5 bonnes pratiques pour une gouvernance efficace des données LCB

Les données sont l’épine dorsale de tout programme efficace de lutte contre le blanchiment d’argent (LCB). La qualité, l’homogénéité et l’intégrité des données conditionnent la capacité des établissements financiers à détecter les activités suspectes en temps réel, à se conformer à leurs obligations réglementaires et, en fin de compte, à s’épargner de lourdes sanctions financières. 

L’intégration d’une puissante gouvernance des données LCB aux flux de travail de conformité offre un avantage concurrentiel clair à ces établissements. En effet, cette gouvernance leur permet d’obtenir une évaluation des risques plus précise, des rapports fiables et une évolutivité transparente à mesure que les volumes de transactions et les caractéristiques de la criminalité financière évoluent. Face à des autorités réglementaires qui considèrent désormais les données de mauvaise qualité comme un défaut de conformité, la gouvernance des données devient le fondement d’un programme LCB efficace. 

Qu’est-ce que la gouvernance des données LCB ?

La gouvernance des données LCB concerne l’ensemble des politiques, processus et normes sur lesquels les établissements s’appuient pour garantir l’exactitude, la disponibilité, l’intégrité et la sécurité des données qui alimentent leurs programmes LCB. Elle détermine qui détient les données, comment ces dernières sont collectées et validées, la manière dont elles circulent entre les systèmes ainsi que leur contribution à l’analyse des données LCB, à la modélisation des risques et au reporting réglementaire.

Plutôt qu’un projet ponctuel, la gestion des données LCB est un exercice continu qui s’adapte à l’évolution des exigences réglementaires, à l’augmentation des volumes de données et à des typologies de criminalité financière toujours plus sophistiquées.

Dans la pratique, la gouvernance des données LCB concerne deux couches différentes :

• Les propres données de première partie de l’établissement telles que les dossiers clients, les historiques de transactions, la documentation KYC et les évaluations des risques internes que l’établissement administre et dont il est entièrement responsable. 
• Les données de référence ou les informations stratégiques comme les listes de sanctions, les registres de PPE et les médias défavorables que les fournisseurs de données spécialisés se procurent et maintiennent, mais que les établissements financiers doivent configurer selon leur propre appétit pour le risque. 

Opérer une distinction entre ces deux types de données est important car cela permet de préciser les obligations de gouvernance d’un établissement et l’intervention d’un fournisseur comme ComplyAdvantage qui gère le fardeau opérationnel pour le compte du client. Cependant, les régulateurs attendent des établissements qu’ils comprennent comment les données de référence sont sourcées, configurées et utilisées à l’intérieur de leurs propres contrôles, même lorsque c’est un fournisseur spécialisé qui maintient les ensembles de données sous-jacents.

Pourquoi la gouvernance des données est-elle importante pour la LCB ?

Gouvernance et conformité des données vont de pair. Lorsque les données LCB sont précises, complètes et bien structurées, les systèmes de surveillance des transactions génèrent moins de faux positifs, les évaluations des risques liés aux clients reflètent la véritable exposition d’un établissement et les enquêteurs peuvent prendre des décisions plus rapides et de grande qualité en toute confiance. Au contraire, des données de mauvaise qualité sont une source de risque pour chaque couche d’un programme LCB, qu’il s’agisse de l’intégrité du modèle de données LCB sous-jacent ou de la fiabilité des rapports d’activités suspectes déposés auprès des autorités réglementaires.

Au-delà de l’efficacité, la gouvernance des données a un impact direct sur la conformité à la réglementation. Des autorités de surveillance comme le réseau de lutte contre la criminalité financière (FinCEN), l’Autorité britannique de régulation des marchés financiers (FCA) ou le Groupe d’action financière (GAFI) qui définit des normes d’envergure mondiale s’intéressent de plus en plus à la supervision et à l’auditabilité des données fournies par les établissements financiers. Même lorsque des fournisseurs spécialisés gèrent du contenu en lien avec les sanctions, les PPE et les médias défavorables, les régulateurs attendent d’un établissement qu’il démontre comment ces données sont intégrées, configurées et supervisées dans son propre environnement.

Pour accompagner ces opérations, ComplyAdvantage assure toute la gestion opérationnelle des données de référence tout en fournissant un lignage complet des données ainsi que des résultats auditables qui permettent aux établissements de démontrer en toute confiance leur propre contrôle.

