Décision de la Commission des sanctions – procédure no 2022-07
TREEZOR
Procédure n^o 2022-07
––––– Blâme et sanction pécuniaire d’un million d’euros
–––––
Audience du 28 mars 2024
Décision rendue le 9 avril 2024
AUTORITÉ DE CONTRÔLE PRUDENTIEL ET DE RÉSOLUTION COMMISSION DES SANCTIONS
–––––––––––––––
Vu la lettre du 13 décembre 2022 par laquelle le Président de l’Autorité de contrôle prudentiel et de résolution (ACPR) informe la Commission des sanctions (ci-après la « Commission ») de ce que le Collège de supervision de l’ACPR (ci-après le « Collège »), statuant en sa formation restreinte, a décidé d’ouvrir une procédure disciplinaire à l’encontre de la société par actions simplifiée AC, dont le siège social est 33, avenue de Wagram, 75017 Paris ;
Vu la notification des griefs du 13 décembre 2022 ;
Vu les mémoires en défense des 1er mars et 23 juin 2023, par lesquels la société AC (i) conteste la plupart des griefs qui lui ont été notifiés, (ii) présente les actions menées depuis la fin de la mission de contrôle sur place pour améliorer son dispositif de LCB-FT et (iii) demande que l’audience ne soit pas publique et la décision ne soit pas nominative ;
Vu les mémoires en réplique des 9 mai et 25 juillet 2023, par lesquels le Collège, représenté par M. X Y, maintient tous les griefs notifiés ;
Vu le rapport du 21 février 2024 de M. Matias de Sainte Lorette, rapporteur, qui conclut que les griefs 1, 2, 3, 4 et 5 sont fondés – le deuxième dans un périmètre réduit – et que le sixième ne l’est pas ;
Vu les courriers du 22 février 2024 convoquant à l’audience les parties ainsi que la direction générale du Trésor (DGT) et les informant de la composition de la Commission ;
Vu les observations formulées le 8 mars 2024 en réponse au rapport du rapporteur, par lesquelles la société AC, d’une part, soutient que, si l’organisation de son dispositif de LCB-FT était perfectible au moment du contrôle, cela n’implique pas qu’elle aurait manqué à ses obligations et, d’autre part, présente les actions correctives mises en œuvre depuis ;
Vu les autres pièces du dossier, notamment le rapport de contrôle signé le 23 juin 2022 ;
Autorité de contrôle prudentiel et de résolution 1

---

Décision de la Commission des sanctions – procédure no 2022-07
Vu le code monétaire et financier (ci-après le « CMF »), notamment ses articles L. […], L. 561- 15, L. 561-16, L. 561-32, R. 561-38 dans leur rédaction en vigueur au moment des faits ;
Vu l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumises au contrôle de l’ACPR (ci-après « l’arrêté du 3 novembre 2014 »), notamment son article 11 ;
Vu l’arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et de gel des avoirs et d’interdiction de mise à disposition ou d’utilisation des fonds ou ressources économiques (ci-après « l’arrêté du 6 janvier 2021 »), notamment ses articles 4, 6 et 13 ;
Vu le règlement intérieur de la Commission des sanctions ;
La Commission des sanctions de l’ACPR, composée M. Z AA, Président, M^me Claudie Boiteau, M^me Elisabeth Pauly, M^me Edith Sudre et M. Philippe AB, membres de la Commission ;
Après avoir entendu, lors de sa séance non publique du 28 mars 2024 :
M. de Sainte Lorette, rapporteur, assisté de M^me Lysiane Dauphin, son adjointe ;
M. Y, représentant du Collège, assisté de la directrice des affaires juridiques, de la cheffe du service des affaires institutionnelles et du droit public ainsi que de deux juristes au sein de ce service ; M. Y a proposé à la Commission de prononcer un blâme et une sanction pécuniaire d’un million d’euros par une décision publiée sous une forme nominative ;
la société AC, représentée par son président, assisté du directeur des risques et de la conformité de AC, du directeur général de Société Générale Ventures et d’une juriste sécurité financière à la direction juridique de la Société Générale, dont les avocats sont M^es Martine Samuelian, X Lyon-Lynch et Julie Serrier, avocats à la Cour (cabinet Jeantet) ;
En l’absence de la direction générale du Trésor, dûment convoquée ;
Après avoir délibéré en la seule présence de M. AA, Président, M^me Boiteau, M^me Pauly, M^me Sudre et M. AB, ainsi que de M. Jean-Manuel Clemmer, chef du service de la Commission des sanctions, faisant fonction de secrétaire de séance ;
1. La société AC a été agréée en qualité d’établissement de monnaie électronique le 21 juin 2016. Elle a été l’une des premières en France à pratiquer le Banking-as-a-Service (Baas) et elle occupe aujourd’hui une place de tout premier plan dans ce secteur. Elle fournit à ce titre, via une interface de programmation, une gamme de services de paiement en marque blanche à ses clients, principalement des fintechs et, de plus en plus désormais, de grandes entreprises. Elle demande le plus souvent l’enregistrement des fintechs en qualité d’agent de prestataire de services de paiement (APSP), mais certains de ces clients sont distributeurs de monnaie électronique ou émetteurs de titres spéciaux de paiement, même s’ils sont ensuite susceptibles d’être agréés en qualité d’établissement de paiement. Acquise en 2019 par la Société Générale (SG), elle employait alors 38 collaborateurs et fournissait ses services à 22 entreprises du secteur financier. Le nombre de ses collaborateurs était de 140 au moment du contrôle. Fin 2023, elle comptait […] agents et distributeurs et environ […] clients finaux, ce dernier chiffre étant en très nette diminution en raison de l’interruption de sa relation d’affaires avec son agent [A] en 2023 ([…] millions de clients finaux).
2. La société AC a fait l’objet, du 14 juin au 15 octobre 2021, d’un contrôle sur place, qui a donné lieu à la signature, le 23 juin 2022, d’un rapport (ci-après le « rapport de contrôle »). Au vu de ce rapport, le Collège, statuant en sa formation restreinte, a décidé, lors de sa séance du 21 novembre 2022,
Autorité de contrôle prudentiel et de résolution 2

---

Décision de la Commission des sanctions – procédure no 2022-07
d’ouvrir la présente procédure disciplinaire, dont la Commission a été saisie par une lettre du 13 décembre 2022.
I- PROFIL DE RISQUE DE LA CLIENTELE
Le grief 1
3. Le I de l’article L. 561-32 du CMF dispose que : « Les personnes mentionnées à l’article L. 561- 2 mettent en place une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l’évaluation des risques prévue à l’article L. 561-4-1. En tenant compte du volume et de la nature de leur activité ainsi que des risques présentés par les relations d’affaires qu’elles établissent, elles déterminent un profil de la relation d’affaires permettant d’exercer la vigilance constante prévue à l’article L. […]. Lorsque les personnes mentionnées ci-dessus appartiennent à un groupe défini à l’article L. 561-33, et si l’entreprise mère du groupe a son siège social en France, cette dernière définit au niveau du groupe l’organisation et les procédures mentionnées ci-dessus et veille à leur respect. Les personnes mentionnées ci-dessus mettent en place un dispositif de gestion des risques permettant de détecter les personnes mentionnées au 1° et les opérations mentionnées au 3° de l’article L. 561-10 ainsi que celles mentionnée aux articles L. […] et L. 561-15 […] ». L’article 6 de l’arrêté du 6 janvier 2021 prévoit : « Les procédures internes mentionnées au I de l’article L. 561-32 du code monétaire et financier précisent notamment, pour l’ensemble des activités : (…) 3° Les modalités de définition du profil de risque de chaque relation d’affaires, qui tiennent compte notamment : / – de la classification des risques mentionnée à l’article 2 ; / – de la connaissance actualisée de la relation d’affaires mentionnée à l’article R. 561-12 du même code, notamment de l’activité et de la situation financière du client, ainsi que de la nature des opérations envisagées ou effectuées ; / – de toute déclaration transmise dans les conditions de l’article L. 561-15 du même code ;/ – de toute désignation reçue au titre de l’article L. 561-26 du même code ; / – de toute mesure de gel (…) ».
4. Selon le grief 1, fondé sur ces dispositions : A) En premier lieu, le modèle de notation [B] que la société utilisait était insuffisamment discriminant puisqu’il conduisait à attribuer un niveau de risque « faible » ou « moyennement faible » à 99,8 % des clients et un risque « moyennement élevé » ou « élevé » à 0,2% d’entre eux seulement. En conséquence, la société ne mettait en œuvre des mesures de vigilance renforcées qu’à l’égard d’une infime partie de la clientèle. Ce modèle n’était en outre pas cohérent avec les risques de blanchiment de capitaux et de financement du terrorisme (« BC-FT ») auxquels l’établissement est exposé compte tenu de son activité, notamment dans des secteurs particulièrement risqués (émission de monnaie électronique, recours à des agents de prestataires de services de paiement (APSP) et tenue de comptes de paiement). À titre d’illustration, sur environ 30 000 clients apportés par son APSP [C], […], 28 seulement étaient classés en risque « élevé » ou « moyennement élevé ». La mission a en particulier détecté trois clients ou bénéficiaires effectifs de clients condamnés pour trafic d’armes, pour détention illicite d’armes et d’explosifs ou encore pour leur participation à des attentats (dossiers 1.1, 1.2 et 1.3). De même, la notation des clients ayant fait l’objet d’un droit de communication de Tracfin ou d’une réquisition judiciaire n’était pas réévaluée (à titre d’exemple, dossiers 1.4., 1.5 et 1.6). Première branche du grief B) En deuxième lieu, la pertinence du profil de risque des clients était affectée par le manque de fiabilité des bases de données de AC relatives à l’identification et à la connaissance des clients. À titre d’illustration, des données sur le statut juridique d’associations étaient erronées, alors que ces données concourent à la notation du client. Ainsi, sur 9 associations dont les dossiers ont été examinés par la mission de contrôle, 4 étaient enregistrées en tant que SARL et faisaient l’objet d’un profil de risque [B] faible voire inexistant, alors que Tracfin souligne le caractère plus risqué de ce type de clientèle. Deuxième branche du grief C) En troisième lieu, le profil de risque attribué au client n’avait pas d’incidence sur la nature et l’étendue des informations collectées au titre de la vigilance. Troisième branche du grief
Autorité de contrôle prudentiel et de résolution 3

