Transaction monitoring AML

Deux dispositions la portent. L'article 6 du Geldwäschegesetz impose à chaque entité assujettie des mesures de sécurité internes adaptées à sa propre situation de risque; c'est l'obligation générale. Pour les établissements de crédit, l'article 25h du Kreditwesengesetz est spécifique: un établissement doit exploiter des systèmes de traitement de données pour identifier les relations d'affaires et les transactions individuelles qui paraissent douteuses ou inhabituelles au regard du risque, et il doit examiner ce que ces systèmes signalent.

L'ordre des étapes compte pour la conduite d'un projet. Le système découle de l'analyse des risques, si bien que les scénarios qu'une banque exploite doivent pouvoir être rattachés aux risques identifiés dans sa propre analyse. Un jeu de scénarios acheté tel que livré par l'éditeur et jamais rapproché de l'analyse des risques de l'établissement est le constat qui ressort en premier lors d'un audit de ce domaine.

Les scénarios à base de règles testent une condition: un dépôt d'espèces au-dessus d'un seuil, une série de virements juste en dessous, un paiement vers une juridiction de la liste à haut risque propre à l'établissement, un nouveau compte avec une activité de transit immédiate. Ils sont explicables, un point important puisque l'établissement doit les justifier, et quiconque apprend le seuil peut facilement les contourner.

La détection statistique et par apprentissage automatique repose plutôt sur l'écart par rapport à une référence: ce client, ou les clients comparables, ne se comportent pas ainsi. La détection par apprentissage automatique trouve des schémas pour lesquels aucune règle n'a été écrite et ne peut pas s'expliquer aussi directement, si bien que les banques utilisent les deux. Le guide d'interprétation et d'application du GwG de la BaFin est la référence pour ce que le superviseur attend du monitoring et de sa documentation.

Le structuring, aussi appelé smurfing, fractionne un montant en tranches inférieures à un seuil de déclaration ou de surveillance; c'est pourquoi un scénario examine la série et non la transaction isolée. Le layering fait passer des fonds par plusieurs comptes et produits pour brouiller la piste, si bien qu'une activité de transit sans finalité économique pour le titulaire du compte en est la signature.

Autres schémas couverts par un jeu de scénarios: des comptes de mules financières, souvent ouverts récemment, qui reçoivent de nombreux émetteurs et transfèrent aussitôt; des transactions en chiffres ronds qui se répètent; une activité incompatible avec l'objet déclaré du compte; des entrées et sorties rapides de crypto, que couvre AML en crypto; et des paiements commerciaux sans transaction sous-jacente plausible. Chaque schéma est une hypothèse sur un comportement, et un scénario code justement cette hypothèse.

Les alertes sont triées en deux étapes. Le niveau un écarte le bruit évident: le salaire du client est arrivé, le virement correspond à un schéma connu, la contrepartie est le second compte du client lui-même. Le vérificateur de ce niveau travaille avec une liste de contrôle et un temps imparti par alerte, et documente le motif de clôture, pas seulement le résultat.

Le niveau deux examine ce qui reste. L'analyste réunit l'historique de la relation, les bénéficiaires effectifs, les autres comptes et les alertes antérieures, puis rédige le dossier. L'escalade mène ensuite au responsable de la lutte contre le blanchiment, la fonction que le droit allemand impose à une entité assujettie de nommer, qui décide de la déclaration. Un motif de clôture qui indique seulement l'absence de soupçon, sans trace de ce qui a été examiné, est la lacune que cherche un superviseur.

La plupart des alertes sont des faux positifs, et leur taux est un choix de conception, pas un fait de la nature. Abaisser un seuil attrape davantage et submerge l'équipe; le relever vide la file et laisse passer des cas. L'établissement doit pouvoir montrer pourquoi ses seuils sont placés là où ils sont, et il lui faut donc un exercice de réglage documenté: un échantillonnage sous le seuil pour montrer ce qui échappe, et au-dessus pour montrer ce que contiennent réellement les alertes.

Lorsque la détection est statistique, le réglage relève du travail de modélisation et tombe sous les mêmes contrôles que tout autre modèle, dont la validation indépendante et la surveillance de la dérive. La validation des modèles en banque expose la méthode, et MaRisk fournit la gouvernance.