Quelles sont les principales composantes de la gouvernance des données LCB ?

En règle générale, un puissant cadre de gouvernance des données LCB s’étend à plusieurs disciplines interconnectées dont :

• La propriété des données : Attribuer une responsabilité claire pour chaque domaine de données, qu’il s’agisse des dossiers clients, des données transactionnelles ou des évaluations des risques, afin que les problèmes de qualité soient affectés à un responsable et résolus sans délai.
• La gestion de la qualité des données : Définir des normes concernant l’exhaustivité, l’exactitude, la cohérence et la pertinence des données LCB, le tout accompagné de vérifications automatisées et de flux de travail de remédiation définis.
• Le lignage et la transparence des données : Renseigner la manière dont les données circulent depuis les systèmes sources jusqu’à la production de résultats analytiques en passant par des couches de transformation permet aux établissements de localiser les erreurs, de démontrer l’auditabilité et de satisfaire aux attentes réglementaires en matière d’explicabilité.
• La classification des données : Catégoriser les données par sensibilité, pertinence réglementaire et profil de risque pour garantir un traitement, un contrôle d’accès et une conservation des données appropriés.
• L’intégration des données : Interconnecter des sources de données hétérogènes telles que les systèmes bancaires, les plateformes de filtrage des sanctions, les outils de filtrage des personnes politiquement exposées (PPE) et les flux d’informations négatives dans le cadre d’une vision unifiée du risque.
• La sécurité des données et le contrôle d’accès aux données : Garantir la protection des données LCB sensibles contre tout accès non autorisé grâce à des autorisations basées sur le profil et à une traçabilité qui répond à la fois aux exigences internes et réglementaires.

Quelles sont les bonnes pratiques pour la gouvernance des données LCB ?

1. Définir un cadre de gouvernance des données

La gestion des données LCB ne peut être efficace que si elle s’appuie sur un cadre de gouvernance bien documenté qui définit clairement les rôles, les responsabilités, les normes et les processus tout au long du cycle de vie des données. Pour les établissements financiers, cela implique de :

• Constituer un comité de gouvernance des données avec des représentants des fonctions Conformité, Technologies, Opérations et Gestion des risques
• Définir les rôles pour la gestion des données au niveau de chaque entité
• Publier des politiques claires qui définissent les attentes en matière de qualité, de lignage et de conservation des données

Les établissements financiers qui envisagent la gouvernance des données comme un ensemble de règles informel plutôt que comme un dispositif structuré peuvent avoir du mal à faire évoluer leurs opérations LCB et à développer leur activité à long terme. A contrario, ceux qui utilisent un cadre formel avec des structures de responsabilité clairement définies et qui intègrent une maîtrise durable des données face aux évolutions organisationnelles, aux mises à niveau des systèmes et à l’évolution de la réglementation, peuvent obtenir un véritable avantage concurrentiel.

2. Tirer parti de l’IA et de l’apprentissage automatique

L’intelligence artificielle (IA) et l’apprentissage automatique sont en train de transformer la manière dont les établissements financiers abordent la science des données LCB. Des modèles évolués permettent d’identifier des caractéristiques sur de grands ensembles de données complexes qu’il serait impossible de consulter au moyen d’un examen manuel. Cela améliore la précision de l’évaluation des risques, réduit les taux de faux positifs pour la surveillance des transactions et permet une segmentation plus dynamique des profils de risque client.

Cependant, le déploiement de l’IA dans un contexte LCB implique un tout nouvel ensemble d’exigences et de contrôles en termes de gouvernance. D’après notre rapport 2026 sur l’état de la criminalité financière, 98 % des établissements ont mis en place une forme ou une autre de dispositif d’assurance de l’IA, 59 % d’entre eux indiquant avoir pleinement déployé un tel dispositif et 39 % déclarant être en train d’en développer un de manière active. Pourtant, 41 % n’ont pas encore pleinement défini leurs pratiques d’assurance de l’IA si bien qu’une proportion importante des établissements utilisent des outils de conformité alimentés par l’IA, mais sans la gouvernance des risques liés aux modèles, ni les normes d’auditabilité ni les contrôles liés à la protection de la vie privée qu’exigent les autorités réglementaires.

