Digest des mesures d'application des sanctions — juillet 2026

Note de la rédaction : ce numéro s'écarte de notre format habituel de récapitulatif des désignations et des mesures d'application. Plutôt qu'un tableau consultable en un coup d'œil des évolutions de listes du mois, le numéro de juillet propose une analyse statistique et narrative complète des mesures d'application LCB-FT rendues publiques au cours du mois — 12 mesures réparties entre quatre régulateurs, les sanctions pécuniaires étant converties en USD aux taux de change en vigueur à la date de l'analyse. Pour le format de récapitulatif standard, voir le numéro de juin 2026.

Résumé exécutif

Juillet 2026 a donné lieu à douze mesures d'application réparties sur quatre juridictions — le Royaume-Uni, Singapour, le Canada et les Pays-Bas — totalisant $13,734,921.58 de sanctions pécuniaires sur 32 constats distincts. Ce chiffre agrégé masque toutefois une répartition géographique particulièrement marquée dans la philosophie répressive. Le régulateur néerlandais DNB a représenté $13,560,218.75 des sanctions de la période — 98.7% du total — sur seulement trois mesures visant deux entreprises, tandis que la FCA (quatre mesures), la MAS (deux mesures) et la MAS/SPF (une mesure) ont collectivement imposé zéro sanction pécuniaire malgré des constats allant d'une défaillance systémique du dispositif de lutte contre la criminalité financière à une fraude pure et simple. Le FINTRAC canadien a été le seul autre régulateur à infliger une amende, et de façon modeste : $174,702.82 sur deux sanctions administratives pécuniaires visant Atlantic Lottery Corporation ($151,173.82) et VIP Realty/Royal LePage Integrity Realty ($23,529). Aucune mesure de la période n'a impliqué d'auto-signalement volontaire — un résultat nul sur les douze dossiers qui devrait préoccuper les responsables de la conformité s'appuyant sur le crédit de l'auto-signalement comme facteur atténuant.

Les mesures britanniques et singapouriennes illustrent une posture de type « contrôler, pas seulement sanctionner ». Le premier avis de surveillance (First Supervisory Notice) de la FCA à l'encontre d'Euro Exchange Securities UK Ltd n'a imposé aucune sanction pécuniaire mais a gelé la capacité de l'entreprise à intégrer de nouveaux clients ou à accepter des fonds, a mis sous séquestre les fonds protégés dans l'attente d'une remédiation indépendante de chaque dossier client, et a imposé un reporting hebdomadaire — une réponse à des constats selon lesquels les dix dossiers clients examinés étaient tous inadéquats, que 4,968 alertes de surveillance des transactions avaient été clôturées comme non suspectes dans un seul dossier (3,294 sans justification documentée, une seule jamais escaladée, et toutes examinées par une seule et même personne). La MAS de Singapour a pris trois mesures d'application sur la période — deux ordonnances d'interdiction au titre du FSM Act 2022 (Andrew Tiew Siew Ing, interdiction de 10 ans pour fraude ; Li Jinbo, interdiction de 3 ans pour manipulation de marché) et une poursuite pénale complète à l'encontre de Samlit Moneychanger et deux de ses dirigeants (19 chefs d'accusation, chacun passible d'amendes pouvant atteindre S$1 million en cas de condamnation, non encore prononcées) — là encore sans la moindre sanction pécuniaire sur cette période de référence. Les trois autres mesures britanniques étaient des interdictions individuelles : l'ancien MLRO Dharmendra Solanki (prêt d'argent non autorisé et blanchiment de capitaux, ordonnance de confiscation de GBP 169,941.89 mais aucune amende de la FCA), ainsi qu'Alec Finch et son fils Robert Finch, d'AFL Insurance Brokers, dont les manquements à l'intégrité de niveau 5 (gravité maximale) — une « fraude majeure » ayant détourné £3.51m de fonds clients — ont donné lieu à des sanctions évaluées à £121,200 et £169,800 respectivement, toutes deux réduites de 100% à £0 en raison de difficultés financières avérées et remplacées par des ordonnances d'interdiction totale. Le dossier de Robert Finch est l'un des deux seuls que le jeu de données qualifie d'« egregious » (particulièrement grave).

Les constats de fond pointent vers une défaillance de gouvernance et de processus, et non des lacunes technologiques, comme la faiblesse caractéristique de la période. La défaillance de gouvernance (34.4%, 11 des 32 constats) et le défaut de conception des processus (31.3%, 10 des 32) représentent ensemble près des deux tiers de tous les constats, tandis que la technologie insuffisante n'en enregistre aucun — aucun établissement de cette période n'a été mis en cause pour un manque d'outils de surveillance, seulement pour avoir échoué à faire fonctionner, doter en personnel ou gouverner ceux dont il disposait. Les constats de défaut de conception des processus ont également porté le poids financier le plus lourd ($6,550,379.08), devant la défaillance de gouvernance ($3,069,717.50), reflétant l'accent mis par la DNB sur les défaillances structurelles de contrôle d'accès (« gatekeeper ») d'ABN AMRO Bank N.V. : un délai de deux mois pour détecter un schéma de passage de fonds en espèces supérieur à EUR 500,000, qui s'est poursuivi même après une classification de risque « inacceptable », des indicateurs de risque (signaux de contournement des sanctions visant la Russie, biens à double usage, bénéficiaires effectifs opaques) jamais évalués en combinaison, et un déclassement non justifié du risque d'« inacceptable » à « moyen » — des constats à l'origine de l'amende de EUR 8.5 million ($9,783,500), la plus élevée de la période. Par domaine, Enquêtes et signalements a été à la fois la catégorie la plus fréquemment citée (14 constats sur 9 entités) et la catégorie la plus prioritaire (5 constats de priorité élevée, contre 2 en surveillance des transactions, 1 en KYC et entrée en relation et aucun en filtrage des sanctions) — cohérent avec un schéma d'entreprises détectant ou générant des signaux d'alerte en interne puis échouant à les escalader, les documenter ou les signaler.

Le risque de récidive est le signal le plus marqué dans les données néerlandaises. CCV Group B.V. a été sanctionné deux fois par la DNB au cours de cette seule période : EUR 2,656,250 ($3,057,343.75) pour des lacunes de surveillance des transactions ayant laissé une part « substantielle » de marchands non surveillés pendant près de deux ans (les défaillances d'étiquetage dites « Ecom-gap » et « PF7-gap »), aggravées par une majoration de culpabilité de 25% du fait que la DNB avait déjà sanctionné CCV pour la même norme de surveillance en 2019–2020 ; et séparément EUR 625,000 ($719,375) pour avoir fonctionné sans analyse systématique des risques d'intégrité (SIRA) pendant environ sept ans, un manquement que la DNB a qualifié de « violation très grave » — l'équivalent, dans la doctrine de supervision néerlandaise, du qualificatif « egregious », et la deuxième mesure la plus grave du jeu de données. Les problèmes de culture et de ton (15.6%, 5 constats, entièrement concentrés dans Enquêtes et signalements) et les problèmes de qualité des données (12.5%, 4 constats) complètent le tableau des causes profondes, ces derniers représentant $1,478,715.28 de sanctions associées.

Pour les responsables de la conformité, trois implications se dégagent. Premièrement, l'absence de tout auto-signalement volontaire sur douze mesures — couvrant fraude, signaux de contournement des sanctions et lacunes de surveillance pluriannuelles — suggère que la détection, et pas seulement la remédiation, reste le point faible du secteur ; les établissements devraient traiter les indicateurs de risque signalés en interne mais non escaladés (comme chez ABN AMRO et Euro Exchange) comme le schéma le plus susceptible d'attirer l'attention des régulateurs. Deuxièmement, les régulateurs sont de plus en plus disposés à agir contre des individus même lorsque les sanctions au niveau de l'entreprise sont nulles ou levées : les trois interdictions britanniques de la FCA et les deux ordonnances d'interdiction singapouriennes de la MAS — ainsi que les poursuites pénales contre les deux dirigeants de Samlit — montrent une responsabilité personnelle qui persiste indépendamment de la capacité financière de l'entreprise à payer. Troisièmement, le précédent CCV constitue un avertissement contre l'idée qu'une remédiation serait close dès qu'une amende est payée — une sanction antérieure pour une lacune de contrôle non résolue devient un facteur aggravant, et non atténuant, lors du cycle suivant.

Analyse des sanctions pécuniaires

Tous les chiffres ci-dessous reflètent les documents d'application sous-jacents sans recalcul manuel. Aucune des sanctions des douze mesures n'a nécessité de réserve de non-conversion de devise ; les trois régulateurs à valeur nulle (FCA, MAS, MAS/SPF) reflètent des sanctions pécuniaires réellement nulles ($0), et non un échec de conversion.