---

Décision de la Commission des sanctions – procédure no 2022-07
Position de la Commission

Sur la première branche du grief
5. Il ressort de la « revue du dispositif de surveillance de LCB-FT des opérations », qui a donné lieu à un rapport de la direction de la conformité de la Société Générale (CPLE/FCC/AML) du 4 mars 2020, qu’à cette date, AC n’avait ni formalisé une classification des risques de BC-FT applicable à ses clients finaux, ni défini de profils de risque des relations d’affaires. L’établissement se contentait d’un classement binaire effectué par son outil [D], qui distinguait principalement les personnes politiquement exposées et les autres clients. En complément, les clients ayant fait l’objet d’un « évènement AML » (c’est-à-dire d’une déclaration ou d’un droit de communication de Tracfin ou encore d’une réquisition judiciaire) étaient classés manuellement en risque élevé. Ainsi, jusqu’en mars 2020, le classement des clients par niveau de risque, très rudimentaire, ne pouvait permettre à AC de respecter les obligations définies, depuis longtemps déjà, par le I de l’article L. 561-32 du CMF. L’amélioration du dispositif a ensuite été progressive. Le déploiement d’une version 2 de l’outil [B] de notation de la clientèle utilisé par le groupe Société Générale était encore en cours au moment du contrôle et la mission de contrôle a relevé que « l’utilisation du [D] a vocation à disparaître au profit de l’utilisation de l’outil [B] qui a été effective dès début février 2021 pour les entrées en relation, la reprise du stock de clients ayant été réalisée entre début mars et mai 2021 ». L’outil [B] et l’outil [D] étaient donc utilisés concurremment. Ce n’est que la version 3 de l’outil [B], déployée à partir de décembre 2022, soit postérieurement au contrôle sur place, qui a pris en compte des facteurs de risque comme l’entrée en relation d’affaires à distance, les canaux de distribution, les demandes d’information de Tracfin ou les réquisitions judiciaires. La société ne peut par ailleurs soutenir utilement que certains facteurs de risque étaient pris en compte manuellement, dès lors qu’elle admet que les éventuelles modifications du profil de risque des clients qui auraient pu résulter d’une telle prise en compte ne faisaient l’objet d’aucune formalisation ni d’aucune conservation. Au moment du contrôle sur place, le dispositif de AC était donc insuffisant. Il était par ailleurs très peu discriminant, puisque presque tous les clients finaux étaient placés en risque faible. Il est vrai que, comme le relève la société, si elle rend vraisemblable le manquement d’un établissement assujetti à ses obligations, la seule circonstance qu’un pourcentage très élevé de clients est classé dans une catégorie de risques ne peut suffire à l’établir si la poursuite ne démontre pas que ce pourcentage n’est pas justifié par les caractéristiques de sa clientèle (voir la décision de la CS du 12 juillet 2021 American Express Carte France, n°2020-06, point 11). Cependant, en l’espèce, le pourcentage de 0,2% – ou 0,8%, selon la défense – de la clientèle en risque élevé ou moyennement élevé – soit un pourcentage presque nul – ne saurait être regardé comme justifié par les caractéristiques de l’établissement et par les risques auxquels l’exposent son modèle économique et la diversité de ses activités, de ses agents ou distributeurs et de ses clients finaux. En particulier, l’entrée en relation d’affaires avec les clients finaux par l’intermédiaire d’agents et de distributeurs, y compris d’un agent comme [C], qui a une activité de courtier en armes, qui recueillent seuls les informations d’identification et de connaissance de la clientèle et dont les activités sont par ailleurs très variées, est un facteur de risque non seulement de fraude, notamment documentaire, mais aussi de BC-FT, même si agents et distributeurs sont en principe tenus de respecter les obligations définies par leur contrat. Par ailleurs, la société AC ne peut utilement soutenir que ses clients finaux personnes physiques étaient presque tous localisés sur le territoire français et que leurs opérations étaient très majoritairement réalisées par carte ou virement, avec des flux essentiellement domestiques ou SEPA. En effet, même si AC n’offrait pas la possibilité de verser des espèces sur un compte de paiement ni de transmettre des fonds, les opérations de ses clients finaux, même exécutées en France par des résidents français, étaient susceptibles de présenter des niveaux de risque de BC-FT très variables.
Il résulte de tout ce qui précède que le reproche d’un dispositif de notation insuffisamment discriminant et peu cohérent avec les risques auxquels l’établissement était exposé est fondé.
Autorité de contrôle prudentiel et de résolution 4

---

Décision de la Commission des sanctions – procédure no 2022-07
Ainsi qu’il a été indiqué au point 4 ci-dessus, la poursuite estime que le reproche est illustré par trois dossiers de clients ou bénéficiaires effectifs de clients de [C] – dossiers 1.1, 1.2 et 1.3 – classés en risque faible malgré des condamnations à des peines d’emprisonnement et par le défaut de classement en risque élevé de clients ayant fait l’objet d’une réquisition judiciaire ou d’une demande de communication de Tracfin (voir ci-après les dossiers de défaut de déclaration de soupçon 1.5 et 1.6 – le dossier 1.4 ayant été abandonné par la poursuite, ce dont il y a lieu de lui donner acte). Si la société AC soutient que, dans le dossier 1.1, il incombait à la poursuite d’apporter la preuve que ses diligences avaient été insuffisantes au regard de la notoriété des informations publiées dans la presse et que, dans les dossiers 1.2 et 1.3, les condamnations étaient trop anciennes pour justifier une réévaluation du profil de risque des clients, la circonstance que le reproche ne serait illustré que par les dossiers 1.5 et 1.6 serait en tout état de cause sans incidence sur son bien-fondé, dès lors que, comme il a été dit, c’est le dispositif même de notation de la société qui était défaillant. La première branche du grief 1 est donc fondée.


Sur la deuxième branche du grief
6. La notification des griefs indique clairement que, selon la poursuite, le manque de fiabilité des bases de données de la société, non seulement pour l’identification, mais aussi pour la connaissance des clients, affecte le profil de risque des clients et elle renvoie aux éléments retenus par le constat n° 8 du rapport de contrôle, relatif à l’identification des clients, et par son annexe 4, relative à la fois à l’identification et à la connaissance des clients. Il n’y a donc pas lieu, contrairement à ce que soutient AC, de limiter la portée du reproche, formulé en des termes suffisamment précis pour permettre à la société de présenter utilement ses observations en défense, en ne prenant en compte que les insuffisances reprochées en matière d’identification des clients.
7. Le rapport de contrôle, qui, contrairement à ce que soutient AC, ne s’est pas borné à examiner un échantillon de 166 dossiers – dont la défense conteste la représentativité – mais a fondé ses conclusions sur une extraction et des analyses beaucoup plus larges, a relevé que certaines données essentielles d’identification des clients, personnes physiques (nom, prénoms, lieu de naissance, notamment) ou morales (forme juridique, date d’immatriculation, notamment) n’étaient pas toujours renseignées ni toujours fiables. En réponse à ce rapport, la société a indiqué que les problèmes étaient identifiés et qu’un chantier d’amélioration était en cours, en précisant : « Dans le prolongement de la mission de contrôle, TREEZOR entend remédier [aux] faiblesses en matière de qualité de données identifiées par la mission de contrôle ». Dans ses écritures devant la Commission, la société n’apporte pas de précision permettant de considérer que les actions entreprises à la suite du rapport de la direction de la conformité de la Société Générale du 4 mars 2020 déjà mentionné auraient été, contrairement à ce qui ressort de sa réponse au rapport de contrôle, achevées au moment du contrôle et elle conteste essentiellement l’impact des lacunes constatées sur la définition du profil de risque des clients. Or, alors même que, comme le relève la société, les clients personnes physiques étaient très majoritairement de nationalité française, des erreurs ou lacunes sur les données essentielles d’identification mentionnées ci-dessus pouvaient être de nature à affecter le profil de risque de certains clients. Pour les personnes morales, les erreurs sur l’adresse du siège social ou la date d’immatriculation au registre du commerce et des sociétés montrent une absence de rigueur dans le traitement des informations d’identification. Par ailleurs, les quatre dossiers d’associations mentionnés par la poursuite illustrent les conséquences qui peuvent résulter d’une erreur sur le statut juridique des personnes morales. En ce qui concerne les données relatives à la connaissance des clients et même si la notification des griefs ne donne sur ce point aucun exemple, le rapport de contrôle a relevé d’importantes lacunes. Dans sa réponse à ce rapport, la société a estimé que « cette position mérite, de notre point de vue, d’être nuancée dans la mesure où elle ne correspond pas vraiment aux constatations faites par la mission de
Autorité de contrôle prudentiel et de résolution 5

---

Décision de la Commission des sanctions – procédure no 2022-07
contrôle » et, devant la Commission, elle n’a pas contesté les insuffisances relevées dans les dossiers examinés par la mission. Au cours de la procédure contradictoire, elle n’a apporté aucune précision sur la deuxième branche du grief, les améliorations du cadre procédural qui ont suivi la remise du rapport de l’IGAD (Inspection générale et audit interne) du groupe en mai 2020 n’ayant pas permis, à la date du contrôle sur place, de remédier aux carences reprochées. Or, le manque de fiabilité des données relatives à la connaissance des clients (revenus, patrimoine, objet de la relation d’affaires…) est particulièrement susceptible d’affecter le profil de risque des clients. La deuxième branche du grief est donc fondée.