Pour utiliser l’IA de manière responsable dans le cadre de programmes LCB, les établissements doivent veiller à ce que les résultats générés par les modèles soient explicables, régulièrement validés par rapport aux typologies actuelles et soumis à des processus de surveillance documentés qui satisfont à la fois aux objectifs d’audit internes et aux critères de supervision définis par les régulateurs. Cela nécessite généralement d’inventorier les modèles, de désigner des responsables des modèles et un comité d’examen ou une instance de validation équivalente. Il convient aussi de définir un ensemble de principes pour une IA responsable qui se conformeront à des réglementations telles que la Loi sur l’IA de l’UE, la Déclaration de supervision SS1/23 et les principes de gestion du risque lié aux modèles pour les banques de la Banque d’Angleterre (BoE), les orientations du Bureau américain du contrôleur de la monnaie (OCC) pour la gouvernance des risques liés aux modèles, la NYDFS Partie 504, c’est-à-dire la réglementation du New York Department of Financial Services relative au suivi des transactions et au filtrage des sanctions ainsi que le RGPD.

3. Suivre l’évolution de la réglementation LCB

Le paysage réglementaire qui supervise la gouvernance et la conformité des données LCB n’est pas figé. Les réglementations d’organismes comme le GAFI, le FinCEN et l’Autorité bancaire européenne (ABE) mettent régulièrement à jour leurs exigences en matière de qualité des données, de normes de reporting et d’utilisation de la technologie dans le cadre des opérations liées à la conformité. Quant aux établissements qui ne s’informent pas sur ces développements, ils risquent des sanctions réglementaires.

Les établissements financiers doivent donc affecter des collaborateurs au suivi de l’évolution de la réglementation pour s’assurer que les modifications apportées aux exigences en matière de filtrage des sanctions, aux définitions des PPE et aux normes sur les médias défavorables sont identifiées dans les délais et intégrées aux politiques de données, aux configurations des systèmes et à la formation du personnel. Intégrer la gestion de l’évolution de la réglementation au cadre de gouvernance des données, plutôt que la traiter comme une fonction de conformité distincte, permet d’être plus proactif lorsqu’une nouvelle règle émerge.

4. Effectuer des audits et un suivi des données

Des audits des données la fois fréquents et continus aident à détecter les problèmes de qualité avant qu’ils n’affectent les résultats LCB. Pour les données de première partie, cela nécessite de mettre en place une surveillance automatisée qui signale l’ensemble des anomalies, qu’il s’agisse de champs requis manquants dans les dossiers clients à des fins d’évaluation des risques ou de classifications des risques internes qui ne sont pas actualisées malgré un changement important de comportement du client.

Pour les données de référence telles que les listes de surveillance et de sanctions, les registres de PPE et les flux d’informations négatives, c’est au fournisseur qu’incombe l’actualisation et la précision des données sous-jacentes, conformément aux accords de niveau de service (SLA) conclus. L’objectif de l’audit réalisé par l’établissement financier ici est différent car c’est à lui de vérifier que la configuration de son filtrage ingère correctement, et dans les délais, les flux réactualisés et que les résultats facilitent une prise de décision fluide en matière de risques. Associer ces tâches de gouvernance distinctes minimise l’ampleur de la surveillance qu’exige légitimement une gestion des données de première partie.

Les résultats de l’audit – sur les deux couches – doivent alimenter directement le cadre de gouvernance pour générer des plans de remédiation auxquels sont ensuite affectés des responsables et des échéanciers. La surveillance des données doit également suivre les métriques telles que les taux de faux positifs, les taux de conversion d’alertes en déclarations SAR ainsi que la dérive du modèle au fil du temps afin de savoir quand la qualité des données commence à affecter les performances opérationnelles.

5. Assurer la formation continue des collaborateurs

L’efficacité des cadres technologiques et procéduraux est proportionnelle à celle des personnes qui les administrent. Les collaborateurs en charge de la conformité, des opérations, de la technologie et du risque doivent être conscients non seulement de leur responsabilité individuelle dans le cadre de la gouvernance des données de LCB, mais aussi de l’importance des données de qualité pour garantir l’intégrité du programme au sens large.

