Conformité réglementaire, MiFID II, LCB-FT et abus de marché : audit, conseil, formation et réalisation pour la finance de marché

Cadre réglementaire de la conformité des acteurs de marché

MiFID II, MiFIR et protection des clients

La directive 2014/65/UE (MiFID II) et le règlement (UE) n° 600/2014 (MiFIR) structurent les services d'investissement : classification des clients, évaluation du caractère approprié ou adéquat, meilleure exécution, gouvernance des produits, information des clients, enregistrement des communications et déclaration des transactions. En France, ces règles se lisent dans le code monétaire et financier et dans le règlement général de l'AMF. La révision adoptée en 2024 comprend la directive (UE) 2024/790 et le règlement (UE) 2024/791, entrés en vigueur le 28 mars 2024 ; l'ESMA indique que le délai de transposition des modifications de la directive est fixé au 29 septembre 2025.

Pour un acteur de marché, la conséquence est concrète : chaque évolution de texte change des procédures, des rapports de contrôle, des paramètres d'outils et parfois des contrats. Le règlement (UE) n° 1286/2014 (PRIIPs) impose en outre le document d'informations clés pour les produits d'investissement de détail. La directive DDA (directive sur la distribution d'assurances) concerne la distribution d'assurance, traitée sur d'autres sites d'Optédif : nous n'en retenons ici que l'articulation de la documentation avec PRIIPs (Packaged Retail and Insurance-based Investment Products, produits d'investissement de détail et d'assurance préassemblés).

Abus de marché et déclaration des opérations suspectes

Le règlement (UE) n° 596/2014 (MAR) interdit les opérations d'initiés, la divulgation illicite d'informations privilégiées et la manipulation de marché. Son article 16 oblige les personnes qui organisent ou exécutent des transactions à titre professionnel, ainsi que les opérateurs de marché et les entreprises d'investissement qui gèrent une plateforme de négociation, à signaler sans délai les ordres et les transactions susceptibles de constituer un abus. Le règlement prévoit aussi des listes d'initiés. En France, l'AMF instruit et sa Commission des sanctions peut sanctionner, le juge pénal pouvant également être saisi.

Ce domaine repose sur une règle de prudence qui s'impose à nous comme à nos clients : une prestation d'organisation, d'outillage ou de formation n'a jamais besoin d'ordres, de positions ou de projets d'opération non publics. Nos exemples utilisent des données publiques ou de test, et nous refusons tout accès à une information privilégiée. Lorsqu'une revue exige un échantillon réel, par exemple des alertes de surveillance, il est extrait et anonymisé par l'entité, dans son propre environnement.

Contrôle interne, fonction conformité et répartition des rôles

Pour les établissements de crédit, les entreprises d'investissement et les sociétés de financement, l'arrêté du 3 novembre 2014 relatif au contrôle interne, publié sur Légifrance, organise trois niveaux de contrôle (article 12) : les opérationnels, le contrôle permanent assuré notamment par les fonctions de conformité et de gestion des risques, puis l'audit interne, distinct des deux premiers. Son article 28 impose de nommer un responsable de la cohérence et de l'efficacité du contrôle du risque de non-conformité et de communiquer son identité à l'ACPR.

Les sociétés de gestion de portefeuille relèvent du livre III du règlement général de l'AMF. Le responsable de la conformité et du contrôle interne (RCCI) y couvre la fonction de conformité, le contrôle permanent et le contrôle périodique, avec une exigence d'indépendance à l'égard des activités contrôlées. Ces deux régimes ne sont pas identiques : le premier travail d'un audit ou d'un conseil consiste à vérifier quel texte s'applique à l'entité.

La répartition des rôles suit une logique constante. L'organe de direction répond du dispositif et en fixe les orientations. Le responsable de la conformité, le responsable LCB-FT et le délégué à la protection des données exercent des fonctions désignées, chacune avec ses missions et son indépendance. Le contrôle périodique, ou l'audit interne, vérifie l'ensemble à distance des équipes qui opèrent. Une entité qui externalise une tâche, par exemple l'exploitation d'un outil de criblage, reste pleinement responsable de ses obligations. Pour un prestataire comme Optédif, la règle pratique est donc de savoir à tout moment pour le compte de quel responsable il agit, et de ne jamais se substituer à lui.

Lutte contre le blanchiment et le financement du terrorisme

Dispositif actuel et règlement (UE) 2024/1624

Le dispositif français figure au livre V, titre VI, du code monétaire et financier : approche par les risques, évaluation et classification des risques, vigilance à l'égard des clients et des bénéficiaires effectifs, déclaration des soupçons à TRACFIN, gel des avoirs, procédures internes et formation du personnel. Le contrôle est partagé : l'ACPR contrôle les établissements de crédit, de paiement, de monnaie électronique et les entreprises d'investissement, tandis que l'AMF intervient notamment auprès des sociétés de gestion et des conseillers en investissements financiers. L'AMF a publié des lignes directrices sur l'approche par les risques (DOC-2019-15) et sur la vigilance relative aux clients et aux bénéficiaires effectifs (DOC-2019-16).

Le cadre change en 2027. Le règlement (UE) 2024/1624, publié au Journal officiel de l'Union européenne le 19 juin 2024 avec le règlement instituant l'autorité de lutte contre le blanchiment (AMLA) et la directive (UE) 2024/1640, s'applique à compter du 10 juillet 2027, date à laquelle cette directive doit aussi être transposée. L'AMLA a son siège à Francfort et existe juridiquement depuis le 26 juin 2024. Un règlement directement applicable réduit les marges d'interprétation nationales, ce qui oblige les entités à reprendre leurs cartographies, leurs procédures de vigilance et leurs gabarits de dossier avant l'échéance.

