Ce que l’ordonnance du FinCEN contre Bank of America enseigne aux responsables conformité

Le FinCEN a retenu trois violations délibérées.

1. Pas de programme AML adéquat (31 U.S.C. § 5318(h)(1), 31 C.F.R. § 1020.210). L’ordonnance se concentre sur deux piliers : le contrôle interne, c’est-à-dire le système de surveillance des transactions, et la vigilance à l’égard de la clientèle (customer due diligence, CDD). Les tests indépendants n’y apparaissent que comme la fonction qui aurait dû détecter ces deux défaillances.

2. Pas de vigilance appropriée sur les comptes de correspondance d’établissements financiers étrangers (31 U.S.C. § 5318(i), 31 C.F.R. § 1010.610). En l’occurrence, ces comptes appartenaient aux propres succursales et filiales étrangères de la banque.

3. Opérations suspectes déclarées ni correctement ni à temps (31 U.S.C. § 5318(g), 31 C.F.R. § 1020.320). Une déclaration de soupçon (suspicious activity report, SAR) doit être déposée dans les 30 jours suivant la première détection des faits. Chez Bank of America, une part non négligeable a été déposée plus de six mois après l’activité.

Sur le « willful » : l’ordonnance dit sans détour qu’il n’exige pas d’intention de nuire. Si vos propres tests vous disent que quelque chose ne marche pas et que vous laissez faire, vous êtes déjà sur ce terrain.

Le FinCEN a passé en revue ses dix facteurs d’appréciation. Certains ont pesé plus lourd, et ce sont ceux-là qu’il faut étudier :

• Atteinte à la mission. Plus d’un tiers des enquêtes sont parties des autorités de poursuite ou d’autres signalements externes, pas du système de la banque. Pour le FinCEN, cela allait à l’encontre de la finalité même du BSA.
• Gain financier. Quand la banque a enfin corrigé son seuil, elle a estimé que le nombre de dossiers allait doubler, ce qui demandait environ 750 personnes de plus, sans compter 800 consultants pour une revue rétrospective ponctuelle. Le FinCEN en conclut que la banque a économisé des centaines de millions en coûts de conformité. Elle a aussi gardé des clients très rémunérateurs dont la conformité voulait se séparer.
• Caractère systémique. Un seul système, utilisé dans toute la banque. La faiblesse traversait tous les métiers.
• Connaissance de la direction. En 2023 au plus tard, le BSA Officer et le responsable du métier concerné avaient été informés. Les risques ont continué.
• Remédiation et coopération. Les vraies corrections n’ont commencé qu’une fois les régulateurs et le FinCEN saisis du dossier. Les documents ont été transmis en retard, et la banque n’a pas examiné l’activité passée de sa propre initiative.
• Pas de déclaration spontanée.

La phrase que je mettrais sur une diapo : la direction s’est « concentrée sur l’impact pour les ressources de la banque plutôt que sur une remédiation à la hauteur des problèmes ».

Ce qui s’est passé. Event Processor attribuait un score à chaque alerte, regroupait les alertes par client et n’ouvrait un dossier que lorsque le groupe atteignait 20 points sur 13 mois. Passé ce délai, les alertes plus anciennes « expiraient » et ne comptaient plus. Les deux valeurs avaient été « fixées initialement sur la base du jugement des parties prenantes » et n’ont pas bougé jusqu’en décembre 2023.

Les tests de la banque elle-même ne cessaient de pointer le problème. En 2022 et début 2023, les groupes à 16–19 points, juste sous la barre, débouchaient sur une SAR dans 38 à 45 % des cas. Les groupes à 20–24 points, qui eux étaient examinés, n’y aboutissaient que dans 33 % des cas environ. Autrement dit, la pile qu’on n’ouvrait pas était plus riche que celle qu’on ouvrait. Une validation de 2022 notait que le seuil « doit être justifié ». Un autre test montrait qu’un paramétrage différent du modèle trouverait bien plus de SAR (85,4 % contre 20,2 % sur les échantillons sous la barre). La banque l’a écarté, invoquant la « crainte pratique de faire passer en dossier trop de groupes d’événements situés sous la barre ».

