Conformité réglementaire, LCB-FT, RGPD et protection de la clientèle : audit, conseil, formation et réalisation pour la banque

Le cadre de la conformité bancaire

LCB-FT, gel des avoirs et paquet européen de 2024

La lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) repose en France sur les articles L. 561-1 et suivants du code monétaire et financier, qui transposent les directives européennes successives. Un établissement assujetti évalue ses risques, applique des mesures de vigilance proportionnées à l'égard de ses clients et de leurs bénéficiaires effectifs, surveille les opérations, déclare à Tracfin les sommes ou opérations soupçonnées (article L. 561-15) et organise un contrôle interne dédié, que précise l'arrêté du 6 janvier 2021. Selon Tracfin, 278 484 déclarations de soupçon lui ont été adressées en 2025 via la plateforme ERMES. L'ACPR contrôle le dispositif : selon son rapport annuel 2025, elle a engagé 25 contrôles sur place en matière de LCB-FT, et sa commission des sanctions a rendu quatre décisions dont deux visaient des établissements bancaires pour des manquements de ce type.

Le gel des avoirs relève des articles L. 562-1 et suivants. Il obéit à une logique différente : c'est une obligation de résultat, qui s'applique dès l'entrée en vigueur de la mesure, sans approche par les risques. L'établissement doit détecter, dans sa base de clients comme dans ses flux, les personnes et entités visées par le registre national des gels tenu par la direction générale du Trésor. Les informations du Trésor sur le registre national des gels et les lignes directrices conjointes de la direction générale du Trésor et de l'ACPR, dans leur version du 16 mars 2026, font référence. La formation des collaborateurs fait partie des obligations : un décret du 24 avril 2026 précise les justificatifs de formation à conserver.

Le paquet européen de 2024 change l'échelle du sujet. Il comprend le règlement (UE) 2024/1624 (AMLR), qui fixe des règles uniques de vigilance et s'appliquera à partir du 10 juillet 2027, la directive (UE) 2024/1640 et le règlement (UE) 2024/1620, qui crée l'autorité européenne de lutte contre le blanchiment (AMLA). Installée à Francfort, l'AMLA prépare la sélection, en 2027, d'au plus quarante groupes transfrontaliers qu'elle supervisera directement à partir de 2028 (voir la présentation de l'AMLA). Les autres établissements restent supervisés par l'ACPR.

Le RGPD et la CNIL

Le règlement (UE) 2016/679, dit RGPD, s'applique à tout traitement de données de clients, de prospects et de salariés. Il impose un registre des activités de traitement (article 30, voir le guide de la CNIL), une analyse d'impact (AIPD (analyse d'impact relative à la protection des données)) pour les traitements à risque élevé (article 35), la prise en compte de la protection des données dès la conception, et la désignation d'un délégué à la protection des données dans les cas de l'article 37. La liste établie par la CNIL des traitements pour lesquels une analyse d'impact est requise cite notamment l'évaluation du risque de crédit et la lutte contre la fraude aux moyens de paiement ; la méthode de la CNIL est présentée sur sa page consacrée à l'AIPD.

En cas de violation de données, le responsable de traitement notifie la CNIL dans un délai de 72 heures après en avoir pris connaissance, sauf absence de risque pour les personnes, et informe les personnes concernées sans délai lorsque le risque est élevé. Toutes les violations, notifiées ou non, sont consignées dans un registre interne (voir la page de la CNIL sur les violations). Les transferts hors de l'Union supposent un outil du chapitre V : décision d'adéquation, clauses contractuelles types de la Commission du 4 juin 2021, règles d'entreprise contraignantes, avec une analyse d'impact du transfert (page de la CNIL sur les transferts). Le délégué à la protection des données peut être interne ou externe, dans le cadre d'un contrat de service. Sa certification volontaire est délivrée par des organismes agréés par la CNIL, jamais par la CNIL elle-même.