Sur la troisième branche du grief
8. Si AC soutient que la fréquence de revue des dossiers dépendait de l’appréciation du risque et indique qu’elle classait les PPE en risque élevé, elle n’apporte aucun élément de nature à contredire le constat n° 5 du rapport de contrôle de l’absence d’influence du profil de risque des clients sur les informations collectées. La troisième branche du grief est donc fondée.
9. Il résulte de ce qui a été dit aux points 5, 7 et 8 que le grief 1 est fondé. Les actions correctives que mentionne la société, mises en œuvre après le contrôle sur place, sont à cet égard sans incidence.
II- OBLIGATIONS DE VIGILANCE
A- Sur les obligations de vigilance constante
Le grief 2
10. En vertu des dispositions ci-dessus rappelées du troisième alinéa du I de l’article L. 561-32 du CMF, les établissements supervisés « mettent en place un dispositif de gestion des risques permettant de détecter les personnes mentionnées au 1° et les opérations mentionnées au 3° de l’article L. 561-10 ainsi que celles mentionnée aux articles L. […] et L. 561-15 […] ». L’article R. 561-38 du CMF précise que : « Les personnes mentionnées à l’article L. 561-2 s’assurent que l’organisation du dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme mentionné au I de l’article L. 561-32 est adaptée à leur taille, à la nature de leurs activités ainsi qu’aux risques identifiés par la classification des risques mentionnée à l’article L. 561-4-1. Cette organisation doit être dotée d’outils, de moyens matériels et humains permettant la mise en œuvre effective de l’ensemble des obligations de vigilance prévues au présent chapitre et en particulier la détection, le suivi et l’analyse des personnes et opérations mentionnées au troisième alinéa de l’article L. 561-32 ». Enfin, l’article 4 de l’arrêté du 6 janvier 2021 prévoit que : « le dispositif de gestion des risques mentionné au troisième alinéa du I de l’article L. 561-32 du code monétaire et financier, fondé sur la connaissance de la clientèle, permet notamment de : / 1° Détecter les opérations atypiques ou suspectes au regard, le cas échéant, du profil des relations d’affaires, sur la base de critères et de seuils de significativité ; / 2° Traiter les alertes, sur la base d’une analyse documentée, qui donnent lieu à un classement sans suite dûment motivé, à un examen renforcé au sens de l’article L. […] du code monétaire et financier, ou à une déclaration de soupçon dans les conditions de l’article L. 561-15 du code monétaire et financier. Ce dispositif est adapté aux caractéristiques des activités, de la clientèle, des implantations de l’organisme assujetti et aux risques identifiés par la classification des risques mentionnée à l’article 2 ».
Autorité de contrôle prudentiel et de résolution 6

---

Décision de la Commission des sanctions – procédure no 2022-07
11. Selon le grief 2, fondé sur ces dispositions :
A) En premier lieu, le dispositif automatisé de surveillance des opérations était insuffisant. Première branche du grief
Le dispositif automatisé fondé sur l’outil [E] présentait deux carences :
D’une part, le périmètre de surveillance de [E] était limité aux virements SEPA. Ainsi, les opérations de transferts de fonds entre des comptes ouverts via un même agent ne faisaient l’objet d’aucune surveillance par AC. D’autre part, les scenarios mis en place étaient lacunaires et inadaptés aux risques et à l’activité de l’établissement. En particulier : a) Les seuils de 10 000 euros et a fortiori de 50 000 euros par opération pour la détection de certains virements SEPA n’étaient pas adaptés aux caractéristiques des opérations, ce qu’a confirmé le département de la direction de la sécurité financière du groupe en charge du respect de la LCB-FT. En effet, les montants moyens des transactions étaient de 52 euros pour les particuliers et de 819 euros pour les entreprises. La mission de contrôle a relevé plusieurs défauts de déclaration de soupçon (DS) portant sur des virements d’un montant important mais inférieur à ces seuils de 10 000 euros ou de 50 000 euros (à titre d’exemple, voir les défauts de déclaration de soupçon reprochés dans les dossiers 4.11, 4.1 et 4.14) ; b) Les scenarios ne tenaient pas ou insuffisamment compte des informations détenues au titre de la connaissance clientèle, telles que les revenus du client ou le fonctionnement attendu du compte, ou encore le profil de risque du client, puisqu’un seul scenario prenait en compte, parmi d’autres critères, cette notation. À titre d’illustration, la mission de contrôle a relevé plusieurs défauts de DS portant sur l’incohérence entre les opérations et les activités du client (à titre d’exemple, voir les défauts de déclaration de soupçon 4.22, 4.23 et 4.53) ; c) Les scenarios ne permettaient pas de prendre en compte le cumul d’opérations, notamment fractionnées. À titre d’illustration, la mission de contrôle a relevé plusieurs défauts de DS portant sur un cumul des opérations sur une année, incohérent au regard du chiffre d’affaires ou des revenus déclarés (voir les dossiers 4.7 et 4.32) ; d) Ils ne permettaient pas d’assurer une surveillance consolidée des opérations d’un même client, ce que confirme le département de la direction de la sécurité financière du groupe en charge du respect de la LCB-FT, a fortiori lorsqu’elles étaient réalisées auprès de plusieurs agents. Or la mission de contrôle a pu dénombrer près de 6 500 clients ayant au moins un compte client auprès d’au moins deux agents différents. À titre d’illustration, la mission de contrôle a relevé plusieurs défauts de DS portant sur des clients ayant ouvert plusieurs comptes auprès de AC par le biais de différents agents (à titre d’exemple, dossiers 4.6, 4.12 et 4.39); e) Aucun scenario spécifique lié au risque du financement du terrorisme n’avait été mis en place alors, notamment, qu’un des agents de l’établissement est une place de marché spécialisée en particulier dans le commerce d’armes.
Par ailleurs, les outils spécifiques à la fraude étaient également insuffisants pour détecter des opérations de BC-FT.
En effet, les outils [F] et [G] avaient un périmètre limité aux seules opérations par carte. En outre, la surveillance des opérations était réalisée par carte bancaire et non par compte client, ce qui ne permettait pas une surveillance consolidée des opérations d’un même client. De plus, elle ne tenait compte d’aucun élément de connaissance clientèle.
Autorité de contrôle prudentiel et de résolution 7

---

Décision de la Commission des sanctions – procédure no 2022-07
B) En second lieu, le dispositif de surveillance des opérations répondait à une logique de prévention de la fraude plutôt que de LCB-FT. 2ème branche du grief
En particulier, aucune conséquence suffisante n’était tirée des analyses des alertes réalisées en matière de prévention de la fraude pour la mise en œuvre des obligations de LCB-FT. Dans 50 % des défauts de déclaration de soupçon identifiés par la mission de contrôle, soit 28 sur 56, l’établissement n’a pas réalisé de déclaration à Tracfin alors qu’il avait des soupçons de « fraudes » l’ayant conduit à clôturer le compte du client (dossiers 4.1, 4.4, 4.5, 4.6, 4.7, 4.12, 4.[…].16, 4.18, 4.19, 4.25, 4.27, 4.28, 4.29, 4.[…].32, 4.34, 4.36, 4.37, 4.38, 4.39, 4.40, 4.41, 4.43, 4.44, 4.47, 4.48 et 4.50).


