Principe 2 : Gestion des risques liés à la criminalité financière

L’institution financière devrait considérer la gestion des risques liés à la criminalité financière à l’intérieur de son cadre de gestionEnsemble des politiques, procédures et mécanismes de contrôle visant à assurer la gestion des principales fonctions d’une organisation. intégrée des risques. Elle devrait par conséquent tenir compte des interrelations et des interdépendances entre les risques.

Dans cette optique, l’approche de gestion intégrée des risques implique l’identification, l’évaluation et la quantification des risques liés à la criminalité financière auxquels l’institution est exposée, ainsi que la mise en place de mesures d’atténuation des risques afin de diminuer la probabilité d’incidents de nature opérationnelle qui sont associés à la criminalité financière et leurs impacts potentiels sur l’institution.

À cette fin, l’institution devrait tenir compte de sa vulnérabilité aux risques auxquels elle est exposée notamment à l’égard des éléments suivants :

• les facteurs internes tels que :

  • sa structure organisationnelle, la nature de ses activités, ses systèmes d’information, ses orientations stratégiques, ses politiques, la qualité de son contrôle interneL’ensemble des mécanismes de contrôle mis en place au sein de l’institution financière pour donner aux instances décisionnelles une assurance raisonnable que les objectifs d’efficacité et d’efficience des opérations, de protection des actifs, de fiabilité des informations et de conformité sont atteints. , dont la séparation des tâches et la délégation de pouvoirs;

  • la nature et les caractéristiques de ses produits;

  • le profil de risqueÉvaluation du niveau de risque global de l’institution découlant de l’évaluation des risques inhérents aux activités d’envergure de l’institution financière, de la qualité de sa gestion des risques, de sa situation financière et de ses pratiques commerciales. de ses clients, leurs activités professionnelles, la nature et le volume de leurs opérations, tant locales que transfrontalières;

  • les technologies de l’information utilisées;

  • ses relations d’affaires, y incluant l’impartition de certaines fonctions;

  • la polyvalence et le taux de rotation de son personnel, l’expertise des employés en matière de criminalité financière, la qualité de leurs relations de travail, la vérification par l’institution des antécédents préalable à l’embauche et effectuée périodiquement au cours de l’emploi à l’égard des employés, notamment pour les fonctions plus à risque.

• les facteurs externes tels que :

  • les méthodes utilisées par les auteurs d’activités de la criminalité financière et la possibilité d’incidents opérationnelsÉvènement qui engendre une perturbation, un ralentissement ou une interruption des activités critiques de l’institution. et leurs impacts potentiels;

  • les exigences légales, réglementaires et normatives relatives à la lutte contre la criminalité financière, notamment la LRPCFAT, et les modifications apportées aux personnes désignées sur la liste dressée par les Nations UniesRèglement d’application de la résolution des Nations Unies sur la lutte contre le terrorisme. Des renseignements additionnels sont disponibles sur le site de l’Autorité : www.lautorite.qc.ca/professionnels/obligations-et-formalites-administratives/lutte-contre-le-terrorisme/;

    • le contexte économique et social, les nouvelles menaces et opportunités en matière de criminalité financière ainsi que l’évolution des techniques et des méthodes utiliséesL’Autorité émet régulièrement des mises en garde à la suite des renseignements recueillis par ses enquêteurs, entre autres en cybersurveillance. Les renseignements peuvent également provenir d’investisseurs et de régulateurs de différentes juridictions. www.lautorite.qc.ca/grand-public/prevention-de-la-fraude/mises-en-garde/;

    • l’évolution des orientations internationales en matière de lutte contre la criminalité financière.

Principe 3 : Gestion intragroupe

Les activités associées à la criminalité financière effectuées par l’entremise d’une institution financière faisant partie d’un groupe sont susceptibles d’avoir des répercussions importantes sur les autres entités du groupe, voire, nuire à leur solvabilité et ultimement entacher la réputation du groupe tant au niveau local, national qu’international.

Par conséquent, il est important d’adopter une approche globale de la gestion des risques liés à la criminalité financière à l’échelle du groupe de façon à ce que les normes à l’intention de l’institution soient cohérentes au sein du groupe et que des échanges d’information aient lieu entre les entités qui en font partie. La transparence et la libre circulation permettront d’identifier et d’évaluer les différentes vulnérabilités et atténuer les risques liés à la criminalité financière.

Principe 4 : Vigilance auprès de la clientèle

L’institution financière devrait être vigilante auprès de sa clientèle en tenant compte de l’ampleur des risques rattachés principalement aux opérations monétaires, aux produits d’assurance et aux produits d’investissement offerts par l’institution.

