L’analyse des risques AML aujourd’hui : attentes de la FINMA, tendances sur le marché, constats d’audit

> Tendances observées sur les améliorations demandées par la FINMA
> Principaux enjeux et tendances observées autour des risques inhérents à prendre en compte
> La tolérance au risque devient un point de contrôle FINMA récurrent

Retour d’expériences sur les analyses de risque LBA du marché depuis la communication FINMA 05/2023

• Tendances observées sur les améliorations demandées de la part de la FINMA
• Elargissement du concept d’analyse des risques à d’autres thématiques bancaires

Risques inhérents

L’analyse des risques inhérents aujourd’hui : quels sont les critères de risques qui « montent » ?

• Quels sont les types de risques que la FINMA souhaite voir traité dans l’analyse des risque.
• Revue des principaux enjeux et tendances observées autours des risques inhérents à prendre en compte, notamment en lien avec la nationalité, l’activité et l’activité transactionnelle des clients de la Banque

Critères de risque accru

L’analyse de la pertinence des critères de risque accru de la relation d’affaires : quelles sont les attentes des auditeurs / de la FINMA ?

• Quel lien faire entre l’analyse des risques (art. 25, al. 2 OBA-FINMA) et la définition de critères pertinents (art. 13, al. 2bis OBA-FINMA) ?
• Comment documenter l’analyse de la pertinence des critères de l’OBA-FINMA ? Faut-il prendre en considération d’autres critères ?
• A quelle fréquence réaliser cet exercice ?
• Les attentes sont-elles identiques pour les critères de risque accru des transactions ?
• Quels sont les principaux constats d’audit et attentes de la FINMA ?

Mesures de contrôle et modèle d’affaires

Agir sur le risque pour réduire sur le risque résiduel : mesures de contrôle ou action sur le modèle d’affaires

Parce que beaucoup d’établissements empilent des contrôles pour compenser un modèle d’affaires trop risqué sans jamais remettre en question l’activité elle même, la FINMA distingue clairement deux familles d’actions pour réduire le risque résiduel : les mesures de contrôle (agir sur le risque) et les mesures structurelles (agir sur le modèle d’affaires).

• Si les deux mesures sont complémentaires, ont-elles le même impact et la même portée ? Si les établissements « surinvestissent » dans les contrôles, ajustent-ils leur modèle d’affaires ? Même lorsque le risque structurel est incompatible avec leur tolérance au risque ?
• Agir sur le risque ou les mesures de contrôle
  • qu’est-ce que cela signifie ? Si le but est de réduire la probabilité ou l’impact d’un risque sans modifier l’activité elle même, les contrôles peuvent-ils compenser un modèle d’affaires intrinsèquement trop risqué ?
  • Les mesures de contrôle peuvent-elles être le seul levier ?
• Agir sur le modèle d’affaires : mesures structurelles
  • qu’est-ce que cela signifie ? Si ces mesures sont les plus puissantes, mais aussi les plus difficiles, le risque peut-il être réduit à la source, c’est-à-dire, en modifiant l’activité pour qu’elle soit compatible avec la tolérance au risque ?
  • Quels sont les exemples de mesures structurelles : sortir de certains marchés à haut risque, cesser d’offrir des structures juridiques complexes, réduire la proportion de clients offshore, abandonner des corridors de paiement sensibles, limiter ou interdire les PEP étrangères.
  • Comment aller de l’avant ? Comment articuler les deux types de mesures dans un cadre FINMA ? Ebauches de solution.

Tolérance au risque

Définition et application de la tolérance au risque : pourquoi la FINMA ne cesse de pointer ce problème d’année en année ?

• Qu’est ce que la tolérance au risque selon la FINMA ?
• Pourquoi la FINMA critique ce point chaque année
  • Réponses possibles : confusion entre analyse des risques et tolérance des risques, déconnexion entre la tolérance au risque et les processus opérationnels, manque de cohérence avec le modèle d’affaires (en relation avec la clientèle cible, les produits, les marchés et les risques structurels) ?
  • Manque de gouvernance effective (e.g. manque d’implication des membres du conseil d’administration, absence de « reporting » sur le respect des limites, ou encore des ajustements non documentés.) ?
• La tolérance au risque devient un point de contrôle FINMA récurrent. Que regarde-t-on en particulier : si les documents sont incomplets, s’il y a des incohérences entre politique et pratique, s’il existe des liens avec les contrôles AML, sanctions, crédit, etc.
• Comment y remédier ? Quelles pourraient être les solutions au niveau stratégique, tactique et opérationnel ?