Sanctions pécuniaires par pays

Sanctions pécuniaires par régulateur

Sanctions pécuniaires par secteur

Tendances réglementaires et géographiques

Les douze mesures de ce mois se répartissent en deux philosophies répressives radicalement différentes, et cette répartition suit presque entièrement les lignes juridictionnelles plutôt que la gravité des violations. La DNB néerlandaise ne représente que trois des douze mesures mais $13.56 million des $13.73 million de sanctions totales enregistrées sur la période — 98.7% de l'ensemble des sanctions pécuniaires du jeu de données — tandis que la FCA britannique (quatre mesures) et la MAS/MAS-SPF singapourienne (trois mesures), soit 58% cumulés du volume des mesures d'application, n'ont produit aucune sanction pécuniaire à elles deux. Les équipes de conformité qui évaluent le risque juridictionnel principalement à partir des montants d'amendes affichés interpréteront mal les données de ce mois : les mesures britanniques et singapouriennes n'étaient pas cléments, elles expriment simplement la gravité par des instruments différents.

Les amendes néerlandaises sont concentrées et proportionnées au chiffre d'affaires. La DNB a sanctionné ABN AMRO Bank N.V. de EUR 8.5 million ($9.78 million) pour n'avoir pas mené une vigilance continue adéquate sur les clients à haut risque — un cas où le plafond légal de EUR 5 million a été explicitement écarté au profit d'un régime indexé sur le chiffre d'affaires compte tenu du chiffre d'affaires net de EUR 8.7 billion de la banque, l'amende n'étant réduite que de 15% dans le cadre de la procédure de règlement simplifié après qu'ABN AMRO a reconnu les faits. La DNB a également sanctionné CCV Group B.V. à deux reprises au cours du même cycle de publication — EUR 2.66 million ($3.06 million) pour des lacunes de surveillance des transactions couvrant 2021–2024, et EUR 625,000 ($719,375) pour avoir fonctionné sept ans sans analyse systématique des risques d'intégrité, cette dernière étant explicitement qualifiée de « violation très grave » (zeer ernstige overtreding) et sa base de EUR 500,000 majorée de 25% en raison de la gravité et de la longue durée (sept ans) du manquement. La DNB est le seul régulateur de cet ensemble disposé à la fois à qualifier une conduite de son niveau de gravité le plus élevé et à y attacher une amende proportionnée — le dossier SIRA de CCV est l'une des deux seules qualifications « egregious » de l'ensemble du jeu de données, et c'est celle qui a effectivement coûté de l'argent.

Les mesures à sanction nulle de la FCA ne sont pas des résultats cléments. Robert Finch et Alec Finch, respectivement ancien directeur général/administrateur et administrateur d'AFL Insurance Brokers, ont tous deux été évalués au niveau 5 — le palier de gravité maximal de la FCA — pour une « fraude majeure » ayant détourné £3.51 million de fonds clients ; leurs sanctions individuelles ont été calculées à £169,800 et £121,200 respectivement avant d'être réduites de 100% à £0 en raison de difficultés financières avérées, la sanction de fond étant à la place un constat public de manquement assorti d'une ordonnance d'interdiction totale. Le dossier de Robert Finch est l'autre qualification « egregious » de ce jeu de données — la preuve que la gravité et le montant de l'amende se découplent dès lors que l'insolvabilité individuelle entre dans l'équation. La mesure institutionnelle de la FCA raconte la même histoire dans un autre registre : son premier avis de surveillance à l'encontre d'Euro Exchange Securities UK Ltd n'a imposé aucune amende, mais a gelé la capacité de l'entreprise à intégrer de nouveaux clients ou à accepter de nouveaux fonds et a mis sous séquestre les fonds protégés dans l'attente d'une confirmation indépendante par un tiers de la remédiation CDD/EDD sur chaque dossier client — une réponse à des constats selon lesquels les dix dossiers clients examinés étaient tous inadéquats et que 4,968 alertes avaient été clôturées comme non suspectes, 3,294 sans justification documentée. Pour un établissement de monnaie électronique (EMI), un gel d'exploitation est une conséquence plus existentielle que la plupart des amendes recensées dans ce jeu de données.

La MAS suit le même schéma non pécuniaire, appuyé par la voie pénale. Les trois mesures singapouriennes — l'ordonnance d'interdiction de 10 ans contre Andrew Tiew Siew Ing (32 mois d'emprisonnement pour escroquerie), l'ordonnance d'interdiction de 3 ans contre Li Jinbo (conspiration de manipulation de marché), et la poursuite pénale en cours contre Samlit Moneychanger Pte. Ltd. et son directeur et son responsable de la conformité (19 chefs d'accusation pour non-respect d'une injonction de traitement des plaintes de la MAS, plus des charges d'entrave) — ne comportent aucune sanction pécuniaire de la part de la MAS elle-même, mais reposent chacune soit sur une condamnation pénale acquise, soit sur une poursuite active avec des amendes pouvant atteindre S$1 million par chef d'accusation encore en jeu. Le FINTRAC canadien se situe à l'opposé de l'échelle pécuniaire par rapport à la DNB : des sanctions administratives pécuniaires de CAD 212,025 ($151,174) contre Atlantic Lottery Corporation pour un STR manqué et une évaluation des risques inadéquate, et de CAD 33,000 ($23,529) contre VIP Realty Inc. pour un examen d'efficacité de programme biennal non réalisé — des amendes réelles, mais d'un ordre de grandeur inférieur aux mesures néerlandaises, même rapportées par violation.

La répartition sectorielle confirme que c'est la géographie, et non le secteur, qui détermine l'exposition aux sanctions. Les entreprises FinTech de ce jeu de données vont d'Euro Exchange Securities ($0, défaillance systémique de contrôle) et Samlit Moneychanger ($0, poursuite en cours) à CCV Group ($3.78 million cumulés sur deux mesures néerlandaises) — une gravité sous-jacente comparable, des étiquettes de prix radicalement différentes, déterminées presque entièrement par le régulateur en charge du dossier. Il en va de même dans la banque, où la totalité des $9.78 million de sanctions du secteur provient d'une seule mesure néerlandaise (ABN AMRO) face à une seule mesure britannique à $0 (l'interdiction de Dharmendra Solanki). Pour les programmes multi-juridictionnels, l'implication est directe : les filiales locales opérant sous la supervision de la DNB font face à une exposition aux amendes calculée par rapport au chiffre d'affaires du groupe et aggravée par une majoration en cas de récidive (comme le montre l'historique de CCV), tandis que les filiales sous la FCA ou la MAS doivent s'attendre à des restrictions opérationnelles, des ordonnances d'interdiction ou un renvoi pénal comme principal levier — des conséquences qui peuvent stopper une ligne d'activité plus vite que n'importe quelle amende et qu'un programme de conformité évalué uniquement sur les moyennes de sanctions par juridiction sous-pondérera systématiquement. Les programmes devraient suivre la posture réglementaire par type d'instrument (amendes vs restrictions vs interdiction vs renvoi pénal) en plus du montant des sanctions, et traiter l'historique de remédiation d'une entité néerlandaise comme un multiplicateur actif sur l'exposition future plutôt que comme un chapitre clos.

Analyse thématique de la conformité

Où se concentre la pression réglementaire

Enquêtes et signalements a été le domaine de conformité le plus fortement mis en cause de ce cycle, générant 14 des 32 constats totaux (43.8%) et touchant 9 des 11 entités distinctes (10 des 12 mesures) — plus de 80% du jeu de données. Il présente également le profil de gravité le plus marqué : 5 de ses 14 constats ont été classés de priorité élevée, ce qui signifie que ce seul domaine représente 5 des 8 constats de priorité élevée enregistrés sur l'ensemble du cycle (62.5%). Fait tout aussi notable, chacun des cinq constats de cause profonde « problèmes de culture et de ton » du cycle se situe dans Enquêtes et signalements — aucun n'apparaît dans KYC et entrée en relation, Surveillance des transactions ou Filtrage des sanctions. Cette concentration n'est pas abstraite : c'est le domaine où Robert Finch et Alec Finch (AFL Insurance Brokers) ont été jugés avoir orchestré une « fraude majeure » impliquant de fausses provisions comptables et un détournement de fonds en fiducie client — évaluée par la FCA au niveau 5, sa gravité maximale, la conduite de Robert Finch étant explicitement qualifiée d'« egregious » — et où Dharmendra Solanki, un MLRO agréé, a été jugé avoir dirigé en parallèle une activité de prêt d'argent non autorisée et menaçante. Lorsque les enquêtes et les signalements échouent dans ce jeu de données, il s'agit de façon disproportionnée d'une défaillance d'intégrité de la direction, et non d'une lacune documentaire.

