L’émergence de nouveaux risques BC-FT liés aux établissements de paiement

L’Autorité Bancaire Européenne (ABE) a publié le 16 juin dernier un rapport sur les risques de blanchiment de capitaux et de financement du terrorisme (BC-FT) propres aux établissements de paiement (EP).

Ce rapport met en évidence plusieurs points importants dont les EP devraient tenir compte pour compléter leur classification des risques BC-FT.

1 – Les faiblesses des dispositifs LCB-FT des EP européens

Les superviseurs LCB-FT considèrent que les EP sont moins sensibilisés aux risques de blanchiment que les acteurs du secteur bancaire traditionnel. Leurs systèmes de contrôle interne sont également perçus comme insuffisants. Parmi les faiblesses les plus courantes identifiées par les superviseurs, il y a : 

• Une faible sensibilisation globale au risque BC-FT : certains superviseurs soulignent le manque de formation des EP sur les questions de LCB-FT, en particulier lorsque les EP recourent à des agents ; 
• Un système de surveillance des transactions insuffisant ; 
• Une capacité limitée à identifier les transactions atypiques et à signaler les transactions suspectes à la cellule de renseignement financier ; 
• Une faiblesse des dispositifs de gouvernance interne, notamment lorsque les EP sont de nouveaux entrants sur le marché à la recherche d’une croissance rapide et d’un profit maximal. Certaines autorités constatent l’absence de système clair des trois lignes de défense ainsi qu’une rotation élevée du personnel aux postes de titulaires de fonctions clés ; 
• Une mauvaise compréhension et une mauvaise gestion des risques de FT liées aux caractéristiques spécifiques du produit et des services proposés ;
• L’absence de garanties appropriées en cas d’entrée en relation d’affaires à distance : certaines autorités ont relevé que les EP échouent souvent à identifier les clients à haut risque, y compris les PPE. 

De plus, les principales infractions identifiées dans le secteur des EP en 2022 sont les suivantes : 

• Surveillance constante et suivi des transactions (62%) ;
• Evaluation des risques liés au client (43%) ;
• Contrôle interne et politiques et procédures LCB-FT (43%) ;
• Identification du client et vérification de son identité (33%).

2 – Un rappel des risques BC-FT spécifiques aux EP

Pour l’ABE, le risque élevé associé aux EP repose sur les facteurs de risque suivants :

• La clientèle ;
• Le recours intensif aux espèces pour certains services ;
• La prédominance des transactions occasionnelles plutôt que des relations d’affaires établies ;
• Les juridictions à haut risque dans lesquelles ou avec lesquelles les EP opèrent ;
• Le volume global important et la vitesse élevée des transactions ;
• L’utilisation des nouvelles technologies pour faciliter l’onboarding des clients à distance ; 
• Le canal de distribution utilisé (en particulier le réseau d’intermédiaires y compris les agents).

Selon l’ABE, tous les EP ne sont pas soumis au même niveau de risque BC-FT compte tenu de l’hétérogénéité du secteur et des modèles d’affaires variés. On note que l’ABE relève toutefois un risque élevé pour les transmissions de fonds (remittances) sans entrée en relation physique, et un risque faible pour les agrégateurs car ces derniers ne détiennent pas les fonds des clients.

Enfin, l’ABE vient apporter des précisions sur certains risques LCB-FT spécifiques aux EP : 

• Le risque relatif à la clientèle personne morale : certaines catégories de personnes morales peuvent présenter un risque BC-FT plus élevé. C’est le cas notamment des CASP (Crypto-Asset Service Providers au sens du Règlement MiCA). L’ABE note également l’émergence de nouvelles typologies de risques liées aux plateformes ou aux marketplaces qui, en créant des couches additionnelles, semblent augmenter le risque BC-FT ;
• Risque géographique : ce risque est plus élevé pour les EP agréés pour le service de transmission de fonds car ces derniers opèrent dans des zones géographiques où les banques sont moins présentes. Ces EP donnent légitimement accès à des services de paiement comblant le vide laissé par les établissements bancaires traditionnels dans ces régions ; 
• Risque lié aux produits/services : ce risque peut être rehaussé en cas de recours à des nouvelles technologies et à l’entrée en relation d’affaires à distance, aux transactions impliquant des crypto-actifs, ou encore l’utilisation de solutions d’intelligence artificielle à des fins de scoring et de surveillance des transactions (ces solutions restent mal comprises par les EP) ;
• Risque lié à l’externalisation : l’externalisation de fonctions LCB-FT dans un contexte transfrontalier peut mettre en péril la « substance locale » de l’EP. Pour rappel, celle-ci fait référence au sens de la DSP2 à la nécessité pour les EP d’avoir leur siège social dans l’État membre où ils demandent l’agrément et d’y mener une partie de leurs activités afin d’être correctement supervisés par le régulateur local. Or, l’ABE relève des divergences d’interprétation significatives entre les États membres concernant l’interprétation de cette disposition. Lorsque l’EP n’est pas supervisé correctement dans la juridiction dans laquelle il est établi, cela peut conduire à un contrôle limité de la qualité du service externalisé.

