Secteur Banque et Finance
Accompagnement des banques, intermédiaires relevant de l’art. 106 du TUB, sociétés de gestion, établissements de paiement et de monnaie électronique : système de contrôle interne, lutte contre le blanchiment, transparence, résilience opérationnelle numérique et maîtrise des obligations envers Banca d’Italia, la Consob et l’UIF.
Les enjeux du secteur
Le contrôle des risques, la conformité, l’audit interne et la fonction anti-blanchiment doivent disposer d’un mandat, de ressources et d’une indépendance adéquats, produire des rapports utiles aux organes de direction et ne pas se chevaucher : chez les intermédiaires de taille réduite, c’est la contrainte organisationnelle la plus forte.
Le profilage du risque client, les mesures de vigilance proportionnées, la déclaration des opérations suspectes à l’UIF (l’unité italienne de renseignement financier) et les contrôles de deuxième et de troisième niveau doivent rester efficaces, alors que le paquet anti-blanchiment européen de 2024, qui a institué une autorité sectorielle, transférera une partie de la matière dans un règlement directement applicable.
Core banking, services cloud, prestataires de paiement et sous-traitants informatiques concentrent le risque opérationnel hors des frontières de l’entreprise : DORA impose un registre des accords contractuels, des clauses spécifiques, une stratégie de sortie et la notification des incidents majeurs.
Information précontractuelle, documents de synthèse, modifications unilatérales, délais de réponse aux réclamations, recours devant l’Arbitro Bancario Finanziario (le médiateur bancaire et financier italien) et, pour les services d’investissement, adéquation et gouvernance produit au sens de MiFID II : des obligations qui se répercutent sur les contrats, les systèmes et les réseaux de distribution.
Évaluation de la solvabilité, modèles de scoring, systèmes d’information sur le crédit, Centrale dei rischi (la centrale des risques de Banca d’Italia) et outils antifraude : des traitements à fort impact, qui exigent des bases légales correctes, des mentions d’information compréhensibles et des garanties sur les décisions entièrement automatisées.
Les attentes prudentielles relatives aux risques climatiques et environnementaux imposent de les intégrer à la gouvernance, aux processus de crédit et au reporting, tandis que l’information Pilier 3 ESG et le rapport de durabilité exigent des données et des contrôles sur la qualité des informations.
Domaines d’intervention
Nous vérifions les mandats, les procédures et les flux d’information des fonctions de contrôle au regard des dispositions prudentielles applicables (Circulaire 285/2013 pour les banques, Circulaire 288/2015 pour les intermédiaires relevant de l’art. 106 du TUB, dispositions dédiées pour les établissements de paiement et de monnaie électronique) et proposons une architecture proportionnée à la structure, rattachement de la fonction anti-blanchiment compris.
Nous prenons en charge l’intégralité de la fonction d’audit interne ou accompagnons celle qui existe : univers d’audit, plan fondé sur les risques approuvé par les organes de direction, programmes de travail, tests des contrôles, constats classés par gravité et suivi, avec un reporting au conseil d’administration et au Collegio sindacale (le collège des commissaires aux comptes de droit italien).
Nous travaillons sur l’évaluation des risques, les procédures de vigilance à l’égard de la clientèle, les critères de profilage, le traitement des anomalies et l’instruction des déclarations d’opérations suspectes, avec des plans de formation et des tests par échantillonnage sur les dossiers, pour rendre le dispositif vérifiable et non seulement formalisé.
Nous construisons ou révisons le cadre de gestion du risque informatique, le registre des accords conclus avec les prestataires tiers de services TIC, les clauses contractuelles et les stratégies de sortie, le processus de classification et de notification des incidents majeurs ainsi que le programme de tests de résilience.
Nous soumettons la banque en ligne, les applications, les portails et les interfaces de paiement à des tests d’intrusion et à des évaluations des vulnérabilités, et intégrons les résultats au programme de tests de résilience opérationnelle numérique. Pour les entités désignées aux fins des tests avancés fondés sur des menaces réelles, nous préparons le périmètre, la documentation et la vérification des exigences applicables au prestataire retenu, en assurant la coordination avec l’autorité. Sécurité et continuité restent alignées sur les normes ISO 27001 et ISO 22301.
Nous révisons l’information précontractuelle, les documents de synthèse et les communications au client au regard du Titre VI du TUB et des dispositions de transparence de Banca d’Italia, reconstituons le cycle des réclamations jusqu’à l’Arbitro Bancario Finanziario et, pour les services d’investissement, vérifions l’évaluation de l’adéquation, la gouvernance produit et l’information sur les coûts.
Nous analysons les infractions sous-jacentes qui pèsent sur un intermédiaire : infractions fiscales, abus de marché, recel, blanchiment et auto-blanchiment, corruption, informations financières mensongères, entrave aux fonctions de surveillance, infractions informatiques. Les protocoles se greffent sur les procédures prudentielles existantes.
