La succursale estonienne de Danske Bank a fait de la surveillance des agences et de la gouvernance du groupe un test de responsabilité en matière de LBC/FT

Résumé

• La succursale estonienne de Danske Bank a révélé comment des preuves client déficientes, des systèmes locaux fragmentés, l'autonomie de la succursale, l'accès des correspondants et un escalade tardif peuvent transformer un portefeuille à haut risque rentable en coûts juridiques et de légitimité à l'échelle du groupe.
• La responsabilité exige que la banque distingue le flux total des paiements, les activités suspectes et les produits criminels avérés, tout en démontrant des données de bénéficiaire effectif de qualité décisionnelle, une surveillance des transactions du groupe, un escalade indépendant des lanceurs d'alerte, une visibilité du conseil et une coordination de supervision efficace entre pays d'origine et d'accueil.

Le problème de responsabilité n'est pas un chiffre

L'affaire de la succursale estonienne de Danske Bank est souvent résumée par un chiffre spectaculaire: environ 200 milliards d'euros de paiements associés à une population examinée d'environ 15 000 clients et 9,5 millions de transactions. Cette compression est compréhensible et dangereuse. Elle peut transformer une mesure du flux total des paiements en affirmation que chaque euro était un produit criminel blanchi. L'enquête commandée par la banque n'a pas fait cette affirmation.

Elle a décrit la population examinée, les flux de paiements observés et une grande proportion de clients qu'elle considérait comme suspects, tout en indiquant d'importantes limites sur ce que son enquête pouvait établir. Son rapport sur le portefeuille non-résident de la succursale estonienne de Danske Bank est donc à la fois une preuve indispensable et limitée: il reconstruit le portefeuille et les registres de gouvernance, mais ce n'est pas un jugement de tribunal retraçant l'origine criminelle de chaque paiement.

Trois quantités doivent rester distinctes. La première est tout le trafic dans le périmètre de l'enquête: les paiements envoyés ou reçus par les clients sélectionnés pour examen. La deuxième est le trafic ou les clients portant des indicateurs suspects, inhabituels ou à haut risque. Ces indicateurs peuvent justifier une diligence renforcée, un signalement ou une clôture de compte sans prouver une infraction sous-jacente. La troisième est le produit criminel établi par des aveux, des jugements ou d'autres constatations juridiquement suffisantes dans des affaires définies.

Passer négligemment de la première à la troisième quantité efface la différence entre la détection de risque et l'adjudication criminelle. Cela rend également la responsabilité moins précise: une institution peut échouer de manière désastreuse à connaître ses clients et à surveiller les transactions même si aucun tribunal ultérieur n'identifie la provenance de chaque unité d'argent.

L'affaire est mieux comprise comme une défaillance du système de contrôle dont les conséquences ont traversé les frontières organisationnelles et juridiques. Une opération étrangère acquise avec une activité non-résidente existante a conservé une autonomie substantielle. Les dossiers clients et les informations sur les bénéficiaires effectifs étaient déficients. La surveillance des transactions n'a pas donné au groupe une vue fiable du risque. Des employés et des dirigeants ont reçu des avertissements, mais l'escalade et la clôture furent lentes.

Le clearing en dollars et d'autres relations de correspondant reliaient la succursale à des institutions financières en dehors de l'Estonie. Les déclarations publiques sur les contrôles et les risques ont atteint les investisseurs. Les superviseurs du pays d'origine et du pays d'accueil occupaient des positions distinctes en vertu des règles européennes, tandis que les autorités américaines ont ensuite agi sur des conduites impliquant l'accès au système financier américain.

Cette architecture transforme la question centrale de « combien a été blanchi? » en « qui possédait l'autorité, l'information et le devoir d'interrompre l'exposition? ». L'acceptation des clients, la vérification des bénéficiaires effectifs, la surveillance des paiements, les représentations des correspondants, l'escalade des lanceurs d'alerte, l'audit interne, le reporting au conseil du groupe, la divulgation publique et la remédiation étaient différents contrôles avec différents propriétaires. Leur interdépendance est le test de responsabilité.