KYC et entrée en relation raconte une histoire différente. Ce domaine a généré le deuxième plus grand volume de constats (10, sur 5 entités) mais presque aucune gravité : seul 1 a été classé de priorité élevée, 9 des 10 étant classés Moyen. La défaillance de gouvernance domine sa répartition des causes profondes (6 des 10 constats), illustrée par Euro Exchange Securities UK Ltd, où la FCA a constaté que les dix dossiers clients examinés étaient inadéquats — CDD manquante, EDD/origine des fonds manquante, filtrage PEP/sanctions/médias négatifs manquant, y compris une correspondance manquée avec une enquête du FBI relayée dans les médias ouverts — et par ABN AMRO, où la DNB a constaté que la vigilance continue reposait « de manière décisive » sur des déclarations clients non vérifiées et sur un déclassement non justifié du risque d'« inacceptable » à « moyen ». Les faiblesses KYC de ce cycle sont larges et structurelles mais, sur la base des éléments disponibles à ce jour, moins fréquemment le principal moteur d'un constat qualifié d'« egregious » à elles seules.

Surveillance des transactions se situe entre les deux : 6 constats sur 5 entités, mais 2 des 6 classés priorité élevée (33%) — un taux de gravité supérieur à celui du KYC malgré un volume plus faible — et c'est le domaine le plus associé aux problèmes de qualité des données (2 des 4 constats de ce type du jeu de données). L'amende DNB de EUR 2.66M contre CCV Group B.V. en est l'illustration la plus claire : des règles de surveillance (BR0076/BR0078) restées inopérantes, une « PF7-gap » ayant mal étiqueté des transactions pendant un an, des profils marchands non mis à jour parce que les analystes CDD avaient perdu l'accès au système, et 25 des 49 alertes échantillonnées clôturées sans investigation adéquate — un problème d'alimentation des données et de contrôle d'accès, pas un problème de calibrage de modèle. Filtrage des sanctions reste le plus petit domaine en volume (2 constats, 2 entités, tous deux de priorité Moyen) mais mérite d'être signalé précisément en raison de cette faiblesse : ses deux seules apparitions de ce cycle étaient intégrées dans deux des mesures les plus vastes et les plus systémiques (Euro Exchange, ABN AMRO), jamais isolées.

Le schéma multi-domaines

Les données de co-occurrence confirment qu'Enquêtes et signalements fonctionne comme le tissu conjonctif des défaillances de ce cycle plutôt que comme un point de contrôle isolé. Il s'associe à KYC et entrée en relation dans 6 mesures — la combinaison de domaines la plus courante — et à Surveillance des transactions dans 5. Même Filtrage des sanctions, le domaine au volume le plus faible, coexiste avec Enquêtes et signalements dans ses 2 apparitions et n'apparaît jamais seul. En pratique, cela signifie qu'une entreprise échoue rarement au « filtrage » ou à la « surveillance » dans le vide ; le constat que rédigent les régulateurs est que les alertes générées par un KYC ou un filtrage défaillant ont ensuite également été mal traitées, sous-escaladées ou jamais signalées. Euro Exchange Securities UK Ltd est l'exemple le plus frappant à l'échelle d'une seule entité : signalée dans les quatre domaines à la fois, avec 4,968 alertes de surveillance des transactions clôturées comme « non suspectes », 3,294 sans justification documentée, et une seule jamais escaladée — examinées par une seule et même personne. L'amende de EUR 8.5M (USD 9.78M) d'ABN AMRO, la plus élevée du cycle, montre le même schéma à quatre domaines : un délai de deux mois pour détecter un passage de fonds en espèces supérieur à EUR 500,000, des signaux de contournement des sanctions visant la Russie non évalués, et un signalement tardif au FIU-NL, tous remontant à une seule déficience racine — une vigilance continue inadéquate — se propageant dans le reste du cycle de vie. Les deux amendes DNB distinctes de CCV Group survenues dans le même cycle de publication 2026 (l'amende de surveillance de EUR 2.66M et une amende de EUR 625,000 pour avoir fonctionné sept ans sans analyse systématique des risques d'intégrité, la « violation très grave » de la DNB et l'autre constat qualifié d'« egregious » de ce cycle) montrent que là où les lacunes de gouvernance et de processus sont structurelles, elles se reproduisent d'un cycle d'examen à l'autre plutôt que de se résorber. À l'inverse, la mesure de VIP Realty, à domaine et constat uniques — un examen d'efficacité de programme LCB-FT biennal manqué — a entraîné la sanction la plus faible de ce cycle (USD 23,529), conformément au schéma selon lequel les lacunes isolées, à domaine unique, pèsent nettement moins lourd, financièrement et en termes de réputation, que les lacunes cumulatives et multi-domaines. Fait notable, aucune des 12 mesures n'a impliqué d'auto-signalement volontaire ; chaque constat de ce jeu de données a été révélé par un examen, une procédure pénale ou un contentieux civil de tiers, et non par l'établissement lui-même.

Recommandations de priorisation

1. Traiter Enquêtes et signalements comme la priorité de supervision numéro un. Ce domaine présente la plus large couverture d'entités, la majorité des constats de priorité élevée, et 100% des constats « problèmes de culture et de ton » de ce cycle. Prioriser l'échantillonnage QA indépendant des dispositions d'alertes et des décisions SAR/STR, l'élimination des goulots d'étranglement à examinateur unique (comme chez Euro Exchange), et l'attestation d'intégrité au niveau MLRO/conseil d'administration — les dossiers Solanki et Finch montrent que ce sont les défaillances de conduite au niveau de la direction, et non les lacunes documentaires, qui font basculer ce domaine vers l'« egregious ».
2. Gérer KYC et entrée en relation comme un problème d'ampleur, pas encore une crise de gravité. Avec 90% de ses constats classés Moyen, allouer les ressources aux déclencheurs de vigilance continue, à la cadence des examens périodiques et à la rigueur documentaire EDD (comme chez Euro Exchange et ABN AMRO) avant toute refonte complète des systèmes d'entrée en relation.
3. Auditer la traçabilité des données de surveillance des transactions comme un chantier distinct du calibrage des alertes. Les lacunes d'alimentation des données et de contrôle d'accès de CCV — et non la conception du modèle — sont à l'origine de la deuxième plus grande sanction individuelle de ce cycle ; les entreprises devraient vérifier que les systèmes de surveillance reçoivent effectivement des données de transaction et de marchand complètes et à jour avant d'investir dans des améliorations de la logique de détection.
4. Ne pas déprioriser le Filtrage des sanctions au seul motif du volume. Ses deux constats de ce cycle se situaient tous deux au sein des mesures les plus vastes et les plus systémiques du jeu de données — intégrer l'examen du filtrage dans le même dossier que le KYC/EDD plutôt que de le traiter comme un élément de contrôle autonome.
5. Financer la remédiation de la gouvernance, des processus et de la culture avant la nouvelle technologie. La défaillance de gouvernance (34.4% des constats) et le défaut de conception des processus (31.3%) représentent ensemble les deux tiers de tous les constats de ce cycle, tandis que la technologie insuffisante et les facteurs externes ne représentent chacun aucun constat — les éléments ne permettent pas de conclure que les lacunes technologiques sont le principal moteur de ce cycle.
6. Tester la résistance des dossiers aux défaillances interconnectées, et non à la conformité cloisonnée. Étant donné qu'Enquêtes et signalements s'associe à KYC et entrée en relation dans 6 mesures et à Surveillance des transactions dans 5, l'audit interne devrait spécifiquement vérifier si une lacune KYC se traduit également par une alerte non escaladée ou un SAR non déposé dans le même dossier — le schéma que découvrent les régulateurs — plutôt que d'auditer chaque domaine indépendamment.

Fréquence des constats par domaine

Co-occurrence multi-domaines

Analyse des causes profondes

Le schéma dominant : gouvernance et processus, pas la technologie

Sur les 32 constats extraits des 12 mesures de ce mois, deux causes profondes représentent près des deux tiers de tous les constats : la défaillance de gouvernance (11 constats, 34.4%) et le défaut de conception des processus (10 constats, 31.3%). Les problèmes de culture et de ton (5, 15.6%) et les problèmes de qualité des données (4, 12.5%) suivent loin derrière, les contraintes de ressources et le cloisonnement de l'information n'apparaissant chacun qu'une seule fois (3.1%). Plus notable encore, la technologie insuffisante et les facteurs externes n'enregistrent aucun constat sur ce cycle. Pas une seule des 12 mesures — couvrant les régulateurs britannique, singapourien, canadien et néerlandais — n'a été attribuée à un manque d'outils pour détecter le risque sous-jacent chez les entreprises. ABN AMRO Bank N.V. disposait des systèmes pour voir un schéma de passage de fonds en espèces supérieur à EUR 500,000 ; le constat de la DNB était que la banque avait mis deux mois à agir et avait laissé une classification de risque « inacceptable » être discrètement déclassée sans justification. La plateforme de surveillance des transactions d'Euro Exchange Securities UK Ltd a généré 4,968 alertes dans un seul dossier client — la défaillance résidait dans le fait qu'une seule personne les a examinées, que 3,294 ne comportaient aucune justification documentée, et qu'une seule a jamais été escaladée. L'histoire constante de ce mois est que les entreprises disposent d'une capacité de détection adéquate mais échouent au niveau de la gouvernance qui la chapeaute : qui examine les résultats, qui remet en cause les déclassements de risque, et si la politique est effectivement suivie.

