Les typologies de blanchiment de capitaux que toute équipe conformité devrait surveiller

Une règle de surveillance qui ne se rattache pas à un véritable schéma de blanchiment n'est que du bruit assorti d'un seuil. Ces schémas — les méthodes récurrentes qu'utilisent les criminels pour déplacer et dissimuler des fonds illicites — sont appelés typologies, et ils constituent le sujet d'étude le plus utile qui soit pour une équipe conformité. Connaissez les typologies à l'œuvre sur votre marché, et vous saurez ce que votre surveillance des transactions doit rechercher, ce que vos analystes doivent reconnaître au premier coup d'œil et ce que votre programme de formation doit faire répéter. Traitez-les comme une considération secondaire, et vous vous retrouverez avec un corpus de règles qui se déclenche sur les mauvaises choses et reste muet sur les bonnes.

Voici un guide de terrain des typologies de blanchiment de capitaux que toute équipe conformité devrait surveiller en Afrique de l'Est, rédigé à l'intention des responsables de la lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT), des analystes et des personnes chargées du réglage des règles. Il passe en revue les trois étapes classiques du blanchiment, puis les typologies concrètes qui comptent le plus dans la région — fractionnement, détournement du mobile money, blanchiment fondé sur le commerce, comptes de tiers et comptes entonnoirs, transit rapide et indicateurs de financement du terrorisme. Pour chacune, il montre comment le schéma se traduit en règle de surveillance et en entrée de bibliothèque de typologies. Il constitue un chapitre du récit plus large présenté dans le guide complet de la plateforme LBC/FT ; la manière de transformer ces schémas en logique de détection opérationnelle est expliquée dans notre article sur la façon dont la surveillance des transactions traduit les typologies en règles.

Les trois étapes : placement, empilement, intégration

La plupart des typologies sont des variantes d'un modèle en trois étapes qui décrit le blanchiment depuis des décennies. Ce cadre reste utile, car chaque étape expose les fonds à des contrôles différents, et un bon programme cherche à les intercepter au stade le plus précoce possible.

• Le placement est l'introduction d'espèces illicites dans le système financier — le dépôt d'espèces, la recharge d'une carte prépayée, l'approvisionnement d'un compte de mobile money. C'est le moment le plus risqué pour le blanchisseur, car les espèces brutes laissent la trace documentaire la plus ténue, et c'est là qu'opèrent les contrôles propres aux activités à forte intensité d'espèces et les seuils déclaratifs.
• L'empilement (layering) consiste à faire circuler les fonds à travers une série de transactions destinées à rompre le lien avec leur origine : virements entre comptes, conversions entre produits et entre devises, passages par des intermédiaires et des sociétés écrans. Le but est de créer de la distance et de la complexité — suffisamment d'étapes pour que suivre l'argent devienne irréalisable en pratique.
• L'intégration est le retour des fonds, désormais blanchis, dans l'économie légale sous la forme d'un patrimoine d'apparence licite : un achat immobilier, un investissement, le remboursement d'un prêt, le règlement d'une facture. À ce stade, l'argent paraît ordinaire — c'est précisément pourquoi il importe de l'intercepter plus tôt.

Aucune transaction isolée ne vous dit à quelle étape vous assistez. Le signal réside dans le schéma qui se dessine à travers les transactions, les comptes et le temps — c'est pourquoi la bonne unité de réflexion est la typologie, et non la règle individuelle. L'empilement, en particulier, se cantonne rarement à un seul compte : il se répartit entre des entités liées et ne s'éclaircit que lorsque vous pouvez voir le réseau, un travail décrit dans détecter l'empilement entre entités liées.

Le fractionnement et le schtroumpfage (smurfing)

Le fractionnement (structuring) est la fragmentation délibérée d'une somme importante en de nombreuses transactions plus petites, chacune calibrée pour rester sous un seuil de déclaration ou de vigilance. Lorsque le travail est réparti entre plusieurs personnes chargées d'effectuer les dépôts, on parle de schtroumpfage (smurfing). Le client qui connaît le seuil de déclaration des espèces et dépose systématiquement juste en dessous, jour après jour ou agence après agence, en est le cas d'école.

Ce schéma se traduit directement en une règle de fractionnement qui cumule l'activité sur une fenêtre de temps et sur l'ensemble des canaux, puis se déclenche lorsque de nombreuses transactions inférieures au seuil totalisent un montant qui aurait déclenché une déclaration s'il avait été présenté en une seule fois. La même logique détecte le fractionnement entre agences, entre comptes liés et entre déposants alimentant un même bénéficiaire. Dans une bibliothèque de typologies, l'entrée consigne l'indicateur — la fragmentation sous le seuil — ainsi que la règle qui le détecte et le type d'éléments probants qu'un analyste doit s'attendre à trouver : le savoir survit ainsi à la rotation du personnel au lieu de ne résider que dans la tête d'un seul enquêteur.

