Pendant la période d’avril 2021 à juin 2021 plusieurs comptes ouverts et demeurés inactifs précédemment ont présenté des signes d’activités.

 

B)      L’ACPR rappelle le besoin de disposer d’un enregistrement d’APSP pour exercer en tant que tel

 

1)      En droit

 

En vertu de l’article L.523-1, II du CMF, les PSP ont l’obligation d’enregistrer leurs agents de paiement, ce qui suppose de constituer un dossier d’agent soumis à la validation de l’ACPR dans un délai de 2 mois à compter de la réception d’un dossier complet (article 37 de l’arrêté du 29 octobre 2009 portant sur la réglementation prudentielle des établissements de paiement). Le PSP doit informer l’ACPR lorsque l’agent ne remplit plus les conditions d’enregistrement.

 

2)      Le débat concernant la conséquence du silence gardé par l’autorité administrative  

 

En principe selon la hiérarchie des normes les décrets sont supérieurs aux arrêtés. En cas de contradiction, il est nécessaire de se référer à la norme supérieure afin d’apprécier la norme en vigueur. Néanmoins, une incertitude demeure lorsque la même autorité prend deux décisions contraires auquel cas il est nécessaire de prendre en compte l’acte le plus récent.

En l’occurrence, le débat autour de la conséquence du silence gardé de la part de l’ACPR résulte d’un conflit de normes relatif aux dispositions de l’article L.231-5 du code des relations entre le public et l’administration prévoyant une exception au principe de « silence vaut acceptation » :« Eu égard à l’objet de certaines décisions ou pour des motifs de bonne administration, l’application de l’article L. 231-1 peut être écartée par décret en Conseil d’État et en conseil des ministres ».

Dès lors, il faut noter que le décret n°214-1280 du 23 octobre 2014 relatif aux exceptions à l’application dudit principe, rejette l’hypothèse d’une acceptation en cas de silence dans le cadre des demandes d’enregistrement des agents de PSP.

Néanmoins, l’article 37, I de l’arrêté du 29 octobre 2009, dans sa version en vigueur depuis le 13 janvier 2018 contredit le décret précédemment cité selon les dispositions suivantes :

« L’Autorité de contrôle prudentiel et de résolution dispose à compter de la réception de l’ensemble des informations visées au I de l’article 36 d’un délai maximum de deux mois pour enregistrer l’agent. Le silence gardé par l’Autorité à l’expiration de ce délai vaut acceptation de la demande et l’agent est enregistré »

L’ACPR ne tranche pas le conflit de norme entre les deux textes réglementaires mais rappelle simplement que le principe selon lequel le « silence vaut acceptation » ne s’applique qu’à la réunion de deux conditions, a priori, cumulatives, à savoir :

  • L’existence d’un silence ;
  • L’arrivée à terme du délai maximum de deux mois pour enregistrer un APSP.

Dans un premier temps, l’ACPR considère que le silence a été rompu puisque la SFPMEI a formalisé une demande sur l’état d’avancement de l’enregistrement de la société A en qualité d’APSP en date du 19 octobre 2020. L’ACPR ayant répondu que le dossier était « en cours d’instruction » la société ne pouvait donc pas se prévaloir du principe selon lequel le silence gardé valait acceptation.

Dans un second temps, l’ACPR rappelle que le délai de 2 mois fixe le terme au 17 octobre 2020 et le principe d’acceptation en cas de silence n’est pas rétroactif. La société SFPMEI n’était pas conforme puisqu’elle faisait intervenir la société A comme si cette dernière avait reçu l’enregistrement d’APSP dès juillet 2020.

 

C)      Le défaut d’enregistrement : un manquement fondé

 

Selon L’ACPR le manquement est constaté à partir du moment où la SFPMEI s’est affranchi de la demande d’enregistrement de la société A en qualité d’APSP auprès de l’ACPR en ouvrant des comptes de paiement auprès de la clientèle de la société A dès juillet 2020, soit avant le dépôt de la demande d’enregistrement et l’arrivé à terme du délai laissé à l’ACPR pour procéder à l’enregistrement.

