Évaluations des risques liés à la criminalité financière de nouvelle génération à l’échelle de l’entreprise

À mesure que le secteur des services financiers devient plus dynamique, les enjeux n’ont jamais été aussi élevés. L’importance de cadres solides de gestion des risques liés à la criminalité financière ne saurait être sous-estimée. Les évaluations de risque à l’échelle de l’entreprise (EREE) jouent un rôle central dans cette démarche, en soutenant une approche basée sur les risques et en garantissant la conformité réglementaire.

Cependant, leur efficacité est de plus en plus remise en question. Des approches innovantes sont nécessaires pour permettre aux entreprises de se démarquer de leurs concurrents et des fournisseurs de technologies numériques. Les évaluations ne doivent pas se limiter à un simple exercice de conformité. Elles constituent une pierre angulaire stratégique d’une approche basée sur les risques en matière de criminalité financière. Les EREE doivent évoluer, et ce, en s’appuyant sur de nouvelles capacités que nous explorerons dans cet article.

Remettre en question le statu quo de l’évaluation des risques

Bien que les évaluations de risque à l’échelle de l’entreprise (EREE) répondent souvent aux exigences réglementaires, leur impact peut être limité par des méthodologies obsolètes et une intégration insuffisante dans les cadres plus larges de gouvernance et de gestion des risques. Elles doivent sortir de leur routine statique et axée sur la conformité pour devenir des outils dynamiques et opérationnels, générateurs de valeur ajoutée.

1. Actionnables : Les évaluations des risques doivent produire des résultats directement intégrables dans les plans de gouvernance, de gestion des risques et de transformation. Il est également essentiel d’orienter l’action managériale en fonction des risques inhérents et résiduels afin d’allouer efficacement les ressources. L’intégration de ces analyses dans les dispositifs de contrôle permet d’éclairer et d’améliorer la prise de décision au niveau de l’entreprise, tout en assurant le suivi de l’efficacité des dispositifs de contrôle.
2. Alignées : Des EREE efficaces doivent répondre aux objectifs de gestion des risques et de conformité. Les intégrer aux autres dispositifs de lutte contre la criminalité financière — comme les tests et la surveillance des dispositifs de contrôle (via des bibliothèques de contrôles communes, l’utilisation des résultats de l’EREE pour prioriser les tests, et l’intégration des résultats de tests dans les EREE à venir) — permet d’obtenir une vision cohérente du risque à l’échelle de l’entreprise.
3. Approfondies : Une EREE robuste doit couvrir un large éventail de réglementations, de lignes directrices et d’évaluations nationales des risques. En approfondissant les risques spécifiques, ces évaluations permettent de concevoir et de tester des contrôles ciblés.
4. Opportunes : Pour rester pertinentes, les évaluations des risques doivent être plus fréquentes et adaptatives. Une approche dynamique permet aux entreprises de réagir de manière proactive aux risques émergents.
5. Mesurables : Les autorités de régulation attendent de plus en plus que les EREE soient fondées sur des données et reposent sur une approche quantitative. La quantification permet également aux entreprises de mesurer leurs progrès par rapport aux indicateurs d’appétence pour le risque.

Principales tendances en matière dʼinnovation

Les EREE liées à la criminalité financière doivent être conçues et structurées pour répondre aux exigences réglementaires, avec une méthodologie clairement documentée. L’innovation se manifeste principalement dans les trois domaines suivants.

1. Intégration des risques liés à la criminalité financière : Des synergies importantes émergent de la combinaison de différents types de risques dans une même démarche d’évaluation. Regrouper les évaluations des diverses formes de criminalité financière (blanchiment de capitaux, financement du terrorisme, contournement des sanctions, fraude fiscale et corruption) améliore l’efficacité et offre une vision globale, plus approfondie du risque.
   
   Bien entendu, une spécialisation reste nécessaire pour chacun de ces types de risques. Concernant les facteurs de risque inhérent, des dispositifs de contrôle spécifiques et une expertise dédiée demeurent indispensables ; ceux-ci peuvent être intégrés dans une évaluation commune des risques liés à la criminalité financière.
   
   Mener une évaluation globale des risques permet d’optimiser l’allocation des ressources (humaines, attention des parties prenantes, temps et budget) et de fournir une vue plus générale de l’exposition aux risques de criminalité financière. La transformation des dispositifs de contrôle et les plans d’action gagneront en cohérence.

2. Prise en compte des données et de la technologie : Les entreprises de premier plan évaluent les risques inhérents et les contrôles dans leur EREE à partir de données, dans une démarche de plus en plus guidée par des données quantitatives, tout en maintenant un équilibre avec des apports qualitatifs tels que l’expertise métier et la connaissance des activités.
   