Exposition pondérée par les sanctions : la conception des processus représente le coût le plus lourd

Pondérer les causes profondes par les sanctions en USD associées à chaque mesure recadre le tableau. Sur les USD 13,734,922 de sanctions totales évaluées ce mois-ci, le défaut de conception des processus représente USD 6,550,379 — 47.7% de la totalité des sanctions en dollars — alors qu'il ne représente que 31.3% des constats en nombre. La défaillance de gouvernance suit avec USD 3,069,717 (22.3%), puis les problèmes de culture et de ton à USD 1,956,700 (14.2%), les problèmes de qualité des données à USD 1,478,715 (10.8%), et le cloisonnement de l'information à USD 679,410 (4.9%). Les contraintes de ressources et la technologie insuffisante n'ont porté aucun poids de sanction — cohérent avec le fait que le seul constat de contraintes de ressources (le goulot d'étranglement à examinateur unique d'Euro Exchange Securities UK Ltd) se situait dans une mesure où la FCA a imposé des restrictions plutôt qu'une amende.

La concentration des sanctions en dollars dans le défaut de conception des processus est portée par les deux plus grandes amendes de ce mois. La mesure de la DNB de EUR 8.5 million (USD 9,783,500) contre ABN AMRO — la plus grande sanction individuelle de ce cycle — a cité le défaut de conception des processus aux côtés de la défaillance de gouvernance et des problèmes de culture et de ton : les indicateurs de risque (flux de trésorerie importants, transactions avec des pays à haut risque, biens à double usage, signaux possibles de contournement des sanctions visant la Russie) n'ont jamais été évalués en combinaison, un défaut de conception dans la manière dont le processus de vigilance de la banque intégrait ses propres signaux plutôt qu'une défaillance de détection. L'amende de la DNB de EUR 2,656,250 (USD 3,057,344) contre CCV Group B.V. pour ses lacunes de surveillance continue — la « Ecom-gap » (2021–juin 2023) et l'erreur d'étiquetage « PF7-gap » (juillet 2023–juillet 2024) qui ont laissé des transactions non surveillées, ainsi que 25 des 49 alertes échantillonnées non adéquatement investiguées — a superposé le défaut de conception des processus aux problèmes de qualité des données et à l'unique constat de cloisonnement de l'information de ce mois (des analystes CDD ayant perdu l'accès au système). Fait notable, CCV était un récidiviste, ayant déjà été sanctionné en 2020 pour la même norme Wwft, et a écopé d'une majoration de culpabilité de 25% en conséquence — une illustration directe de la manière dont la dette de conception des processus alourdit l'exposition aux sanctions au fil du temps.

Comment les causes profondes varient selon le domaine

La répartition des causes profondes varie fortement selon le domaine de conformité considéré, et ce schéma est instructif pour orienter la remédiation de chaque fonction :

• KYC et entrée en relation (10 constats) relève de manière écrasante d'une défaillance de gouvernance : 6 de ses 10 constats sont des défaillances de gouvernance, contre 3 défauts de conception des processus et 1 cloisonnement de l'information. C'est le domaine où se situent les déclarations clients non vérifiées et le déclassement de risque non justifié d'ABN AMRO, les dix dossiers clients inadéquats sur dix d'Euro Exchange Securities, et les politiques de conformité non approuvées et obsolètes d'Atlantic Lottery. Le fil conducteur est une discipline de supervision qui ne suit pas le rythme — ou qui n'est simplement jamais appliquée — à des processus d'entrée en relation par ailleurs adéquats.
• Surveillance des transactions (6 constats) est le seul domaine où se concentrent les contraintes de ressources et les problèmes de qualité des données (respectivement 1 et 2 constats, aux côtés de 1 défaut de conception des processus et 2 défaillances de gouvernance). Il s'agit très précisément des règles de surveillance non alimentées de CCV (BR0076/BR0078 inopérantes pour une part substantielle des marchands) et du goulot d'étranglement d'examen à personne unique et à milliers d'alertes d'Euro Exchange — des lacunes de données et de personnel spécifiques au maintien de pipelines de surveillance complets et suffisamment dotés, et non des défaillances de logique de détection.
• Filtrage des sanctions est le plus petit domaine (2 constats) et les deux sont des défauts de conception des processus — reflétant l'échec d'ABN AMRO à pondérer les signaux de contournement des sanctions aux côtés d'autres indicateurs de risque plutôt qu'une lacune de l'outil de filtrage.
• Enquêtes et signalements (14 constats, le plus grand domaine) est celui où se situent les 5 constats de problèmes de culture et de ton de ce mois, aux côtés de 4 défauts de conception des processus, 3 défaillances de gouvernance et 2 problèmes de qualité des données. Ce domaine capture les mesures de conduite individuelle du mois : Dharmendra Devji Solanki dirigeant une activité de prêt d'argent non autorisée et prédatrice tout en exerçant les fonctions de MLRO agréé ; la « fraude majeure » de niveau 5 d'Alec Finch et Robert Finch chez AFL Insurance Brokers, impliquant de fausses provisions comptables et des déclarations trompeuses visant à provoquer une vente d'actions de £2.12 million ; et le responsable de la conformité de Samlit Moneychanger faisant face à des accusations d'entrave à la justice pour ingérence dans une enquête de la Singapore Police Force. Les défaillances de ton donné par la direction, au niveau individuel et de l'encadrement supérieur, et non les lacunes de processus, constituent la cause profonde caractéristique là où l'intégrité des signalements et des enquêtes se rompt.

Les données de co-occurrence confirment que ces défaillances de domaine restent rarement contenues : Enquêtes et signalements chevauche KYC et entrée en relation dans 6 constats et Surveillance des transactions dans 5 — les associations les plus fréquentes de ce mois — ce qui signifie qu'une lacune de gouvernance ou de processus dans un domaine se traduit régulièrement en aval par une défaillance de signalement ou d'escalade (par exemple, les déclarations d'opérations inhabituelles retardées et jamais déposées d'ABN AMRO auprès du FIU-NL à la suite de ses lacunes d'entrée en relation et de surveillance).

Recommandations stratégiques

Prioriser l'architecture de gouvernance plutôt que de nouvelles technologies de détection. Avec zéro constat attribué à la technologie insuffisante et 70% des sanctions en dollars concentrées dans le défaut de conception des processus et la défaillance de gouvernance combinés, les établissements suivant une stratégie « acheter plus d'outils » résolvent le mauvais problème sur ce cycle. L'investissement le plus rentable se situe dans la couche de contrôle autour des systèmes existants : déclencheurs obligatoires de double examen ou d'escalade lorsque la classification de risque d'un client est déclassée (exactement la lacune citée par la DNB chez ABN AMRO), exigences de justification documentée pour les alertes clôturées plutôt que des dispositions en masse (la lacune chez Euro Exchange Securities et CCV), et cycles d'examen périodique des politiques approuvés par un responsable senior (la lacune chez Atlantic Lottery et VIP Realty).

Traiter l'aptitude du MLRO et de l'encadrement supérieur comme un contrôle continu, et non comme un portail d'approbation ponctuel. Chaque constat de problèmes de culture et de ton de ce mois se rattache à Enquêtes et signalements, et chacun de ces dossiers a été détecté par une poursuite pénale ou un contentieux civil plutôt que par une escalade interne — la condamnation de Solanki, le jugement de la Haute Cour contre les Finch, les accusations d'entrave visant le responsable de la conformité de Samlit. Les entreprises devraient intégrer une surveillance continue de la conduite et un filtrage des contentieux externes/médias négatifs dans la supervision du MLRO et des administrateurs, et ne pas se reposer uniquement sur la vérification initiale des personnes agréées.

Financer des audits d'exhaustivité du pipeline de surveillance, pas seulement la capacité en volume d'alertes. Le mélange distinctif de problèmes de qualité des données et de contraintes de ressources du domaine Surveillance des transactions pointe vers un mode de défaillance spécifique et vérifiable : des transactions ou des profils marchands silencieusement exclus du périmètre de surveillance (les « Ecom-gap » et « PF7-gap » de CCV) et des points de défaillance uniques dans l'examen des alertes (l'examinateur unique d'Euro Exchange). Une réconciliation périodique entre le volume de transactions et le volume surveillé, ainsi que des ratios de dotation minimaux liés au débit d'alertes, auraient révélé les deux lacunes avant qu'elles ne se transforment en amendes.