Connaissance de la clientèle

La connaissance de la clientèle constitue une composante essentielle de la gestion des risques liés à la criminalité financière. Elle contribue à réduire la probabilité d’incidents de nature opérationnelle impliquant l’institution financière.

La connaissance de la clientèle devrait également inclure leurs relations avec d’autres clients de l’institution et, le cas échéant, avec d’autres entités du groupe auquel appartient l’institution. Une vigilance accrue devrait être exercée surtout en présence de contrepartiesEntité constituant la partie opposée dans un contrat financier ou une transaction. liées ou de prêts apparentés.

L’institution devrait mettre en place des procédures adéquates d’identification, établir un profil de risque et des critères d’acceptation de ses clients, notamment pour des catégories de clients qui sont susceptibles de présenter un risque plus grand. Par conséquent, elle devrait exiger tous les documents justificatifs appropriés selon la nature du client et les particularités de certains comptes, tels que corporatifs, institutionnels ou en fidéicommis.

Dans la mesure du possible, un surcroît de diligence est requis notamment à l’égard des clients :

• dont la structure de l’entité ou la nature des affaires rend difficile l’identification du propriétaire ou des intérêts qui la contrôlent;

• qui agissent comme intermédiaires financiers, courtiers, conseillers ou représentants en valeurs mobilières, gardiens de valeurs, fiduciaires et professionnels;

• dont le contexte semble anormal, par exemple un client qui change souvent d’adresse, qui refuse de fournir des preuves d’identité ou qui s’intéresse plus au rachat anticipé d’une police d’assurance plutôt qu’à répondre à ses besoins de protection;

• qui sont des déposants ou des emprunteurs importants, des groupes d’emprunteurs liés, des « étrangers politiquement vulnérables »Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (2000, ch.17), article 9.3.;

• qui sont des mandataires d’un client ou des bénéficiaires d’un contrat d’assuranceL’identification et la vérification du bénéficiaire devraient être effectuées, au plus tard, lors de la prestation de la police d’assurance..

L’institution devrait tenir et maintenir à jour un registre de ses clients et des transactions qu’ils effectuent. Elle demeure également responsable de protéger les renseignements personnels de ses clientsAUTORITÉ DES MARCHÉS FINANCIERS. Ligne directrice sur les saines pratiques commerciales et Loi sur la protection des renseignements personnels dans le secteur privé, L.R.Q. c. P-39.1., notamment afin de prévenir l’utilisation inappropriée de ces derniers.

Suivi des opérations des clients

En tenant compte du profil de risque de ses diverses catégories de clients, l’institution devrait prendre des mesures adéquates de vigilance, notamment :

• déterminer des critères pour contrôler et surveiller les opérations de ses clients, en outre, à l’égard de l’origine des fonds, de la nature des transactions, des liens entre plusieurs opérations, du type de devises et du pays du destinataire;

• procéder à un examen pour toute opération qui n’a pas d’objet économique ou licite apparent et à l’égard de laquelle, elle a des motifs de croire que l’opération est susceptible d’être associée à la criminalité financière;

• procéder à un examen plus approfondi du contexte et de l’objet :

  • pour toute opération complexe ou dont l’origine des fonds est douteuse ou inconsistante avec le profil de risque de cette personne;

  • pour toute opération inhabituelle notamment si le volume des transactions est anormal par rapport à l’historique d’un client et à la nature de ses affaires;

  • pour les transactions fréquentes en espèces (ou en équivalent) ou celles effectuées dans des circonstances inhabituelles en regard du profil d’un client, et pour des opérations avec des mouvements importants de fonds sans cause apparente pour un client précis;

  • pour les virements électroniquesIncluant aussi les virements de fonds, virements transfrontaliers et virements nationaux. faits par un client via une autre institution financière en vue de mettre à la disposition d’un bénéficiaire, soit le client lui-même ou une autre personne, une somme d’argent importante.

Pour les réclamations d’assurance, un processus adéquat devrait être mis en place par l’institution en vue de minimiser les cas de fraude par ses clients. Des mesures supplémentaires, notamment relatives à la validation des sommes réclamées, devraient être mises en œuvre, au besoin et suivant l’importance des réclamations.

Finalement, les résultats du suivi des opérations des clients devraient être consignés dans des rapports de gestion.

Principe 5 : Vigilance auprès des employés, dirigeants et relations d’affaires

L’institution devrait mettre l’accent sur la prévention des activités associées à la criminalité financière auprès de ses employés et dirigeants. Elle devrait cependant être vigilante face à des individus qui pourraient exercer des activités criminelles et surveiller de près ses relations d’affaires, notamment avec ses fournisseurs.