Le fractionnement est aussi l'exemple le plus clair de l'insuffisance des seuils à eux seuls. Une règle de montant fixe ne voit rien, puisque chaque transaction prise isolément est conforme par construction. Seule une règle qui cumule et recherche la forme caractéristique de la fragmentation permet de le détecter.

Le détournement du mobile money

Le mobile money est l'infrastructure de paiement emblématique de l'Afrique de l'Est, ce qui en fait un canal de blanchiment de premier plan plutôt que périphérique. Les caractéristiques mêmes qui favorisent l'inclusion financière — règlement instantané, dépôts et retraits d'espèces auprès d'agents (cash-in et cash-out), couverture quasi universelle — servent aussi le blanchisseur qui veut placer des espèces, les déplacer rapidement et les retirer ailleurs.

Plusieurs schémas distincts relèvent de cette catégorie. La collusion d'agents, où un agent de mobile money traite des dépôts fractionnés pour le compte d'un client qui n'apparaît jamais. La rotation de portefeuilles (wallet-cycling), où les fonds entrent dans un portefeuille électronique et en ressortent presque aussitôt, le portefeuille servant de point de transit plutôt que de réserve de valeur. La concentration de plusieurs vers un (many-to-one), où des dizaines de petits transferts entrants provenant d'expéditeurs sans lien entre eux convergent vers un portefeuille unique qui procède aussitôt à un retrait. Chacun correspond à sa propre règle de surveillance — une règle de vélocité pour les dépôts et retraits rapides, une règle de convergence (fan-in) pour la concentration de plusieurs vers un, une règle de groupe de pairs qui signale un agent ou un portefeuille se comportant autrement que ses semblables.

Le détail de ces schémas, et la manière dont ils apparaissent dans les déclarations, est traité en profondeur dans notre guide sur les typologies LBC/FT propres au mobile money et leur déclarationEN. Ce qu'il faut retenir pour la surveillance, c'est que les typologies du mobile money méritent leurs propres règles dédiées, réglées sur l'économie de ce canal, et non des seuils de montant génériques empruntés à l'univers des comptes bancaires.

Le blanchiment de capitaux fondé sur le commerce

Le blanchiment de capitaux fondé sur le commerce (TBML) dissimule de la valeur au sein d'échanges commerciaux d'apparence légitime. Au lieu de déplacer directement les fonds illicites, le blanchisseur les fait circuler sous couvert du paiement de marchandises — et manipule les documents commerciaux de sorte que le flux financier et le flux de marchandises ne concordent plus.

Les mécanismes classiques sont la fausse facturation et les expéditions fictives :

• La surfacturation et la sous-facturation : une facture dont le prix s'écarte délibérément de la valeur réelle des marchandises, de sorte que de la valeur est transférée entre l'acheteur et le vendeur sous couvert d'un paiement commercial.
• La facturation multiple : une même expédition facturée plusieurs fois, ce qui justifie plusieurs paiements pour une seule livraison.
• Les expéditions fictives : le paiement de marchandises qui n'ont jamais été expédiées, la documentation étant fabriquée de toutes pièces pour justifier un mouvement de fonds.

Le TBML est réellement difficile à détecter à partir des seules transactions, car l'élément suspect se trouve souvent dans les documents et les prix plutôt que dans les montants payés. Les règles de surveillance peuvent néanmoins faire apparaître des cas à examiner — des paiements commerciaux qui font l'aller-retour entre parties liées, des montants de règlement qui s'écartent nettement de la valeur déclarée des expéditions, ou une activité commerciale incompatible avec l'activité déclarée du client. Ces règles génèrent généralement des alertes qui doivent être enrichies par les documents commerciaux et les liens entre entités avant de pouvoir être résolues ; l'entrée correspondante de la bibliothèque de typologies doit donc signaler le TBML comme un schéma relevant de la vigilance renforcée, en orientant l'analyste vers les preuves documentaires et relatives aux contreparties plutôt que d'attendre de la transaction qu'elle parle d'elle-même.

Comptes de tiers et comptes entonnoirs

Un compte entonnoir collecte des fonds provenant de nombreuses sources en un lieu et les décaisse en un autre, rompant délibérément le lien géographique et relationnel entre l'origine et la destination. Les comptes de tiers — des comptes de mules financières ouverts par une personne autre que le véritable bénéficiaire, ou au nom d'une telle personne — sont les briques qui permettent à ce mécanisme d'entonnoir de fonctionner.