Exiger un examen combinatoire, et non séquentiel, des indicateurs de risque en entrée en relation et en filtrage des sanctions. La défaillance centrale d'ABN AMRO — des indicateurs de risque connus individuellement (flux de trésorerie, juridictions à haut risque, biens à double usage, signaux de contournement des sanctions) jamais évalués ensemble — est une correction de conception de processus, et non une lacune technologique : mettre en place des étapes de validation explicites qui imposent une vue de risque composite avant que les conclusions EDD ne soient finalisées, en particulier compte tenu de la part disproportionnée (47.7%) de ce schéma dans l'exposition totale aux sanctions de ce mois.

Surveiller la combinaison gouvernance-plus-culture ou gouvernance-plus-processus comme seuil de basculement vers l'« egregious ». Les deux mesures qualifiées d'« egregious » ce mois-ci — l'interdiction de Robert Finch (défaillance de gouvernance plus problèmes de culture et de ton) et l'amende SIRA de CCV (défaillance de gouvernance plus défaut de conception des processus plus problèmes de qualité des données, la « zeer ernstige overtreding » de la DNB pour avoir fonctionné sept ans sans la moindre analyse des risques d'intégrité) — associaient toutes deux la défaillance de gouvernance à une seconde cause profonde plutôt que de se présenter isolément. Les établissements présentant un constat existant de défaillance de gouvernance dans une auto-évaluation devraient traiter toute lacune de processus ou de culture qui l'accompagne comme aggravant matériellement le risque réglementaire, et non comme un problème indépendant de moindre priorité.

Fréquence des causes profondes

Causes profondes par domaine

Sanctions pécuniaires par cause profonde (allocation pondérée par priorité : Élevé ×3, Moyen ×2, Faible ×1)

Répartition par priorité

La priorité reflète l'arbre de décision de gravité appliqué à chaque constat au moment de l'extraction (Élevé : sanction attribuable >$10M, conduite qualifiée d'« egregious », lacune ayant permis une activité illégale réelle, ou renvoi pénal survenu ; Moyen : faiblesse de contrôle significative avec critique réglementaire explicite ; Faible : lacune documentaire/procédurale sans preuve d'exploitation). Le tableau croisé ci-dessous montre comment les 32 constats de ce cycle se répartissent entre les quatre domaines de conformité — Enquêtes et signalements présente à la fois le volume le plus élevé et la plus forte concentration de constats de priorité élevée, tandis que KYC et entrée en relation et Filtrage des sanctions sont presque entièrement de priorité Moyen.

Thèmes d'investissement en IA

Les constats ci-dessus indiquent également où des contrôles assistés par l'IA pourraient le plus directement combler les lacunes de ce cycle — un contexte utile pour les équipes de conformité et de technologie qui pèsent leur propre feuille de route.

Défaillance de gouvernance

Réconciliation automatisée des fonds clients avec détection d'anomalies par ML sur les flux des comptes clients

• Technologie : Réconciliation automatisée des fonds clients CASS avec détection d'anomalies transactionnelles combinant règles et ML
• Bénéfice attendu : Détecte les retraits inappropriés de fonds en fiducie client en quelques jours plutôt qu'en années et neutralise le mécanisme de calcul falsifié (£3.51m extraits via des calculs 25-day), protégeant les fonds clients et réduisant le risque de dissimulation d'insolvabilité.
• Calendrier de ROI : 6-12 months
• Risques : Des initiés privilégiés contournant ou désactivant le pipeline — nécessite une journalisation immuable et une supervision indépendante du dispositif de surveillance lui-même ; qualité des données de grand livre/flux bancaires — des réconciliations à partir de données erronées créent une fausse assurance ; lassitude face aux alertes dans les petites entreprises sans personnel de conformité dédié ; la fiabilité réglementaire exige des calculs validés et explicables dans le cadre des audits CASS/SUP.
• Justification : Le contrôle de gouvernance à plus fort impact de l'ensemble : traite un vol emblématique de fonds clients (£3.51m, non détecté pendant 6+ years) avec une réconciliation à faisabilité élevée et ROI rapide. Se distingue des choix d'anomalies sur les transactions clients et les écritures comptables par le domaine de données (flux CASS client vs compte interne) et par le contrôle correctif (réconciliation indépendante escaladée vers un administrateur non exécutif).

Copilote LLM de revue des décisions pour la gouvernance de la classification des risques

• Technologie : Copilote LLM de revue des décisions auditant les changements de notation de risque au regard du dossier complet
• Bénéfice attendu : Couverture à 100% des décisions de reclassification avec revue liée à des preuves, bloquant les déclassements non justifiés depuis « inacceptable » qui désactivent la surveillance renforcée, avec une piste de justification auditable pour le superviseur.
• Calendrier de ROI : 12-18 months
• Risques : Exigences d'explicabilité de la DNB et obligations de l'AI Act européen sur le support de décision à haut risque ; une dépendance excessive érodant plutôt que renforçant la remise en question humaine ; risque d'hallucination nécessitant un ancrage strict sur le contenu du dossier.
• Justification : Cible l'essence même de la gouvernance — la supervision et la remise en question des décisions elles-mêmes (le déclassement non justifié du Client 4) — avec une couverture à 100% contre un échantillonnage manuel, faisabilité élevée. Se distingue du copilote d'enquête Culturel par sa cible : reclassification de la notation de risque contre qualité de clôture des enquêtes.

Gestion LLM des évolutions réglementaires et analyse des écarts de politique

• Technologie : Pipeline LLM mettant en correspondance lois, directives ministérielles et lignes directrices sectorielles avec les politiques internes pour signaler les écarts et rédiger des versions modifiées
• Bénéfice attendu : Assurance continue que les politiques restent à jour avec l'évolution réglementaire (les « exigences réglementaires clés manquantes » constatées par le FINTRAC), cycles de mise à jour considérablement raccourcis, et traçabilité documentée de chaque obligation vers un contrôle.
• Calendrier de ROI : 3-6 months
• Risques : L'hallucination du LLM nécessite une revue juridique/conformité des résultats ; le corpus réglementaire doit rester faisant autorité et à jour ; le flux d'approbation doit rester détenu par un humain pour satisfaire l'exigence d'approbation par un responsable senior.
• Justification : Couvre le schéma de défaillance de mise à jour du programme (exigences de politique obsolètes/manquantes) au coût le plus faible et au ROI le plus rapide (3-6mo, faisabilité élevée). Un archétype de mise en correspondance corpus réglementaire-vers-politique qui n'apparaît nulle part ailleurs dans l'ensemble sélectionné.

Moteur de déclenchement de revue événementiel pour un KYC perpétuel

• Technologie : Moteur de déclenchement de revue événementiel sur les changements de données client, les mouvements de notation de risque et les indicateurs d'activité inhabituelle
• Bénéfice attendu : Les revues se déclenchent lorsque le risque change plutôt que jamais ou seulement sous la pression du régulateur, remplaçant le processus calendaire défaillant, avec une piste d'audit complète du calendrier, des étapes et des conclusions de la revue par reg 28(11)/27(8).
• Calendrier de ROI : 6-12 months
• Risques : Un déclenchement excessif créant des retards de revue qu'une petite équipe ne peut absorber ; dépendance à des données clients sous-jacentes assainies ; charge de conduite du changement pour une entreprise à la gouvernance faible.
• Justification : Traite la défaillance de gouvernance omniprésente des revues qui n'ont jamais eu lieu, même sous la propre politique de l'entreprise, avec une faisabilité élevée. Se distingue du choix IDP d'entrée en relation en se concentrant sur la couche de déclenchement de cadence de revue continue plutôt que sur la décision relative aux nouveaux clients.

Défaut de conception des processus

Traitement intelligent des documents avec notation de risque explicable à l'entrée en relation

• Technologie : Extraction de documents OCR/LLM combinée à une notation de risque client règles-plus-ML à l'entrée en relation
• Bénéfice attendu : CRA/CDD cohérente et auditable à l'entrée en relation — détectant les pièces d'identité expirées, les justificatifs de domicile non pris en charge et les incohérences d'identité d'entité, et permettant la génération d'une justification de risque documentée que les examinateurs approuvent avant toute transaction (les dix dossiers en étaient dépourvus).
• Calendrier de ROI : 6-12 months
• Risques : Erreurs de modèle et d'extraction sur des documents historiques de mauvaise qualité ; contrôle réglementaire de l'explicabilité de la notation de risque automatisée — l'approbation humaine doit rester dans la boucle ; risque de données erronées en entrée compte tenu des problèmes de qualité des données déjà existants de l'entreprise.
• Justification : Couvre la lacune de processus la plus courante — CRA non documentée et vérification défectueuse de l'identité/des bénéficiaires effectifs — avec une faisabilité élevée. Se distingue du choix d'indexation d'archives Qualité des données par son objectif : décision d'entrée en relation prospective contre récupération d'archives rétrospective.

