Contrôles périodiques : une revue automatisée suivant le niveau de risque client

Tout client fait l’objet d’un contrôle à l’entrée en relation d’affaires. Ce contrôle ne constitue toutefois qu’un instantané : il atteste qu’à cette date, le client ne figurait sur aucune liste de sanctions, n’était pas une personne politiquement exposée (PPE) et n’était pas cité dans des médias négatifs. Aucune de ces conclusions n’est acquise dans la durée. Les listes de sanctions évoluent en permanence, un client peut accéder à une fonction publique plusieurs années après son entrée en relation, et de nouvelles informations peuvent paraître dans la presse à tout moment.

C’est pourquoi la réglementation en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB/FT) impose une vigilance constante à l’égard de la relation d’affaires, et non un contrôle ponctuel à l’entrée en relation. Au sein de l’Union européenne, l’article 13 de la directive (UE) 2015/849 inscrit cette obligation parmi les mesures de vigilance à l’égard de la clientèle, à mettre en œuvre selon une approche fondée sur les risques. Que vous exerciez au Luxembourg, ailleurs dans l’Union européenne ou en Suisse, votre responsable conformité doit être en mesure de démontrer que les clients font l’objet de contrôles réguliers, à une fréquence proportionnée à leur risque.

Effectuer ces contrôles manuellement, client par client, devient rapidement intenable. Dans Smart Oversight, le screening continu relève d’un simple paramétrage : vous définissez une fois pour toutes la fréquence de réexamen de chaque catégorie de clients ; la plateforme se charge ensuite d’exécuter les contrôles.

Une fréquence définie par source et par niveau de risque

Le paramétrage s’effectue dans l’application Smart Oversight, depuis la page Screening settings, rubrique Monitoring settings. L’automatisation s’active à l’échelle de l’espace de travail, et chaque modification est enregistrée immédiatement.

La configuration comprend deux volets, consacrés respectivement aux personnes physiques et aux personnes morales. Pour chacun d’eux, vous pouvez définir une ligne unique, applicable à tous les niveaux de risque, ou une ligne distincte pour chaque niveau : élevé, moyen, faible ou à définir.

Un périmètre de suivi adapté à vos besoins

Vous choisissez en toute flexibilité les clients que vous souhaitez placer sous surveillance continue, en cohérence avec votre approche fondée sur les risques. Les clients créés par votre CRM via l’API Smart Oversight bénéficient du même suivi que les autres.

Le périmètre est réévalué à chaque exécution : lorsque le niveau de risque d’un client évolue, la fréquence correspondante s’applique dès le contrôle suivant.

Des contrôles déclenchés automatiquement

Smart Oversight lance automatiquement les contrôles arrivés à échéance, selon la fréquence définie pour chaque client. Tous les screenings sont pris en compte, qu’ils aient été automatiques ou manuels : un client contrôlé récemment n’est donc pas recontrôlé avant l’échéance suivante.

Une correspondance ayant déjà fait l’objet d’une alerte n’en génère pas de nouvelle, ce qui épargne à vos équipes tout examen en double.

Aucune planification n’est requise de la part de votre équipe informatique. Les intégrateurs qui souhaitent piloter le calendrier depuis leur CRM peuvent néanmoins déclencher eux-mêmes les screenings via l’API Smart Oversight, comme le décrit sa documentation.

Des alertes transmises directement à votre CRM

Lorsqu’un screening identifie une correspondance, une alerte est créée dans l’application et votre équipe la traite selon la procédure habituelle. Si votre CRM est connecté à l’API Smart Oversight, il en est informé simultanément, sans qu’aucun membre de votre équipe ait eu à lancer le screening.

Les événements relatifs aux alertes et aux screenings couvrent l’ensemble de l’espace de travail, y compris les screenings automatiques. Pour en bénéficier, votre serveur déclare un point de réception, c’est-à-dire l’adresse HTTPS à laquelle les notifications sont envoyées, puis l’abonne aux événements qui le concernent :

POST /v2/webhook_endpoints
Authorization: Bearer <votre clé d’API>
Content-Type: application/json

{
  "url": "https://crm.example.com/webhooks/smart-oversight",
  "enabled_events": ["alert.created", "alert.resolved", "screening.failed"]
}

L’événement alert.created est émis à chaque nouvelle alerte. Son champ data contient l’alerte telle que la renvoie GET /v2/alerts/{id} : le client concerné dans client, désigné par son identifiant Smart Oversight (cli_…), la source dans media (SANCTIONS_LIST, PEP_LIST ou INTERNET_SCREENING) et, pour une correspondance sur une liste de sanctions ou de PPE, le détail de l’entité concernée dans match. Votre CRM peut ainsi ouvrir une tâche sur le dossier sans appel supplémentaire.

L’événement screening.failed signale qu’un screening automatique n’a pas pu aboutir et que le dossier requiert une intervention.

Une fois l’alerte clôturée, dans l’application ou via POST /v2/alerts/{id}/review, l’événement alert.resolved en informe l’ensemble des systèmes connectés.

La signature des notifications, les renvois automatiques et l’historique des événements sont détaillés dans l’article Des webhooks pour les screenings et les alertes ; les décisions prises via l’API sont présentées dans Des décisions nominatives via l’API.

Une piste d’audit prête à être présentée

Lors d’un contrôle, le réviseur s’attachera à deux questions : les clients ont-ils effectivement été réexaminés, et quelles suites ont été données aux résultats ?

La page Screening history répond à la première : elle présente le dernier screening de chaque client et recense l’ensemble des screenings réalisés sur la période sélectionnée. La réponse à la seconde figure dans l’historique des statuts de chaque alerte, qui consigne la décision, le commentaire et le nom du collaborateur qui l’a prise, que celle-ci ait été rendue dans l’application ou via l’API.

Pour aller plus loin

Si vous utilisez déjà Smart Oversight, rendez-vous dans Screening settings pour activer l’automatisation en concertation avec votre responsable conformité. Pour connecter votre CRM, consultez l’article Connecter votre screening KYC & LCB/FT à votre CRM. La page Intégrations présente le périmètre actuel de l’API Smart Oversight.