Le signal de surveillance est structurel. Un véritable compte de particulier ou d'entreprise présente une physionomie reconnaissable : des contreparties entrantes et sortantes récurrentes, une géographie des règlements cohérente avec le profil du client, un volume de mouvements conforme à l'évaluation des risques figurant au dossier. Un compte entonnoir déroge à cette physionomie — une soudaine rafale de virements entrants émanant de parties sans lien entre elles, un transfert rapide des fonds vers une autre région, un volume de mouvements très largement supérieur au niveau de référence attendu. Une règle de convergence (fan-in), une règle d'incohérence géographique et une règle d'écart par rapport au profil de référence le décrivent ensemble. L'entrée de la bibliothèque de typologies les rattache à la méthode sous-jacente, de sorte qu'un analyste qui voit une alerte reconnaît l'ensemble du schéma.

C'est aussi là que l'évaluation du risque client et la surveillance se renforcent mutuellement. Un compte dont le comportement surveillé évoque de manière répétée un mécanisme d'entonnoir doit voir sa notation de risque réévaluée en conséquence, et un client dont le profil signale déjà une exposition au recrutement de mules financières doit être surveillé de plus près — la boucle que nous décrivons dans traiter l'exposition aux typologies comme un facteur de risque de l'évaluation du risque client (CRA).

Mouvements rapides et transit

Le transit (pass-through), parfois appelé mouvement rapide ou opération en aller-retour (U-turn), est l'empilement dans sa forme la plus pure : l'argent arrive et repart presque immédiatement, le compte ne servant que de point de passage. Sa marque distinctive : les sommes entrantes sont à peu près égales aux sommes sortantes sur une courte période, avec peu ou pas de solde conservé et sans aucune finalité économique à cette étape.

Ce schéma se traduit par une règle de vélocité qui observe la relation entre flux entrants et sortants sur quelques heures plutôt que sur plusieurs jours, se déclenche lorsque les deux concordent étroitement avec un temps de séjour minimal, et accorde un poids important aux comptes dormants redevenus actifs — un compte longtemps inactif qui devient soudain un conduit très fréquenté constitue un signal fort. Le transit se limite rarement à un seul compte : il s'enchaîne sur plusieurs, c'est pourquoi la règle qui signale un seul passage doit passer le relais à la résolution d'entités afin de révéler la chaîne. L'entrée de la bibliothèque de typologies consigne à la fois l'indicateur au niveau d'un compte et le schéma de réseau auquel il appartient généralement.

Les indicateurs de financement du terrorisme

Le financement du terrorisme n'est pas simplement le blanchiment de capitaux à rebours, et sa surveillance exige un état d'esprit différent. Le blanchiment dissimule l'origine de sommes illicites importantes ; le financement du terrorisme déplace souvent de petites sommes, dont l'origine peut être parfaitement légitime, vers une fin illégitime. Les seuils de montant, pilier de la détection du blanchiment, sont peu efficaces ici, précisément parce que les montants peuvent être modestes.

Les indicateurs pertinents sont comportementaux et contextuels plutôt que liés aux montants :

• De petits transferts fractionnés à destination ou en provenance de juridictions à plus haut risque ou de régions proches de zones de conflit, qui ne correspondent pas au profil du client.
• Des fonds transitant par des comptes liés à des structures à but non lucratif ou caritatives, d'une manière incompatible avec leur objet déclaré.
• De nombreuses petites contributions convergeant vers un compte qui décaisse vers un corridor à plus haut risque — un schéma de collecte et de réacheminement.
• Tout lien avec des parties sanctionnées ou inscrites sur une liste de surveillance, mis en évidence par le filtrage, qui doit toujours être interprété à la lumière du comportement transactionnel.

Ces indicateurs se traduisent en règles fondées sur le risque du corridor, le contexte des contreparties et le recoupement avec les résultats du filtrage plutôt que sur le seul montant, et leur résolution requiert presque toujours un jugement humain. L'entrée de la bibliothèque de typologies doit indiquer explicitement que le financement du terrorisme est un schéma fondé sur le contexte, afin que les analystes n'écartent pas un transfert modeste mais suspect au motif qu'il n'a pas franchi un seuil de montant.

