Compliance pénal dans les services financiers : la couche que la réglementation prudentielle ne couvre pas

Compliance pénal dans les services financiers : la couche manquante

Les établissements financiers consacrent des ressources considérables à la conformité réglementaire prudentielle : les régulateurs tels que la BCE, la Banque d’Espagne et la CNMV imposent des niveaux de contrôle interne et de gouvernance que peu d’autres secteurs égalent. Pourtant, conformité réglementaire prudentielle et compliance pénal ne sont pas la même chose, et les établissements financiers ne disposent pas toujours d’un programme suffisamment développé dans ce second domaine.

Le compliance pénal a un objectif précis : prévenir que des employés ou des dirigeants commettent des infractions dans l’exercice de leurs activités, qu’il s’agisse de blanchiment de capitaux, d’abus de marché, de fraude dans la distribution ou de corruption, et, si elles se produisent, permettre à l’établissement de démontrer devant le tribunal pénal qu’il avait adopté des mesures préventives appropriées. La différence entre un établissement doté d’un programme de compliance pénal solide et un établissement qui en est dépourvu peut être la différence entre une exonération de responsabilité et une condamnation aux conséquences dévastatrices.

Lutte anti-blanchiment : le coeur du compliance financier

Les établissements financiers sont des entités assujetties au titre de la Loi 10/2010 sur la prévention du blanchiment de capitaux, avec des obligations étendues en matière d’identification des clients, d’évaluation des risques et de déclaration des opérations suspectes. Le respect de la Loi 10/2010 est, en outre, une condition nécessaire, bien qu’insuffisante, pour que le programme de compliance pénal soit efficace en tant que cause d’exonération de la responsabilité pénale.

Nous révisons et mettons à jour les dispositifs anti-blanchiment existants pour garantir leur conformité avec les exigences réglementaires en vigueur, y compris les quatrième et cinquième directives européennes LAB, et leur bonne intégration dans le programme de compliance pénal.

Abus de marché : le risque qui vient de l’intérieur

Le délit d’initié et la manipulation de marché sont des infractions typiquement commises depuis l’intérieur des établissements financiers par des personnes ayant accès à des informations non publiques. Les barrières à l’information, les listes de valeurs restreintes et la surveillance des opérations personnelles du personnel constituent des contrôles essentiels dans tout établissement opérant sur les marchés de capitaux. Le Règlement sur les Abus de Marché (MAR) établit des obligations spécifiques de prévention et de déclaration qui doivent être intégrées dans le programme de compliance.

Canal d’alerte : la première ligne de détection

Les employés sont souvent les premiers à détecter des comportements irréguliers au sein de l’établissement. Un canal d’alerte efficace, confidentiel, accessible et offrant une protection réelle aux lanceurs d’alerte conformément à la Loi 2/2023, constitue la première ligne de détection des risques de compliance. Les établissements financiers ont l’obligation légale de disposer de ce canal, et une gestion inadéquate de celui-ci peut elle-même constituer un motif de mise en cause.

Le paquet LAB 2024 de l’UE : ce que les établissements financiers doivent préparer

L’UE a adopté en 2024 un ensemble complet de réformes en matière de lutte anti-blanchiment, comprenant le Règlement (UE) 2024/1620 (le Règlement Cadre Unique LAB) et la Directive (UE) 2024/1640, qui instituent la nouvelle Autorité de Lutte Anti-blanchiment (AMLA) dotée de pouvoirs de supervision directe sur les entités à haut risque à partir de 2026. Pour les établissements financiers espagnols, les développements clés sont les suivants.

Supervision directe par l’AMLA. A partir de 2026, l’AMLA supervisera directement les entités financières présentant le risque le plus élevé dans l’UE : banques ayant une activité transfrontalière significative, prestataires de services sur crypto-actifs et entités affichant des scores de risque LAB élevés. Le SEPBLAC conserve la supervision des entités à risque plus faible. La transition de la supervision SEPBLAC vers la supervision AMLA pour les entités éligibles nécessitera une mise à jour des systèmes LAB internes aux standards AMLA.

