Réduire les risques liés à la supervision des transactions : réagir à l’évolution des comportements

Du COVID-19 à l’invasion de l’Ukraine par la Russie, l’actualité mondiale suscite de profonds changements de comportement, tant chez les criminels que chez les clients légitimes. Les établissements se doivent dès lors d’en tenir compte dans leurs dispositifs de gestion des risques transactionnels. Dans un entretien avec Gemma Rogers, co-fondatrice de FINTRAIL, cabinet conseil de renommée mondiale en conformité pour lutter contre la criminalité financière, Roger Bush a fait le point sur le rôle accru des hautes technologies pour gérer les risques dans le secteur financier en scrutant le basculement des criminels vers la fraude et l’utilisation de clients ordinaires comme mules financières.

Le présent article s’inspire de cette discussion pour expliquer la prolifération des mules financières, étudier les signaux d’alerte à rechercher et le rôle de l’intelligence artificielle pour contrer plus efficacement ces nouvelles typologies de fraude et de blanchiment d’argent.

Quel est l’impact à long terme du COVID sur le comportement des clients et des criminels ?

Les consommateurs et les criminels ont adopté pendant la pandémie des comportements nouveaux qui perdurent aujourd’hui alors même que la menace du COVID s’estompe. Outre la multiplication de transactions médicales frauduleuses, d’arnaques par hameçonnage, de type Ponzi et à l’investissement, la criminalité financière recherche de plus en plus de candidats pour servir de mules financières. Avec le durcissement de la situation économique ressenti dans toutes les couches de la société, des groupes généralement moins vulnérables ont été affectés en plus des populations vulnérables habituelles. Ces tendances illustrent la rapidité avec laquelle les criminels adaptent leurs méthodes à leur environnement.

Pourquoi cela ? Au départ, alors que les entreprises où circulent beaucoup d’espèces subissaient de plein fouet les contraintes de la pandémie, les criminels se sont tournés vers d’autres commerces pour blanchir leurs fonds. Parallèlement, des personnes par ailleurs honnêtes ont commencé à subir une contrainte économique sans précédent.

Les blanchisseurs d’argent en ont rapidement profité pour transférer des fonds illicites après avoir dupé ou manipulé des personnes désespérées qui leur ont servi de mules.

Malgré le recul de la pandémie, ses conséquences demeurent, exacerbant une grande partie de ces pressions et continuant à encourager des tendances telles que la fraude et les mules financières. Les effets les plus durables sont autres entres :

• Une accélération de la dématérialisation, accentuée par la multiplication des interactions en distanciel. L’accélération des transferts de fonds grâce à la dématérialisation des paiements facilite l’activité des mules financières et toute autre forme de criminalité financière.
• Les chaînes d’approvisionnement chaotiques, aggravées par les sanctions russes. Cette situation contribue aux marchés noirs, à la fraude et au trafic tout en impactant toujours plus l’économie mondiale.
• La persistance de la volatilité économique et de l’inflation, portée par ce contexte et par d’autres tendances complexes. Cette situation pousse les criminels et les honnêtes gens à rechercher des sources de financement alternatives.

Sachant que les blanchisseurs de capitaux continuent à exploiter la vulnérabilité sociale et économique de leurs clients, les établissements doivent adapter leur supervision des transactions en conséquence. Pour lutter contre le blanchiment d’argent et le financement du terrorisme (LCB-FT), les équipes chargées de la gestion des risques ont besoin d’outils souples qui leur permettent de s’adapter en permanence à l’intensification de ces risques.

Comment la supervision des transactions peut détecter des risques accrus de mules financières

D’où les questions : quels types de comportement permettent généralement de repérer une mule financière ? Les outils de supervision existants parviennent-ils à détecter correctement ce type d’activité ?