Si chaque couche peut pointer vers le mandat incomplet d'une autre couche, un portefeuille à haut risque rentable peut persister même si les avertissements s'accumulent.

L'analyse la plus claire suit donc les affirmations jusqu'à leur source et leur statut juridique. Les aveux corporatifs de Danske Bank dans le cadre de son plaidoyer américain ne sont pas interchangeables avec des allégations contre des individus nommés ou non nommés. L'affaire corporative réglée de la SEC concerne des déclarations spécifiques aux investisseurs et des périodes. Les constatations de supervision danoises concernent la gestion et la gouvernance au Danemark, tandis que la supervision estonienne concernait la conformité LBC/FT de la succursale dans l'État d'accueil.

La clôture et les pénalités établissent des résultats importants, mais n'établissent pas que chaque transaction suspecte a été trouvée ni que chaque contrôle ultérieur restera efficace.

L'acquisition a importé un modèle d'affaires, un problème de données et un choix de gouvernance

Danske Bank a acquis Sampo Bank en 2007, y compris son activité estonienne et une activité établie de services aux clients non-résidents. L'acquisition n'a pas seulement ajouté des clients et des revenus. Elle a importé un modèle de risque, des pratiques locales, des dossiers clients, une technologie et des relations avec des intermédiaires. Le portefeuille non-résident comprenait des clients en dehors de l'Estonie, opérant souvent via des entités juridiques et des chaînes de paiement qui exigeaient une connaissance plus solide—et non plus légère—de la propriété, du but et de la source des fonds.

Le premier moment de responsabilité était donc l'intégration: que savait l'acheteur, qu'aurait-il dû tester, et quels contrôles devaient être transférés aux normes du groupe avant que l'activité puisse se développer en toute sécurité?

La structure de succursale a compté après que l'activité estonienne a cessé d'être une filiale en 2008. Une succursale fait partie de la même personne juridique que son siège social, mais l'emplacement opérationnel et les règles du pays d'accueil créent encore des divisions de supervision et pratiques. L'unité juridique ne garantit pas l'unité informationnelle. Le dossier de l'affaire renvoie à plusieurs reprises à l'écart entre la propriété formelle du groupe et la visibilité effective du groupe.

Une succursale peut être consolidée financièrement tout en continuant à utiliser des systèmes, fichiers locaux ou pratiques qui empêchent le siège de tester si les déclarations de risque client sont vraies.

L'acceptation des clients n'était pas une simple case à cocher lors de l'onboarding. Elle exigeait un compte crédible de qui contrôlait un client, quelle activité économique justifiait la relation, d'où provenaient les fonds, quels pays et contreparties étaient impliqués, et si les paiements observés correspondaient au but déclaré. Les sociétés écrans, les intermédiaires et les clients distants augmentaient la charge de vérification. La propriété effective ultime était particulièrement importante parce qu'un directeur enregistré ou un actionnaire nominal peut être différent de la personne physique exerçant le contrôle.

Lorsque les preuves de propriété sont manquantes ou peu fiables, une banque ne peut pas compenser simplement en attribuant un score de risque élevé. L'incertitude devrait changer si la relation est acceptée ou maintenue.

L'attractivité commerciale du portefeuille a intensifié le test de gouvernance. Les revenus peuvent faire paraître les exceptions temporaires et les coûts de friction client immédiats, tandis que le coût des contrôles LBC/FT déficients reste probabiliste et dispersé. Les directeurs de succursale voient les revenus clients; la conformité centrale voit le risque agrégé; les banques correspondantes voient les représentations sur l'institution répondante; les superviseurs ne voient que les informations disponibles via les rapports et les inspections.

Une gouvernance solide doit contrer cette asymétrie en donnant aux fonctions de contrôle indépendantes l'autorité, les données et des voies d'escalade directes.