Après l’intervention des régulateurs, le seuil est descendu à 10 ou 12. La revue rétrospective a mis au jour près de 8 900 SAR manquées, pour environ USD 4 milliards.

Ce qu’il aurait fallu : un seuil étayé par des preuves, avec une tolérance aux faux négatifs écrite. La banque n’en a introduit une (5 %) que vers la fin, et à ce moment-là le taux sous la barre atteignait déjà sept à neuf fois ce niveau. Si les tests montrent que des SAR vous échappent, ajoutez des contrôles provisoires le temps de corriger le modèle.

Plusieurs facteurs de risque affichaient un taux de conversion en SAR supérieur à 50 % pour un poids de 1 point : gros dépôts d’espèces aux distributeurs, fractionnement d’espèces (structuring), indicateur HIDTA (zone à forte intensité de trafic de stupéfiants). Les rapports de 2019, 2020 et 2022 l’avaient tous relevé. De 2018 à 2023, 76 % des pondérations n’ont jamais changé, et environ 80 % des modifications qui ont eu lieu étaient des baisses.

Le recalibrage de 2021 a encore aggravé la situation. Son objectif affiché, « que l’ensemble du système de pondérations ait un meilleur taux de conversion en SAR », voulait dire en pratique moins de dossiers : plus de 8 200 en moins. Sur sept facteurs de fractionnement d’espèces à 50 % ou plus, cinq ont vu leur poids baisser.

La banque a couru après un ratio plus flatteur au lieu d’une meilleure couverture. Un taux élevé sur un poids faible, c’est le signal qu’il faut relever le poids. Au lieu de quoi, face à un constat de validation de 2022, l’équipe modèle a répondu que les facteurs secondaires étaient « redondants » et devaient être réduits pour « améliorer le taux de conversion global ». Un facteur à 44 % a été jugé « médiocre », sans explication. C’est six à huit fois la tolérance de SAR manquées que la banque a adoptée plus tard.

Le FinCEN ajoute une note de bas de page à garder en tête : le taux de conversion en SAR est un indicateur utile, mais pas le seul, et il doit se lire au regard de votre propre profil de risque.

Ce qui s’est passé. Le système pouvait ramener des facteurs de risque à zéro ou supprimer les alertes pour des entités choisies. Environ 150 000 groupes d’événements actifs étaient passés par une telle logique au moment où elle a été désactivée, en décembre 2023. Une liste couvrait les sociétés cotées sur certaines bourses, prétendument approuvée par la conformité, mais les archives de la banque ne contiennent aucune liste approuvée de ce genre.

L’exemple le plus parlant concerne la liste d’exemption CTR. Pour les clients qui y figuraient, les alertes de fractionnement d’espèces étaient mises à zéro. Or une exemption CTR ne supprime que l’obligation de déposer des déclarations de transactions en espèces (currency transaction reports, CTR). La réglementation dit en toutes lettres qu’elle ne réduit en rien l’obligation de SAR. Chez le client B, plus de 20 groupes d’événements comportant des dépôts d’espèces fractionnés ont été neutralisés de cette façon. Trois seulement sont devenus des dossiers.

Ce qu’il aurait fallu : traiter chaque règle de suppression comme un contrôle à part entière. Justification documentée, responsable nommé, liste approuvée sous contrôle de version, tests périodiques de ce qu’elle masque. Et une frontière nette entre « exempté de la déclaration X » et « exempté de surveillance ».

Certains événements créaient automatiquement un dossier : saisies judiciaires, citations à comparaître devant un grand jury, signalements de collaborateurs, demandes au titre des sections 314(a) et 314(b). Pendant plusieurs années, cette voie a produit plus d’un tiers de tous les dossiers, et près de la moitié en 2023. Pour le client B, 80 % des dossiers AML entre 2018 et 2023 contenaient au moins un signalement ou un événement externe. Ce n’est pas l’accumulation de points dans le modèle qui a valu à ce client d’être examiné.

Le FinCEN ne dit pas que les sources externes sont un problème. La coopération avec les autorités de poursuite et le partage d’informations au titre de la 314(b) restent importants. Le problème, c’est la dépendance. Si votre meilleur détecteur est une citation à comparaître, vos propres scénarios ne font pas leur travail.