Nous encadrons les mentions d’information, les bases légales, les analyses d’impact (DPIA) sur le scoring et les dispositifs antifraude, les durées de conservation, les relations avec les systèmes d’information sur le crédit et les droits des personnes concernées face aux décisions automatisées, avec le DPO externe lorsque la fonction n’est pas couverte en interne.
L’activité bancaire et financière est réservée et surveillée : l’entrée sur le marché passe par un agrément, dont le maintien dépend du respect continu des exigences organisationnelles et de fonds propres. Banca d’Italia exerce la surveillance prudentielle au sein du mécanisme de surveillance unique, qui confie à la BCE la surveillance directe des banques importantes ; la Consob encadre les services d’investissement ; l’UIF, l’unité italienne de renseignement financier, reçoit les déclarations d’opérations suspectes. Le périmètre est hétérogène, des banques aux confidi (les organismes italiens de garantie mutuelle) soumis à surveillance.
Le socle est en revanche commun. Chaque intermédiaire doit se doter de fonctions de contrôle distinctes (contrôle des risques, conformité, audit interne) et de dirigeants remplissant les conditions d’honorabilité et de compétence. Les dispositions anti-blanchiment de Banca d’Italia y ajoutent la fonction anti-blanchiment : une fonction de contrôle de deuxième niveau autonome, dotée de son propre responsable, auquel s’ajoute la figure distincte du responsable des déclarations d’opérations suspectes ; dans les intermédiaires moins complexes, elle peut être confiée, aux conditions prévues, au responsable de la conformité.
Les exigences prudentielles, elles, diffèrent : l’ICAAP, l’ILAAP et les règles de fonds propres et de liquidité revues par le paquet bancaire européen de 2024 (CRR3 et CRD6) concernent les banques, tandis que les autres intermédiaires suivent les dispositions qui leur sont applicables, avec la protection des fonds de la clientèle pour les établissements de paiement et de monnaie électronique.
À la surveillance prudentielle s’ajoutent la protection de la clientèle et la lutte contre le blanchiment : le Titre VI du TUB (le code bancaire italien, D.Lgs. 385/1993) et les dispositions de transparence de Banca d’Italia régissent la relation avec le client, jusqu’aux recours devant l’Arbitro Bancario Finanziario (le médiateur bancaire et financier italien), tandis que les services d’investissement relèvent du TUF, le code italien des marchés financiers, et de MiFID II. Le D.Lgs. 231/2007 et les mesures d’application de Banca d’Italia encadrent les obligations de vigilance et la déclaration des opérations suspectes ; le paquet anti-blanchiment européen de 2024 transférera l’essentiel de la matière dans un règlement directement applicable, mais avec une entrée en application différée : aujourd’hui, les obligations opérationnelles restent celles du décret.
Sur le plan technologique, la référence est le règlement (UE) 2022/2554 (DORA), qui fait entrer la dépendance à l’égard des prestataires de services informatiques dans le champ de la surveillance, jusqu’au registre des accords communiqué à l’autorité. Le RGPD pour le profilage et le credit scoring, le D.Lgs. 231/2001 et les attentes prudentielles sur les risques climatiques et environnementaux complètent le tableau.
Un interlocuteur unique, qui connaît la surveillance prudentielle, la lutte contre le blanchiment et les systèmes d’information, travaille avec les fonctions de contrôle, l’informatique, la direction des crédits et les organes de direction, au lieu de consultants séparés pour chaque réglementation. Nous partons des documents que l’intermédiaire produit déjà : rapports des fonctions de contrôle, auto-évaluation des risques de blanchiment, registre des réclamations, suites des inspections.
Sur la troisième ligne, nous proposons l’audit interne en externalisation ou en co-sourcing, avec un reporting aux organes de direction et la coordination entre le Collegio sindacale, le collège des commissaires aux comptes de droit italien, le contrôleur légal des comptes et l’Organisme de surveillance.
Le risque informatique se maîtrise en construisant le dispositif DORA et en le mettant à l’épreuve : les tests d’intrusion et évaluations des vulnérabilités sur les canaux numériques vérifient ce que les procédures affirment.
La transparence se mesure sur les documents qui parviennent au client et sur le cycle des réclamations, jusqu’aux recours devant l’Arbitro Bancario Finanziario : la source la plus directe de signaux sur les processus qui ne tiennent pas. Sur le même versant se trouvent les procédures anti-blanchiment, les obligations en matière de données personnelles sur le scoring et le marketing, et le Modèle 231 greffé sur les dispositifs existants.
Les données de durabilité suivent le même principe : une seule chaîne de la donnée, avec des contrôles sur les estimations et la traçabilité, au service de l’information Pilier 3 ESG comme du rapport de durabilité.
Le périmètre se définit ensemble et les décisions restent du ressort des organes de l’intermédiaire : nous apportons la lecture réglementaire, la méthode de vérification et les éléments de preuve, avec des responsabilités et des délais fixés au départ.