La propre annonce des résultats de l'enquête par Danske Bank a indiqué que le portefeuille non-résident avait été fermé en 2015, avec un petit nombre de comptes fermés début 2016, et a décrit des changements dans la direction des pays baltes, l'indépendance des fonctions de contrôle et la technologie partagée. Ces déclarations aident à établir ce que la banque a dit avoir changé. Elles montrent aussi pourquoi la responsabilité de l'acquisition continue au-delà de la due diligence lors de la clôture.

Si l'unité acquise reste opaque pour la surveillance du groupe pendant des années, la décision d'acquisition devient une décision de gouvernance continue renouvelée chaque jour où l'activité reste ouverte.

Le KYC et la propriété effective étaient des intrants de contrôle, pas de la paperasse

Les contrôles de connaissance du client sont parfois décrits comme des obligations documentaires. En réalité, ils fournissent les données d'entrée pour chaque décision ultérieure. La surveillance des transactions ne peut pas distinguer de manière fiable un comportement normal d'un comportement anormal si la banque ne connaît pas l'activité réelle du client, les personnes qui le contrôlent, les contreparties attendues et l'exposition géographique. Un moteur de règles peut détecter un paiement important, mais il ne peut pas juger si ce paiement correspond au but du client lorsque le but est générique, obsolète ou faux.

La qualité des données est donc une question de gouvernance: la direction décide si les champs manquants bloquent les affaires, si les exceptions expirent et si les attestations de première ligne sont soumises à des tests indépendants.

Le dossier estonien illustre comment la localité peut devenir opacité. Les documents clients détenus dans des fichiers ou systèmes locaux peuvent ne satisfaire ni les analyses du groupe ni les questions des correspondants. La langue, les registres d'entreprises et les règles de confidentialité peuvent compliquer l'accès, mais ils n'effacent pas le devoir de la banque d'exploiter des contrôles légaux et efficaces. Un groupe transfrontalier doit concevoir un chemin de preuve qui respecte les restrictions de données tout en permettant une revue appropriée de la conformité, de l'audit et de la direction.

« Les données sont locales » ne peut pas devenir une explication universelle pour expliquer pourquoi la personne juridique fournissant le service ne pouvait pas comprendre ses clients.

La propriété effective est également une proposition factuelle contestable, pas un champ copié. La vérification devrait combiner des documents de registre fiables, des documents d'entreprise, des chaînes de propriété, des droits de contrôle et une corroboration de l'activité économique. Les structures à plus haut risque justifient une enquête plus intensive. Lorsque les chargés de relation sont récompensés pour la rétention des clients, leurs affirmations nécessitent une contestation de la deuxième ligne.

Lorsque des intermédiaires introduisent des clients, la banque reste responsable de décider si elle peut se fier aux informations et d'enquêter sur les contradictions. Aucun workflow automatisé ne peut transformer une déclaration non vérifiée en propriété vérifiée simplement en la faisant passer par plus d'écrans.

La résolution pénale américaine fournit une couche de preuve juridiquement différente. Dans le DOJ Statement of Facts incorporé dans le plaidoyer, Danske Bank a stipulé des faits définis concernant l'activité estonienne, les représentations faites aux banques américaines et le stratagème décrit dans le document. Ce sont des aveux de la banque pour la défenderesse corporative et la conduite décrite dans l'accord. Ils ne doivent pas être élargis en une constatation que chaque employé a participé au stratagème ou que chaque paiement du portefeuille représentait un produit criminel.

Le plaidoyer lui-même note que certains faits étaient basés sur des informations tierces obtenues par les États-Unis, une autre raison de préserver l'attribution propre du document.

La leçon pratique est que les preuves KYC doivent être de qualité décisionnelle. Un responsable de contrôle devrait pouvoir répondre: quel fait soutient la propriété déclarée de ce client; quand a-t-elle été vérifiée pour la dernière fois; quelles contradictions subsistent; qui a approuvé le risque résiduel; et quel événement forcera une révision ou une sortie? Ces réponses doivent être visibles pour la surveillance, la conformité, l'audit et la direction concernée. Lorsque les dossiers ne peuvent pas les soutenir, le problème n'est pas simplement une paperasse incomplète.