La protection de la clientèle : MiFID II, DDA, PRIIPs et devoir de conseil

La commercialisation d'instruments financiers par un établissement relève de la directive MiFID II et du règlement MiFIR, récemment révisés par la directive (UE) 2024/790 et le règlement (UE) 2024/791 : connaissance du client, test d'adéquation ou de caractère approprié, gouvernance des produits, information sur les coûts. L'AMF supervise ces règles de conduite. Les collaborateurs concernés doivent justifier de connaissances minimales, vérifiées par l'examen de certification professionnelle de l'AMF, que seuls des organismes certifiés par l'AMF peuvent faire passer, ou par un dispositif interne propre à chaque établissement.

Pour la bancassurance, la directive (UE) 2016/97 sur la distribution d'assurances impose une formation continue d'au moins quinze heures par an à ceux qui recommandent ou proposent des contrats. Selon l'ACPR, cette formation peut être suivie auprès de tout organisme, et l'ACPR ne valide ni les contenus ni les organismes. Le règlement (UE) n° 1286/2014 impose le document d'informations clés des produits d'investissement packagés. Une réforme d'ensemble, la stratégie pour l'investissement de détail, a fait l'objet d'un accord politique en décembre 2025 ; sa publication et ses dates d'application sont à suivre. L'Orias tient le registre des intermédiaires : Optédif n'y figure pas. Le devoir de conseil et de mise en garde découle surtout de la jurisprudence et du droit de la consommation : il se prouve par des écrits et des questionnaires datés.

Ce que les autorités attendent d'un établissement

Les rôles et les responsabilités

L'arrêté du 3 novembre 2014 relatif au contrôle interne organise la conformité en deux étages : un contrôle permanent, qui comprend la vérification de la conformité, et un contrôle périodique, assuré par l'audit interne. Chaque année, l'établissement remet à l'ACPR un rapport sur le contrôle interne (articles 258 à 266), dont le canevas est publié par l'ACPR. Les fonctions de contrôle sont exercées par des responsables désignés de l'établissement, sous l'autorité de l'organe de direction : le responsable conformité, le responsable de la sécurité financière, le responsable du contrôle permanent. Le délégué à la protection des données agit en toute indépendance et rend compte au plus haut niveau de la direction.

Un conseil extérieur ne peut pas tenir ces rôles à la place de l'établissement. Optédif n'assume aucune fonction désignée, et ne joue pas le rôle de délégué à la protection des données d'un établissement dont il conseille aussi les traitements.

La preuve plutôt que l'intention

Dans un contrôle, ce qui compte est ce que l'établissement peut montrer. Une procédure est évaluée à l'aune de son application : comptes rendus de comités, échantillons de dossiers, journaux de décisions, historiques de paramétrage des outils, preuves de formation. Les écarts les plus fréquents sont banals : une cartographie des risques non mise à jour après le lancement d'un produit, un registre de traitements périmé, une alerte close sans trace du raisonnement. Un dispositif modeste mais vivant se défend mieux qu'un dispositif ambitieux resté sur le papier.

Prestataires, sous-traitance et secret bancaire

Les salariés des établissements de crédit sont tenus au secret professionnel (article L. 511-33 du code monétaire et financier). L'établissement ne communique à un prestataire que ce qui lui est nécessaire, dans les cas prévus par la loi, et sous clause de confidentialité. Pour une mission de conseil, d'audit documentaire ou de formation, il n'y a aucune raison d'accéder à des données nominatives de clients : nous travaillons sur des documents, des extractions anonymisées ou des environnements de test, avec des comptes nominatifs et des droits d'accès définis par l'établissement.

L'arrêté du 3 novembre 2014 distingue les prestations essentielles ou importantes, soumises à notification de l'ACPR et à des clauses renforcées, des autres prestations ; le conseil et la formation du personnel n'en font pas partie par principe, sans préjudice d'une appréciation au cas par cas. Une mission qui exécuterait des tâches opérationnelles, comme le traitement d'alertes, changerait de nature, et nous ne la proposons pas. Lorsqu'un prestataire intervient sur des services informatiques soutenant des fonctions critiques, le règlement DORA (Digital Operational Resilience Act, règlement européen sur la résilience opérationnelle numérique), applicable depuis le 17 janvier 2025, ajoute des obligations contractuelles et de registre à la charge de l'établissement.

