Sanctions internationales : qui doit cribler, et quand le contrôle doit tourner

La plupart des obligations de conformité arrivent avec un seuil. Contrôlez le client au-dessus de ce montant, renforcez la vigilance si la notation de risque le dit, déclarez si le schéma détonne.

Les sanctions ne fonctionnent pas ainsi. Pas de seuil, pas de minimis, pas d'exemption pour les petites structures. Si une personne ou une entité figure sur une liste de sanctions, vous ne pouvez pas lui mettre à disposition de fonds ni de ressources économiques. C'est toute la règle, et elle s'applique à un cabinet de deux personnes exactement comme à une banque.

Beaucoup d'entreprises sont donc soumises au criblage sans connaître le terme, l'ayant lu dans un contexte anti-blanchiment et rangé au rayon des problèmes des autres.

C'est le point qui surprend, alors autant en donner la raison précise.

Les obligations de lutte contre le blanchiment s'attachent à une liste définie d'assujettis : banques, établissements de paiement, notaires, agents immobiliers, experts-comptables. La frontière entre les deux corpus est détaillée dans AML et KYC. Qui n'est pas à l'article L.561-2 échappe à l'essentiel du dispositif.

Les sanctions passent par un autre mécanisme. Dans l'Union européenne elles arrivent sous forme de règlements d'application directe dans chaque État membre, pour toute personne physique et morale. Il n'existe pas de liste d'assujettis dont on puisse être absent. L'interdiction de mise à disposition lie la graphiste indépendante qui facture un client comme elle lie une chambre de compensation.

Ce que cela veut dire concrètement

Vous ne pouvez pas encaisser un paiement d'une partie listée. Ni lui en verser. Ni l'employer, la fournir, ou signer un contrat qui lui transfère quoi que ce soit de valeur.

Et la conséquence n'est pas une lettre de suite. Violer un régime de sanctions relève en général du pénal, avec une responsabilité qui atteint les personnes et pas seulement la société.

Il n'existe pas une liste mondiale unique, et c'est le premier écueil.

Les Nations unies fournissent le socle. Les États le transposent, si bien qu'il se retrouve dans les listes régionales plutôt que contrôlé séparément.

L'Union européenne tient une liste consolidée des personnes, groupes et entités visés par des sanctions financières. C'est l'opérationnelle pour toute entreprise dans l'Union.

Les États-Unis publient via l'OFAC la liste SDN. Elle porte bien au-delà de l'Amérique : transactions en dollars, biens d'origine américaine et personnes américaines dans la chaîne vous y ramènent.

Le Royaume-Uni tient sa propre liste consolidée via l'OFSI, qui a divergé de la liste européenne après le Brexit.

En France s'y ajoute le registre national des gels tenu par la Direction générale du Trésor. Le criblage sanctions accompagne le contrôle PPE sans le remplacer, et les deux tournent d'ordinaire sur le même dossier : voir personne politiquement exposée. Pour la plupart des cabinets la réponse pratique est un service qui maintient l'ensemble, parce que les listes bougent sans calendrier fixe.

Plus largement qu'on ne le suppose, et c'est là que les contrôles trouvent les trous.

• Clients et donneurs d'ordre, avant la première opération puis en continu
• Fournisseurs et sous-traitants, y compris ceux dont vous avez hérité
• Partenaires, coentreprises, agents commerciaux et distributeurs
• Bénéficiaires effectifs derrière les sociétés, car une structure propre peut être contrôlée par une personne listée
• Salariés et candidats dans certaines juridictions, selon la même logique : verser un salaire, c'est mettre des fonds à disposition

Le volet salarial déconcerte souvent. Il existe pour la raison la plus simple qui soit : une rémunération transfère de la valeur comme le reste.

Cribler une fois à l'entrée en relation est l'erreur la plus répandue, et elle échoue pour une raison qui n'a rien à voir avec votre processus. Ce sont les listes qui changent, pas le client.

Un partenaire propre au moment de la signature peut être désigné trois mois plus tard, et dès cet instant continuer à le payer devient une infraction. Personne ne vous prévient.