Profiler des tendances, pas des individus

Puisque les recruteurs de mules recherchent avant tout des individus au comportement normal, les établissements doivent s’employer à profiler des modes de transaction plutôt que des clients. Afin de détecter un scénario classique de mule financière au sein d’une banque de détail, les établissements doivent s’intéresser à des caractéristiques transactionnelles inhabituelles et notamment lorsqu’un montant généralement inférieur à celui perçu est laissé sur un compte puisque la mule financière prélève souvent une commission sur la somme reçue au départ.

Comment la supervision des transactions peut détecter l’activité des mules financières

La détection de ce genre d’activité passe par une bonne configuration du dispositif de supervision des transactions. La plupart des systèmes sont toutefois configurés pour identifier les paiements entrants en dehors de tout contexte global, ce qui est pourtant déterminant pour faire le tri entre les activités réellement suspectes et les opérations à faible risque. Cette situation peut générer un afflux d’alertes ambiguës et multiplier les faux positifs et les faux négatifs. Lorsqu’une transaction est repérée sans plus de contexte, les analystes, notamment ceux de la communauté des fintechs, demandent souvent un complément d’informations au client pour en savoir plus et définir un profil de risque plus précis.

Il serait préférable de classer le risque d’une transaction entrante en fonction du profil client. Les outils qui utilisent l’apprentissage automatique constituent la solution la plus dynamique et la plus efficace pour y parvenir. Toutefois, si un établissement n’a pas accès à l’apprentissage automatique, des systèmes de supervision traditionnels peuvent être configurés pour rechercher notamment :

• Le délai d’exécution – Sous quel délai une somme arrivée sur le compte en ressort-elle ?
• Les destinataires connus – Le paiement a-t-il été envoyé à un destinataire inscrit sur la liste des bénéficiaires habituels de paiements sortants du client ?

Avec le temps, un établissement peut créer une approche plus ciblée en exploitant les résultats basés sur ces règles. À partir de l’analyse des profils des personnes repérées, les analystes peuvent orienter les règles du système sur les groupes de clients qui ont les mêmes caractéristiques. Par exemple :

• Les catégories d’âge à haut risque – Il peut s’agir des jeunes, qui en général n’ont pas d’épargne pour survivre à une crise économique grave. Il peut s’agir également des seniors, qui sont souvent victimes d’escroqueries et d’arnaques.
• Des catégories hors emploi stable – Notamment des clients qui ne perçoivent plus leurs salaires ou qui bénéficient d’une subvention ou d’une indemnité d’ancienneté.

La précision des alertes peut être améliorée en affinant le fonctionnement des règles pour des catégories spécifiques de clients.

Détecter le risque dans différents groupes : clientèle de particuliers et d’entreprises

Contrairement à la plupart des signaux d’alerte les plus transparents qui repèrent des mules financières, les comptes d’entreprise peuvent dissimuler plus facilement des transactions illicites dans la mesure où les comptes commerciaux reçoivent un volume plus important de dépôts d’espèces. La rapidité des transactions entrantes et sortantes reste pertinente, mais les établissements doivent également envisager une vue d’ensemble avec leurs entreprises clientes.

Cette approche consiste à étudier le profil d’une entreprise pour évaluer le volume des flux circulant sur son compte en fonction de sa taille et de son secteur d’activité. Par exemple, il serait surprenant qu’un restaurant avec service de restauration le soir uniquement réalise d’énormes bénéfices en ne déposant que des règlements en espèces. Pour cela, il faudrait que le site puisse accueillir un nombre de clients logistiquement impossible pour expliquer des entrées d’espèces aussi importantes.

Par ailleurs, les établissements doivent disposer d’un contexte suffisant pour distinguer un signal d’alerte authentique d’une entreprise qui a simplement changé de modèle économique. Dans le cas des restaurants, sachant que la pandémie les a contraints à évoluer vers les plats à emporter, un flux d’espèces plus important peut se justifier.