Filtrage des sanctions sensible à la translittération avec médias négatifs et résolution des parties liées

• Technologie : Appariement de noms flou/phonétique de filtrage avec analyse NLP des médias négatifs et résolution d'entités pour les parties liées
• Bénéfice attendu : Filtrage complet et rapide des clients et de leurs administrateurs/propriétaires — déjouant la défaillance de nom mal orthographié et faisant remonter les médias négatifs manqués (par exemple, le schéma allégué de blanchiment d'argent/l'enquête du FBI) — avec chaque correspondance potentielle traitée et auditée conformément aux reg 28 et 35.
• Calendrier de ROI : 3-9 months
• Risques : Un volume de faux positifs submergeant une équipe d'adjudication aux ressources limitées ; limites de couverture et de précision des sources de médias négatifs ; le traitement automatique des correspondances attirerait un contrôle réglementaire — une adjudication humaine avec QA est requise.
• Justification : Le seul choix de filtrage des sanctions de l'ensemble, couvrant un pilier central de la LCB-FT et deux défaillances distinctes (appariement de noms plus médias/parties liées manqués) avec une faisabilité élevée et un ROI rapide. Aucun quasi-doublon ailleurs.

Détection d'anomalies transactionnelles comportementales avec analyse de réseau

• Technologie : Modèles de machine learning sur les séquences comportementales au niveau des comptes combinés à une analyse de graphes reliant les entités relais
• Bénéfice attendu : Réduit la latence de détection des 2+ months observés à quelques jours, signale automatiquement les transactions similaires manquées par la banque, et déclenche des restrictions empêchant toute activité postérieure au classement « inacceptable » (les EUR 130,000 qui ont continué de circuler après la classification).
• Calendrier de ROI : 12-24 months
• Risques : Un volume de faux positifs submergeant la capacité d'investigation ; charge de validation et de gouvernance de modèle sous contrôle de supervision ; qualité des données de contrepartie limitant la précision de la mise en réseau.
• Justification : Le choix central de conception de détection pour la surveillance des transactions, traitant les lacunes de détection lente et de transactions similaires manquées. Se distingue des choix d'anomalies de réconciliation de fonds clients (Gouvernance) et d'écritures comptables (Culturel) par le domaine de données (transactions clients/réseaux de contreparties) et le problème (activité suspecte manquée).

Moteur de signalement à seuil déterministe avec dépôt automatisé auprès de la cellule de renseignement financier et suivi des preuves

• Technologie : Moteur de règles déterministe avec génération automatisée de déclarations d'opérations inhabituelles auprès de la cellule de renseignement financier et archivage des preuves de dépôt
• Bénéfice attendu : Quasi-zéro déclaration manquée ou tardive sur indicateur objectif (cinq ont été manquées ; les revues rétrospectives sont arrivées 2-5 weeks en retard) et preuve de dépôt instantanée et étayée par des preuves que CCV ne pouvait pas justifier — à faible coût car l'indicateur est entièrement déterministe.
• Calendrier de ROI : 3-6 months
• Risques : Dépendance en amont : ne fonctionne que si le système de surveillance des transactions reçoit effectivement toutes les transactions (les corrections de Qualité des données sont un prérequis) ; la saisie des transactions envisagées mais non exécutées nécessite des événements pré-exécution ; des contrôles anti-doublons sont nécessaires lorsque les revues rétrospectives chevauchent la détection en direct.
• Justification : La correction la plus rapide et la moins coûteuse du flux de signalement (3-6mo) couvrant la défaillance de signalement sur indicateur objectif. Délibérément non-ML, ce qui la distingue de tous les autres choix et la rend complémentaire aux couches de détection ML.

Problèmes de culture et de ton

Filtrage continu des médias négatifs et des registres publics des personnes agréées

• Technologie : Filtrage perpétuel des médias négatifs et des registres publics basé sur le NLP avec résolution d'entités
• Bénéfice attendu : Détecte les procédures pénales ou l'activité commerciale non divulguée de cadres supérieurs (SMF16/17) en quelques jours plutôt qu'en années — ici, les agissements ont duré ~3.5 years et n'ont été révélés qu'à l'arrestation — permettant une suspension rapide et une notification au régulateur.
• Calendrier de ROI : 6-12 months
• Risques : Faux positifs sur des noms courants entraînant des mesures d'emploi injustes ; contraintes de protection des données et de droit du travail sur la surveillance du personnel ; fiabilité et couverture variables des sources de médias négatifs et de registres judiciaires.
• Justification : Cible directement la défaillance de ton donné par la direction que constitue l'inconduite non détectée d'un cadre supérieur, avec une faisabilité élevée. Se distingue du choix de filtrage des sanctions par son sujet et son objectif — surveiller les employés/personnes agréées pour l'intégrité, et non filtrer les clients pour les sanctions.

Détection d'anomalies d'écritures comptables avec recoupement NLP grand livre-communications

• Technologie : Détection d'anomalies par ML sur les écritures comptables combinée à un recoupement NLP des e-mails et procès-verbaux de conseil avec les écritures du grand livre
• Bénéfice attendu : Détecte les provisions de revenus fictives et le gonflement du bilan en un ou deux cycles comptables au lieu des 6+ years achevés ici, avec une piste de preuve indépendante résistant au contournement par la direction.
• Calendrier de ROI : 12-18 months
• Risques : Des initiés seniors disposant de droits d'administrateur peuvent supprimer ou ajuster les alertes — nécessite un acheminement indépendant des alertes vers le comité d'audit/l'auditeur externe ; des faux positifs sur des provisions légitimes mais inhabituelles créant une lassitude face aux alertes ; contraintes de confidentialité et juridiques sur l'exploration des communications des employés ; exigences de gouvernance de modèle et d'explicabilité pour une utilisation en audit.
• Justification : Traite le contournement de la direction/la culture de fausse comptabilité classique (une provision maintenue alors qu'un e-mail du courtier lui-même indiquait que le dossier n'était « pas gagné »). Se distingue du choix de réconciliation de fonds clients par le type de fraude (fabrication de revenus vs vol de fonds clients) et le contrôle (acheminement indépendant des alertes d'anomalies de provisions).

Copilote d'enquête GenAI avec normes de preuve renforcées

• Technologie : Copilote d'enquête par IA générative intégré à la gestion des dossiers avec application structurée des normes de preuve
• Bénéfice attendu : Relève le niveau de qualité et de cohérence des enquêtes, produit une piste d'audit indicateur par indicateur prête pour le régulateur, et refuse la clôture tant que des indicateurs de risque restent non traités — institutionnalisant la rigueur critique que la DNB a jugée absente dans les cinq dossiers.
• Calendrier de ROI : 12-18 months
• Risques : La technologie ne peut se substituer au changement de culture de scepticisme qu'impliquent les constats — doit s'accompagner de formation et d'incitations ; risque d'hallucination/omission dans les résumés de dossiers générés ; acceptation par la supervision de dossiers d'enquête assistés par IA.
• Justification : Convertit l'attente d'« évaluation holistique » en un flux de travail appliqué — la réponse IA la plus directe à une culture de scepticisme faible — avec une faisabilité élevée. Se distingue du copilote de revue des décisions Gouvernance par sa cible : profondeur/qualité de clôture des enquêtes plutôt que reclassification de la notation de risque.

Problèmes de qualité des données

Réconciliation d'exhaustivité des données avec détection d'anomalies sur le volume d'ingestion

• Technologie : Réconciliation automatisée traité-vs-ingéré avec détection d'anomalies par ML sur les volumes d'ingestion de transactions et de profils marchands
• Bénéfice attendu : Élimine les lacunes de surveillance silencieuses pluriannuelles (des ruptures de flux ayant duré 1-3+ years) en les signalant en quelques heures, et permet une quantification précise de l'impact que CCV n'a pu fournir à deux reprises à la DNB — le principal moteur de l'amende de EUR 2.66M.
• Calendrier de ROI : 3-6 months
• Risques : Bruit d'alerte lié aux variations saisonnières/de volume nécessitant un calibrage de référence ; dépendance à un flux source de vérité fiable pour la réconciliation ; angles morts de couverture si de nouveaux canaux/étiquettes sont intégrés en dehors du contrôle.
• Justification : Le choix phare en matière de Qualité des données — traite directement le principal moteur de l'amende (lacunes silencieuses de flux/ingestion) avec le ROI le plus rapide et une faisabilité élevée. Totalement distinct : il surveille l'exhaustivité du pipeline de surveillance lui-même plutôt qu'un quelconque contrôle orienté client.