Ce qu’il aurait fallu : suivre comme indicateur la part des dossiers issus de votre propre détection, et traiter toute hausse de la part externe comme un constat sur la performance du modèle.

Les tests cherchaient surtout à savoir si le taux de conversion différait de façon statistiquement significative de part et d’autre du seuil. Ils ne demandaient pas ce qui passait entre les mailles, ni si cela augmentait. Quand un rapport a constaté des poids trop faibles pour des alertes à fort taux, la recommandation a été de baisser le poids de la seule alerte à faible taux. Et en 2023, lorsqu’un test a montré un taux de 18 % sous la barre, le Global Head of Financial Crimes de l’époque a demandé à un cadre supérieur de le refaire. La deuxième version a qualifié le constat précédent d’« incorrect », l’a mis sur le compte de l’inexpérience des enquêteurs et d’un échantillonnage biaisé, et a conclu que l’équipe était « convaincue qu’EP fonctionne comme prévu ». Le FinCEN cite cet épisode dans ses facteurs d’appréciation.

C’est pour moi le passage le plus gênant de l’ordonnance, parce qu’il est humain et banal. Personne n’a rien falsifié. Un résultat dérangeait, alors quelqu’un a demandé qu’on le refasse.

Ce qu’il aurait fallu : des critères objectifs fixés avant le test, des testeurs indépendants des propriétaires du modèle, et un journal de remédiation qui suit chaque constat jusqu’à sa clôture. Un test qu’on relance jusqu’à ce qu’il passe n’est pas un test indépendant.

Event Processor couvrait certains achats d’instruments négociables mais pas les dépôts, et ne savait pas distinguer un mandat (money order) d’un chèque. Côté cartes de crédit, la couverture était mince elle aussi : le modèle de fractionnement d’espèces n’a intégré l’activité carte qu’après une refonte en octobre 2024. Une « TBML Feature » développée en janvier 2024 n’était appliquée qu’aux dossiers déjà en cours d’enquête. En 2025, la banque n’avait toujours pas évalué sa couverture des instruments négociables.

Des exemples plus modestes montrent à quel point la lacune était générale. Un négociant en métaux précieux a reçu plus de 3 500 dépôts d’instruments en montants ronds, pour près de USD 3 millions. Un soi-disant conseiller en investissement a déposé pendant trois ans des mandats en montants ronds, aux numéros consécutifs. Ni l’un ni l’autre n’a déclenché d’alerte.

Ce qu’il aurait fallu : une matrice de couverture, produits et canaux d’un côté, typologies de l’autre, avec les cases vides inscrites au registre des risques, échéance à l’appui. Un nouvel avis du FinCEN doit aussi déclencher une vérification : vos scénarios le couvrent-ils ?

Le client A exploite une place de marché en ligne de véhicules accidentés. Client depuis 1995, il rapportait à la banque environ USD 6 millions par an, sans compter une relation de crédit (la banque a été chef de file d’un refinancement de USD 200 millions). À la mi-2022, la conformité comptait plus de 100 dossiers AML depuis 2020, dont environ 90 % de fraude : fraude au faux ordre de virement (business email compromise), arnaques sentimentales, fraude à l’avance de frais. Le problème de fond, selon les termes de la conformité : le client « n’a ni visibilité ni compréhension de l’origine des fonds ». Les paiements de tiers étaient au cœur de l’affaire.

La conformité a recommandé la fermeture à la mi-2022, en s’attendant à « une certaine résistance à la fermeture » vu l’« exposition de crédit importante ». Le chargé de relation a répondu par une note sur un « client important et apprécié ». Plus de six mois plus tard, en mars 2023, la recommandation de fermeture a été retirée en échange de quatre mesures d’atténuation, la principale étant que le client A n’accepterait plus que des paiements de négociants enregistrés. Il ne l’a pas fait. Les paiements de tiers ont continué jusqu’en juin 2025, certains mandats jusqu’à juillet 2025 environ. Pendant tout ce temps, ni le profil de risque du client ni la surveillance n’ont été ajustés.

