MiFID : l’écoute exhaustive est devenue une fiction réglementaire

Pendant des années, la conformité MiFID s'est construite autour d'un principe simple : enregistrer les communications liées aux ordres afin de pouvoir les produire en cas de contrôle.

Aujourd'hui, cette logique atteint ses limites.

Les établissements financiers continuent d'enregistrer toujours plus de conversations, d'e-mails et d'échanges numériques. Pourtant, une question demeure largement absente des débats : qui est réellement capable d'analyser tout ce qui est enregistré ?

La véritable difficulté n'est plus de conserver les preuves.

Elle est de les comprendre.

Deux obligations qui convergent vers une même exigence

La réglementation européenne impose aux entreprises d'investissement d'enregistrer les communications liées à la réception, à la transmission et à l'exécution des ordres.

Elle leur impose également de démontrer qu'elles mettent effectivement en œuvre leur politique de meilleure exécution des ordres ("best execution"), conformément aux exigences de MiFID II.

Ces deux obligations poursuivent un même objectif : permettre à l'établissement d'apporter la preuve, à tout moment, que ses pratiques sont conformes.

Autrement dit, il ne suffit plus d'affirmer que les procédures existent.

Il faut être capable d'en démontrer l'application concrète.

Et c'est précisément là que les difficultés apparaissent.

Le mur mathématique de la conformité

Prenons un exemple volontairement simple. Un établissement de taille moyenne emploie 150 conseillers. Si chacun génère une vingtaine d'échanges professionnels par jour liés à des opérations financières, cela représente près de 3 000 communications quotidiennes, soit plus de 700 000 sur une seule année. Même avec une équipe conformité expérimentée, aucun établissement ne peut écouter, retranscrire, analyser et documenter manuellement un tel volume.

Ce constat ne traduit ni un manque d'organisation ni un défaut de compétence. Il révèle simplement une réalité mathématique. Le contrôle exhaustif est devenu matériellement impossible. Dans la plupart des établissements, le contrôle repose donc sur des échantillons. Cette approche est compréhensible. Elle est pragmatique.

Mais elle interroge : comment démontrer l'application effective d'une politique de conformité sur l'ensemble des flux lorsque seule une faible partie des communications est effectivement analysée ?

Une responsabilité qui dépasse désormais le RCCI

Pendant longtemps, cette question relevait principalement des équipes conformité. Ce n'est plus le cas. La capacité d'un établissement à produire une piste d'audit complète mobilise désormais plusieurs fonctions : conformité, systèmes d'information, direction des risques et gouvernance.

En cas de contrôle, l'enjeu ne consiste pas seulement à retrouver un enregistrement. Il faut également être capable d'expliquer comment il a été capté, conservé, analysé et pourquoi il n'a pas échappé au dispositif de surveillance. La conformité devient ainsi un véritable sujet d'organisation et d'architecture, bien au-delà du seul périmètre réglementaire.

L'écoute exhaustive ne peut plus être la réponse

Pendant des années, l'idée selon laquelle chaque communication pouvait être revue par un collaborateur a servi de référence implicite.

Cette représentation ne correspond plus à la réalité opérationnelle. Les volumes de données produits chaque jour rendent cette approche impossible. L'enjeu n'est donc plus d'augmenter les effectifs chargés du contrôle. Il est de transformer la manière dont celui-ci est exercé.

Les technologies d'analyse automatisée permettent aujourd'hui de retranscrire les échanges, de détecter des situations atypiques ou des signaux de risque et de hiérarchiser les communications nécessitant une intervention humaine.

Le rôle du RCCI ne disparaît évidemment pas.Il évolue. Son expertise ne consiste plus à rechercher manuellement les anomalies dans un océan de données. Elle consiste à qualifier, interpréter et décider à partir d'informations préalablement identifiées comme pertinentes.Cette évolution redonne toute sa valeur au jugement humain en le concentrant là où il est réellement utile.

Trois questions que les établissements devraient objectiver

Avant de considérer qu'un dispositif de conformité est pleinement opérationnel, trois questions méritent d'être posées.

• Quel est le pourcentage réel de communications effectivement analysées, et non simplement enregistrées ?
• En combien de temps l'établissement serait-il capable de produire une piste d'audit complète sur plusieurs semaines de communications si le régulateur en faisait la demande ?
• Les mécanismes de contrôle permettent-ils d'identifier les situations à risque sur l'ensemble des flux ou uniquement sur les communications sélectionnées dans les échantillons ?

Ces questions ne remettent pas en cause les équipes conformité. Elles interrogent la capacité des organisations à faire face à une croissance continue des volumes de données.

Une nouvelle étape de la conformité

Les prochaines années produiront encore davantage de communications. Les outils collaboratifs continueront d'évoluer. L'intelligence artificielle générera de nouveaux usages. Les interactions entre conseillers et clients se multiplieront sur des canaux toujours plus nombreux.

Dans ce contexte, la véritable question n'est plus de savoir comment enregistrer davantage. Elle est de savoir comment exploiter intelligemment ce qui est déjà enregistré. La conformité entre ainsi dans une nouvelle phase. Hier, l'enjeu consistait à conserver les preuves. Demain, il sera de démontrer que l'on est capable de les comprendre.

Et c'est probablement sur cette capacité que les établissements financiers seront, de plus en plus, évalués.