La réponse honnête tient donc en trois temps. Cribler avant d'entrer en relation. Cribler à nouveau à chaque mise à jour des listes, ce qui suppose un flux automatique plutôt qu'un rappel trimestriel. Et cribler à chaque opération qui engage, donc à la signature dans une activité contractuelle.

Autant le dire : c'est pourquoi le criblage manuel cesse de fonctionner au-delà d'une poignée de partenaires. Non parce que vérifier un nom serait difficile, mais parce que personne ne revérifie chaque nom de façon fiable à chaque mouvement de liste.

Le criblage rapproche des noms, et les noms sont de mauvais identifiants.

La seule translittération produit une douzaine d'orthographes d'un même nom arabe ou cyrillique. Les patronymes courants génèrent des alertes en permanence. Un seuil de correspondance approximative réglé assez serré pour éviter le bruit finira par manquer une vraie correspondance ; réglé assez large pour tout attraper, il ensevelit votre équipe.

Deux choses rendent cela gérable.

D'abord, utiliser plus que le nom. Date de naissance, lieu de naissance, nationalité et adresse transforment une correspondance possible en correspondance tranchée, et c'est pourquoi vérification d'identité et criblage fonctionnent mieux ensemble que séparément.

Ensuite, écrire la décision d'écarter. Une alerte écartée sans motivation consignée ne se distingue pas d'une alerte que personne n'a regardée, et un contrôleur ne les distinguera pas davantage.

Le criblage vit d'ordinaire dans un système qui n'a jamais croisé le contrat qu'il protège, et c'est dans cet écart que la preuve cède.

Le schéma se répète. Les achats criblent le fournisseur et classent un PDF. Le commerce fait signer via un autre outil. Six semaines plus tard le partenaire est désigné, quelqu'un demande ce qui était connu le jour de la signature, et il reste deux pièces sans lien, avec un trou au milieu qu'on ne comble pas rétrospectivement.

Exécuter le criblage dans le parcours de signature supprime l'écart. Contrôle d'identité, résultat sanctions et PPE, et signature atterrissent dans une piste d'audit unique, ancrée pour que l'enregistrement ne soit pas réécrit ensuite. La question « que saviez-vous en vous engageant ? » a une réponse horodatée.

Cela règle aussi la récurrence sans bruit. Si le criblage fait partie de la façon dont les documents se signent, il se rejoue à chaque signature du partenaire.

La prendre pour une obligation anti-blanchiment. Elle ne l'est pas. Le dispositif LCB-FT atteint les assujettis, les sanctions atteignent tout le monde, et le cabinet qui a sauté le criblage parce qu'il n'est pas un établissement financier s'est trompé de texte.

Cribler la société sans les personnes derrière. Un partenaire au nom anodin peut être détenu ou contrôlé par une personne désignée, et l'interdiction suit le contrôle.

Ne contrôler qu'une liste est la troisième. Les listes européenne, américaine et britannique divergent, et celles qui vous lient dépendent de votre devise, de vos biens et de vos clients, pas de votre code postal.

Traiter une alerte écartée comme un non-événement. La motivation de l'écartement est la preuve qu'une procédure a tourné. Sans elle, un historique propre et l'absence d'historique se ressemblent.

Le criblage des sanctions est cette obligation rare qui n'a pas de seuil d'entrée. Toute entreprise est dedans, les listes bougent sans prévenir, et la sanction d'un manquement est pénale plutôt qu'administrative.

Les deux échecs contre lesquels concevoir sont opposés. Le premier est de ne jamais commencer, en supposant qu'il s'agit d'un sujet bancaire. Le second est de commencer une fois, à l'entrée en relation, et de tenir un résultat propre de six mois pour actuel.

Si vous ne corrigez qu'une chose, faites revenir le contrôle au moment où vous vous engagez. Un résultat de criblage attaché à la signature répond à la seule question posée ensuite, et il y répond depuis une pièce au lieu de deux.