Standards KYC harmonisés. Le Règlement Cadre Unique remplace les réglementations nationales LAB existantes par des règles UE directement applicables en matière de diligence raisonnable à l’égard de la clientèle, de bénéficiaires effectifs, de filtrage des PPE et de pays tiers à haut risque. Les établissements financiers espagnols devront mettre à jour leurs procédures KYC pour se conformer au règlement directement applicable plutôt qu’au cadre national de la Loi 10/2010.

Prestataires de services sur crypto-actifs (CASP). Au titre de MiCA (Règlement sur les marchés de crypto-actifs, pleinement applicable depuis décembre 2024), les CASP sont inclus comme entités assujetties dans le cadre LAB. Les banques et entreprises d’investissement proposant des services sur crypto-actifs doivent désormais étendre leurs procédures LAB aux opérations sur crypto-actifs.

BMC conseille les établissements financiers dans leur préparation au paquet LAB 2024 : évaluation des écarts par rapport aux nouveaux standards directement applicables, mise à jour de la documentation KYC et engagement avec les lignes directrices préparatoires de l’AMLA pour la transition de supervision 2026.

Responsabilité pénale des établissements financiers : infractions clés et moyens de défense

Les infractions pénales les plus pertinentes pour les établissements financiers depuis la réforme du Code Pénal de 2010 sont notamment les suivantes.

Blanchiment de capitaux (arts. 301-304 du Code Pénal). Le principal risque pénal pour les banques et les intermédiaires financiers : un établissement financier peut être condamné en tant qu’auteur principal ou complice d’un blanchiment de capitaux si ses contrôles étaient si déficients qu’ils ont facilité un blanchiment qu’un établissement correctement géré aurait détecté et signalé. Le standard n’est pas la négligence mais un degré d’indifférence à l’évidence équivalant à une cécité volontaire.

Abus de marché (arts. 284-286 du Code Pénal). Le délit d’initié, la divulgation d’informations privilégiées et la manipulation de marché sont des infractions pénales spécifiques pour lesquelles tant l’employé que l’établissement peuvent voir leur responsabilité engagée. Les tribunaux pénaux espagnols ont condamné des employés d’établissements financiers pour délit d’initié sur la base des mêmes faits que des procédures de sanction administrative devant la CNMV.

Fraude dans la distribution (art. 282 bis du Code Pénal). La distribution frauduleuse de produits financiers, consistant à commercialiser des produits avec des informations fausses sur leurs caractéristiques ou leurs risques, peut constituer cette infraction lorsque la distribution a été réalisée en connaissance du caractère trompeur de l’information. La jurisprudence de la Cour Suprême sur la distribution des actions de préférence à des clients particuliers illustre la manière dont cette infraction s’applique en pratique.

Infractions fiscales (arts. 305-310 du Code Pénal). De grands établissements financiers ont fait l’objet d’enquêtes pénales fiscales portant sur des structures de véhicules d’investissement collectif, des obligations de retenue à la source et des litiges sur la classification de la TVA sur les services financiers. Le seuil pénal pour la fraude fiscale d’une personne morale est de 120 000 euros par période d’imposition.

Contrôle continu du compliance : le rôle de l’audit interne et de l’Organe de Contrôle

Un programme de compliance pénal satisfaisant aux exigences d’exonération de l’article 31 bis du Code Pénal doit être supervisé par un Organe de Contrôle véritablement indépendant. Pour un établissement financier où la fonction de compliance réglementaire (CNMV, BdE) est bien établie, l’Organe de Contrôle de compliance pénal doit être distinct de cette fonction réglementaire : son mandat est la prévention des infractions pénales, non la satisfaction des régulateurs prudentiels.

Les activités annuelles de l’Organe de Contrôle doivent comprendre : une révision de la cartographie des risques pénaux tenant compte des évolutions de l’activité ou de la structure, un test de l’efficacité des contrôles (échantillonnage d’opérations à risque élevé, revue de l’activité du canal d’alerte, vérifications ponctuelles de la documentation KYC), les registres de participation aux formations annuelles de compliance et un rapport formel au Conseil d’administration sur l’état du programme et les incidents éventuels. BMC assure la fonction d’Organe de Contrôle externe pour les établissements financiers qui préfèrent externaliser cette fonction à des spécialistes indépendants de l’équipe dirigeante.