L’essentiel pour faire la différence est de comprendre l’entreprise en question et ce qui est normal pour elle. Les établissements doivent s’efforcer de comprendre les volumes de transactions typiques de leurs clients et s’interroger sur tout changement de contexte ou sur des situations avérées (crise économique ou pandémie par exemple) auxquels l’entreprise a dû s’adapter. Dans le doute, les établissements peuvent prendre des renseignements complémentaires en contactant l’entreprise en question. Ils peuvent aussi faire des recherches et des analyses en ligne pour évaluer si l’entreprise a procédé à une mutation légitime.

Comment les néobanques et les fintechs peuvent-elles détecter les mules financières ?

Il peut être très difficile pour les fintechs et les néobanques de détecter les mules financières. Nombreux sont ces établissements qui sont de nouveaux venus sur le marché et qui cherchent à se développer rapidement tout en diversifiant leurs produits, leurs prestations ou leurs implantations géographiques. Dès lors, que peuvent faire les établissements de ce secteur pour déceler davantage l’activité des mules financières ? Les points à étudier sont principalement :

• Une puissante supervision des transactions – Puisque le secteur maîtrise les technologies de pointe, un outil de supervision des transactions high-tech est une solution logique et judicieuse. Ces outils agiles peuvent s’appuyer sur l’IA pour détecter des risques nuancés, hiérarchiser les alertes et organiser le processus de supervision. Concernant les mules financières, l’apprentissage automatique peut affiner la supervision de comportements et de profils pertinents pour un établissement. En revanche, l’optimisation manuelle est chronophage, n’intervient qu’à des moments planifiés et ne peut pas suivre le rythme d’adaptation permanente du comportement des criminels. Résultat, certains risques peuvent échapper à la détection. Pour les établissements qui exercent dans des espaces nouveaux et changeants – souvent avec des ressources plus limitées – des outils précis et évolutifs peuvent permettre à de petites équipes de déployer une puissante approche fondée sur les risques.
• La communication avec d’autres établissements de l’écosystème – Les établissements peuvent s’informer réciproquement sur les risques qu’ils perçoivent et sur leur manière de les gérer. Parce cette approche est manuelle, elle est cependant insuffisante en tant que telle. Mais associée à un outil agile de supervision des transactions, une communication permanente au sein du secteur peut fournir aux établissements de précieux renseignements qu’ils peuvent utiliser ensuite pour affiner leurs processus.
• Des vérifications de la couverture médiatique négative concernant les clients – Puisque les criminels s’intéressent en général à des gens sans casier judiciaire, cette approche doit servir uniquement de mesure de contrôle supplémentaire. Il est difficile de profiler des mules financières qui pour la plupart n’ont jamais été condamnées. Toutefois, connaître les antécédents criminels des clients peut apporter des renseignements utiles. Même si un client qui a un casier judiciaire n’est pas une mule, il peut faire partie d’un écosystème plus vaste qui interagit avec des mules.

Comment l’apprentissage automatique et les règles traditionnelles peuvent-ils fonctionner de concert ?

L’apprentissage automatique (ML) n’est pas forcément incompatible avec des règles. En fait, les deux approches peuvent même être complémentaires. Les règles peuvent fournir des renseignements de base sur le comportement des clients que l’apprentissage automatique doit améliorer. Parallèlement, l’apprentissage automatique peut aider à hiérarchiser les alertes générées par les règles pour faire apparaître en priorité celles qui présentent les plus hauts risques. Les règles individuelles sont plus directes tandis que l’apprentissage automatique est efficace pour nuancer et limiter les faux positifs. De nombreux établissements démarrent avec des règles de base et développent à long terme un modèle de ML plus approfondi et centré sur les données. Ils gagnent ainsi du temps pour tester intégralement le modèle et l’améliorer et pour s’assurer qu’il fonctionne à la hauteur des besoins et qu’ils le comprennent bien.

Pourquoi les autorités de réglementation s’attachent à l’explicabilité ?