C'est que l'institution ne peut pas expliquer pourquoi elle fournit un accès au système financier.

La surveillance des transactions nécessitait une vue de groupe et une contestation humaine

La surveillance des transactions est souvent traitée comme le centre technique de la LBC/FT. L'affaire estonienne montre pourquoi le logiciel seul est un cadre inadéquat. La surveillance dépend des données clients, de la conception des scénarios, des informations de paiement, des seuils d'alerte, de la capacité des enquêteurs, de la qualité de l'escalade et de la volonté de la direction d'arrêter les affaires.

Un système peut traiter des millions d'enregistrements tout en produisant peu de responsabilité si les alertes sont mal calibrées, si les enquêteurs manquent de contexte, ou si des schémas répétés ne modifient jamais la décision concernant le client.

La population de paiements créait des défis d'échelle évidents. Les transferts transfrontaliers dans plusieurs devises, les mouvements rapides entre comptes, les réseaux d'entités juridiques liées et les transactions impliquant des juridictions à plus haut risque nécessitent une analyse à la fois au niveau de l'entité et au niveau du réseau. Une vue au niveau de la succursale peut manquer des relations observables à travers le groupe. Inversement, un moteur de groupe peut manquer des faits localement significatifs si les données client et narratives ne sont pas standardisées.

Une automatisation d'entreprise efficace combine ces perspectives et enregistre pourquoi une alerte a été fermée, escaladée, signalée ou liée à une décision de sortie de compte.

Les faux positifs ne justifient pas une détection faible. Ils sont un problème de conception à mesurer. La direction devrait savoir quels scénarios créent des alertes, le taux et la raison des fermetures, la charge de travail des enquêteurs, l'ancienneté, les alertes répétées, les déclarations d'activités suspectes et les décisions post-déclaration concernant les clients. L'échantillonnage devrait tester non seulement si les analystes ont suivi une procédure, mais si la procédure produit des résultats défendables. L'audit interne devrait pouvoir reproduire les décisions clés à partir des preuves conservées.

La conformité devrait avoir l'autorité de contester les propriétaires de revenus et de suspendre l'activité lorsque les informations client sont inadéquates.

La banque correspondante ajoute une autre limite de surveillance. Une succursale locale peut dépendre de grandes banques pour le clearing en dollars ou autres devises. Le correspondant ne connaît pas nécessairement les clients finaux de la succursale, donc il se fie aux représentations concernant les contrôles clients et la surveillance de la banque répondante. Le répondant contrôle donc les informations matérielles pour la décision de risque d'une autre institution. Induire un correspondant en erreur sur le profil client ou les capacités LBC/FT n'est pas simplement un défaut de processus local;

cela peut devenir une conduite relevant de la juridiction du correspondant.

L' annonce du plaidoyer de culpabilité du DOJ indique que Danske Bank a plaidé coupable de complot en vue de commettre une fraude bancaire et décrit des informations fausses ou trompeuses fournies à des banques américaines pour préserver l'accès au dollar pour des clients non-résidents à haut risque. Le communiqué décrit également la confiscation et les considérations derrière la résolution. Sa signification juridique est spécifique: elle concerne le plaidoyer corporatif et la fraude envers les banques américaines. Ce n'est pas une déclaration judiciaire selon laquelle la totalité des 200 milliards d'euros de flux était un produit blanchi.

Un modèle de surveillance responsable rendrait la propriété explicite. Les affaires possèdent la décision client; les opérations maintiennent des données fiables; la technologie exploite des systèmes traçables; la conformité fixe et conteste indépendamment les règles de risque; les enquêteurs documentent les résultats; l'audit teste toute la chaîne; la direction senior voit l'exposition non résolue plutôt que seulement des comptes d'alertes fermées. Les indicateurs devraient exposer l'incertitude.

« Alertes fermées » n'est pas une preuve d'efficacité à moins que la qualité de la fermeture, les résultats pour les clients et les tests de risque manqué soient connus.