L'article 43 du GwG impose à une entité assujettie de déclarer sans délai lorsque des faits indiquent qu'un actif provient d'une infraction pénale, qu'une transaction est liée au financement du terrorisme ou que le client n'a pas révélé le bénéficiaire effectif. Le seuil est inférieur à la preuve et inférieur à un soupçon pénal: des faits indicatifs suffisent, et l'établissement n'a pas à établir de quelle infraction il s'agit.

La déclaration est adressée à la Financial Intelligence Unit, et une transaction ne peut être exécutée qu'après l'accord de la FIU ou l'écoulement de trois jours ouvrables. Pour le monitoring, cela signifie que la sortie du système doit atteindre un décideur assez vite pour que ce délai reste utilisable. AML en Allemagne traite de la FIU et de la voie de déclaration.

À partir du 10 juillet 2027, la plus grande partie du règlement (UE) 2024/1624, l'AMLR, s'applique directement et harmonise les règles de vigilance et de politiques internes qui sont aujourd'hui nationales. Pour le monitoring, l'obligation elle-même cesse d'être une formulation allemande et devient européenne, avec en dessous des normes techniques de l'AMLA.

La préparation pratique n'est pas un changement de système mais un exercice de cartographie: quels contrôles actuels de l'établissement existent parce que le GwG le prévoit, lesquels parce que les orientations de la BaFin le prévoient, et lesquels parce que l'éditeur les a livrés. Le premier groupe est celui qu'il faut redériver du règlement. Le paquet AML de l'UE présente les trois instruments et leurs dates.

Un virement réglé en dix secondes ne laisse aucune place à un examen humain avant exécution. Le règlement (UE) 2024/886 sur les virements instantanés a rendu les virements instantanés en euros obligatoires pour les prestataires de services de paiement de la zone euro; la décision en temps réel passe donc dans le système.

Deux conséquences en découlent. Les contrôles avant exécution doivent être automatiques et rapides, si bien que le filtrage des sanctions et les règles AML les plus bloquantes entrent dans le circuit du paiement, tandis que le reste du monitoring s'exécute après le règlement. Et le même règlement a introduit la vérification du bénéficiaire, qui change les données dont dispose un moteur de fraude et de monitoring au moment du paiement. La prévention de la fraude en Allemagne et la criminalité financière dans les paiements couvrent ce volet.

Le transaction monitoring est l'examen automatisé des transactions des clients au regard de scénarios et de références comportementales, pour trouver une activité pouvant indiquer un blanchiment d'argent ou un financement du terrorisme, suivi d'une enquête humaine documentée sur ce que le système signale. Pour les établissements de crédit allemands, l'obligation découle de l'article 25h du KWG, et l'obligation générale de mesures de sécurité internes de l'article 6 du GwG.

Il n'existe aucun chiffre réglementaire, et un taux bas n'est pas automatiquement meilleur: un système qui produit peu d'alertes peut simplement être réglé pour ne pas regarder. L'établissement doit pouvoir montrer que ses seuils découlent d'une analyse de son propre risque et de ses propres données, que le réglage est documenté et répété, et qu'il teste sous le seuil pour voir ce qu'il ne détecte pas. La réponse défendable est la méthode, pas le chiffre.

Le responsable de la lutte contre le blanchiment, la fonction qu'une entité assujettie nomme en vertu du droit allemand, décide, et l'établissement déclare. L'analyste prépare le dossier et formule une recommandation; la décision et sa trace relèvent du responsable. L'obligation de l'article 43 du GwG ne permet pas d'attendre une certitude, si bien qu'un dossier laissé ouvert pour réunir plus de preuves alors que les faits l'indiquent déjà est en soi un problème de conformité.

Le droit allemand n'impose pas le temps réel. L'article 25h du KWG exige des systèmes adaptés au risque, et la plupart du monitoring s'exécute après coup sur des transactions terminées. Deux choses s'exécutent bien dans le circuit du paiement: le filtrage des sanctions, car exécuter un paiement vers une partie listée est en soi la violation, et les règles sur lesquelles un établissement est prêt à bloquer. Les virements instantanés ont élargi ce premier groupe, car une détection après coup ne peut pas arrêter un virement déjà réglé.