Indexation intelligente des archives d'enregistrements non structurés pour la récupération sur demande du régulateur

• Technologie : OCR, normalisation de format et classification/liaison d'entités par LLM sur des archives de documents non structurés
• Bénéfice attendu : Convertit une archive d'environ 180,000-document, en partie illisible, en enregistrements indexés par client et par contrôle afin que les demandes du régulateur soient traitées dans les délais, rend les lacunes de preuve visibles et remédiables, et démontre la conservation des enregistrements conformément aux reg 40 / reg 28(16) du MLR.
• Calendrier de ROI : 3-6 months
• Risques : Erreurs de classification classant à tort des preuves sous le mauvais client ; des documents sources véritablement illisibles ou manquants ne peuvent être récupérés par l'outillage — les lacunes nécessitent encore une nouvelle prise de contact avec le client ; contrôles de protection des données nécessaires lors du traitement des enregistrements clients avec des outils d'IA.
• Justification : Traite le deuxième mode de défaillance distinct de Qualité des données — des enregistrements introuvables/non produisibles sur demande du régulateur — avec une faisabilité élevée et un ROI rapide. Présenté comme une récupération/production d'archives rétrospective, ce qui le distingue du choix IDP d'entrée en relation prospectif de Défaut de conception des processus.

Recommandations stratégiques

1. Reconstruire la gouvernance de la vigilance périodique et de la reclassification des risques — le principal moteur de l'exposition aux sanctions de ce cycle

La défaillance de gouvernance a été la cause profonde la plus fréquemment identifiée (11 des 32 constats, 34.4%) et, avec le défaut de conception des processus (10 constats, 31.3%), représente près des deux tiers de tous les constats du cycle. L'illustration la plus claire est l'amende de EUR 8.5 million de la DNB contre ABN AMRO (USD 9.78M, 71% de la valeur totale des sanctions du cycle), imposée pour une défaillance structurelle à mener une vigilance continue sur les clients de détail à haut risque : un délai de deux mois pour détecter un schéma de passage de fonds en espèces supérieur à EUR 500,000 qui s'est poursuivi même après que le client a été classé « inacceptable », un déclassement non justifié du risque d'« inacceptable » à « moyen », et un défaut d'évaluation des indicateurs de flux de trésorerie importants, de pays à haut risque, de biens à double usage et de contournement des sanctions visant la Russie en combinaison. La DNB a été explicite sur le fait que les investigations reposaient « de manière décisive » sur des déclarations clients non vérifiées et que la non-coopération n'entraînait aucune conséquence. CCV Group montre ce qui se passe lorsque cette lacune n'est pas traitée : son amende de EUR 2.66M comportait une majoration de culpabilité de 25% précisément parce que CCV était un récidiviste sur la même norme Wwft pour laquelle elle avait déjà été citée en 2019-2020.

Actions à mener :

• Déployer un copilote LLM de revue des décisions sur chaque reclassification de notation de risque (et non un échantillon) — le déclassement d'ABN AMRO qui a laissé la surveillance se relâcher aurait été détecté avec une couverture à 100% plutôt que laissé à la revue manuelle (12-18 month ROI ; nécessite une journalisation immuable pour que des initiés privilégiés ne puissent supprimer la revue elle-même).
• Remplacer les revues périodiques calendaires par un moteur de déclenchement événementiel qui se déclenche sur un mouvement de notation de risque, un changement de données client ou des indicateurs d'activité inhabituelle — ciblant directement le schéma des « revues qui n'ont jamais eu lieu même sous la propre politique de l'entreprise » (6-12 month ROI).
• Intégrer une étape explicite et auditable exigeant une évaluation combinée (et non cloisonnée) des indicateurs de risque — taille des flux de trésorerie, géographie, type de produit, signaux d'exposition aux sanctions — avant l'approbation de tout déclassement de risque.

2. Institutionnaliser la qualité des enquêtes et les normes de preuve — le domaine de défaillance le plus fréquent et le plus prioritaire

Enquêtes et signalements a généré plus de constats (14) que tout autre domaine, a touché 9 des 11 entités distinctes du cycle (10 des 12 mesures), et a porté le plus grand nombre de constats de priorité élevée de tous les domaines (5, contre 2 pour Surveillance des transactions et 1 pour KYC et entrée en relation). Il coexiste également le plus souvent avec d'autres domaines — 6 constats conjoints avec KYC et entrée en relation et 5 avec Surveillance des transactions — indiquant une cause profonde commune plutôt que des incidents isolés. L'avis de surveillance de la FCA contre Euro Exchange Securities UK est l'exemple le plus frappant : 4,968 alertes clôturées comme « non suspectes » dans un seul dossier, 3,294 sans aucune justification documentée, une seule jamais escaladée, et l'ensemble de la population d'alertes examinée par une seule et même personne. CCV Group montre le même schéma dans son amende de EUR 2.66M — 25 des 49 alertes échantillonnées non investiguées à temps ou de manière adéquate, y compris des clôtures groupées non documentées en fin de journée. Atlantic Lottery a été séparément sanctionné de CAD 212,025 (USD 151,174), en partie pour avoir omis de déposer un STR malgré de multiples indicateurs ML/TF, une violation que le FINTRAC a classée « Très grave ».

Actions à mener :

• Intégrer un copilote d'enquête GenAI dans la gestion des dossiers qui applique des normes de preuve indicateur par indicateur et refuse la clôture tant que des indicateurs de risque restent non traités — cela convertit l'attente d'« évaluation holistique » de la DNB d'une aspiration en un flux de travail appliqué (12-18 month ROI).
• Déployer un moteur de signalement à seuil déterministe (non-ML) pour les indicateurs objectifs STR/UTR avec dépôt automatisé auprès de la cellule de renseignement financier et archivage des preuves — la correction la plus rapide et la moins coûteuse du portefeuille (3-6 months) et la réponse directe à la déclaration manquée d'Atlantic Lottery et aux revues rétrospectives tardives de CCV.
• Éliminer structurellement les goulots d'étranglement à examinateur unique : exiger un acheminement de second examen indépendant pour tout dossier où une seule personne est l'unique décisionnaire, comme chez Euro Exchange.

3. Corriger l'intégrité du pipeline de surveillance des transactions avant d'investir davantage dans les modèles de détection

Les problèmes de qualité des données ont été à l'origine de 4 des 32 constats mais ont été la cause immédiate de l'une des deux amendes fintech les plus lourdes, proches de l'« egregious », de ce cycle. L'amende de EUR 2.66M de la DNB contre CCV Group reposait sur des lacunes de surveillance silencieuses pluriannuelles : la « Ecom-gap » (2021 à juin 2023) et l'erreur d'étiquetage « PF7-gap » (juillet 2023 à juillet 2024) signifiaient qu'une part « substantielle » de marchands n'avait aucune surveillance effective pendant des périodes prolongées, que les règles de surveillance BR0076/BR0078 étaient inopérantes, et que les profils marchands n'étaient pas mis à jour parce que les analystes CDD avaient perdu l'accès au système. Des modèles de détection superposés à un flux non fiable produisent une fausse assurance — précisément le constat de la DNB.

Actions à mener :

• Mettre en œuvre une réconciliation automatisée du volume d'ingestion avec détection d'anomalies comparant les transactions/profils marchands traités aux transactions ingérées, signalant les ruptures de flux en quelques heures plutôt qu'en années (3-6 month ROI, faisabilité élevée — l'élément au retour sur investissement le plus rapide de l'ensemble du portefeuille).
• Séquencer correctement l'investissement en IA : traiter ce contrôle d'intégrité de pipeline comme un prérequis pour tout modèle de détection d'anomalies comportementales ou d'analyse de réseau, puisque les deux ne valent que ce que vaut le flux sous-jacent.
• Exiger des déclarations d'impact quantifiées (volume/durée/clients concernés) pour toute lacune de surveillance historique découverte — l'incapacité de CCV à quantifier précisément sa propre lacune auprès de la DNB a elle-même constitué un facteur aggravant.

4. Reconstruire le CDD/EDD à l'entrée en relation et unifier le filtrage des sanctions/médias négatifs

KYC et entrée en relation a été le deuxième domaine le plus fréquent (10 constats, 5 entités), et Filtrage des sanctions — bien que de volume plus faible (2 constats, 2 entités) — est apparu en combinaison avec KYC dans 2 constats et avec Surveillance des transactions dans 2 autres, jamais isolément. La mesure Euro Exchange de la FCA est le dossier phare : les dix dossiers clients examinés étaient inadéquats sur le CDD, l'EDD/l'origine des fonds, et le filtrage PEP/sanctions/médias négatifs, y compris un rapport de médias en libre accès manqué concernant un schéma allégué de blanchiment d'argent faisant l'objet d'une enquête du FBI — une lacune suffisamment grave pour déclencher une restriction totale sur l'intégration de nouveaux clients. Le schéma de défaillance d'ABN AMRO était voisin : accepter les déclarations des utilisateurs finaux des clients sans vérification dans un contexte d'évolution des schémas commerciaux des pays de transbordement, manquant les signaux de contournement des sanctions visant la Russie.