Par conséquent, le grief était fondé. Bien que légalement discutable, il n’en demeure pas moins que ce grief révèle une certaine rigidité de l’ACPR du point de vue de sa portée opérationnelle. En pratique, le processus d’onboarding d’un agent tient compte de plusieurs enjeux : réglementaire (constitution du dossier d’agent, formalisation des livrables, validation du dossier par l’ACPR et enregistrement au REGAFI), commercial, financier et surtout technique (phase de tests). Il serait naïf de penser qu’une fois l’autorisation accordée par l’ACPR le déploiement opérationnel des activités de l’agent se fasse très simplement à un instant T. La phase de test se révèle cruciale pour que l’agent soit prêt à lancer ses opérations une fois l’autorisation accordée par l’ACPR. Or en l’espèce, la période antérieure à la signature du mandat d’agent (que la SFPMEI qualifie de phase de “test”) impliquait selon l’ACPR de ne pas procéder à l’ouverture de comptes de paiement auprès de la clientèle de la société A, ni leur communiquer un IBAN ni même de procéder à leur démarchage puisque, selon l’ACPR, cette situation caractérise une mise en oeuvre effectif du “partenariat” entre le PSP et son futur agent. Et ce, peu importe que certains comptes de paiement soient inactifs.

Conséquences : 

  • Lorsqu’un PSP souhaite onboarder un agent, celui-ci est tenu de constituer un dossier d’agent qu’il doit soumettre à l’ACPR ;  
  • Tant que le dossier d’agent n’est pas expressément validé par l’ACPR, il est interdit au PSP de gérer les flux de paiements associés aux comptes de paiement ouverts pour les clients de l’agent, ce qui implique pour le PSP de ne pas leur communiquer d’IBAN. 
  • Le silence de l’ACPR pendant le délai de 2 mois à compter de la réception du dossier d’agent complet vaut validation du dossier d’agent et, partant, son enregistrement au REGAFI. Autrement l’agent agirait de manière irrégulière ; 
  • Nonobstant le principe du “silence vaut acceptation” dans le délai de 2 mois, que l’ACPR écarte habilement, il a été constaté que le PSP avait bel et bien, d’un point de vue opérationnel, permis à la société A (en tant que futur agent, mais non encore enregistré) de fournir des services de paiement de manière irrégulière.

 

II –LE MANDAT D’AGENT

 

A)      Rappel des faits

 

La SFPMEI a signé un contrat de mandat avec la Société A pour des missions en qualité d’APSP en date du 8 octobre 2020. Cependant, la SFPMEI a ouvert des comptes de paiement à la demande de la société A dès le mois de juillet 2020 soit 2 mois avant la formalisation écrite de toute relation contractuelle. Le contrat conclu entre le PSP et son agent prévoyait, notamment des dispositions concernant les modalités de contrôle de l’agent conformément aux dispositions des articles 233 et 238 de l’arrêté du 3 novembre 2014.

 

B)      L’obligation d’établir un mandat dans le cadre d’une mission d’APSP

 

Conformément à l’article L. 523-1 du CMF, la relation entre le PSP et son agent se matérialise par la signature d’un mandat d’agent. En outre, ce dernier est également tenu d’informer sa clientèle de son statut d’agent. 

 

C)      En l’espèce

 

L’ACPR ne fonde pas correctement sont grief. En effet, cette dernière rappelle que selon l’article L.523-1 du CMF le mandat n’impose pas de formalisme particulier. Les dispositions de cet article prévoient que l’agent doit se présenter comme le mandataire de l’établissement de paiement auprès des clients. 

Néanmoins, l’ACPR rappelle que ce formalisme est exigé par les articles 233 et 238 de l’arrêté du 3 novembre 2014 relatif au contrôle interne. En effet, les PSP ayant recours à des agents selon l’article L.523-1 du CMF doivent formaliser leur externalisation par le biais d’un contrat écrit. 

En conséquence, l’ACPR écarte le grief exposé en raison d’un fondement incomplet. Toutefois, l’ACPR rappelle l’exigence d’un écrit dans la procédure d’enregistrement de l’agent.

Conséquences : 

  • L’agent doit se présenter auprès des clients comme le mandataire du PSP, et ne doit pas occulter la relation qu’il entretient avec ce dernier ; 
  • Le mandat doit être formalisé avant l’enregistrement du l’APSP.

 

III – Le contrôle des activités externalisées 

 

A)      Rappel des faits

 

La SFPMEI n’a pas procédé aux contrôles de la société A afin de s’assurer que les opérations de paiement étaient toujours réalisées à l’initiative des clients. L’API donnait automatiquement les ordres de virement sans qu’il n’y ait de vérification sur l’initiative du client.

L’ACPR relève que la SFPMEI n’a pas mis en place de contrôle afin de s’assurer que la société A respecte ses obligations d’identification du client (KYC). Le rapport de l’ACPR permet d’identifier que plus d’une centaine de clients ont pu ouvrir un compte de paiement sans validation des pièces d’identité.