Position de la Commission

Sur la première branche du grief
12. D’une part, comme le soutient la poursuite, le périmètre de l’outil [E] était limité aux virements SEPA, qui ne représentaient en 2021 qu’environ 15 % du total des flux, mais auxquels étaient pourtant cantonnés les 4 scenarios de détection des opérations atypiques alors utilisés.
Les opérations de transfert entre comptes ouverts par l’intermédiaire d’un même agent, qui représentaient 8,81% des flux, soit environ […] millions d’opérations en 2021, n’entraient dans le champ d’aucun dispositif automatisé de contrôle, comme l’admet la société et, si celle-ci soutient qu’un suivi manuel de ces opérations avait été mis en place, ce qui avait conduit à la remontée d’un nombre très significatif d’alertes, un dispositif non-automatisé ne pouvait suffire dès lors qu’il n’intervenait que si une alerte était d’abord déclenchée et que le volume des opérations en cause était élevé.
13. D’autre part, les scenarios de détection des opérations atypiques présentaient plusieurs insuffisances notables.
a) Ainsi que la Commission l’a rappelé à plusieurs reprises, les seuils utilisés pour paramétrer de tels scenarios doivent être adaptés au montant moyen des opérations des clients (voir notamment la décision Only Payment Services du 4 février 2020, procédure n° 2019-04, point 19). Tel n’était pas le cas des seuils de 10 000 et 50 000 euros, utilisés dans deux des quatre scenarios alors en vigueur, compte-tenu du montant moyen des opérations des clients que mentionne la défense elle-même. De tels seuils laissaient en effet à l’écart la plupart des opérations. Est à cet égard sans incidence le fait que cette carence ne soit illustrée que par un dossier (dossier 4.11), l’agent ayant détecté le caractère atypique des opérations dans les deux autres dossiers que mentionne à titre d’illustration la poursuite (dossiers 4.1 et 4.14).
b) Ni le faible montant moyen des opérations ni leur nature (opérations principalement réalisées en France par virement SEPA ou par carte bancaire) ne pouvaient justifier que les scenarios alors utilisés ne tiennent pas compte d’informations telles que les revenus ou le fonctionnement attendu du compte et qu’un seul scenario prenne en compte le profil de risque du client. La société ne conteste pas les constats de la mission de contrôle et l’insuffisance de son dispositif sur ce point est caractérisée, sans qu’ait d’incidence le fait que les trois dossiers mentionnés par la poursuite ne peuvent l’illustrer, dès lors que le caractère atypique des opérations a été détecté par l’établissement.
c) Si la société AC soutient que les cumuls d’opérations, dont elle admet que son outil [E] ne les prenait pas en considération, étaient pris en compte par l’outil groupe [H], elle n’apporte aucune précision sur les caractéristiques de cet outil ni sur l’utilisation qui en aurait été faite pour pallier l’insuffisance reprochée. Cette carence du dispositif de AC est illustrée par le dossier 4.7. Elle ne l’est pas, en revanche, par le dossier 4.32, dès lors que des mouvements suspects ont été détectés sur le compte et qu’une demande d’informations a été adressée le […].
Autorité de contrôle prudentiel et de résolution 8

---

Décision de la Commission des sanctions – procédure no 2022-07
d) Le rapport de la direction de la conformité de la Société Générale (CPLE) déjà mentionné soulignait, dès mars 2020, l’absence de surveillance consolidée des opérations d’un même client final sur des comptes ouverts auprès d’agents différents. Or la mission de contrôle a relevé 6 500 cas de clients ayant ouvert un compte auprès d’au moins deux agents. Si la défense soutient qu’une consolidation était effectuée manuellement dans les cas où une alerte était reçue, ce dispositif était insuffisant dès lors qu’il ne valait en tout état de cause que si une alerte avait déjà été déclenchée. Cette carence est illustrée par les dossiers 4.12 et 4.39, dans lesquels AC n’a établi aucune relation entre les comptes simultanément détenus par les clients. En revanche, dans le dossier 4.6, si, malgré la fraude avérée sur le compte [I], qui avait été détectée, le client a pu ouvrir deux autres comptes, c’est un défaut de surveillance d’entrées en relation d’affaires successives qui est en cause, non un défaut de prise en considération de comptes simultanément détenus.
e) Enfin, la société AC ne conteste pas qu’au moment du contrôle, elle n’avait pas mis en place de scenario permettant de détecter des opérations susceptibles de relever du financement du terrorisme. Elle indique elle-même qu’elle juge nécessaire d’intégrer désormais « dans son dispositif de surveillance automatisé des opérations, différents critères susceptibles de déceler les risques de FT ».
14. Par ailleurs, les outils [F] et [G] étaient des outils conçus pour la gestion de règles anti-fraude et le blocage des cartes considérées comme frauduleuses et non pour la LCB-FT. Ils procédaient à la surveillance des opérations par carte bancaire et non par compte client, ne tenaient pas compte des éléments de connaissance des clients et ne permettaient pas une surveillance consolidée des opérations d’un même client, sans que le traitement manuel que mentionne AC ait été de nature à pallier cette carence, dès lors qu’il n’intervenait que si une alerte était d’abord déclenchée et que le volume des opérations en cause était très élevé. La circonstance que certaines déclarations de soupçon aient été faites à la suite d’alertes provoquées par ces dispositifs ne saurait suffire pour considérer que ceux-ci étaient des dispositifs appropriés de LCB-FT. Quant au déploiement, au cours du second semestre 2023, de l’outil [J], qui surveille la totalité des flux entrants et sortants, il s’analyse comme une action correctrice.
15. Il résulte de ce qui a été dit aux points 12 à 14 que la première branche du grief 2 est fondée, les actions de remédiation mises en œuvre après le contrôle sur place étant à cet égard sans incidence.
Sur la seconde branche du grief
16. La société reconnaît que la fraude documentaire était regardée, au moment du contrôle, comme le risque principal auquel elle était exposée. Il était cohérent avec cette analyse que, ainsi que l’a relevé le rapport de contrôle (constat n°17), le dispositif de surveillance des opérations de AC réponde d’abord à une exigence de prévention de la fraude, et non à une logique de LCB-FT.
Il peut exister, il est vrai, une imbrication entre la lutte contre la fraude et la LCB-FT. Cependant, les logiques, les exigences et les procédures ne se confondent pas.
Comme on l’a dit au point 14 ci-dessus, en matière de LCB-FT, il incombe à l’organisme assujetti de détecter les opérations atypiques au regard du profil de la relation d’affaires, ce que ne permet pas, sinon de façon aléatoire, un dispositif conçu d’abord pour détecter des fraudes.
Il incombe également à l’organisme assujetti, une fois l’alerte déclenchée, de la traiter en se posant les questions et en lui donnant la suite qu’exige la LCB-FT : il s’agit de savoir si le caractère atypique de l’opération qui est à l’origine de l’alerte, au regard du profil de la relation d’affaires, peut être expliqué et tout risque de BC-FT écarté ; en cas de réponse positive, l’alerte est classée sans suite ; dans le cas contraire, l’opération doit faire l’objet d’un examen renforcé ou d’une DS. Dans une logique prioritaire
Autorité de contrôle prudentiel et de résolution 9

---

Décision de la Commission des sanctions – procédure no 2022-07
de lutte contre la fraude, en revanche, il s’agit d’abord de savoir si l’opération qui a été signalée par l’alerte révèle une fraude et s’il y a lieu, pour cette raison, de clôturer le compte.
Il faut ajouter que la règlementation en matière de LCB-FT exige en outre que l’organisme assujetti soit en mesure de justifier ses choix : il ne peut notamment classer sans suite une alerte que par une décision motivée.
La poursuite se borne à reprocher à AC de n’avoir pas tiré, des analyses des « alertes réalisées en matière de prévention de la fraude », des conséquences suffisantes pour la mise en œuvre des obligations LCB-FT. La notification des griefs en voit la preuve dans le fait que, dans 28 dossiers examinés par la mission de contrôle, AC s’est contentée, après une alerte, de clôturer le compte des clients, sans faire une DS, pourtant nécessaire selon la poursuite.
Or, des DS ont été adressées à Tracfin à la suite des alertes déclenchées par le dispositif de surveillance de AC – 229 entre janvier et mi-juillet 2021 selon le rapport de contrôle – ce qui implique que AC ne se soit pas seulement préoccupée de savoir si l’opération signalée par une alerte révélait une fraude et s’il y avait seulement lieu de clôturer le compte, mais qu’elle ait également pris en compte une logique de LCB-FT, comme le prévoyait d’ailleurs le document intitulé « AC politique déclaration de soupçon » qu’elle a produit.
Si, au vu des informations dont elle dispose, la Commission est dans l’impossibilité de mesurer si les cas dans lesquels les alertes ont ainsi contribué à la LCB-FT sont représentatifs d’une pratique générale ou accidentels et s’il est vraisemblable que le dispositif de traitement des alertes de AC ne prenait pas en compte systématiquement les exigences de la LCB-FT, les écritures de la poursuite ne permettent pas de regarder comme établi un manquement précis à l’une des obligations rappelées plus haut. Par ailleurs, on ne saurait en tout état de cause retenir, sur le fondement des textes visés au point 10 ci-dessus, des défauts de DS – qui sont d’ailleurs à nouveau reprochés, sur le fondement de l’article L. 561-15 du CMF, par le grief 4 (cf. ci-dessous).
La seconde branche du grief 2 ne peut dès lors qu’être écartée.
17. Il résulte de ce qui a été dit aux points 15 et 16 que seule la première branche du grief 2 est fondée.
B-Sur l’obligation d’examen renforcé
Le grief 3
18. En vertu de l’article L. […] du CMF, les organismes assujettis « effectuent un examen renforcé de toute opération particulièrement complexe ou d’un montant inhabituellement élevé ou ne paraissant pas avoir de justification économique ou d’objet licite. Dans ce cas, ces personnes se renseignent auprès du client sur l’origine des fonds et la destination de ces sommes ainsi que sur l’objet de l’opération et l’identité de la personne qui en bénéficie ».
19. Selon le grief 3, fondé sur ces dispositions, la société AC a manqué à son obligation d’effectuer un examen renforcé dans 6 cas (dossiers 3.1 ; 3.2 ; 3.3 ; 3.4 ; 3.5 ; 3.6).