Le signalement a testé le système d'escalade

Les avertissements ne comptent que si une institution les transforme en décisions. Les communications de lanceurs d'alerte associées à la succursale estonienne sont centrales car elles contestaient la légitimité des clients et des transactions et mettaient l'organisation en garde que les lignes de signalement ordinaires pourraient être en train d'échouer. Une fois que ces informations arrivent, la responsabilité change. La question n'est plus de savoir si la direction aurait pu découvrir le problème par une surveillance de routine;

c'est de savoir si les destinataires désignés ont préservé l'allégation, protégé le lanceur d'alerte, enquêté indépendamment sur le fond, élargi l'examen si nécessaire et escaladé le risque non résolu à des personnes capables de l'arrêter.

Un canal de lancement d'alerte n'est pas efficace parce qu'il reçoit un message. Il a besoin de règles de triage, d'indépendance par rapport à la direction impliquée, de garanties anti-représailles, de dossiers de cas et de délais. L'enquête devrait tester les systèmes et les portefeuilles, et non réduire un avertissement structurel à la conduite d'un seul employé. Si les allégations concernent des bénéficiaires effectifs, des structures écrans ou des explications client fausses, les examinateurs ont besoin d'accès aux fichiers sous-jacents et aux réseaux de paiement.

Si la direction de la succursale peut être en conflit d'intérêts, la conformité, le juridique, l'audit ou le conseil du groupe doivent prendre en charge la réponse.

La décision de 2018 de l'Autorité de surveillance financière danoise concernant la gestion et le contrôle a constaté de graves déficiences de gouvernance, émis huit ordres et huit réprimandes, et déclaré que la banque avait réagi trop tard à des informations, y compris un lanceur d'alerte interne. L'autorité a encadré sa compétence avec soin: sa décision était basée sur les règles danoises de gestion et de contrôle et concernait ce que la direction au Danemark a fait ou aurait dû faire. Elle a expressément distingué la responsabilité des autorités estoniennes pour les mesures spécifiques de LBC/FT de la succursale.

Cette limitation n'est pas une note de bas de page; c'est la frontière pays d'origine-pays d'accueil nécessaire pour interpréter correctement la constatation.

L'audit interne est un autre mécanisme d'escalade. Il ne devrait pas seulement signaler des exceptions isolées. Il devrait identifier les causes systémiques, définir la population affectée, suivre les recommandations jusqu'à leur mise en évidence et retester la remédiation. Une constatation d'audit marquée « fermée » parce qu'une politique a été réécrite n'équivaut pas à une preuve que les fichiers clients ont été réparés ou que les scénarios de transaction fonctionnent. L'indépendance de l'audit exige également un accès direct au conseil ou au comité d'audit lorsque la réponse exécutive est lente.

La chronologie montre comment des signaux faibles répétés peuvent créer une fausse impression qu'aucun événement unique n'est décisif. Un correspondant pose des questions; les superviseurs identifient des déficiences; la conformité soulève des préoccupations; un lanceur d'alerte fournit des exemples; l'audit identifie des faiblesses. Chaque élément peut être traité comme un cas distinct. La gouvernance échoue lorsque aucun propriétaire ne les agrège en une conclusion au niveau du portefeuille. Un tableau de bord du conseil devrait donc connecter les signaux entre les sources, montrer les actions en retard et identifier ce qui reste inconnu.

L'escalade n'est pas le déplacement d'un courriel vers le haut; c'est le transfert d'une décision à quelqu'un ayant autorité, accompagné de preuves et d'un délai.

L'autonomie de la succursale n'a pas supprimé la responsabilité du groupe

L'autonomie opérationnelle peut aider une banque à répondre aux clients et aux lois locales. Elle devient dangereuse lorsque les droits de décision sont séparés de la responsabilité de contrôle. Si une succursale peut accepter des clients à haut risque, maintenir des données distinctes, fixer des normes de surveillance pratiques et répondre aux correspondants tandis que les fonctions du groupe ne peuvent pas voir ou contester ces choix, le groupe supporte le risque sans exercer de contrôle. Des politiques formelles au siège décrivent alors une organisation qui n'existe pas dans la pratique.

