Kroll : "L’évaluation des tiers, entre exigences réglementaires et bonnes pratiques"

L'évaluation des tiers est un élément essentiel de la plupart des programmes de conformité exigés par les différentes réglementations, que ce soit la lutte contre le blanchiment d’argent, la corruption ou le devoir de vigilance, pour ne citer que ceux-ci.

Pourtant, un constat s’impose : nombre d’entreprises soumises à l’obligation d’évaluer leurs tiers considèrent que le recours à des outils de "screening" remplit cette obligation. Or ces outils ne permettent que de recueillir des informations sur les tiers qui nécessitent d’être analysé pour évaluer les risques liés à ces tiers. Par ailleurs, le foisonnement récent des sanctions internationales concernant la crise russo-ukrainienne démontre que les entreprises doivent adapter leurs processus d’évaluation des tiers, parfois très rapidement, face à un environnement changeant.Comment s’y retrouver ?

Le processus d’évaluation des tiers, cyclique et itératif

L’évaluation des tiers désigne le processus de détermination du risque du tiers et de la mise en place de mesure d’atténuation de ce risque. Trop souvent, les entreprises réalisent cette évaluation avant l’entrée en relation. Ce n’est pourtant que la première étape du processus de gestion des risques afférents à un tiers :

• À l’entrée en relation et avant contractualisation :
- Le tiers envisagé doit être catégorisé ou classifié, en fonction de son niveau de risque initial établi en fonction de critères de risque préalablement définis, tels que la typologie du tiers (personne morale ou physique), le modèle d’affaire (client, fournisseur, intermédiaires, cible d’acquisition, sponsors, mécènes, etc.), le risque pays, le risque produits, etc. ;

"Un red flag n’induit pas la fin de la relation d’affaires, mais implique analyse d’impact et atténuation du risque"

- Ce niveau de risque initial du tiers déterminera les types de diligences initiales à réaliser ;
- L’entreprise doit ensuite décider si elle va contractualiser ou non avec le tiers, et quelles sont les mesures de suivi de la relation d’affaires à mettre en oeuvre, le cas échéant.

• Pendant la relation d’affaires :

- Le tiers doit faire l’objet d’un suivi régulier, en fonction de son profil de risques. Ce suivi doit inclure une évaluation périodique de la situation du tiers, de laquelle résulte une décision de l’entreprise de maintenir ou d’ajuster le profil de risque ou encore de mettre fin à la relation.
- À chaque renouvellement de la relation d’affaires.

Ce processus doit également être optimisé afin de répondre à plusieurs exigences réglementaires applicables à une entreprise, telles que la lutte contre la corruption et les sanctions internationales. Il s’agit d’être le plus efficace possible en rationalisant les processus, sans redondance ni lourdeur dans les tâches à réaliser par les équipes opérationnelles.

Enfin la conformité est un sujet transverse qui nécessite de sensibiliser et former les collaborateurs concernés. Ce processus, afin qu’il soit efficace, doit être maîtrisé par les opérationnels en charge de la conformité, mais également les fonctions juridiques qui jouent un rôle essentiel au stade de la contractualisation (des clauses de conformité peuvent être incluses dans les contrats en fonction des risques identifiés).

Les outils de screening, panacée ou facilitateur ?

Les outils de screening ne permettent pas, à eux seuls, de remplir les exigences réglementaires relatives à l’évaluation des tiers. Ils identifient des éléments relatifs à la réputation (articles de presse), les condamnations, les enquêtes en cours, la structure d’un groupe, les bénéficiaires effectifs et dirigeants, les personnes politiques exposées, la présence sur des listes de sanctions internationales, etc. Ils ont le bénéfice d’automatiser la collecte d’information, palliant ainsi les difficultés d’une collecte manuelle chronophage. Toutefois, la simple collecte automatisée n’est pas synonyme d’évaluation efficace des tiers : les entreprises doivent traiter ces informations en faisant notamment le tri entre les faux positifs, interpréter l’absence de résultats, ou encore documenter l’évaluation du risque du tiers. Sur la base de cette évaluation, les entreprises peuvent, via ces outils, assurer un suivi en temps réel de certains des tiers plus risqués. On comprend donc pourquoi il est important de concevoir le processus d’évaluation des tiers avant de penser à l’outillage. L’outil peut être un maillon efficace du processus (automatisation, gain de temps, traçabilité, monitoring), encore faut-il qu’il soit dimensionné et réponde aux besoins de l’entreprise au risque de devenir trop onéreux et ingérable pour les opérationnels.

Les signaux d’alerte ne sont pas des feux rouges

Lors de l’analyse des informations recueillies, certains signaux d’alerte peuvent être identifiés. Nous avons constaté une "peur du red flag", partagée par de nombreuses entreprises. Souvent, nos interlocuteurs concluent qu’ils doivent d’emblée refuser la relation d’affaires et s’inquiètent du développement de leurs activités. Or l’identification d’un signal d’alerte n’induit pas nécessairement un refus de contractualisation ou la fin de la relation d’affaires. Il s’agit plutôt de tenir compte de cet élément dans la détermination du profil de risque du tiers et des mesures d’atténuation du risque qui devront éventuellement être mises en place, telles qu’un approfondissement des diligences à réaliser pour confirmer ou ajuster le niveau de risque initial ou encore une surveillance en temps réel du tiers sur des listes, l’insertion de clauses contractuelles anticorruption ou d’audit, etc.

Un processus évolutif et agile

Les autorités obligent, avec raison, les entreprises d’à adapter le processus d’évaluation des tiers régulièrement, en fonction des changements de l’environnement (nouveau service, produit, implantation géographique, etc.) ou réglementaires. La crise en Ukraine l’illustre : l’article de l’Autorité des marchés financiers daté du 4 mars 2022 a imposé aux gestionnaires de portefeuille d’analyser les impacts des mesures de sanctions prises par l’Union européenne sur leurs activités et de prendre les mesures nécessaires pour les respecter, quitte à réévaluer tous leurs tiers. Surtout, c’est un dispositif efficace que les entreprises se doivent de démontrer : s’autocontrôler et contrôler les tiers de façon documentée, appropriée et dimensionnée dans une démarche évolutive, garante d’éthique dans les affaires.