Position de la Commission
20. Dans le dossier 3.1, qui concerne une société immatriculée le […] et dont le compte a été ouvert le […] via l’agent [K], les 3 opérations mentionnées par la poursuite présentaient un caractère atypique et ne semblaient pas avoir de justification économique. Tout d’abord, si le virement de […] euros, le […], au bénéfice du dirigeant de la société, avec la mention « prêt associé », pouvait correspondre à un remboursement d’avance en compte courant
Autorité de contrôle prudentiel et de résolution 10

---

Décision de la Commission des sanctions – procédure no 2022-07
d’associé, sa cohérence avec l’activité de ce compte, utilisé principalement comme un compte de passage, aurait dû être vérifiée. Il en est de même du virement de […] euros exécuté le […], avec la mention « avance », vers la société par actions simplifiée [A1], paiement dont la contrepartie n’apparaissait pas au vu des éléments dont disposait AC. Enfin, l’achat de plus de […] euros de parfums le […], par virement sur un compte bancaire ouvert en […], ne pouvait paraître cohérent avec l’objet social de la cliente […]. Cette opération ne paraissait pas cohérente non plus avec la présentation de la société qui figurait alors sur son site internet […]. Le reproche est donc fondé.
21. Dans le dossier 3.2, client entré en relation d’affaires le […] en ouvrant un compte via l’agent
[L], la réitération, entre le […] et le […], de virements à l’intention du client lui-même et de quatre de ses codétenus au centre pénitentiaire de […], pour un montant total de […] euros (environ […] euros par virement), élevé au regard des ressources de ce client […], aurait dû donner lieu à un examen renforcé afin de vérifier la licéité et la justification économique des opérations, sans que la légalité de tels virements ait d’incidence sur la nécessité, en l’espèce, de procéder à un tel examen.
22. Dans le dossier 3.3, société qui exerçait une activité de conducteur de véhicules de tourisme avec chauffeur (VTC), [la quasi-totalité] des sommes enregistrées sur le compte entre […] et […] provenaient du fonds de solidarité COVID tandis que le compte enregistrait […] retraits en DAB et que […] autres opérations bénéficiaient à diverses personnes physiques pour un montant d’environ […] euros. Si la défense précise que la société a été immatriculée […], ce qui exclut qu’elle l’ait été uniquement pour recevoir des aides de l’État au cours de la période mentionnée, la quasi-absence de recettes issues de l’activité au crédit du compte et l’absence de justification économique des opérations enregistrées au débit auraient dû conduire la société AC à effectuer un examen renforcé de ces opérations.
23. Dans le dossier 3.4, société exerçant une activité de vente à distance sur catalogue spécialisé […],, entrée en relation d’affaires le […] via l’agent [M], les […] opérations d’achat de crypto-actifs sur la plateforme [N], réalisées entre […] et […], pour un montant total de […] euros, paraissaient d’un montant très élevé au regard du chiffre d’affaires déclaré de la société, soit […] euros. De même, les virements effectués au bénéfice d’un tiers, [O], qui détenait un compte auprès d’un organisme financier en Belgique pour un montant légèrement supérieur à […] euros, auraient dû donner lieu à un examen renforcé afin d’en établir la justification économique et d’en vérifier la licéité.
24. Dans le dossier 3.5, client qui exerçait, à titre libéral, une activité [dans le secteur du conseil en informatique], le virement sur un compte qui lui appartenait, à cinq reprises, de sommes tout juste inférieures […] au seuil de détection des opérations atypiques, aurait dû conduire l’établissement à rechercher, par un examen renforcé, s’il s’agissait d’opérations fractionnées, alors même que leur montant n’était pas incohérent avec les flux enregistrés sur le compte de paiement du client – soit plus de […] euros de […] à […].

25. Dans le dossier 3.6, la cliente, qui se présentait comme [une ONG humanitaire] avait été créée en […] et recevait des contributions provenant de particuliers […]. Les opérations débitrices enregistrées sur le compte de cette association, en particulier (i) de très nombreux transferts de fonds pour des montants significatifs ([…] opérations représentant en tout […] euros) effectués via la société [P] et (ii) des virements vers un compte ouvert dans les livres de l’établissement de monnaie électronique […] [Q], auraient dû donner lieu à un examen renforcé afin de vérifier la cohérence des flux financiers avec l’objet de l’association ainsi que la destination des fonds.
26. Le grief 3 est donc fondé pour les 6 dossiers retenus par la poursuite.
Autorité de contrôle prudentiel et de résolution 11

---

Décision de la Commission des sanctions – procédure no 2022-07
III- Obligations déclaratives
A. Les défauts de déclaration de soupçon
Le grief 4
27. L’article L. 561-15 du CMF dispose que : « I. – Les personnes mentionnées à l’article L. 561-2 sont tenues, dans les conditions fixées par le présent chapitre, de déclarer au service mentionné à l’article L. 561-23 les sommes inscrites dans leurs livres ou les opérations portant sur des sommes dont elles savent, soupçonnent ou ont de bonnes raisons de soupçonner qu’elles proviennent d’une infraction passible d’une peine privative de liberté supérieure à un an ou sont liées au financement du terrorisme. II. – Par dérogation au I, les personnes mentionnées à l’article L. 561-2 déclarent au service mentionné à l’article L. 561-23 les sommes ou opérations dont ils savent, soupçonnent ou ont de bonnes raisons de soupçonner qu’elles proviennent d’une fraude fiscale lorsqu’il y a présence d’au moins un critère défini par décret. III. – A l’issue de l’examen renforcé prescrit à l’article L. […], les personnes mentionnées à l’article L. 561-2 effectuent, le cas échéant, la déclaration prévue au I du présent article. IV. – Toute information de nature à infirmer, conforter ou modifier les éléments contenus dans la déclaration est portée, sans délai, à la connaissance du service mentionné à l’article L. 561-23 ».
28. Selon le grief 4, fondé sur ces dispositions, la société AC a manqué à ses obligations déclaratives dans 56 cas (4.1 ; 4.2 ; 4.3 ; 4.4 ; 4.5 ; 4.6 ; 4.7 ; 4.8 ; 4.9 ; 4.10 ; 4.11 ; 4.12 ; 4.13 ; 4.14 ; 4.15 ; 4.16 ; 4.17 ; 4.18 ; 4.19 ; 4.20 ; 4.21 ; 4.22 ; 4.23 ; 4.24 ; 4.25 ; 4.26 ; 4.27 ; 4.28 ; 4.29 ; 4.30 ; 4.31 ; 4.32 ; 4.33 ; 4.34 ; 4.35 ; 4.36 ; 4.37 ; 4.38 ; 4.39 ; 4.40 ; 4.41 ; 4.42 ; 4.43 ; 4.44 ; 4.45 ; 4.46 ; 4.47 ; 4.48 ; 4.49 ; 4.50 ; 4.51 ; 4.52 ; 4.53 ; 4.54 ; 4.55 ; 4.56).
Position de la Commission
1°) Sur les défauts de DS non contestés
29. La société AC ne conteste pas le reproche dans 35 des 56 défauts de DS mentionnés ci-dessus (4.2, 4.3, 4.8, 4.14, 4.15, 4.17, 4.18, 4.21, 4.23, 4.24, 4.25, 4.27, 4.28, 4.29, 4.30, 4.31, 4.32, 4.33, 4.34, 4.35, 4.36, 4.37, 4.38, 4.40, 4.41, 4.44, 4.45, 4.46, 4.47, 4.48, 4.50, 4.51, 4.52, 4.54 et 4.56). De fait, dans ces 35 dossiers, AC avait de bonnes raisons de soupçonner une infraction et aurait donc dû procéder à une DS en application de l’article L. 561-15 du CMF.
2°) Sur les dossiers dans lesquels des réquisitions judiciaires ou des saisies pénales ont été reçues par AC ou dans lesquels Tracfin a exercé son droit de communication
30. La société AC a reçu une ou plusieurs réquisitions judiciaires ou saisies pénales relatives aux opérations enregistrées sur le compte du client dans 9 cas (dossiers 4.1, 4.6, 4.12, 4.13, 4.16, 4.22, 4.39, 4.43 et 4.53) et a été destinataire, dans 4 autres cas, d’un droit de communication de Tracfin (dossiers 4.9, 4.10, 4.42 et 4.55).
Sur les dossiers ayant donné lieu à des réquisitions judiciaires ou des saisies pénales
31. La réception d’une réquisition judiciaire concernant un client ne rend pas nécessairement suspectes les opérations effectuées par celui-ci (décision du 10 janvier 2013, Banque Populaire de la Côte d’Azur, 10 janvier 2013, procédures n° 2012-04 et 2012-04 bis, cons. 29). Cependant, aucun texte ne prévoit une dispense d’information de Tracfin sur les opérations d’un client qui ont fait l’objet d’une telle réquisition. En tout état de cause, un manquement aux obligations déclaratives est établi lorsque, à la date à laquelle une réquisition judiciaire ou un droit de communication est reçu, l’organisme aurait
Autorité de contrôle prudentiel et de résolution 12