Ce qu’il aurait fallu : le FinCEN le dit clairement, la fermeture n’est pas la seule réponse acceptable. Mais si vous gardez un client à haut risque, le risque doit être atténué, et l’atténuation vérifiée. Cela veut dire une notation de risque mise à jour, une surveillance ciblée sur le risque précis (ici, les paiements de tiers), une échéance et une vraie conséquence si elle n’est pas tenue. Ici, la mesure a été convenue et jamais contrôlée. L’escalade a aussi besoin d’un circuit qui ne passe pas par celui qui porte le chiffre d’affaires.

Le client B est une plateforme cotée de véhicules accidentés. Des années d’alertes, d’enquêtes et de demandes des autorités, et la notation est restée « Standard » jusqu’à une citation à comparaître devant un grand jury en février 2020. Elle est alors passée à « Accru », puis « Élevé », sans réel changement dans la vigilance. Revenue à « Standard » en juillet 2022, elle a été relevée de nouveau après une autre citation en mars 2023. En novembre 2023, la société a rendu publique une enquête du DOJ (le ministère américain de la Justice) sur ses pratiques de lutte contre le blanchiment. La banque n’a rien changé.

Les revues trimestrielles de ce client « à haut risque » ne mentionnaient ni que les virements de sa filiale aux Émirats arabes unis avaient bondi de plus de 200 %, à environ USD 1,1 milliard sur un seul trimestre, ni que des dizaines de milliards en mandats étaient déposés. Le modèle était censé repérer les informations négatives. Il est passé à côté de la déclaration boursière du client lui-même.

Ce qu’il aurait fallu : une notation construite à partir de vos propres données (alertes, SAR, géographie, produits, informations négatives dans les médias), où les événements externes viennent s’ajouter sans tout piloter. Et « Élevé » doit changer quelque chose : la profondeur de la vigilance, la surveillance, la fréquence des revues. Ici, c’était une étiquette.

Le client C, exportateur de véhicules, est entré en relation avec un chiffre d’affaires annuel attendu de USD 1 à 4 millions. En trois ans environ, il a fait passer plus de USD 700 millions de virements liés à des juridictions à haut risque, surtout la Géorgie. Son dossier ne mentionnait même pas ses relations dans plusieurs pays à haut risque. Les virements impliquant la Biélorussie et la Géorgie ont bondi juste après l’invasion de l’Ukraine par la Russie. Une autre banque a envoyé une demande d’information en juillet 2022. La première SAR a suivi en août 2023 et couvrait environ 10 % de l’activité. L’essentiel du reste a été déclaré en juin 2025, après les demandes d’information du FinCEN lui-même.

La banque s’est séparée du client C en décembre 2023. Elle n’a pas réexaminé les clients A et B, qui avaient publiquement fait état de liens commerciaux avec lui.

Ce qu’il aurait fallu : un contrôle d’écart qui se déclenche quand l’activité réelle dépasse de plusieurs ordres de grandeur l’activité attendue, suivi d’une mise à jour du profil et d’une décision de SAR dans les 30 jours, pas deux ans plus tard. Et quand vous sortez un client pour activité suspecte, regardez qui d’autre lui est lié.

D’octobre 2020 à mai 2025, les clients A et B ont reçu plus de 680 000 transactions individuelles, formant environ 220 000 groupes de dépôts suspects pour plus de USD 660 millions. Les signaux d’alerte : montants ronds, numéros de série qui se suivent, et séries répétées de trois mandats totalisant entre USD 2 900 et 3 000. Ce dernier schéma est un classique : des acheteurs qui restent sous le seuil de USD 3 000 à partir duquel les entreprises de services monétaires (money services businesses) doivent relever l’identité de l’acheteur. Environ un groupe sur trois avait été acheté près de la frontière sud-ouest.

L’alerte est venue tôt. En septembre 2021, une entreprise de services monétaires a envoyé à la banque une demande d’information portant précisément sur ce schéma. La banque a répondu qu’elle ne voyait ni vélocité inhabituelle ni signe d’activité illicite, et n’a touché ni au profil ni à la surveillance. Environ 51 000 groupes pour le client B et 72 000 pour le client A ont été traités après les signaux d’alerte, sans déclaration dans les délais.