   Elles réalisent des économies en basant leur évaluation des risques inhérents sur des points de données. Elles sont en mesure d’extraire et de produire des données substantielles pour l’EREE, permettant une évaluation fondée sur les données de la majorité des exigences réglementaires. Il s’agit d’un processus itératif. Lors des premières itérations, la disponibilité des données peut représenter un défi, mais celui-ci peut être surmonté grâce à des outils et techniques appropriés, comme l’utilisation d’intermédiaires ou la combinaison avec des apports qualitatifs.
   
   Des outils avancés permettent aux entreprises d’automatiser la collecte de données et les calculs d’évaluation des risques, offrant ainsi des analyses quasi en temps réel et réduisant les efforts manuels. En tirant parti de l’automatisation et de l’analyse des données, les entreprises peuvent passer d’évaluations annuelles à une surveillance continue, une étape que l’on appelle « EREE continue ».
   
   Cela rend les analyses de risque plus pertinentes et exploitables. À ce niveau de maturité, la production de rapports détaillés peut être accélérée grâce à l’intelligence artificielle générative (GenAI). L’exécution de l’EREE se transforme : d’un exercice manuel ou semi-automatisé, coûteux, intense et lent réalisé une fois par an, elle devient un processus rapide et fréquent, mené en quelques semaines, offrant une vue quasi en temps réel des risques de criminalité financière et des dispositifs de contrôle au sein de l’entreprise.

3. Renforcement des contrôles de gouvernance : L’intégration technologique crée également des synergies et renforce deux autres leviers de gouvernance.

• Informations de gestion et reporting : Un accès rapide à des informations exploitables permet aux décideurs de réagir rapidement aux évolutions de l’exposition aux risques.
• Quantification de lʼappétence pour le risque : Des indicateurs précis d’appétence pour le risque permettent aux entreprises de définir et de suivre efficacement des seuils, traduisant des déclarations abstraites en résultats mesurables.

Capacités clés pour des EREE en matière de criminalité financière parées pour l’avenir

Face à l’imprévisibilité de la criminalité financière, les entreprises doivent faire preuve d’agilité et d’anticipation dans leur gestion des risques. Transformer les EREE liées à la criminalité financière nécessite certaines capacités clés au sein de l’organisation, afin de répondre aux attentes réglementaires tout en exploitant pleinement le potentiel des analyses de risques. Les capacités suivantes sont essentielles pour permettre aux entreprises d’innover.

1. Renseignements et analyses : L’accès aux états de la menace, aux typologies de risques et aux tendances renforce la capacité des entreprises à anticiper et à atténuer les risques. Pour assurer une conformité efficace en matière de criminalité financière, il est essentiel d’intégrer les ressources humaines à cette expertise réglementaire, à des technologies avancées et à des processus solides. Cette synergie permet une évaluation continue et pertinente des évolutions du paysage de la criminalité financière.
2. Qualité des données : Des données fiables et de haute qualité sont essentielles pour une évaluation précise des risques. Les entreprises qui investissent dans des cadres solides de gouvernance des données garantissent l’intégrité des informations tout en tirant parti des capacités technologiques existantes, telles que l’analyse de réseaux, la résolution dynamique des entités et des sources de données externes fiables.
3. Automatisation : En adoptant des applications d’EREE dédiées à la criminalité financière, des outils d’analyse de données et l’intelligence artificielle générative, les établissements financiers peuvent réduire les délais d’évaluation et améliorer leur efficacité globale. La nouvelle génération de solutions de gouvernance, de gestion des risques et de conformité offre des capacités d’automatisation des évaluations de risques, mieux adaptées aux besoins spécifiques des EREE en matière de criminalité financière.
4. Soutien des dirigeants : Ce dernier levier est essentiel pour réussir la transformation des EREE liées à la criminalité financière. Le degré d’implication active des dirigeants est déterminant. Ils peuvent allouer les ressources nécessaires, tant financières qu’humaines, à ces initiatives. Ils donnent l’impulsion au plus haut niveau, mettant en lumière une gestion rigoureuse des risques de criminalité financière et favorisant une culture saine de responsabilité et de conformité.

Redéfinir les modèles opérationnels

Pour intégrer les EREE dans les cadres de gouvernance et de gestion des risques, les entreprises tournées vers l’avenir repensent leurs modèles opérationnels :

• Elles renforcent la collaboration entre les parties prenantes des premières et deuxièmes lignes de défense.
• Elles développent des solutions évolutives qui tirent parti des technologies émergentes afin de répondre à la complexité des multinationales des services financiers.
• Elles veillent à ce que les enseignements issus des EREE soient intégrés de manière fluide dans les processus de prise de décision stratégique.

En adoptant ces approches innovantes, les établissements financiers peuvent transformer les EREE en outils dynamiques et générateurs de valeur, qui répondent non seulement aux attentes réglementaires mais contribuent également à leur différenciation stratégique.

Pedro Arevalo, administrateur, Financial Crime, Cyber & Forensics, PwC UK, Londres, Royaume-Uni, pedro.arevalo@pwc.com,

Avertissement : Les opinions exprimées dans cet article sont uniquement celles de lʼauteur et ne sont pas censées représenter les opinions de son employeur.