Le conseil du groupe et la direction générale n'avaient pas besoin d'examiner chaque transaction. Ils avaient besoin d'une assurance fiable sur l'appétit pour le risque de la succursale, la composition de la clientèle, la capacité LBC/FT, les avertissements importants et la remédiation. L'assurance devrait provenir de tests indépendants, et pas seulement d'auto-déclarations de la direction. Lorsqu'un portefeuille génère des bénéfices disproportionnés, contient un grand nombre de clients non-résidents et dépend de l'accès des correspondants, ses informations sur le risque appartiennent aux décisions stratégiques et de capital.

L'absence de bonnes données est elle-même une information pour le conseil, et non une raison d'omettre le sujet.

L'Autorité de surveillance financière danoise a publié plus tard une déclaration sur sa supervision de Danske Bank dans l'affaire estonienne. Elle a maintenu que l'Estonie, en tant que pays d'accueil, avait la responsabilité de supervision LBC/FT de la succursale, tandis que le Danemark coordonnait la supervision globale de Danske Bank, et elle a décrit des lacunes dans les lignes de défense et l'information de la banque. La déclaration enregistre le propre compte de l'autorité danoise de la répartition et de ses actions de supervision. Elle ne règle pas tous les débats sur l'adéquation des dispositifs de supervision européens.

Le rapport plus long de l'autorité sur la supervision danoise ajoute une chronologie et un contexte. Lu avec la décision de 2018, il illustre un problème de responsabilité de second ordre: les superviseurs dépendent d'informations complètes et précises du groupe, mais doivent aussi contester la fiabilité de ces informations. Un superviseur d'origine axé sur la gouvernance du groupe et un superviseur d'accueil axé sur la conformité LBC/FT locale peuvent chacun agir dans leur mandat tandis que des lacunes persistent entre eux.

La coordination doit préciser qui teste quelle proposition, ce qui est partagé, et qui agit lorsque les faits entrent en conflit.

La responsabilité du groupe n'est donc pas un slogan de responsabilité illimitée pour chaque acte local. C'est un principe de conception de contrôle. La personne juridique et ses organes dirigeants doivent définir l'appétit pour le risque, assurer des politiques efficaces à l'échelle du groupe, obtenir des informations utilisables, financer des fonctions indépendantes, résoudre les conflits et réagir aux avertissements importants. Les dirigeants locaux restent responsables de leurs propres décisions. La responsabilité individuelle, cependant, nécessite des preuves spécifiques à la personne et la procédure légale appropriée.

Les constatations de gouvernance d'entreprise ne doivent jamais être automatiquement converties en allégations d'intention criminelle de la part de certains dirigeants ou employés.

La divulgation aux investisseurs a rendu la connaissance des contrôles matériellement importante en externe

Les défaillances en matière de LBC/FT peuvent devenir des questions de droit des valeurs mobilières lorsqu'une société cotée décrit ses contrôles, son risque et sa performance commerciale aux investisseurs. La chaîne de responsabilité s'étend alors des opérations de la succursale aux finances, au juridique, aux relations avec les investisseurs, aux dirigeants et aux comités de divulgation. Ces fonctions doivent décider si les déficiences connues rendent les déclarations existantes trompeuses et si les bénéfices attribués à une activité sont durables ou exposés à des mesures d'exécution, à la sortie et aux coûts de remédiation.

Ce n'est pas une obligation de divulguer chaque alerte ou allégation non vérifiée. La matérialité implique un jugement sur ce qu'un investisseur raisonnable considérerait comme important dans le contexte. Mais ce jugement doit utiliser les preuves de contrôle réelles. Si le siège sait que les informations client ne sont pas fiables, que la surveillance est déficiente, que les avertissements restent non résolus et qu'un portefeuille lucratif dépend de la confiance des correspondants, des déclarations génériques sur des contrôles solides peuvent induire en erreur sur le risque.

Les contrôles de divulgation devraient capturer les constatations significatives de conformité et s'assurer que le langage optimiste est contesté par rapport aux dossiers internes.