Les autorités de réglementation n’abordent généralement pas les technologies dans les recommandations LCB qu’elles font aux établissements, s’attachant plutôt à reposer les principes basés sur les risques qui doivent servir de socle aux contrôles de la criminalité financière. Néanmoins, les autorités réglementaires attendent des établissements qu’ils gardent la main sur leurs processus en matière d’apprentissage automatique et d’IA. Ainsi, elles ne se laisseront pas impressionner par un établissement incapable d’expliquer le fonctionnement de son système d’apprentissage automatique.

Les régulateurs cherchent avant tout à éviter une dépendance envers les technologies de boîte noire (des outils intégrés à des processus que personne ne sait expliquer), ces technologies pouvant nuire aux clients et porter atteinte à leurs droits, un domaine traité dans le Règlement général de l’UE sur la protection des données (RGPD). Il est impossible de contrôler un système de boîte noire sur des questions éthiques telles que la confidentialité des données et la discrimination.

Au-delà des attentes réglementaires, les établissements ont aussi intérêt à veiller à ce que leurs systèmes soient explicables. Les investigateurs qui maîtrisent les outils d’IA à leur disposition peuvent prendre rapidement des décisions informées, responsables et efficaces. Des explications claires permettent également aux établissements d’évaluer en permanence leurs processus et d’en améliorer les performances et l’impartialité, mais aussi d’atténuer des problèmes imprévus tels que le biais algorithmique.

Il convient de souligner que malgré les précautions en matière d’explicabilité, l’IA et l’apprentissage automatique sont de plus en plus jugés indispensables pour gérer efficacement les risques de criminalité financière. L’important est de suivre les bonnes pratiques établies et de rester au fait des développements technologiques, éthiques et réglementaires les plus récents en matière d’IA.

Test du système : pourquoi une deuxième ligne de défense fiable est cruciale

Au-delà des enquêtes et de l’obligation de vigilance en première ligne, il est crucial d’être tout aussi attentif à la deuxième ligne de défense en testant le bon fonctionnement d’un système, ainsi que l’efficacité de la lutte contre la criminalité financière menée par un établissement.

Pour garantir l’indépendance du dispositif, les tests de deuxième ligne doivent être confiés à une équipe différente de celle chargée de la première ligne de défense. Dans de nombreux pays, les établissements soumis à la réglementation sur le blanchiment d’argent doivent nommer un chargé de rapports sur le blanchiment de fonds (MLRO) qui rend compte au moins une fois par an à la Direction sur l’efficacité des contrôles de criminalité financière dans l’établissement. Ce dispositif contribue à garantir la conformité aux exigences des autorités de réglementation, mais aussi à ce qu’un établissement s’investisse réellement dans la gestion des risques. Tout manquement détecté par des analyses indépendantes peut être traité pour permettre une approche plus fondée sur les risques.

Éclatement des silos : l’importance d’une gestion holistique des risques de criminalité financière

Les luttes contre la fraude et contre le blanchiment sont d’ordinaire envisagées séparément. D’une part, chaque domaine suppose effectivement des scénarios spécifiques qui exigent une expertise spécialisée. Par exemple, il faut des compétences techniques pour maîtriser le processus de rétrofacturation qui est propre à la fraude.

Mais le besoin de spécialisation n’oblige pas forcément les établissements à isoler ces processus. La fraude est par exemple l’une des nombreuses infractions sous-jacentes qui alimentent le blanchiment d’argent, au même titre que le sont le trafic de drogue et d’êtres humains, la criminalité contre l’environnement et les assassinats. Si un client fraude, il devra ensuite blanchir ses actifs acquis illégalement avant de les utiliser.