Actions à mener :

• Déployer une extraction de documents OCR/LLM avec une notation de risque explicable règles-plus-ML à l'entrée en relation afin que chaque dossier comporte une justification de risque documentée et approuvée par un examinateur avant que le client puisse transiger — aucun des dix dossiers échantillonnés d'Euro Exchange n'en disposait (6-12 month ROI).
• Associer l'entrée en relation à un appariement de noms de sanctions flou/phonétique ainsi qu'à une analyse NLP des médias négatifs et une résolution des parties liées (administrateurs/bénéficiaires effectifs) — le seul moyen de détecter à la fois l'évasion par nom mal orthographié et la couverture médiatique manquée comme la lacune de l'enquête du FBI, avec une adjudication humaine maintenue compte tenu du risque de faux positifs (3-9 month ROI, le plus rapide de l'ensemble KYC).
• Étendre les exigences de vérification des utilisateurs finaux/de l'origine des fonds spécifiquement pour les clients exposés au commerce et au transbordement, comblant la lacune citée par la DNB chez ABN AMRO.

5. Faire de l'intégrité des cadres supérieurs et des personnes agréées un contrôle continu et documenté

Les problèmes de culture et de ton ont représenté 5 des 32 constats (15.6%) mais se situent derrière deux des mesures individuelles les plus graves de ce cycle. La FCA a prononcé l'interdiction de Dharmendra Solanki, ancien responsable de la lutte contre le blanchiment de capitaux (SMF17), après qu'il a dirigé une activité de prêt d'argent non autorisée et prédatrice — intimidant des emprunteurs vulnérables — pendant environ 3.5 years (novembre 2018–mai 2022) tout en exerçant les fonctions de MLRO agréé, non détectée pendant environ 3.5 years jusqu'à son arrestation par les forces de l'ordre le 18 mai 2022 (plaidoyer de culpabilité en octobre 2023). Séparément, les avis de décision de la FCA contre Alec Finch et Robert Finch ont évalué leur conduite au niveau 5 — la notation de gravité maximale de la FCA — pour une « fraude majeure » ayant détourné £3.51 million d'un compte fiduciaire client statutaire sur plus de trois ans via de fausses provisions comptables, dont l'une figurait encore aux comptes même après qu'un e-mail du courtier lui-même a indiqué que l'affaire sous-jacente n'était « pas gagnée ». Fait notable, les quatre mesures britanniques de ce cycle ont toutes comporté des sanctions pécuniaires de £0 (deux levées pour difficultés avérées, une où la FCA n'a imposé qu'une interdiction sans amende, une en instance) mais ont néanmoins abouti à des ordonnances d'interdiction ou à une restriction totale d'agrément — les régulateurs substituent des sanctions mettant fin à des carrières aux amendes lorsque les entreprises/individus ne peuvent pas payer.

Actions à mener :

• Mener un filtrage continu des médias négatifs et des registres publics basé sur le NLP sur les personnes agréées et les cadres supérieurs, pas seulement les clients — l'activité non autorisée et l'exposition pénale de Solanki auraient dû ressortir en quelques mois, et non les 3.5 years que cela a pris (6-12 month ROI ; à associer à une revue de droit du travail compte tenu du risque de faux positifs sur des noms courants).
• Déployer une détection d'anomalies d'écritures comptables recoupée avec les communications internes (e-mails, procès-verbaux de conseil) via le NLP — exactement le contrôle qui aurait détecté une provision contredite par l'e-mail même du courtier à l'origine, avec des alertes acheminées indépendamment vers le comité d'audit/l'auditeur externe pour que des initiés seniors ne puissent les supprimer (12-18 month ROI).
• Traiter les résultats « £0 de sanction, interdiction totale » comme un signal, et non un répit : construire des plans de remédiation autour du risque de licence/agrément pour les individus seniors, puisque c'est désormais la conséquence opérante indépendamment de la capacité financière à payer.

6. Rééquilibrer l'investissement du programme par juridiction et par risque réglementaire réel, pas seulement par les montants d'amendes

Trois des douze mesures de ce cycle — toutes de la DNB néerlandaise — représentent USD 13.56 million des USD 13.73 million de sanctions totales (98.7%), soit une moyenne de USD 4.52 million par mesure contre une moyenne FINTRAC de USD 87,351. Les entreprises titulaires de licences bancaires ou d'établissement de paiement néerlandaises devraient traiter l'exposition à la DNB comme le principal poste de risque financier de ce cycle. Mais la gravité financière n'est pas l'ensemble du tableau des risques : zéro des douze mesures n'a impliqué d'auto-signalement volontaire, et quatre mesures britanniques ne comportant aucune amende ont néanmoins produit une suspension totale d'entrée en relation (Euro Exchange) ou une interdiction totale (Solanki, les deux Finch) — des issues qui menacent la continuité de licence et la valeur de franchise d'une manière qu'un montant de sanction ne capture pas. Les deux mesures que la DNB ou la FCA ont qualifiées d'« egregious » ce cycle — la « violation très grave » (zeer ernstige overtreding) de CCV pour avoir fonctionné environ sept ans sans la moindre analyse systématique des risques d'intégrité, et le constat de fraude de niveau 5 de Robert Finch — découlent toutes deux de l'absence d'un contrôle fondamental (une SIRA ; une ségrégation de base de l'intégrité des fonds clients), et non d'un contrôle partiel.

Actions à mener :

• Pondérer les budgets de remédiation vers les juridictions dotées de régulateurs à sévérité avérée élevée (la DNB sur ce cycle) sans déprioriser l'exposition Royaume-Uni/MAS, où la conséquence est un risque d'agrément plutôt qu'un risque d'amende.
• Instaurer un protocole permanent d'auto-signalement et le suivre comme un indicateur clé de performance — un cycle à zéro auto-signalement volontaire sur douze mesures suggère que l'auto-signalement n'est pas encore ancré comme un levier d'atténuation utilisé par les équipes de conformité.
• Réaliser un inventaire des contrôles fondamentaux (SIRA/évaluation des risques d'entreprise, contrôles de ségrégation des fonds clients, méthodologie CRA documentée) avant d'ajouter une couche de détection par IA — les amendes de CCV et d'Atlantic Lottery remontent toutes deux à un document fondamental absent, qu'aucune sophistication de surveillance en aval n'aurait pu corriger.

Méthodologie et limites

Cette analyse suit une méthodologie fixe d'extraction, de statistiques et de génération de rapport : une taxonomie fixe des domaines de conformité (KYC et entrée en relation, Surveillance des transactions, Filtrage des sanctions, Enquêtes et signalements), une taxonomie de causes profondes à huit catégories, et un arbre de décision de priorité appliqué de manière cohérente à chaque constat. Tout le contenu généré par IA dans ce rapport — constats extraits, éclairages narratifs et recommandations d'investissement en IA — a été revu pour son exactitude, son exhaustivité et sa cohérence avec les documents source sous-jacents avant publication. Les 12 documents découverts pour ce cycle ont tous été extraits avec succès ; aucun n'a échoué à l'extraction.

La couverture des sources se limite aux mesures d'application rendues publiques — les règlements résolus sans avis public, les mesures de supervision informelles et les mesures des régulateurs qui ne publient pas d'ordonnances complètes sont exclus, de sorte que ce jeu de données sous-estime l'activité d'application totale de la période. L'exactitude de l'extraction dépend de la clarté des documents ; les constats sont extraits par un modèle d'IA chargé d'être prudent et d'éviter toute fabrication, mais des documents fortement caviardés ou de format inhabituel (plusieurs mesures de ce cycle, dont Euro Exchange Securities UK Ltd ainsi que les dossiers d'ABN AMRO et de CCV Group, contenaient des passages caviardés) peuvent entraîner une extraction incomplète. La conversion monétaire pour les comparaisons de sanctions transjuridictionnelles utilise les taux de change à la date d'exécution de l'analyse (2026-08-02, provenant d'exchangerate-api.com/open.er-api.com) et n'est pas ajustée pour les fluctuations intra-période sur des périodes de violation longues s'étendant sur plusieurs années. L'attribution des cas d'usage IA met en correspondance les cas d'usage avec les causes profondes en fonction du constat qu'ils traitent ; lorsqu'une seule mesure contient plusieurs causes profondes au sein du même domaine, seule la cause profonde la plus prévalente reçoit l'attribution, de sorte que certaines causes secondaires peuvent être sous-représentées dans la section Thèmes d'investissement en IA. La catégorisation des causes profondes rattache chaque constat à l'une des huit catégories fixes reflétant la cause principale énoncée ou la plus fortement induite dans le document source, même lorsqu'un constat a plausiblement plusieurs causes contributives.

Sources

Chaque chiffre ci-dessus se rattache à l'ordonnance ou au communiqué publié par le régulateur lui-même. Parcourez les listes et programmes que nous suivons dans notre catalogue de données pour voir comment ces entités et leurs affiliés se rapportent à votre propre registre de filtrage.