Situations de terrain

KYC, surveillance des transactions et outils de filtrage

Les établissements s'appuient sur des outils de connaissance client, de filtrage des listes de sanctions et de surveillance des transactions, dont certains sont édités par des sociétés spécialisées ou par de grands éditeurs de progiciels. Le choix d'un outil ne règle rien en soi : les seuils, les scénarios, les listes et les règles de rapprochement doivent être documentés, testés et rattachés à la cartographie des risques. Les questions reviennent : comment justifier un seuil, comment mesurer les alertes inutiles sans masquer les vraies, comment tracer la décision d'un analyste, comment gouverner une modification de paramétrage.

Optédif intervient sur ces sujets comme conseil, auditeur de dispositif et formateur : cahier des charges, revue de paramétrage sur des cas anonymisés, procédures d'exploitation, formation des analystes LCB-FT et KYC. Optédif n'est ni partenaire ni revendeur des éditeurs cités dans nos thèmes, et leurs marques appartiennent à leurs titulaires.

Violations de données, registres et transferts

Le scénario de l'incident de données est un bon test de maturité. En quelques heures, l'établissement doit qualifier l'événement, évaluer le risque pour les personnes, décider s'il faut notifier la CNIL, informer le délégué à la protection des données et la direction, et tenir son registre. Les 72 heures incluent les week-ends : une astreinte et un arbre de décision valent mieux qu'un long document. La même rigueur s'applique aux transferts hors de l'Union, souvent liés à un prestataire informatique ou à une entité du groupe, qui exigent un outil de transfert et une analyse documentée de la législation du pays de destination.

Nous aidons à construire ces mécanismes et à les éprouver par des exercices, jamais à gérer un incident réel.

Ce que nous faisons, et ce que nous ne faisons pas

Les prestations

Optédif conçoit, conseille, audite, accompagne et forme. Dans ce domaine, cela se traduit ainsi : audit du dispositif de conformité, de LCB-FT ou de protection des données, avec rapport d'écarts et plan d'actions ; conseil en organisation de la fonction conformité et en trajectoire vers les textes à venir ; rédaction de procédures, de cartographies des risques, de registres de traitements et d'analyses d'impact ; accompagnement individuel ou d'équipe du responsable conformité et du délégué à la protection des données ; audit blanc avant un contrôle de l'ACPR ou de la CNIL ; formation pour que les équipes tiennent le dispositif dans la durée. Nos livrables sont traçables, argumentés et rédigés pour être présentés à l'ACPR, à l'AMF, à la CNIL, à l'audit interne ou à la direction. Les cas d'usage de ce site sont des exemples construits.

Ce que nous ne faisons pas

Optédif n'est pas un établissement de crédit, ne reçoit aucun fonds du public et n'exerce aucune opération de banque, de paiement, d'intermédiation ni d'investissement. Nous ne sommes ni conseiller en investissements financiers, ni intermédiaire en opérations de banque et en services de paiement, ni intermédiaire en assurance, et nous ne conseillons aucun client final. Nous ne produisons aucune attestation réglementaire, nous ne déclarons pas un établissement conforme à la LCB-FT, au RGPD ou à MiFID II, et nous n'organisons ni l'examen de certification de l'AMF ni la certification des compétences du délégué à la protection des données. Nous ne prenons aucune décision de vigilance, de déclaration à Tracfin ou de notification à la CNIL : elles appartiennent aux personnes désignées par l'établissement.

Les missions d'assistance technique sont réalisées par des intervenants d'Optédif, sous la responsabilité et la direction d'Optédif, dans le cadre d'un contrat de prestation de services portant sur un objectif, un livrable ou un périmètre défini avec le client. Optédif ne met pas de personnel à disposition de ses clients. Sans cadre contractuel préalable, nous n'accédons pas à des données couvertes par le secret professionnel bancaire. Pour toute demande, une première réponse vous est apportée sous 48 heures ouvrées et un devis est établi après un échange sur votre besoin. Sur les questions de droit, faites valider vos décisions par un avocat spécialisé.