Ce qu’il aurait fallu : quand une demande externe décrit un schéma précis, on teste ce schéma dans ses propres données au lieu de se défendre. Les instruments négociables ont leur place dans les revues périodiques des clients qui en font un gros usage. Et repérer des numéros de série consécutifs ou des sommes juste sous le seuil, c’est de l’analyse de données élémentaire.

Des centaines de millions de dollars correspondant aux typologies des réseaux chinois de blanchiment (Chinese money laundering networks, CMLN) ont été déclarés tard, ou pas du tout. Les clients se présentaient comme des sociétés de logistique ou d’électronique. Le schéma : achats par carte enchaînés chez de grands distributeurs et transporteurs, gros paiements ACH et bill-pay pour régler des cartes émises au nom d’autres personnes, virements vers la Chine avec pour seul motif « pour marchandises », et transferts répétés vers des contreparties sans présence en ligne, domiciliées à des adresses résidentielles. Une partie a eu lieu après la baisse du seuil en 2023. Pour les comptes de petites entreprises, la banque ne plafonnait pas le nombre de cartes supplémentaires, et des dépenses par carte qui dépassaient régulièrement le revenu déclaré ne déclenchaient pas d’enquête.

Ce qu’il aurait fallu : des scénarios construits à partir des avis publics (l’avis du FinCEN d’août 2025 sur les CMLN liste des signaux d’alerte propres aux cartes de crédit), vérifiés sur chaque produit. Les cartes intégrées à l’évaluation du risque client. Et un profil d’entreprise qui doit correspondre à une réalité d’entreprise : site web, locaux, vraies contreparties.

Jusqu’à fin 2024, la politique de la banque autorisait une vigilance « simplifiée » pour les comptes de correspondance de ses propres succursales et filiales étrangères. Le FinCEN en a examiné douze. Les dossiers disaient des choses comme « services de trésorerie » ou « cash management », citaient le nom du régulateur local sans décrire le régime, et contenaient par endroits un graphique du cours de bourse de la maison mère. La banque partait du principe que ces comptes servaient surtout au règlement interbancaire. En réalité, les succursales servaient plus de 250 établissements financiers non bancaires, parmi lesquels des entreprises de services monétaires, et leurs flux ne ressemblent en rien à un règlement de banque à banque.

Ce qu’il aurait fallu : le même dispositif que pour n’importe quel établissement financier étranger. La réglementation ne prévoit aucune exemption intragroupe. Comprendre l’objet du compte et l’activité attendue, évaluer la juridiction et les clients qui se trouvent derrière, puis confronter l’activité réelle à tout cela. Demandez-vous à qui appartient l’argent qui transite, pas seulement quel type d’établissement est votre contrepartie directe.

Comme le système agrégeait l’activité sur de longues périodes avant qu’un humain ne la regarde, une part non négligeable des SAR a été déposée plus de six mois après les faits. Les enquêteurs ne pouvaient parfois pas examiner correctement l’activité sous-jacente, si bien que les SAR elles-mêmes étaient incomplètes. La revue rétrospective menée après le changement de seuil a produit plus de 8 000 SAR, pour environ USD 3,96 milliards. Trente-quatre d’entre elles présentaient de forts indices de blanchiment : blanchiment commercial avec des contreparties de pays à haut risque, virements de correspondance impliquant une entité pétrochimique russe à actionnariat sanctionné, et fractionnement d’espèces dans le secteur de la santé, compatible avec une fraude aux prestations.

Ce qu’il aurait fallu : le délai entre le premier indice et la SAR mesuré comme un indicateur clé, avec une tolérance. Les fenêtres d’agrégation servent la détection, elles ne doivent pas la retarder. Et des effectifs d’enquête calibrés sur le volume que produit votre risque, pas sur celui que prévoit votre budget.

Au sens strict, ce n’est pas une affaire de sanctions. Le FinCEN n’applique pas les règles de sanctions. C’est le rôle de l’OFAC, et sa pénalité de USD 11 millions est une affaire distincte.