Les programmes de formation doivent être adaptés aux profils et aborder les responsabilités liées à la gestion des données pour ceux qui possèdent des domaines de données, les procédures de validation de la qualité des données pour le personnel opérationnel ainsi que les obligations de gouvernance des modèles pour les employés qui supervisent les processus assistés par l’IA. Cette formation doit être régulière pour tenir compte des mises à jour réglementaires, des changements apportés au système et des leçons tirées des audits internes ou externes. Des collaborateurs bien informés constituent l’une des défenses les plus durables contre une qualité de données défectueuse qui compromet l’efficacité de la LCB.

Quels sont les défis de la gouvernance des données LCB ?

Même les établissements dotés d’une stratégie de gouvernance mature sont confrontés à des obstacles persistants dont les plus courants sont notamment :

• L’évolution du paysage réglementaire : Les mises à jour fréquentes des exigences liées à la LCB, dont l’évolution des normes pour le filtrage des PPE, la couverture médiatique défavorable et les déclarations de transactions, impliquent un alignement permanent entre les développements réglementaires et les politiques de gouvernance des données.
• Les systèmes hérités : De nombreux établissements financiers sont tributaires d’une infrastructure bancaire et de conformité de base qui n’a pas été conçue pour intégrer les contraintes actuelles liées à la gouvernance des données. Embarquer des systèmes hérités cloisonnés dans une architecture de données LCB cohérente est un processus techniquement complexe et gourmand en ressources.
• Les contraintes en termes de ressources : Créer et maintenir une puissante fonction de gouvernance des données nécessite des investissements spécifiques en personnel, équipement et formation, des ressources que notamment les établissements de moindre envergure peuvent avoir du mal à mobiliser.
• Les données en silos : Lorsque les données pertinentes pour la LCB sont réparties entre différentes entités, régions ou gammes de produits sans schémas ou protocoles d’intégration normalisés, créer une vue cohérente des risques à l’échelle de l’établissement devient extrêmement difficile.
• L’équilibre entre accès aux données et confidentialité : Le partage des données nécessaire à une analyse LCB efficace est souvent une source de tension avec les réglementations sur la confidentialité, dont le Règlement général sur la protection des données (RGPD), ce qui oblige les établissements à déployer des cadres prudents de classification des données et de contrôle d’accès à ces dernières.
• L’alignement sur les exigences de gouvernance de l’IA : Plus l’apprentissage automatique occupe une place centrale dans la science et l’analyse des données LCB, plus les établissements doivent déployer des fonctionnalités de gouvernance des risques liés aux modèles qui répondent à la fois aux normes de surveillance interne et aux nouvelles attentes réglementaires en matière de surveillance.

Améliorer la conformité LCB grâce à des couches de données et de renseignements propulsées par l’IA

Les opérations de gouvernance des données LCB les plus exigeantes sur le plan opérationnel, à savoir garantir la précision, l’actualisation et la traçabilité des listes de sanctions, des registres de PPE et des flux d’informations négatives, ne doivent pas forcément incomber aux établissements financiers. La plateforme de renseignements sur les risques de criminalité financière de ComplyAdvantage prend ces opérations en charge grâce à un moteur d’IA propriétaire qui surveille en continu des millions de points de données issus de nombreuses sources à travers le monde et qui fournit des données de référence à la fois précises, actualisées, structurées et utilisables pour les opérations de conformité. Chez ComplyAdvantage, plutôt que de revendre des dossiers de tierce partie génériques, nous maintenons en interne des listes de sanctions, de surveillance, de PPE et de RCA ainsi qu’un corpus de médias défavorables dédiés à la criminalité financière et nous utilisons une architecture d’ingestion priorisée pour maintenir à jour des listes hautement prioritaires, même pendant les pics d’informations.

L’équipe Conformité peut ainsi concentrer ses efforts de gouvernance sur ce qui importe le plus, à savoir ses propres données clients, dossiers de transactions et modèles de risque internes.

Nos solutions fournissent aussi l’auditabilité dont les établissements financiers ont besoin pour apporter la preuve de leurs contrôles aux autorités réglementaires, notamment un lignage de données transparent, des résultats auditables et une évaluation des risques configurable capable de s’aligner sur des exigences qui évoluent. Qu’il s’agisse de filtrer des listes de surveillance et de sanctions, d’identifier des personnes politiquement exposées ou de surveiller des signaux médiatiques défavorables, ComplyAdvantage gère la partie la plus difficile et la plus ingrate de la couche des données de référence afin que le fardeau de gouvernance résiduel soit beaucoup plus gérable pour les établissements clients.