Questions fréquentes
Le secteur bancaire et financier figure parmi les secteurs couverts par la NIS2, mais le règlement (UE) 2022/2554 fait office de réglementation sectorielle assortie d’exigences équivalentes : pour la gestion du risque informatique et pour la notification des incidents, ce sont DORA et les déclarations aux autorités de surveillance financière qui s’appliquent, et non les obligations correspondantes du D.Lgs. 138/2024. Restent à vérifier les cas particuliers, par exemple les sociétés du groupe qui exercent des activités étrangères aux services financiers et peuvent relever du périmètre NIS2 à titre autonome. La première tâche est donc une qualification motivée et documentée de l’entité, afin d’éviter des dispositifs en double et des notifications adressées à la mauvaise autorité.
Les dispositions prudentielles admettent l’externalisation des fonctions de contrôle à certaines conditions, qui varient selon la nature, la taille et la complexité de l’intermédiaire et exigent en principe la désignation d’un référent interne, un contrat encadrant les niveaux de service et l’accès aux informations, ainsi que le maintien de la responsabilité incombant aux organes de direction. La vérification de cette admissibilité est la première étape de la mission : si les conditions ne sont pas réunies, la formule praticable est le co-sourcing en appui d’une fonction interne.
Par l’exercice d’auto-évaluation des risques et par un test par échantillonnage sur les dossiers de vigilance à l’égard de la clientèle : ensemble, ils indiquent si les critères de profilage sont cohérents avec l’activité réelle et si les informations recueillies sont complètes et à jour. Vient ensuite le parcours des anomalies, de la génération de l’alerte au classement motivé ou à la déclaration à l’UIF, en mesurant les délais et la qualité de l’instruction. Ce sont les mêmes éléments de preuve qui sont demandés lors d’une inspection : autant les construire avant.
En reconstituant toute la chaîne : sources des données, base légale de chaque traitement, mention d’information remise au client, logique du modèle décrite de façon compréhensible, durées de conservation, contrats avec les fournisseurs de données et avec les systèmes d’information sur le crédit. Lorsque l’évaluation produit des effets significatifs de manière entièrement automatisée, il faut prévoir l’intervention humaine, la contestation de la décision et la traçabilité des demandes des personnes concernées. Une analyse d’impact (DPIA) à jour réunit ces éléments et réduit le risque de contestation.
Pèsent surtout les infractions qui naissent de l’activité propre d’un intermédiaire : abus de marché, recel, blanchiment et auto-blanchiment, infractions fiscales, corruption, informations financières mensongères et entrave à l’exercice des fonctions des autorités publiques de surveillance, ainsi que les infractions informatiques. La cartographie doit être construite sur l’activité effective : collecte de l’épargne, crédit, services d’investissement, paiements, gestion des créances douteuses. Les protocoles s’appuient sur les dispositifs déjà prévus par la réglementation prudentielle, afin d’éviter un second corpus de procédures parallèle.
On part des points où les risques climatiques et environnementaux touchent déjà les processus : politiques de crédit et instruction des dossiers, évaluation des garanties, reporting aux organes de direction, information Pilier 3 ESG lorsqu’elle est requise. La partie la plus lourde concerne les données : origine des informations recueillies auprès de la clientèle, critères des estimations lorsque la donnée manque, contrôles de qualité, traçabilité de l’auteur de chaque chiffre. Les mêmes informations alimentent le rapport de durabilité pour les intermédiaires qui y sont soumis : mieux vaut donc construire une seule chaîne de la donnée plutôt que deux reportings séparés.
Services liés
Fonction d’audit interne en externalisation ou en co-sourcing : plans d’audit fondés sur les risques, tests des contrôles et reporting aux organes de direction.
En savoir plusContrôles techniques de sécurité sur les réseaux, les applications et les infrastructures : nous identifions les vulnérabilités avant qu’un attaquant ne le fasse.
En savoir plusModèles d’organisation, de gestion et de contrôle au sens du décret législatif italien 231/2001, évaluation des risques d’infractions sous-jacentes et appui à l’Organisme de surveillance (OdV).
En savoir plusMise en conformité avec le règlement (UE) 2016/679 et le Code italien de la protection des données : audit, registre des traitements, DPIA, politiques et formation.
En savoir plusReporting ESG selon la CSRD, les ESRS, le GRI et le standard VSME : analyse de matérialité, collecte des données, rédaction et préparation à l’attestation.
En savoir plusConception, mise en œuvre et maintien de systèmes de management certifiables : ISO 9001, 14001, 45001, 27001, 37001, 50001 et les principaux schémas sectoriels et de filière.
En savoir plusParlons-en
Parlez-nous des priorités de votre entreprise : lors d’un premier échange sans engagement, nous analysons le contexte et vous proposons un parcours concret, avec des délais et des résultats mesurables.