En mars 2021, la société A a servi d’intermédiaire afin de transférer des fonds de provenance suspecte liés à des activités frauduleuses. Par ailleurs, ces opérations de transfert ont été réalisées par des clients ne correspondant pas au profil habituel des clients de la société A.

La SFPMEI a effectué une mission de contrôle en matière de LCB-FT, qui a permis de recenser les alertes remontées par la société A. Toutefois, la grande majorité de ces alertes n’ont pas fait l’objet d’une analyse et celles ayant été analysé l’ont été faite de façon sommaire selon l’ACPR.

 

B)      La responsabilité du PSP  dans le cas des actions menées par l’APSP

 

En vertu de l’article L.523-3 du CMF, le PSP «demeure pleinement responsable vis-à-vis des tiers des actes de tout agent qu’il a mandaté». 

A ce titre, le PSP est tenu d’inclure l’agent dans son système de contrôle interne puisqu’il s’agit d’une activité externalisée (article 235 de l’arrêté du 3 novembre 2014). 

 

C)      Les manquements retenus par l’ACPR

 

Les manquements de la SFPMEI dans le contrôle des activités de la société A sont multiples :

  • L’absence de contrôle sur les ordres de virements ;
  • L’absence de contrôle du respect de la procédure d’identification du client par la société A ;
  • L’absence de détection d’opérations frauduleuse par la SFPMEI ;
    • Par ailleurs, l’ACPR relève qu’un établissement tiers a procédé à des signalements concernant des opérations frauduleuses provenant des comptes ouverts par la société A.
  • L’absence de contrôle du traitement des alertes LCB-FT par la société A.

La défaillance du contrôle de la société A par le PSP s’explique en l’espèce par le fait que la demande d’enregistrement de la société était en cours de traitement par les services de l’ACPR.

Conséquences : 

  • L’ACPR applique stricto sensu les dispositions légales du CMF. Le PSP est responsable des actions de son agent, même si ce dernier ne bénéficie pas de l’enregistrement auprès de l’ACPR, et doit vérifier la conformité de ce dernier ; 
  • Le PSP doit donc auditer son agent à la lumière des dispositions réglementaires applicables à l’externalisation ; 
  • Dans le cas de manquement de la part de l’agent, la seule personne responsable restera le PSP. Il est donc important de bien prendre en compte ce risque lors de l’entrée en relation d’affaires avec un potentiel agent et mettre en place tous les dispositifs nécessaires pour s’assurer que ce dernier respecte les obligations qui incombent à un prestataire de service de paiement.

 

IV – La protection de la clientèle 

 

A)      Rappel des faits

 

Le 14 avril 2021, la SFPMEI a informé l’ACPR de la rupture du contrat de mandat avec la société A et le retrait de la demande d’enregistrement. Jusqu’en août 2021, la majorité des comptes de paiement ont été clôturés et les soldes ont été transférés. L’ensemble de ces opérations ont duré jusqu’en février 2022.

 

B)      Les conditions de résiliation à l’initiative du PSP

 

En vertu de l’article L.314-13, paragraphe V du CMF le client dispose de la faculté de résilier son contrat de service de paiement à tout moment en respectant un préavis maximum de 30 jours. Par ailleurs, si la relation contractuelle a duré plus de 6 mois, cette résiliation doit se faire sans frais et dans le cas contraire les frais doivent être proportionnés aux coûts de la résiliation. 

A contrario, le PSP qui souhaite résilier le contrat de services de paiement à durée indéterminée doit respecter un préavis de 2 mois et doit respecter un formalisme écrit. Par ailleurs, le PSP ne peut facturer ses prestations qu’au prorata de la période échue au moment de la résiliation du contrat et dans le cas où les frais ont été payé d’avance par le client, le PSP doit procéder au remboursement des frais au prorata de la période échue. 

L’ACPR fait grief à la SFPMEI de ne pas avoir respecté les dispositions de l’article L.314-13, V du CMF et de ne pas avoir laissé un préavis suffisant aux clients de la société A avant de procéder à la clôture des comptes de paiement. Par ailleurs, la SFPMEI n’a pas rempli son obligation d’information auprès des clients de cette opération de clôture. En effet, l’article L.314-13, V prévoit un formalisme écrit pour transmettre l’information au client.

Par conséquent, le non-respect du préavis et l’absence d’information à destination des clients lors d’une procédure de clôture des comptes de paiement sont constitutifs d’un manquement.

 

C)      L’absence de vérification de la titularité des comptes lors du transfert des fonds

 

Selon les dispositions de l’article L.133-6 du CMF, une opération de paiement doit en principe  être autorisée par le client de manière expresse et antérieurement à l’opération. Cependant, le client et le PSP peuvent convenir que ce consentement soit donné a posteriori de l’opération de paiement.