Mais les faits regorgent de risques de contournement, et le FinCEN le dit. Les virements du client A impliquant des juridictions frontalières de la Russie ont atteint jusqu’à USD 1,7 milliard autour de l’invasion de février 2022. Le FinCEN avait publié des alertes sur le contournement des sanctions et des contrôles à l’exportation visant la Russie en mars et juin 2022, puis à nouveau en 2023. Plus de 18 000 virements, pour environ USD 850 millions, sont passés à partir de septembre 2022, après ces alertes et après que la conformité eut fait remonter le sujet en interne. Le propre plan d’atténuation de la banque, en mars 2023, visait à « éliminer la réception par la banque de virements en provenance de pays sanctionnés ». Et parmi les SAR tardives figurait celle sur des virements de correspondance impliquant une entité pétrochimique russe à actionnariat sanctionné.

La lecture pratique : le risque de sanctions n’est pas qu’une affaire de filtrage. C’est aussi une affaire de vigilance et de surveillance. Un paiement peut passer tous les contrôles de filtrage et justifier quand même une SAR.

À ses frais, la banque doit engager des consultants indépendants, dont le FinCEN peut refuser le choix, pour :

1. Une revue rétrospective des SAR couvrant la période de janvier 2022 jusqu’à la fin de la remédiation : cartes de crédit, instruments négociables, virements transfrontaliers vers des juridictions à haut risque, et les groupes d’événements jamais examinés. Risques prioritaires : la frontière sud-ouest et les cartels, les réseaux chinois de blanchiment, l’Iran et la Russie. Le consultant peut recourir à des modèles supervisés, à l’analyse de graphes et à la segmentation. Rapport final au plus tard en décembre 2028, SAR à déposer dans les 90 jours qui suivent.
2. Des tests d’efficacité de la surveillance des opérations suspectes : d’abord les contrôles provisoires pendant les travaux de correction, puis l’état cible, avec des tests qui démarrent au plus tard en octobre 2027. Ils couvrent expressément les pondérations, les enquêtes, les propres tests et actions correctives de la banque, les effectifs, la gouvernance des dérogations et des listes blanches, et le recours à l’« innovation responsable ».
3. Des tests d’efficacité de la CDD et de la vigilance sur les correspondants étrangers, en deux temps, avant et après le plan de mise en œuvre.
4. Une revue de la gouvernance des données liées au BSA/AML.

Sur l’innovation : le FinCEN est ouvert à l’analytique avancée, mais il veut des modèles supervisés, des données étiquetées, de l’explicabilité et un vrai contrôle humain. Un modèle d’apprentissage automatique ne remplace pas la gouvernance. Il en demande davantage.

1. Pouvez-vous montrer les éléments qui justifient chaque seuil et chaque pondération de votre surveillance ? Le « jugement d’expert », c’est là qu’on commence, pas là qu’on s’arrête.
2. Avez-vous une tolérance aux faux négatifs écrite, et que se passe-t-il quand vous la dépassez ?
3. Quelle part de vos dossiers naît de votre propre détection, plutôt que de demandes et de signalements externes ? Dans quel sens évolue-t-elle ?
4. Chaque règle de suppression, de rescoring ou de liste blanche est-elle documentée, attribuée à un responsable et testée ? L’une d’elles s’appuie-t-elle sur une exemption CTR ?
5. Avez-vous une matrice de couverture croisant produits et canaux avec les typologies ? Quelles cases sont vides ?
6. Quand un autre établissement vous interroge sur un schéma précis, quelqu’un teste-t-il ce schéma dans vos données et consigne-t-il le résultat ?
7. La notation de risque d’un client vient-elle de vos propres données, ou fait-elle un bond à l’arrivée d’une citation à comparaître ?
8. Votre veille sur les informations négatives capte-t-elle les publications officielles de vos propres clients ?
9. Pour les clients conservés contre l’avis de la conformité : qui a validé, qu’a-t-on convenu, qui vérifie, et pour quand ?
10. Les revues périodiques des clients à haut risque couvrent-elles la géographie, les volumes et chaque produit que le client utilise réellement ?
11. Quel est votre délai médian entre le premier indice et la SAR, et jusqu’où s’étire la queue de distribution ?
12. Les comptes de correspondance intragroupe font-ils l’objet de la même vigilance que ceux de tiers ?