Audit du dispositif de conformité, LCB-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme) et protection des données (CESOP)
Une vision tracée de la solidité du dispositif sur le thème CESOP (Central Electronic System of Payment information, système européen de collecte des données de paiement), avec les priorités de remédiation et les preuves à conserver.
En bref
- Résultat
- Une vision tracée de la solidité du dispositif sur le thème CESOP, avec les priorités de remédiation et les preuves à conserver.
- Idéal pour
- Responsable conformité, responsable de la sécurité financière, délégué à la protection des données ou responsable du contrôle permanent d'un établissement de crédit ou de paiement.
- Ce que vous obtenez
- Rapport d'audit avec constats sourcés, écarts hiérarchisés et plan d'actions, rédigé pour être présenté à l'audit interne, à la direction ou au régulateur.
- Prérequis de votre côté
- Accès aux procédures, à la classification des risques, aux comptes rendus de comités et à un échantillon de dossiers anonymisés, dans le respect du secret bancaire et des accès définis par l'établissement.
- Durée et charge
- 6 à 15 jours selon le périmètre
- Format
- Forfait
Exemple de situation
Auditer le filtrage des listes et le gel des avoirs. Un établissement de paiement veut vérifier son dispositif sur le thème CESOP. Nous passons en revue le paramétrage du filtrage, le traitement des alertes et la chaîne de décision sur un échantillon d'alertes anonymisées. Le rapport classe les écarts et propose un plan de remédiation à présenter au comité de conformité.
Nous auditons le dispositif sur le thème CESOP en partant des textes qui s'y appliquent : code monétaire et financier, règlement général sur la protection des données, arrêté du 3 novembre 2014 modifié sur le contrôle interne et, selon le périmètre, arrêté du 6 janvier 2021 sur la LCB-FT, ainsi que la doctrine publiée par l'ACPR (Autorité de contrôle prudentiel et de résolution), l'AMF (Autorité des marchés financiers) et la CNIL (Commission nationale de l'informatique et des libertés). La méthode suit quatre étapes : cadrage du périmètre et des échantillons, revue documentaire, entretiens avec les équipes métiers et encadrants et les fonctions de contrôle, tests par sondage sur des dossiers anonymisés ou des extractions préparées par l'établissement.
Le rapport rapproche chaque constat de l'exigence qui le fonde, hiérarchise les écarts selon le risque et propose un plan d'actions réaliste, avec des responsables et des échéances. Il ne vaut pas avis de conformité : l'appréciation reste celle de votre responsable de la conformité, de votre direction et des autorités. Vous disposez d'un document que l'audit interne et l'organe de direction peuvent exploiter, et que vous pouvez présenter à l'ACPR ou à la CNIL en cas de contrôle.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité, d'accès aux sites et aux données.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème CESOP, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les équipes, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'audit avec constats sourcés et écarts hiérarchisés
- Matrice de rapprochement entre exigences, procédures et pratiques observées
- Plan d'actions avec responsables, échéances et pièces à conserver
Format et charge : forfait, 6 à 15 jours selon le périmètre. Idéal pour : responsable conformité, responsable de la sécurité financière, délégué à la protection des données ou responsable du contrôle permanent d'un établissement de crédit ou de paiement. Prérequis de votre côté : accès aux procédures, à la classification des risques, aux comptes rendus de comités et à un échantillon de dossiers anonymisés, dans le respect du secret bancaire et des accès définis par l'établissement.
Exemples d'usage
Deux situations d'exemple, dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Auditer le filtrage des listes et le gel des avoirs
Un établissement de paiement veut vérifier son dispositif sur le thème CESOP. Nous passons en revue le paramétrage du filtrage, le traitement des alertes et la chaîne de décision sur un échantillon d'alertes anonymisées. Le rapport classe les écarts et propose un plan de remédiation à présenter au comité de conformité.
Examiner la gouvernance d'un registre de traitements
Une banque de réseau souhaite faire le point sur le thème CESOP. Nous comparons le registre, les analyses d'impact et les contrats de sous-traitance, puis nous interrogeons les responsables de traitements. Le rapport signale les traitements absents ou périmés et propose un calendrier de mise à jour.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 6 à 15 jours selon le périmètre, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème CESOP dans le secteur bancaire ou financier, indépendant de vos équipes, qui signe les engagements de confidentialité demandés et respecte le secret bancaire. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, mission de l'audit interne, contrôle d'une autorité ou audit de certification, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème CESOP, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre audit interne ou à votre donneur d'ordre. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus le contrôle d'une autorité ou l'audit d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Travaillez-vous sur des dossiers de clients ou sur des déclarations de soupçon ?
Notre travail porte sur le dispositif, pas sur les décisions individuelles. Les informations sur les clients sont couvertes par le secret bancaire : sur le thème CESOP, nous travaillons par défaut sur des dossiers anonymisés, des échantillons préparés par l'établissement ou des environnements de test, avec des accès nominatifs définis et contrôlés par vos équipes. Nous ne décidons pas d'une déclaration à Tracfin, ne traitons pas d'alertes réelles et ne tenons aucune fonction désignée de l'établissement. Ces limites sont écrites dans le devis, avec la liste des personnes qui ont accès aux documents.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées, puis nous établissons le devis après un échange de cadrage.
Les autres déclinaisons d'audit et diagnostic sur le thème CESOP
- Audit de conformité au référentiel du groupe et du régulateur (CESOP)
- Diagnostic flash avant inspection, contrôle ou revue de conformité (CESOP)
Les autres types de prestation sur le thème CESOP