De la typologie à la règle, puis à la déclaration

Reconnaître une typologie n'est qu'un début ; la rendre opérationnelle, voilà le vrai travail. Dans un programme mature, chaque typologie prend la forme d'une entrée structurée dans une bibliothèque de typologies, reliée aux règles de surveillance qui la détectent et aux éléments probants que ces règles doivent faire apparaître. Le logiciel de surveillance des transactions LBC/FT de Creodata intègre tout cela : la surveillance des transactions est livrée avec un pack de départ de plus de trente règles alignées sur les typologies et une bibliothèque de typologies, un langage de règles (DSL) doté d'un banc de tests rétrospectifs et d'un laboratoire de réglage, pour valider une règle sur l'historique avant de la promouvoir, et une promotion versionnée des règles, pour que chaque modification soit traçable. Les règles peuvent s'exécuter par lots sur les données historiques ou évaluer l'activité en flux continu, au fil de son arrivée, et chaque alerte présente, à un clic, les éléments probants qui la fondent.

Lorsqu'une alerte issue d'une typologie débouche sur un soupçon confirmé, elle donne lieu à une déclaration de soupçon. La couche de déclaration attend de chaque déclaration qu'elle porte les codes d'indicateurs qui classent la typologie suspectée — mais ces codes, et la mécanique de déclaration qui les entoure, relèvent du volet déclaratif, et non de la surveillance. Nous établissons la correspondance entre les typologies et leurs indicateurs de déclaration dans la bibliothèque d'indicateurs de déclaration de soupçon (STR) pour les typologies LBC/FT au KenyaEN, et le cycle de vie de la déclaration lui-même passe par la plateforme de déclaration goAML. Si votre équipe doit bâtir de toutes pièces la bibliothèque de typologies et les règles qui l'accompagnent, c'est précisément le type de travail que soutiennent nos services de conseil en conformité en matière de criminalité financière.

Questions fréquentes

Quelle est la différence entre une typologie de blanchiment de capitaux et une règle de surveillance ?

Une typologie est la méthode sous-jacente — le schéma de comportement récurrent, comme le fractionnement ou l'acheminement par comptes entonnoirs, qu'utilisent les criminels pour déplacer des fonds illicites. Une règle de surveillance est la condition vérifiable qui détecte ce schéma dans vos données de transactions. Une typologie nécessite généralement plusieurs règles pour en couvrir les variantes, et une bonne bibliothèque de typologies relie chaque typologie aux règles qui la détectent et aux éléments probants que ces règles doivent produire.

Quelles typologies comptent le plus pour les institutions d'Afrique de l'Est ?

Le détournement du mobile money est propre à cette région et mérite des règles dédiées, réglées sur l'économie de ce canal. Le fractionnement, les comptes de tiers et les comptes entonnoirs, le transit rapide et le blanchiment fondé sur le commerce sont tous répandus. Les indicateurs de financement du terrorisme sont pertinents dès lors que les institutions sont exposées à des corridors à plus haut risque. La bonne combinaison dépend de vos produits, de vos clients et de vos juridictions — c'est pourquoi la bibliothèque de typologies doit être paramétrable plutôt que figée.

La surveillance par règles peut-elle détecter toutes les typologies ?

Non. Les règles détectent les schémas que vous avez déjà décrits : une méthode réellement inédite passe donc inaperçue jusqu'à ce que quelqu'un écrive une règle pour la détecter. C'est pourquoi les programmes matures associent un pack de règles explicites à la détection comportementale et à un laboratoire de réglage qui permet aux analystes de tester rétrospectivement de nouvelles règles sur l'historique. Les typologies qui se dissimulent dans les documents, comme le blanchiment fondé sur le commerce, exigent en outre un enrichissement par des éléments probants relatifs aux entités et aux documents avant qu'une alerte transactionnelle puisse être résolue.

Quel est le lien entre les typologies et les déclarations de soupçon (STR) ?

Lorsque la surveillance confirme un soupçon, la déclaration de soupçon qui en résulte porte des codes d'indicateurs qui classent la typologie suspectée à l'intention de la cellule de renseignement financier (CRF). Ces codes et le processus de déclaration relèvent du volet déclaratif goAML ; le rôle de la surveillance est de détecter le schéma et de rassembler les éléments probants. Nous traitons séparément la correspondance entre typologies et codes d'indicateurs, afin que chaque couche reste centrée sur sa propre responsabilité.

Connaître les typologies, c'est la moitié de la discipline ; faire fonctionner les règles, les éléments probants et le réglage qui en font une détection fiable, c'est l'autre moitié. Réservez une démo de la Plateforme LBC/FT de Creodata pour découvrir la bibliothèque de typologies, le pack de règles de départ et le workflow de tests rétrospectifs et de réglage qui maintiennent votre surveillance en phase avec les schémas réellement à l'œuvre sur votre marché.