Vigilance, surveillance des transactions et criblage

En pratique, la LCB-FT repose sur trois chaînes. La connaissance client rassemble les pièces, le profil de risque et la mise à jour périodique. La surveillance des transactions détecte les opérations atypiques à l'aide de scénarios, de seuils et de modèles, puis fait traiter les alertes par des analystes qui documentent leur décision. Le criblage rapproche les clients et les contreparties des listes de sanctions et de gel des avoirs, au niveau national et européen. Chacune de ces chaînes produit des faux positifs, des arriérés de traitement et des traces à conserver. Le contrôle de deuxième niveau doit alors pouvoir démontrer, sur un échantillon, qu'une alerte a été traitée dans le délai prévu par la procédure, par une personne désignée par l'entité, avec une décision motivée.

Les logiciels de ce champ (ComplyAdvantage, Hawk:AI, Unit21, SAP Watch List Screening, SAP Business Integrity Screening, IBM InfoSphere Global Name Management, entre autres) sont cités comme outils des thèmes du domaine, sans préférence. Ce qui décide du résultat tient moins aux fonctions du produit qu'à la qualité des données de référence, aux règles de paramétrage écrites et justifiées, et à la répartition claire des rôles entre première et deuxième ligne.

Protection des données et information sur les produits

RGPD : registre, analyse d'impact et violations de données

Le règlement (UE) 2016/679 (RGPD) impose, selon les cas, la protection des données dès la conception et par défaut (article 25), le registre des activités de traitement (article 30), la notification d'une violation à l'autorité de contrôle (article 33), l'analyse d'impact relative à la protection des données (article 35) et la désignation d'un délégué (article 37). La CNIL publie le texte, ses méthodes et ses guides pratiques. Une violation présentant un risque pour les personnes se notifie dans les meilleurs délais, si possible sous 72 heures ; toutes les violations, notifiées ou non, se consignent dans un registre interne.

Dans un acteur de marché, ces obligations croisent la LCB-FT (durées de conservation, accès aux données de connaissance client), les enregistrements de communications de MiFID II et les outils d'intelligence artificielle de criblage ou de surveillance. Une analyse d'impact bien menée évite de découvrir tardivement qu'un outil ne peut pas respecter une durée de conservation. Pour le thème de formation de délégué à la protection des données, Optédif prépare à la fonction et à ses livrables, sans certifier de personnes.

Devoir de conseil et fiscalité des opérations

Le devoir de conseil des prestataires de services d'investissement, issu de MiFID II, se traduit par des procédures de recueil d'informations sur le client, d'évaluation de l'adéquation et de traçabilité de la recommandation faite par l'entité. Optédif n'émet aucune recommandation et n'exerce aucune activité de conseil en investissement : nous intervenons sur l'organisation des équipes qui y sont soumises, et jamais sur le contenu d'un conseil à un client.

Deux thèmes fiscaux complètent le domaine. La taxe sur les transactions financières, régie par l'article 235 ter ZD du code général des impôts, pèse en principe sur le prestataire qui exécute l'ordre d'acquisition. L'impôt sur les revenus de capitaux mobiliers (IRCM) suppose des traitements de données et des déclarations précis chez les établissements payeurs. Notre intervention porte sur l'organisation de ces traitements, jamais sur le conseil fiscal à un contribuable.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons des dispositifs de conformité et de LCB-FT, en suivant le chemin réel d'un dossier, d'une alerte ou d'un traitement. Nous conseillons sur l'organisation de la fonction et sur le calendrier d'entrée en application des textes, sous la forme de cartographies d'exigences. Nous rédigeons des procédures, des cartographies de risques et des registres que vos responsables valident. Nous accompagnons des responsables de la conformité, des RCCI et des délégués à la protection des données sur plusieurs mois. Nous évaluons les acquis et conduisons des audits blancs avant un contrôle. Nous proposons aussi des formations en intra-entreprise. Lorsque l'assistance technique relève d'un contrat avec une entité financière, elle s'exerce sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent, et les clauses de l'article 30 du règlement DORA (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique du secteur financier) peuvent s'appliquer au contrat.

Ce que nous ne faisons pas

• Nous n'exerçons aucune activité réglementée : ni conseil en investissement, ni recommandation, ni gestion de portefeuille pour compte de tiers, ni intermédiation, ni notation ou labellisation.
• Nous ne rendons aucune consultation juridique : l'analyse d'un texte sous forme de cartographie des exigences n'est pas un avis, qui relève d'un avocat.
• Nous ne tenons aucune fonction de l'entité : ni conformité, ni LCB-FT, ni protection des données. Nous ne déclarons rien à TRACFIN et nous n'exerçons aucune vigilance pour le compte d'un client.
• Nous ne traitons ni ordres, ni positions, ni projets d'opération non publics, et nous ne détenons aucune information privilégiée.
• Nous ne délivrons ni certification, ni agrément, ni habilitation ; nos audits n'attestent la conformité de personne et ne préjugent pas de la décision d'une autorité.
• Nous ne formons pas à la place de l'entité qui doit former son personnel : l'obligation de formation et sa preuve restent à sa charge.

Sources officielles

Nos clients sont des professionnels, et nos exemples restent des cas construits. Pour vérifier les textes cités, consultez les sources officielles : l'ESMA pour la révision de MiFID II et de MiFIR, l'ACPR pour le contrôle LCB-FT, l'AMLA, la CNIL pour le RGPD et Légifrance pour l'arrêté du 3 novembre 2014.