Identification des vulnérabilités

Dans cette perspective, l’institution devrait identifier ses vulnérabilités aux incidents de nature opérationnelle ou de stratagèmes qui pourraient impliquer des employés dans le cadre de leur travail ou des dirigeants à l’égard de leurs rôles et responsabilités, par exemple :

• la collusion ou toute forme de corruption telle que pot de vin, ristourne et commission secrète d’un fournisseur, falsification de documents ou de données;

• l’utilisation non autorisée de renseignements personnels sur les clients;

• le paiement à un fournisseur fictif pour un service non rendu à l’institution;

• le vol par des employés de sommes d’argent ou de biens appartenant à l’institution;

• l’absence de comptabilisation d’opérations et la présentation volontairement erronée d’information financière.

Contrôle

L’institution devrait mettre en place des contrôles internes pour traiter ces sources de vulnérabilité à des risques liés à la criminalité financière. À cette fin, elle devrait instaurer notamment :

• des contrôles axés sur la répartition des responsabilités et la séparation des tâches relatives aux opérations des clients et à la protection des actifs de l’institution;

• des mécanismes de sécurité au niveau des technologies de l’information, incluant ceux impartis pour contrer l’utilisation inappropriée de renseignements personnels sur des clients par des employés;

• un processus rigoureux et documenté d’octroi des contrats.

Finalement, l’institution devrait être attentive aux indices ou signaux qui pourraient conduire à déceler un stratagème associé à une activité de la criminalité financière, par exemple, des déficiences soulevées sur des contrôles, le non-respect des processus, l’employé qui reporte souvent ses vacances ou celui qui a un comportement inhabituel, des plaintes de la clientèle et des actifs manquants suite à un inventaire. Elle devrait aussi tenir compte de la collusion possible impliquant plusieurs individus dans le but de passer outre aux contrôles internes mis en place par l’institution en vue de se prémunir contre les risques liés à la criminalité financière.

Principe 6 : Examens sur des activités suspectes

L’institution financière devrait réagir promptement à toute situation où des activités associées à la criminalité financière sont suspectées ou détectées. Les examens pourraient nécessiter des compétencesNiveau approprié d’expertise, de qualifications professionnelles, de connaissance ou d’expérience pertinente pour œuvrer dans le domaine financier. dans plusieurs domaines d’expertise, par exemple légal, fiscal ou des technologies de l’information. L’institution devrait documenter les résultats de ses travaux et veiller à réaliser les différents examens conformément au cadre législatif lui étant applicable.

Lorsqu’elle a été la cible d’une activité associée à la criminalité financière, l’institution devrait utiliser l’incident afin, le cas échéant, d’ajuster ses politiques et ses procédures pour en atténuer la probabilité de récurrence.

L’institution pourrait également être appelée à collaborer avec l’Autorité lors des inspections et des enquêtes autorisées en vertu des lois sectorielles auxquelles elle est assujettie, la portée de cette collaboration serait limitée aux fins permises par les lois applicables. À cet effet, l’Autorité peut lors de ces inspections ou enquêtes, avoir accès aux renseignements relatifs aux directives et aux mécanismes mis en œuvre par une institution dans le cadre de la partie 1 de la LRPCFAT, et pourrait alors les communiquer au CANAFE. Le cas échéant, la collaboration de l’institution pourrait également être requise lors d’examens et d’enquêtes effectuées par des autorités compétentes en matière de lutte à la criminalité financière, dont la Sûreté du Québec, la Gendarmerie royale du Canada et le CANAFE.

Principe 7 : Communication de renseignements

Pour favoriser l’application ou l’exécution d’une loi en matière de fiscalité, en matière pénale ou criminelle ou d’une loi étrangère en semblables matières, l’Autorité rappelle l’obligation légale pour une institution financière de communiquer tout renseignement concernant des activités associées à la criminalité financière à toute autre autorité compétente, notamment à l’Autorité, au CANAFE, à la Sûreté du Québec, aux autres corps de police et à l’Agence du Revenu du Québec.

Une entente« Entente concernant l’échange de renseignements » entre le CANAFE et l’Autorité, signée le 19 juin 2006. www.canafe.ca. concernant l’échange d’information est intervenue entre l’Autorité et le CANAFE. Cette entente vise aussi à éviter le chevauchement des interventions du CANAFE et de l’Autorité tout en atténuant leurs conséquences pour les institutions et représentants visés.

Une institution a également l’obligation de vérifier et de rendre compte à l’AutoritéEn vertu du paragraphe 2 de l’article 83.11 du Code criminel (L.R., 1985, ch. C-46), les institutions financières encadrées par l’Autorité doivent faire ce compte rendu à l’Autorité. , de l’existence de biens qui sont en sa possession ou à sa disposition et qui appartiennent à une entité inscrite sur la liste établie par le Règlement établissant une liste d’entitésRèglement établissant une liste d’entités (DORS/2002-284) pris en application de l’article 83.05 du Code criminel.