---

Décision de la Commission des sanctions – procédure no 2022-07
déjà dû adresser une DS à Tracfin ou que sa réponse n’englobe pas toutes les opérations suspectes dont il a connaissance (décision n° 2016-06 BNP Paribas, 30 mai 2017, procédure n° 2016-06, cons. 25). Il en va de même pour les avoirs saisis par l’autorité judiciaire.
32. Dans le dossier 4.1, le compte du client a enregistré au crédit, le […], un virement de […] euros au bénéfice de [R], qui n’était pas le client, avec la mention « succession [S] ». Cette opération a donné lieu à un signalement le […] par l’agent de AC par l’intermédiaire duquel le compte a été ouvert. Une saisie pénale a ensuite été effectuée le […] sur le solde du compte ( […] euros). Le […], le compte a été clôturé et le client inscrit sur une « liste noire » par AC. Cependant, aucune DS n’a été adressée à Tracfin, alors que l’établissement aurait dû soupçonner une escroquerie du type « faux RIB de notaire ».
33. Dans le dossier 4.6, une même personne physique a ouvert, à partir […], […] comptes en passant par […] agents différents, […] qui fonctionnaient comme des comptes de passage. Des réquisitions judiciaires ont été reçues en […] au sujet d’un de ces comptes. Le fonctionnement de ces comptes, avec des virements parfois destinés à des tiers, suivis immédiatement de retraits, décaissements ou transferts ou encore de demandes de restitution aurait dû conduire l’établissement, qui ne pouvait se contenter de clôturer les comptes, à informer Tracfin.
34. Dans le dossier 4.12, AC se borne à relever que la réception d’une réquisition judiciaire ou une saisie pénale ne doit pas conduire systématiquement à envoyer une DS à Tracfin. Or, la mission de contrôle n’a fait état ni de réquisition ni de saisie. En revanche, le fonctionnement du compte personnel du client, qui a notamment enregistré, en […], au crédit, des virements qui ne lui étaient pas destinés et, au débit, des virements vers une personne physique ainsi que des paiements par carte dans des bureaux de tabac et des retraits d’espèces, aurait dû donner lieu à l’envoi d’une DS à Tracfin. De même, les opérations enregistrées sur les comptes professionnels du client, notamment des virements qui ne semblaient pas lui être destinés, suivis parfois de retraits en espèces ou de remboursements, auraient dû être portés à la connaissance de Tracfin, d’autres établissements de crédit ayant en outre confirmé les fraudes dont le client s’était, selon eux, rendu responsable et le client ayant refusé de répondre aux sollicitations de AC.
35. Dans le dossier 4.13, AC se borne à relever que la réception d’une réquisition judiciaire ou une saisie pénale ne doit pas conduire systématiquement à envoyer une DS à Tracfin. Or, la mission de contrôle n’a fait état ni de réquisition ni de saisie. Cependant, le client, dont la profession déclarée était […], a ouvert un compte le […]. Alors que ni son revenu ni son patrimoine n’étaient connus de AC, son compte a fonctionné comme un compte de passage. Il a en effet enregistré, du […], près de […] euros de virements créditeurs, dont certains en provenance de [T], qui détenait un compte sur lequel une fraude a par ailleurs été détectée. Ces fonds ont ensuite été décaissés, du […], notamment par des retraits d’espèces et des paiements par carte dans des débits de tabac. De telles opérations auraient dû donner lieu à l’envoi d’une déclaration à Tracfin.
36. Dans le dossier 4.16, la réception, le […], soit après une DS adressée à Tracfin le […], d’une réquisition judiciaire faisant état d’une possible usurpation d’identité n’obligeait pas l’établissement à adresser à Tracfin une DS complémentaire, dès lors qu’aucune opération n’a été effectuée après la DS du 14 janvier 2021 et que celle-ci, après une présentation des opérations portées à la connaissance de Tracfin, posait la question d’une éventuelle usurpation d’identité en relevant : « il s’agit d’une usurpation d’identité ? ». Le reproche doit donc être écarté.
37. Dans le dossier 4.22 , la société, dont le compte a été ouvert le […], a reçu, en […], de plusieurs personnes physiques sans lien apparent avec [le client], […] virements pour un montant total de près de
[…] euros, un de ces virements provenant d’une société pouvant être impliquée dans une affaire d’escroquerie et dont le bénéficiaire effectif pouvait être le même que celui [du client] (similarité des adresses email des clients).
Autorité de contrôle prudentiel et de résolution 13

---

Décision de la Commission des sanctions – procédure no 2022-07
Les opérations au débit du compte, notamment de nombreux transferts de fonds et des achats de crypto-actifs, a priori peu cohérentes avec l’activité [du client], auraient dû conduire l’établissement à informer Tracfin, avant même la réception, le […], d’une réquisition judiciaire.
38. Dans le dossier 4.39, le compte du client, qui exerçait la profession de […], a enregistré, le […], un virement entrant d’un montant inhabituellement élevé de […] euros. Ces fonds ont été en partie virés le même jour vers un compte ouvert aux noms du client et d’une personne physique sans relation apparente avec lui. Après le signalement d’un établissement de crédit sur une possible escroquerie, ces opérations auraient dû donner lieu à l’envoi d’une DS à Tracfin, avant même la réception d’une réquisition judiciaire pour motif d’escroquerie.
39. Dans le dossier 4.43, les opérations enregistrées sur le compte de la cliente – soit […]virements créditeurs […], pour un montant total de […] euros, dont les émetteurs étaient sans lien apparent avec la cliente, qui faisaient référence à la vente de produits et qui ont été suivis presqu’immédiatement de virements sortants vers des comptes détenus par la cliente dans d’autres établissements ou de transferts
- auraient dû être déclarées à Tracfin avant la réception, à partir du […], de cinq réquisitions judiciaires.
40. Dans le dossier 4.53, AC se borne à relever que la réception d’une réquisition judiciaire ou une saisie pénale ne doit pas conduire systématiquement à envoyer une DS à Tracfin. Or, la mission de contrôle n’a fait état ni de réquisition ni de saisie. Toutefois, au moment de l’ouverture de son compte, le client, enregistré comme […], avait déclaré un chiffre d’affaires inférieur ou égal à […] euros et des revenus annuels compris entre […] euros. Les virements créditeurs sur son compte, […], qui provenaient principalement de sociétés de titres de paiement et dont le montant total était de […] euros, paraissaient incompatibles avec le niveau d’activité déclaré. En particulier, un virement de […]euros pour la seule journée du […] paraissait difficilement explicable. Les opérations enregistrées au débit, notamment des virements au bénéfice d’autres personnes physiques ou d’autres comptes du client, […], n’étaient pas non plus explicables, dès lors surtout que l’intéressé avait fait l’objet […]. Enfin, […] virements vers un centre pénitentiaire ont été enregistrés au bénéfice du client, […], alors que le compte continuait d’enregistrer des opérations au crédit. Tous ces éléments méritaient d’être déclarés à Tracfin.
41. Le reproche est donc fondé dans 8 de ces 9 dossiers retenus par la poursuite.
Sur les dossiers ayant donné lieu à l’exercice par Tracfin de son droit de communication
42. Dans le dossier 4.9, l’utilisation du compte comme compte de passage, avec, […], au crédit, des dons de […] euros provenant notamment de cagnottes en ligne dans des conditions ne permettant pas d’identifier les donateurs et, au débit, des virements vers d’autres comptes ouverts au nom de l’association, aurait dû donner lieu à l’envoi d’une DS avant la réception d’un droit de communication de Tracfin en […]. La seule clôture de ce compte ne pouvait suffire.
43. Dans le dossier 4.10, le compte a été, […], alimenté par de très nombreux virements en provenance de sociétés […], pour un total de […] euros, les fonds étant ensuite versés à des personnes physiques ainsi qu’à une société [V] qui a fait l’objet d’un droit de communication de Tracfin le […], ce qui pouvait laisser soupçonner un schéma de travail dissimulé. De plus, en […], plusieurs virements ont été effectués au bénéfice d’une personne incarcérée […] et de plusieurs membres de sa famille, pour un total de […] euros, par des opérations sans relation avec l’objet social de la société. En […], lorsqu’une demande de renseignements de Tracfin a été reçue par AC, ces opérations auraient déjà dû donner lieu à l’envoi d’une DS.
44. Dans le dossier 4.42, la réception de plusieurs virements incohérents avec l’activité professionnelle déclarée du client […], en particulier d’un virement de […] euros de Pôle emploi le […] suivie presqu’immédiatement de virements vers divers comptes du client dans les livres d’autres établissements et, courant […], la réception, en […] jours, de […]virements, d’un montant unitaire de
Autorité de contrôle prudentiel et de résolution 14