Il est préférable pour les établissements d’aborder les risques de criminalité financière dans leur globalité pour concevoir des systèmes mieux adaptés à leurs propres risques, allant de la fraude à la LCB et au-delà. Cette approche holistique fondée sur les risques comporte plusieurs étapes :

1. Réaliser une évaluation actualisée des risques de criminalité financière – Elle ne doit pas se limiter à la fraude ou à la LCB, mais plutôt couvrir tout le spectre des scénarios de criminalité financière. Les établissements doivent analyser en profondeur les typologies et les scénarios auxquels ils sont susceptibles d’être exposés compte tenu de leurs clients, de leurs produits et des juridictions dans lesquelles ils exercent.
2. Identifier les risques ciblés – Les établissements peuvent ensuite identifier leurs vulnérabilités spécifiques et les contrôles nécessaires pour gérer leurs risques uniques.
3. Établir des contrôles holistiques – Réfléchir à quelle association de risques chaque produit est le plus exposé et instaurer des contrôles correspondant à cette exposition. Les contrôles sur certains produits peuvent devoir se concentrer sur certaines typologies plutôt que d’autres alors que d’autres exigent une association de contrôles. L’important est que les contrôles soient déterminés en évaluant le risque global auquel chaque pan de l’activité est exposé, sans prédéterminer de catégories. Ce n’est qu’ensuite que le véritable risque pourra être traité intégralement.

C’est en commençant à étudier différents scénarios de risque que les établissements comprendront que l’éventail des vulnérabilités est très large. Les risques ne sont pas cloisonnés, eux. En effet, de nombreux contrôles peuvent franchir les silos traditionnels fraude/LCB pour atténuer en même temps de nombreux risques différents.

L’importance des flux de travail agiles pour la gestion des risques

Les établissements savent en général identifier de nouvelles typologies qui apparaissent soit dans le cadre d’enquêtes suite à des alertes des autorités, soit en raison d’alertes émanant d’autres établissements financiers. À l’avenir, le partage des données permettra par ailleurs de réagir efficacement à l’évolution des risques.

Malgré tout, les établissements peuvent avoir du mal à adapter rapidement leurs systèmes de supervision des transactions à ces typologies. Et ce pour deux raisons majeures : le développement insuffisant de la technologie et des structures de gouvernance excessivement complexes qui imposent des validations à chaque changement de système ou de règle. Alors que les données nécessaires au suivi de la criminalité financière et de la réglementation LCB se font plus complexes, les établissements ont besoin de solutions optimisées qui ne sacrifient ni la responsabilité ni les risques. Dans cette optique, les outils de supervision des transactions pilotés par l’IA peuvent soutenir une gestion agile des risques via un apprentissage et une adaptation en continu.

En attendant, au fur et à mesure de l’optimisation de leurs flux de travail, les établissements devront également revoir leur structure de gouvernance. Il est important qu’elle continue à prévoir la responsabilité tout en soutenant une approche efficace et fondée sur les risques. Les établissements peuvent veiller à ce que leurs structures de supervision des transactions et de gouvernance soutiennent un processus rapide et fondé sur les risques en évaluant régulièrement les risques à l’échelle de l’entreprise (EWRA) et en procédant à des tests et à des audits indépendants.

Ce qu’il faut retenir

Une réponse s’appuyant sur la technologie se profile alors que les établissements sont confrontés à des données de risques de plus en plus complexes et à des exigences réglementaires qui évoluent sans cesse. Grâce aux nouveaux outils pilotés par l’IA, les établissements financiers sont en mesure d’affecter leurs ressources là où sont les risques, tout en assurant en permanence qualité et uniformité. Avec l’intensification du partage des données, les établissements pourront exploiter des renseignements sur les risques de manière inégalée.

L’agilité faisant partie de leur ADN et étant nées dans un monde de criminalité financière au rythme soutenu, les fintechs occupent une place unique pour ouvrir la voie. Mais les établissements traditionnels peuvent aussi sortir du lot en adoptant une approche plus agile. En effet, en constituant des équipes plus souples pour lutter contre la criminalité financière, les établissements se protégeront mieux contre les pertes et amélioreront leur responsabilité vis-à-vis de la réglementation tout en protégeant leurs clients et leur réputation.