En comparaison, dans le cadre d’une série d’opérations, l’autorisation de ces dernières doit respecter une forme précise, celle du mandat de prélèvement. 

 Par ailleurs, en vertu des dispositions de l’article L. 133-7 du CMF la forme du consentement n’est pas soumise à un formalisme légal mais résulte des stipulations du contrat conclu entre le client et son PSP. Si le consentement est absent, l’opération n’est pas autorisée et ne doit pas être exécutée. 

Enfin, le consentement du client peut être révoqué par ce dernier tant que l’opération n’est pas irrévocable. Il en est de même pour une série d’opérations. Dans ce cas, seules les opérations postérieures à la révocation du consentement sont réputées non autorisées. 

En l’occurrence, la SFPMEI n’a pas rempli ses obligations de diligence sur le suivi des transferts de fonds et notamment sur le contrôle de l’identité des titulaires des comptes. L’ACPR relève que l’IBAN de transfert ne correspondait pas à l’IBAN du 1er versement réalisé sur le compte.

La SFPMEI aurait dû rechercher le consentement des clients de la société A avant de procéder aux transferts des fonds au moment de la clôture des comptes.

Dès lors, le grief concernant la protection de la clientèle et plus particulièrement de la protection des fonds de la clientèle est fondé et apparaît comme une manifestation de certains manquements de la SFPMEI à l’égard des clients de la société A.

Conséquences : 

  • La fin de relation entre un PSP et son agent requiert une vigilance toute particulière de la part du PSP. En effet, le client bénéficie d’une protection renforcée et le PSP se doit d’informer le client de la résiliation du contrat. 
  • Par ailleurs, le PSP doit être diligent sur le transfert des fonds et s’assurer, d’une part, du consentement du client et, d’autre part, de la destination des fonds.

 

V – Les déclarations de soupçon 

 

A)      En droit

 

En vertu des dispositions de L. 561-15 I et III du CMF les PSP sont tenus de remplir des déclarations de soupçon auprès de Tracfin en respectant les mentions obligatoires, notamment, les sommes et les opérations dont la source est indu ou dont l’origine des fonds laisse supposer une origine indu issue d’une infraction ou du financement du terrorisment. 

Par ailleurs, les PSP procédant à un examen renforcé doivent remplir une déclaration de soupçon et la transmettre auprès de Tracfin. 

L’article L. 561-10-2 du CMF dispose que les PSP  ont une obligation de surveillance des opérations de sa clientèle par le biais d’un examen renforcé des opérations afin de vérifier qu’il n’y ait pas de soupçon sur l’origine litigieuse des fonds.

 

B)      L’absence de déclaration de soupçon

 

Selon l’ACPR, la SFPMEI n’a effectué aucune déclaration de soupçon à la suite des contrôles renforcés réalisés pendant sa relation contractuelle avec la société A. Les rares examens renforcés effectués par la SFPMEI résultent du signalement effectué par l’établissement D dont les clients ont subi un préjudice. Par ailleurs, la SFPMEI dans ses conclusions à la suite des examens renforcés à déclaré que les opérations faisaient partie d’un schéma d’escroquerie. Toutefois, cette dernière n’a pas procédé à ses obligations relatives à l’édition d’une déclaration de soupçon auprès de Tracfin.

L’ACPR a déjà rendu une décision, AXA Banque du 15 février 2023, en soulevant le grief précédemment cité. Dès lors, la rupture contractuelle entre un PSP et un APSP ne dispense pas le PSP de remplir ses obligations déclaratives à Tracfin  à la suite d’un examen renforcé aboutissant sur une suspicion illicite de l’origine des fonds. 

Conséquences : 

  • L’ACPR applique littéralement les dispositions du CMF. Elle constate que le PSP qui ne remplit pas cette obligation déclarative auprès de Tracfin est responsable d’un manquement. 
  • Dans la continuité des conclusions de l’ACPR, le PSP est responsable de son agent et doit veiller à l’origine des opérations et des sommes dont il effectue les transferts. 
  • Par ailleurs, la fin de relation entre un agent et son PSP n’exonère pas ce dernier de ses obligations. Le PSP doit donc faire preuve de diligence même a posteriori de la rupture de la relation d’affaires avec son agent. 

Plus d'articles

Actualités

LE DIGITAL MARKETS ACT (DMA)

Le Digital Markets Act (DMA), ou Règlement sur les marchés numériques, a pour objectif premier de lutter contre les pratiques anticoncurrentielles des grandes entreprises numériques

En savoir plus »