L’environnement réglementaire de la lutte contre le blanchiment des capitaux et le financement du terrorisme (LCB-FT) évolue sans cesse. En parallèle, les exigences du régulateur sont plus élevées. L’application des mesures de LCB-FT, de Gel des avoirs et de sanctions internationales sont obligatoires, en France, en assurance vie comme en assurance non-vie (qui recouvre l’assurance dommages – par exemple auto, habitation, responsabilités, et l’assurance de personnes ou santé, prévoyance).

La sanction délivrée à MMA IARD¹, fin 2021, par la Commission des sanctions de l’Autorité de Contrôle Prudentiel et de Résolution (ACPR) a marqué un tournant. En effet, il s’agissait de la première sanction d’un assureur « non-vie » pour des insuffisances dans son dispositif de Gel des avoirs.

Depuis cette date, l’attention portée par le superviseur français aux mesures mises en œuvre dans le domaine de la LCB-FT chez les acteurs « non-vie » n’a cessé de croître. De nombreux contrôles sont en cours et à venir chez des assureurs généralistes et chez des mutuelles. Rappelons que contrairement aux obligations en matière de LCB qui relèvent d’une obligation de moyens, le dispositif de détection des personnes ou entités désignées relève d’une obligation de résultat. Ce dernier doit permettre dans tous les cas l’application des mesures de Gel et d’interdiction de toute opération entrant dans le champ de ces mesures².

Notre point de vue porte sur le recours aux listes des sanctions et aux outils de filtrage pour détecter la présence éventuelle de personnes impliquées dans des affaires de terrorisme. Mais rappelons que l’ACPR appelle également les organismes assujettis à faire preuve de vigilance dans la détection des « signaux faibles » de financement du terrorisme³ en complément de l’exploitation des listes.

1. Pourquoi le Gel des avoirs est un enjeu prioritaire pour le secteur assurantiel non-vie ?

Les organismes d’assurance⁴ sont tenus de mettre en œuvre leurs obligations de Gel des avoirs⁵ à chaque stade de la vie du contrat, c’est-à-dire à la souscription et tout au long de la vie du contrat (que ce soit pour des encaissements ou des décaissements). La mise en œuvre de ces obligations n’est pas simple notamment parce que :

→ Il peut y avoir de nombreux tiers au contrat notamment dans le cadre de décaissements à destination de bénéficiaires qui ne sont pas l’assuré/souscripteur et de surcroit de manière différée. Ces tiers constituent des populations supplémentaires à passer au crible du Gel des avoirs au moment du décaissement après l’entrée en relation (par exemple, les salariés des entreprises et leurs ayants droit dans les contrats collectifs de santé ou prévoyance, les garagistes ou experts intervenant à l’occasion de sinistres, etc.), voire après la fin du contrat (par exemple, la rente temporaire ou viagère au conjoint survivant pour la prévoyance ou la garantie décennale dans le cadre de la responsabilité civile des constructeurs).
→ Les données KYC sur les clients et les tiers sont généralement assez pauvres et rarement à jour. La refonte des processus de souscription et d’actualisation des données KYC pour répondre aux nouvelles obligations LCB-FT n’a que partiellement eu lieu. Les pièces justificatives qui permettent de vérifier les données d’identification sont aussi souvent manquantes.

Il est important de rappeler que, contrairement à ce qui est parfois entendu, les personnes ou entités désignées sont relativement plus fréquentes dans le cadre des contrats d’assurance non-vie que ceux d’assurance-vie. Cela s’explique par le fait que le mot « financement » peut être trompeur : en effet, la réglementation interdit non seulement la mise à disposition de fonds mais aussi de moyens économiques comme par exemple, permettre à une personne de conduire un véhicule ou d’occuper un logement.

2. Quelles sont les faiblesses les plus constatées chez les assureurs non-vie dans leurs dispositifs de Gel des avoirs ?

Afin de se conformer aux exigences règlementaires et répondre ou anticiper sereinement un probable contrôle de l’ACPR, l’organisme d’assurance doit s’approprier complètement le sujet et prendre la hauteur nécessaire pour identifier les forces et les faiblesses de son dispositif.

En premier lieu, rappelons, avec le schéma ci-dessous les principales étapes de la détection et du signalement des personnes désignées :

Toutes ces étapes sont importantes, les manquements en matière de Gel des avoirs étant d’une « particulière gravité, eu égard à l’intérêt général impérieux de protection de l’ordre public et de la sécurité publique auquel répond la législation relative au gel des avoirs dans le cadre de la lutte contre le blanchiment des capitaux et le financement du terrorisme »⁶.