3 – Le risque spécifique lié au recours à des agents de paiement

Un point important est à souligner. L’ABE relève un risque particulier lié aux canaux de distribution, en particulier au recours à des intermédiaires (avec un accent prononcé sur les agents de paiement).

Les modèles commerciaux des agents peuvent varier. De nombreuses autorités nationales notent que l’activité principale des agents n’est pas toujours liée au secteur des services financiers. Par exemple, les agents peuvent être des marchands de journaux, des boutiques téléphoniques, des boutiques sur internet, des bureaux de tabac, des supérettes ou encore des stations-service.

Cela peut limiter la sensibilisation des agents aux règles de LCB-FT applicables et, par conséquent, limiter l’application effective des mesures de contrôles LCB-FT mises en place par les EP.

De plus, les données suggèrent que de nombreux agents servent un ou plusieurs EP en même temps et que certains agents changent fréquemment d’EP. Cela peut rendre difficile la surveillance par les EP de leurs réseaux d’agents et créer d’importantes faiblesses dans les systèmes et les contrôles de LCB-FT. Cela est dû au fait que les agents ne sont pas des entités assujetties à la réglementation LCB-FT et que la responsabilité finale du respect à cette réglementation incombe à l’EP mandant.

Les informations fournies à l’ABE par les autorités de surveillance suggèrent que ce risque s’est cristallisé et que, par conséquent, le risque que des agents soient exploités par des criminels ou des réseaux criminels est élevé.

4 – L’émergence de nouveaux risques LCB-FT pour les EP

Enfin, l’ABE relève 3 principaux risques LCB-FT dans son rapport : 

• Marque blanche : dans un tel système, les EP mettent leur agrément à la disposition d’agents qui développent leur propre produit sous la licence de l’EP mandant. Il s’agit ici du modèle du Banking-As-A-Service (B-a-a-S). Dans son avis sur la révision de la DSP2 (EBA/Op/2022/06), l’ABE avait souligné que les agents agissant en marque blanche pouvaient avoir le contrôle de la relation commerciale, y compris la communication avec les utilisateurs de services de paiement. Les agents peuvent également entrer en possession de fonds et obtenir le contrôle des flux financiers.  Cela peut entraîner une augmentation de l’exposition au risque de BC-FT que l’EP n’est pas forcément en mesure de gérer ;
• IBAN virtuel : l’ABE consacre la notion d’IBAN virtuel dans son rapport et donne quelques éléments de définitions bienvenus. Les IBAN virtuels ressemblent aux IBAN classiques à ceci près qu’ils n’ont pas la capacité de contenir un solde réel. Ils ne sont utilisés que pour rediriger les paiements entrants vers un IBAN régulier lié à un compte bancaire physique. Faut-il alors les considérer comme de la monnaie électronique ? Le silence de l’ABE à ce sujet est regrettable dans la mesure où l’analyse des schémas de flux de certains établissements assujettis laisse apparaître des IBAN virtuels (avec une qualification délicate en service de paiement ou en monnaie électronique). Néanmoins, l’ABE précise que l’utilisation d’IBAN virtuels crée un risque de BC-FT car ces derniers masquent la géographie où se trouve le compte sous-jacent, conduisant à créer des lacunes dans la surveillance de ce risque par les autorités de supervision. Cela peut également signifier que les EP ne se conforment pas au cadre LCB-FT applicable ; 
• Third-Party merchant acquiring : l’acquéreur (qui désigne ici, selon l’ABE, l’entité fournissant le service de processing au marchand, incluant l’autorisation, la compensation et le règlement) externalise certaines parties du processus d’acquisition à un acquéreur tiers (third-party acquirer, TPA) qui, parfois, peut lui-même être assujetti aux obligations LCB-FT. L’acquisition par des marchands tiers a été identifiée comme une tendance émergente et potentiellement comme un nouveau risque de BC-FT. En effet, les TPA fournissent des services au marchand au nom de l’acquéreur et sont responsables du respect de la réglementation LCB-FT de la juridiction compétente (dans l’UE ou hors UE). Cela expose l’acquéreur au risque de traiter indirectement des fonds illicites par l’intermédiaire du TPA dans le cas où le dispositif LCB-FT du TPA serait vulnérable.

Source :

https://www.eba.europa.eu/sites/default/documents/files/document_library/Publications/Reports/2023/1056453/Report%20on%20ML%20TF%20risks%20associated%20with%20payment%20institutions.pdf