Par Antony
Derbes, Président d’Open Lake Technology.
Pendant des années, la
conformité MiFID s'est construite autour d'un principe simple : enregistrer les
communications liées aux ordres afin de pouvoir les produire en cas de
contrôle.
Aujourd'hui, cette
logique atteint ses limites.
Les établissements
financiers continuent d'enregistrer toujours plus de conversations, d'e-mails
et d'échanges numériques. Pourtant, une question demeure largement absente des
débats : qui est réellement capable d'analyser tout ce qui est enregistré ?
La véritable difficulté
n'est plus de conserver les preuves.
Elle est de les
comprendre.
Deux obligations qui
convergent vers une même exigence
La réglementation
européenne impose aux entreprises d'investissement d'enregistrer les
communications liées à la réception, à la transmission et à l'exécution des
ordres.
Elle leur impose
également de démontrer qu'elles mettent effectivement en œuvre leur politique
de meilleure exécution des ordres ("best execution"), conformément
aux exigences de MiFID II.
Ces deux obligations
poursuivent un même objectif : permettre à l'établissement d'apporter la
preuve, à tout moment, que ses pratiques sont conformes.
Autrement dit, il ne
suffit plus d'affirmer que les procédures existent.
Il faut être capable
d'en démontrer l'application concrète.
Et c'est précisément là
que les difficultés apparaissent.
Le mur mathématique de
la conformité
Prenons un exemple
volontairement simple.
Un établissement de
taille moyenne emploie 150 conseillers.
Si chacun génère une
vingtaine d'échanges professionnels par jour liés à des opérations financières,
cela représente près de 3 000 communications quotidiennes, soit plus de 700 000
sur une seule année.
Même avec une équipe
conformité expérimentée, aucun établissement ne peut écouter, retranscrire,
analyser et documenter manuellement un tel volume.
Ce constat ne traduit
ni un manque d'organisation ni un défaut de compétence.
Il révèle simplement
une réalité mathématique.
Le contrôle exhaustif
est devenu matériellement impossible.
Dans la plupart des
établissements, le contrôle repose donc sur des échantillons.
Cette approche est
compréhensible.
Elle est pragmatique.
Mais elle interroge :
comment démontrer l'application effective d'une politique de conformité sur
l'ensemble des flux lorsque seule une faible partie des communications est
effectivement analysée ?
Une responsabilité qui
dépasse désormais le RCCI
Pendant longtemps,
cette question relevait principalement des équipes conformité.
Ce n'est plus le cas.
La capacité d'un
établissement à produire une piste d'audit complète mobilise désormais
plusieurs fonctions : conformité, systèmes d'information, direction des risques
et gouvernance.
En cas de contrôle,
l'enjeu ne consiste pas seulement à retrouver un enregistrement.
Il faut également être
capable d'expliquer comment il a été capté, conservé, analysé et pourquoi il
n'a pas échappé au dispositif de surveillance.
La conformité devient
ainsi un véritable sujet d'organisation et d'architecture, bien au-delà du seul
périmètre réglementaire.
L'écoute exhaustive ne
peut plus être la réponse
Pendant des années,
l'idée selon laquelle chaque communication pouvait être revue par un
collaborateur a servi de référence implicite.
Cette représentation ne
correspond plus à la réalité opérationnelle.
Les volumes de données
produits chaque jour rendent cette approche impossible.
L'enjeu n'est donc plus
d'augmenter les effectifs chargés du contrôle.
Il est de transformer
la manière dont celui-ci est exercé.
Les technologies
d'analyse automatisée permettent aujourd'hui de retranscrire les échanges, de
détecter des situations atypiques ou des signaux de risque et de hiérarchiser
les communications nécessitant une intervention humaine.
Le rôle du RCCI ne
disparaît évidemment pas.
Il évolue.
Son expertise ne
consiste plus à rechercher manuellement les anomalies dans un océan de données.
Elle consiste à
qualifier, interpréter et décider à partir d'informations préalablement
identifiées comme pertinentes.
Cette évolution redonne
toute sa valeur au jugement humain en le concentrant là où il est réellement
utile.
Trois questions que les
établissements devraient objectiver
Avant de considérer
qu'un dispositif de conformité est pleinement opérationnel, trois questions
méritent d'être posées.
·
Quel
est le pourcentage réel de communications effectivement analysées, et non
simplement enregistrées ?
·
En
combien de temps l'établissement serait-il capable de produire une piste
d'audit complète sur plusieurs semaines de communications si le régulateur en
faisait la demande ?
·
Les
mécanismes de contrôle permettent-ils d'identifier les situations à risque sur
l'ensemble des flux ou uniquement sur les communications sélectionnées dans les
échantillons ?
Ces questions ne
remettent pas en cause les équipes conformité.
Elles interrogent la
capacité des organisations à faire face à une croissance continue des volumes
de données.
Une nouvelle étape de
la conformité
Les prochaines années
produiront encore davantage de communications.
Les outils
collaboratifs continueront d'évoluer.
L'intelligence
artificielle générera de nouveaux usages.
Les interactions entre
conseillers et clients se multiplieront sur des canaux toujours plus nombreux.
Dans ce contexte, la
véritable question n'est plus de savoir comment enregistrer davantage.
Elle est de savoir
comment exploiter intelligemment ce qui est déjà enregistré.
La conformité entre
ainsi dans une nouvelle phase.
Hier, l'enjeu
consistait à conserver les preuves.
Demain, il sera de
démontrer que l'on est capable de les comprendre.
Et c'est probablement sur cette capacité que les établissements financiers seront, de plus en plus, évalués.