Nous avons retenu sept thématiques sur lesquelles nous rencontrons assez régulièrement des défaillances :

3. Comment rendre son dispositif de Gel des avoirs plus efficace ?

Mettre à niveau son dispositif de détection et de traitement des personnes désignées est obligatoire. Les défaillances seront de plus en plus sanctionnées. Les enjeux, y compris ceux vis-à-vis de la Société civile, qui est de plus en plus attentive aux comportements des acteurs financiers, sont cruciaux. Nos nombreuses interventions pour nos clients nous permettent de partager quelques retours d’expérience pour répondre aux faiblesses identifiées précédemment. Ci-dessous des « quick win » et des recommandations à adapter et/ou à compléter au regard de votre contexte et de vos spécificités (contrats proposés, organisation et réseaux de distribution, etc.).
 

• Sur la collecte des informations

L’identification précise du périmètre de filtrage est le point de départ d’un dispositif de détection conforme.

L’exhaustivité et la qualité des données d’identité des personnes sont des prérequis. Elles doivent donc être déterminées et suivies de manière assidue par l’organisme d’assurance.

De fait, les processus de souscription (pour tous les parcours clients) et de gestion doivent être repensés, afin de collecter les données d’identification nécessaires à un filtrage pertinent. Ils doivent également favoriser la vérification de ces données via la collecte de pièces justificatives. A noter que la collecte et l’actualisation des données peuvent être réparties entre la deuxième ligne et la première ligne et faire également l’objet d’une automatisation partielle.
 

• Sur l’alimentation de l’outil de filtrage

La notion de filtrage « a priori » ou « a posteriori » est relative, et traduit potentiellement la nécessité de réaliser un filtrage dit « en temps réel » (versus via batch selon une fréquence définie), notamment avant la réalisation des opérations de décaissement.

Quant à l’entrée en relation, il est important de prévoir le filtrage au moment opportun, et sur les prospects dès que possible. Ici la connexion des outils des solutions de criblage/filtrage avec les applications CRM (Customer Relationship Management – Gestion de la relation prospects et clients) est cruciale.

En conséquence, les évolutions dans les outils de souscription/de gestion sont à prévoir, notamment sur les modalités de blocage et les informations disponibles en cas de détection de personnes ou entités faisant l’objet de sanctions.
 

• Sur le filtrage des noms

Si la plupart des organismes d’assurance se dotent d’outils de filtrage qui permettent de détecter les noms avec un taux de concordance défini (« fuzzy match »), les algorithmes définis simplement sur la base de « distances » ne répondent plus efficacement à leurs besoins (comme le filtrage dit « phonétique » sur les noms en langue étrangère).

Certains éditeurs de solution de filtrage proposent désormais des modules qui permettent de réduire les « faux positifs » en couplant la détection via les algorithmes avec des règles, ou encore les nouvelles technologies (ex. Machine Learning, Entity Resolution).

Afin de déterminer si le paramétrage du filtrage fonctionne correctement ou nécessite une optimisation, deux méthodes de test peuvent être mises en place :

• Des éléments de benchmark des pratiques de la place, permettant de situer son paramétrage (choix de seuil ou règles de détection) par rapport aux autres utilisateurs des solutions similaires

• Un « crash test » de l’outil, avec le filtrage de différents cas de test sur mesure selon les besoins et les cas spécifiques de l’organisme (ex. spécificité des noms en certains langues, ou des listes de certains pays)

• Sur le traitement des alertes

Le traitement des alertes peut être géré par l’organisme d’assurance lui-même, centralisé en cas de groupe, ou bien sous-traité (par exemple dans des Centres de services partagés). Dans ce dernier cas, l’organisme doit rester maître des délais de traitement et de la qualité des analyses menées. Pour ce faire, il doit notamment engager des actions de contrôle permanent et périodique.

Il est également possible, selon les situations, de mettre en place des solutions technologiques pour une « préanalyse » des alertes :

• RPA (Robotic Process Automation) pour collecter et compléter les informations de la personne en portefeuille si celles-ci ne sont pas disponibles directement dans l’outil de filtrage

• Machine Learning pour optimiser les résultats des alertes à traiter…