---

Décision de la Commission des sanctions – procédure no 2022-07
[…] euros le plus souvent, pour un montant total de […] euros, en provenance du compte d’un particulier également client de AC, dont l’essentiel a été viré sur un compte [W] ouvert au nom du client, auraient dû donner lieu à l’envoi d’une DS à Tracfin avant l’exercice par ce dernier de son droit de communication le […], le gel du compte ne suffisant pas.
45. Dans le dossier 4.55, le compte du client a enregistré, entre […], […]opérations au débit par l’intermédiaire de l’agent [C] et […] opérations au crédit. Alors que ni la profession ni les revenus du client n’étaient connus de AC et que les opérations portaient sur des ventes d’armes et de munitions, une DS aurait dû être envoyée à Tracfin avant la réception des deux demandes de renseignements de ce service au titre du droit de communication les […] et […].
46. Le reproche est donc fondé dans les 4 dossiers retenus par la poursuite.
3°) Sur les autres dossiers
47. Dans le dossier 4.4, les virements créditeurs reçus le […] de [Y], également client de AC, qui avait fait l’objet d’une DS, pour un montant total de […] euros, de même que les […] euros dépensés
[…] en […] opérations de […]euros et les […]euros retirés au cours de la même journée, qui conduisaient à considérer que le compte de la cliente fonctionnait comme un compte de passage, auraient dû donner lieu à une DS. Le fait que des opérations effectuées par d’autres clients apparemment liés à [X] dans un réseau que la mission de contrôle présente comme spécialisé dans la « fraude au notaire » (déclarations de soupçon
[Z] et [Y]) aient donné lieu à l’envoi d’une DS ne permettait pas à Tracfin de connaître les opérations effectuées par la cliente elle-même. La seule mention du nom et de l’IBAN de celle-ci dans une autre DS ou de ce qu’elle était la bénéficiaire des fonds, sans description de ses opérations, ne suffisait pas à informer Tracfin.
48. Dans le dossier 4.5, en raison de leur licéité douteuse, les opérations au crédit et au débit enregistrées sur les deux comptes de la cliente, qui donnaient à ces comptes le caractère de comptes de passage, auraient dû donner lieu à une DS, d’autant que l’adresse utilisée pour l’ouverture de ces comptes était la même que celle d’un client ayant fait l’objet d’une DS. Les DS effectuées dans les dossiers [Z] et [Y] mentionnés au point 47 ci-dessus, où la description des opérations effectuées par la cliente n’apparaissait pas, ne pouvaient suffire.
49. Dans le dossier 4.7, le montant des virements créditeurs enregistrés sur le compte en provenance de plateformes de paiement en ligne – environ […] euros – était très supérieur au chiffre d’affaires déclaré de cette société spécialisée dans […] et les virements débiteurs presqu’instantanés des sommes perçues conduisaient à considérer que le compte, dont le solde était presque toujours proche de zéro, fonctionnait comme un compte de passage. Ces opérations auraient dû donner lieu à une DS (critère 7 de l’article D. 561-32-1 du CMF).
50. Dans le dossier 4.19, de nombreux virements ont été enregistrés au crédit du compte de la cliente, qui était […], pour un montant total de […] euros, de […], alors qu’elle n’était pas mentionnée comme bénéficiaire d’une partie de ces virements. Ils ont été immédiatement suivis de virements sur d’autres comptes ouverts au nom de la cliente dans d’autres établissements pour […] euros, de nombreux retraits d’espèces au […] pour un montant de […] euros, ainsi que de transferts de fonds pour un montant de
[…] euros. Au terme d’un examen renforcé, AC aurait dû, conformément à la proposition de son service en charge du traitement des alertes, informer Tracfin de ces opérations, leur mention dans une autre DS ne suffisant pas.
51. Dans le dossier 4.20, si AC estime qu’un examen renforcé avait permis de lever le doute sur la licéité de l’enregistrement, au crédit du compte de la cliente, du versement de prestations sociales, effectué par la CAF au nom d’un tiers, l’établissement aurait dû, en l’absence de réponse de la cliente aux demandes de justification qui lui étaient adressées, informer Tracfin de ces opérations.
Autorité de contrôle prudentiel et de résolution 15

---

Décision de la Commission des sanctions – procédure no 2022-07
52. Dans les dossiers 4.11 et 4.26, la société AC, sans contester la nécessité d’adresser une déclaration à Tracfin, rappelle qu’elle a effectué des déclarations, respectivement les […] et […]. Cependant, au moment du contrôle, elle avait manqué, dans ces deux dossiers, à son obligation de déclaration.
53. Dans le dossier 4.49, AC se borne à relever qu’un droit de communication d’une administration publique ne conduit pas automatiquement à l’envoi d’une DS. Or la mission de contrôle n’a fait état de l’exercice d’aucun droit de communication dans ce dossier, dans lequel les virements reçus en […], pour un montant total d’environ […] euros, suivis de très nombreux débits, étaient incohérents avec les éléments de connaissance du client.
54. Le reproche est donc fondé dans les 8 dossiers retenus par la poursuite.
55. Il résulte de tout ce qui a été dit aux points 29 à 54 ci-dessus que le grief 4 est fondé pour 55 dossiers sans qu’ait d’incidence le renforcement significatif des moyens humains affectés à son dispositif de déclaration à Tracfin dont fait état la société.
B. Les déclarations de soupçon tardives
Le grief 5
56. En vertu de l’article L. 561-16 du CMF : « Lorsqu’une opération devant faire l’objet de la déclaration prévue à l’article L. 561-15 a déjà été réalisée, soit parce qu’il a été impossible de surseoir à son exécution, soit que son report aurait pu faire obstacle à des investigations portant sur une opération suspectée de blanchiment des capitaux ou de financement du terrorisme, soit qu’il est apparu postérieurement à sa réalisation qu’elle était soumise à cette déclaration, la personne mentionnée à l’article L. 561-2 en informe sans délai le service prévu à l’article L. 561-23 ».
57. Selon le grief 5, fondé sur ces dispositions, plus de 35% des DS de l’établissement entre le 1er janvier 2021 et mi-juillet 2021 (soit 63 déclarations sur 176) ont été faites dans un délai supérieur à 100 jours après le déclenchement de l’alerte. Cette part était de 8,2% en 2020 alors que le nombre de DS sur la même période était 2,5 fois supérieur. Sur les 22 DS transmises à Tracfin en 2021 que la mission de contrôle a analysées, 6 sont particulièrement représentatives à cet égard (dossiers 5.1, 5.2, 5.3, 5.4, 5.5 et 5.6).
Position de la Commission
58. Le constat du rapport de la mission de contrôle selon lequel 63 DS faites entre le 1er janvier et mi-juillet 2021 – soit 35% des DS selon la poursuite, 27% environ selon la défense – sont intervenues plus de 100 jours à compter du déclenchement de l’alerte – a fortiori, plus de 100 jours après que les opérations en cause ont pu apparaître comme suspectes – n’est pas contesté. AC, qui ne fait état d’aucune diligence précise dans ces différents dossiers, ne saurait justifier ces délais excessifs, qui ne lui permettaient pas de respecter l’obligation imposée par les dispositions, citées ci-dessus, de l’article L. 561-16 du CMF, par la nécessité d’interroger les agents pour recueillir des informations, par les difficultés résultant de la crise sanitaire et par des mouvements de personnel plus nombreux pendant une période où les recrutements étaient plus difficiles. Il en résulte que le caractère tardif de 63 DS effectuées entre le 1er janvier 2021 et mi-juillet 2021, qui traduit, pour cette période, seule mise en cause par la notification des griefs, une carence dans l’organisation du dispositif LCB-FT de AC, est établi. Dans 4 des 6 dossiers que mentionne la poursuite à titre d’illustration (dossiers 5.1, 5.3, 5.4 et 5.6), AC ne justifie pas le retard constaté par la mission de contrôle. Dans les deux derniers dossiers, ni la complexité des opérations (dossier 5.2) ni le volume des opérations enregistrées sur le compte (dossier
Autorité de contrôle prudentiel et de résolution 16

---

Décision de la Commission des sanctions – procédure no 2022-07
5.5), dont se prévaut l’établissement, ne peuvent suffire à justifier le retard constaté, faute pour AC de préciser les diligences effectuées.
59. Le grief 5, analysé comme il a été dit au point 58 ci-dessus, est donc fondé.
IV- CONTRÔLE INTERNE
Le grief 6
60. En vertu des dispositions du II de l’article L. 561-32 du CMF, « pour veiller au respect des obligations prévues au chapitre I du présent titre, les personnes mentionnées à l’article L. 561-2 mettent également en place des mesures de contrôle interne. Dans leur politique de recrutement de leur personnel, elles prennent en compte les risques que présentent les personnes au regard de la lutte contre le blanchiment de capitaux et le financement du terrorisme ».
L’article 13 de l’arrêté du 6 janvier 2021, qui reprend en substance l’article 11 de l’arrêté du 3 novembre 2014, prévoit que : « Le dispositif de contrôle interne mentionné aux articles R. 561-38-3 et R. 562-1 du code monétaire et financier s’intègre dans le dispositif de contrôle interne des organismes assujettis régi par les dispositions du régime dit « solvabilité II », du règlement délégué du 10 octobre 2014 et de l’arrêté du 3 novembre 2014 susvisés. Ce dispositif a notamment pour objet de vérifier : (…) 4° L’exécution dans des délais raisonnables, ou immédiatement pour les incidents au sens des articles R. 561-38-4 et R. 562-1 du code monétaire et financier, des mesures correctrices mises en place pour remédier aux dysfonctionnements constatés en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et de gel des avoirs et d’interdiction de mise à disposition ou d’utilisation des fonds ou ressources économiques, y compris les incidents et insuffisances mentionnés à ces articles et à l’article R. 561-38-8 du même code (…)».
61. Selon le grief 6, fondé sur ces dispositions, plusieurs défaillances n’avaient pas fait l’objet de mesures correctives au moment du contrôle sur place. Tel était le cas, par exemple, de certaines de celles qui avaient été relevées par le rapport d’audit interne de la direction de la conformité de la Société Générale (CPLE/FCC/AML) du 4 mars 2020, notamment :
1. l’absence fréquente de pertinence des profils de risques des relations d’affaires, faute de prise en compte de critères importants de risques de BC-FT ;
2. l’absence d’agrégation de l’ensemble des opérations réalisées par un même utilisateur ;
3. l’absence de scenario paramétré en fonction du revenu de l’utilisateur, de sa situation professionnelle ou de son activité ;
4. des seuils d’alertes de détection des opérations atypiques inadaptés aux opérations et aux profils des clients ;
5. l’utilisation de seuils inadaptés à la détection d’opérations fractionnées ;
6. la faible qualité des informations enregistrées dans le système d’informations. À la date de la mission d’inspection, ces constats de défaillances étaient toujours d’actualité, faute pour AC d’y avoir remédié, y compris après la mise en place de l’outil de surveillance automatisée
[E] livré le 27 avril 2021.
Position de la Commission
62. Le présent grief est présenté au visa des dispositions citées au point 60 ci-dessus, notamment de celles de l’article 13 de l’arrêté du 6 janvier 2021. Ces dispositions prévoient que les organismes assujettis ont l’obligation de mettre en place un dispositif de contrôle interne, dont elles définissent les principaux « objets ». Le 4° de l’article 13 de l’arrêté précise ainsi que le dispositif de contrôle interne a notamment pour objet de « vérifier » l’exécution dans des délais raisonnables des mesures correctrices mises en place pour remédier aux dysfonctionnements constatés en matière de LCB-FT.
Autorité de contrôle prudentiel et de résolution 17

---

Décision de la Commission des sanctions – procédure no 2022-07
Le grief, qui trouve d’ailleurs sa place, dans la notification des griefs, sous le titre « Contrôle interne », reproche donc un manquement à l’obligation ainsi définie, c’est-à-dire une insuffisance du dispositif de contrôle interne. Il est, en tout état de cause, différent du grief que la Commission a retenu dans sa décision n° 2018- 01 du 21 décembre 2018 (II.2 « Sur l’absence de mise en œuvre effective de mesures correctrices », cons. 21 à 24). Dans cette décision, après avoir cité les dispositions de l’article 38 de l’arrêté du 3 novembre 2014 et du f) de son article 11 (repris en substance à l’article 13 de l’arrêté du 6 janvier 2021) et après avoir notamment relevé que les organes dirigeants de l’établissement poursuivi, pourtant dûment alertés par le contrôle interne, avaient tardé à corriger les défaillances reprochées, la Commission a retenu un manquement à l’obligation de mettre en œuvre dans des délais raisonnables les mesures propres à remédier à des manquements en matière de LCB-FT (voir aussi, sur ce point, la décision du Conseil d’État n° 428292 du 15 novembre 2019 rejetant le recours contre la décision de la Commission, points 7 à 9).
Or, alors même que le reproche porte sur l’insuffisance du contrôle interne, et non sur l’obligation de mettre en œuvre des mesures correctrices dans des délais raisonnables, la poursuite se borne à énumérer des défaillances du dispositif de LCB-FT de AC qui n’avaient pas fait l’objet, au moment du contrôle, de mesures correctrices. Elle ne développe aucune critique, ni sur l’organisation du dispositif de contrôle interne de AC, ni sur ses modalités de fonctionnement, ni sur les conditions dans lesquelles il a vérifié, comme il lui incombait de le faire, si des mesures correctrices avaient été exécutées dans des délais raisonnables.
Dans ces conditions, le grief 6 ne peut qu’être écarté.
*
* *
63. Il résulte de tout ce qui précède que la société AC n’avait pas déterminé, au moment du contrôle, un profil de risque de ses relations d’affaires lui permettant de respecter son obligation de vigilance constante (grief 1) et que son dispositif de surveillance des opérations était, sur de nombreux points, insuffisant (1ère branche du grief 2). La Commission a retenu par ailleurs plusieurs défauts d’examen renforcé (grief 3), plusieurs défauts de DS ainsi que, pour la période du 1er janvier à mi-juillet 2021, une carence de son dispositif à l’origine de DS tardives (griefs 4 et 5).
64. Ces manquements étaient très sérieux et affectaient gravement le dispositif de LCB-FT de la société.
65. AC se prévaut, il est vrai, de plusieurs circonstances, de nature, selon elle, à atténuer la gravité de ces manquements. Elle indique en particulier qu’elle est une société assez récente et que les risques auxquels sont exposées des activités innovantes comme la sienne en matière de BC-FT, comme les moyens appropriés pour les prévenir, n’ont été analysés avec précision qu’en 2023. Toutefois, si elle soutient que ce n’est qu’en janvier 2023 que l’Analyse nationale des risques de BC- FT en France a analysé de manière détaillée les risques liés à l’émission de monnaie électronique, la version antérieure de ce document, publiée en septembre 2019, mentionnait déjà parmi les tendances récentes, « le développement du secteur des fintechs et d’activités liées à la monnaie électronique et aux services de paiement, qui constitue une tendance dynamique en France » (p. 37) et soulignait les risques de BC-FT qui résultaient de l’utilisation de monnaie électronique (pp. 57 à 59). Quant aux services de paiement, l’analyse sectorielle des risques de BC-FT en France, publiée par l’ACPR en 2019, soulignait déjà les risques de BC-FT résultant de ce que « le recours à des agents réduit la visibilité des établissements de paiement sur les opérations et la connaissance du client »
Autorité de contrôle prudentiel et de résolution 18

---

Décision de la Commission des sanctions – procédure no 2022-07
(p. 46). AC insiste par ailleurs sur les difficultés organisationnelles liées au contexte sanitaire de 2020 et 2021. Cependant, de telles difficultés ne sauraient, à elles seules, justifier les manquements de la société. Au demeurant, elles n’ont pu avoir d’effet que sur le rythme des mesures de remédiation et les carences retenues par la présente décision concernent des aspects fondamentaux du dispositif de LCB-FT de la société, qui auraient dû être pris en compte avant 2020.
66. Il y a lieu, en revanche, de tenir compte des actions de mise à niveau du dispositif de LCB-FT de AC, qui ont été engagées après son rachat par la Société Générale. AC en évalue le coût à 3,2 millions d’euros au 1er mars 2023. Elles ont porté sur la classification des risques de l’établissement, son corpus procédural et ses outils informatiques – notamment de notation de sa clientèle. Elles ont donné lieu à la réorganisation des services dédiés à la conformité et au contrôle interne ainsi qu’à un renforcement très significatif des moyens humains consacrés à ces missions. Leur effectivité a été attestée par un auditeur externe, dont les travaux sont toutefois toujours en cours. Les efforts ainsi accomplis permettent de dire que AC, qui a par ailleurs poursuivi son développement à un rythme soutenu, notamment depuis qu’elle est devenue une filiale de la Société Générale en 2019, est aujourd’hui une société très différente de ce qu’elle était en 2016, ou même en 2019.
67. Il y a lieu, enfin, de tenir compte, dans le respect du principe de proportionnalité, de la situation financière de la société. Sur la période 2019-2023, AC a enregistré une perte nette cumulée de près de 48 millions d’euros, dont les deux tiers au cours des deux dernières années (20,2 millions d’euros en 2022 et 11,8 millions d’euros en 2023). Selon les informations communiquées par la société, l’équilibre financier devrait être atteint à l’horizon […]. Les pertes prévues sur la période 2023-2025 sont estimées à […] millions d’euros. À la fin de l’exercice 2023, les fonds propres de AC s’élevaient à 5,9 millions d’euros.
68. Compte tenu des éléments mentionnés aux points 63 à 67, les manquements retenus par la Commission justifient le prononcé d’un blâme et d’une sanction pécuniaire d’un million d’euros. Par ailleurs, si AC soutient qu’une publication nominative de la présente décision lui serait préjudiciable en raison, d’une part, de la très vive concurrence entre les entreprises de services de paiement et, d’autre part, de la sensibilité de certains de ses grands clients au « risque réputationnel », elle ne peut être regardée comme fournissant ainsi des éléments permettant de considérer qu’une telle publication serait de nature à lui causer un préjudice disproportionné et qu’elle méconnaitrait, en l’espèce, l’équilibre entre l’intérêt général auquel elle répond et ses intérêts. Il y a donc lieu de publier la présente décision au registre de l’ACPR sous forme nominative pendant une durée de 5 ans. Elle y sera ensuite maintenue sous forme non nominative.
Autorité de contrôle prudentiel et de résolution 19

---

Décision de la Commission des sanctions – procédure no 2022-07
*
* *
PAR CES MOTIFS
DÉCIDE :
AR T I C L E 1E R – Il est prononcé à l’encontre de la société AC un blâme et une sanction pécuniaire d’un million d’euros.
AR T I C L E 2 – La présente décision sera publiée au registre de l’ACPR pendant cinq ans sous une forme nominative, puis sous une forme ne permettant pas d’identifier la société AC, et pourra être consultée au secrétariat de la Commission.
Le Président de la Commission des sanctions
[…]
Z AA
Cette décision peut faire l’objet d’un recours dans un délai de deux mois à compter de sa notification et dans les conditions prévues au III de l’article L. 612-16 du code monétaire et financier.
Autorité de contrôle prudentiel et de résolution 20