Le communiqué de presse de la SEC de 2022 annonçant les accusations et le règlement indique que Danske Bank a accepté de payer environ 413 millions de dollars pour résoudre des accusations de fraude concernant des déclarations trompeuses faites aux investisseurs sur les défaillances de conformité LBC/FT en Estonie. La SEC a décrit des déclarations spécifiques, des périodes et des omissions alléguées. Parce que l'affaire a été réglée, la formulation prudente est que la SEC a allégué la violation des lois sur les valeurs mobilières et que la banque a consenti à la résolution;

il n'est ni nécessaire ni exact de qualifier chaque détail contesté de constatation de procès.

La plainte sous-jacente de la SEC fournit la chronologie plaidée et les déclarations contestées par la Commission. Elle décrit également les représentations de remédiation en vigueur à l'époque. Une plainte est un document d'allégation même lorsqu'un défendeur règle simultanément. Le jugement final et le consentement déterminent la résolution; la plainte ne doit pas être utilisée pour attribuer une culpabilité individuelle non résolue. La banque est le défendeur, et les références à la conduite des employés doivent conserver l'attribution de la plainte.

La responsabilité en matière de divulgation nécessite un pipeline traçable. Les constatations de conformité et d'audit au-dessus de seuils définis devraient atteindre le comité de divulgation. Le comité devrait documenter pourquoi un problème est ou n'est pas matériel, quelles déclarations publiques il affecte et quelle incertitude subsiste. Le reporting des revenus devrait distinguer le revenu courant du revenu exposé à un recouvrement, un don, une confiscation, une sortie de client ou un coût de contrôle. Les procès-verbaux du conseil devraient montrer la contestation, et non pas simplement la réception de présentations.

Le point plus profond de légitimité est que les investisseurs publics évaluent une institution en partie sur la fiabilité de ses déclarations de contrôle. Lorsque les preuves internes et le langage externe divergent, le préjudice n'est pas limité à la succursale. La confiance dans les autres assurances de la direction se détériore. Une divulgation transparente après la découverte peut décrire l'incertitude sans exagérer la portée: la population examinée, les limites de l'analyse, les mesures prises et le statut juridique des procédures. La précision protège à la fois la responsabilité et l'équité.

Les juridictions d'origine, d'accueil et américaine ont répondu à des questions différentes

L'exécution transfrontalière peut sembler une duplication à moins que la question juridique de chaque autorité ne soit séparée. L'Estonie accueillait la succursale et supervisait la conformité LBC/FT locale. Le Danemark était l'État d'origine de la banque et supervisait le groupe, y compris les obligations de gestion et de gouvernance. Les institutions européennes ont examiné si les autorités nationales compétentes se conformaient au droit de l'Union et si le cadre produisait une coordination efficace.

Les États-Unis sont intervenus parce que des représentations et des transactions impliquaient des banques correspondantes américaines et l'accès au système financier américain. La résolution pénale danoise traitait des violations du droit danois. Ce sont des faits qui se chevauchent, et non des juridictions interchangeables.

L' injonction de 2019 de l'Autorité de surveillance financière estonienne exigeant que Danske Bank mette fin à ses activités en Estonie était une action du superviseur d'accueil. Elle interdisait à la succursale d'opérer et exigeait une liquidation ordonnée attentive aux clients, aux dépôts et au service des prêts. Elle ne doit pas être décrite comme un ordre danois ou une pénalité américaine. La résiliation seule ne prouve pas non plus le caractère criminel de chaque client ou paiement historique.

La réponse de l'autorité estonienne au rapport de supervision danois a souligné une responsabilité partagée mais différenciée et a soutenu que Danske Bank avait échoué dans sa gouvernance soumise à la supervision danoise. Ce désaccord public est une preuve importante d'un problème de coordination. Il montre pourquoi « le superviseur » est trop vague. L'analyse de responsabilité doit identifier l'autorité, le mandat juridique, la période, les informations disponibles et les mesures prises.

Au niveau européen, l'ABE a ouvert une enquête formelle pour violation possible du droit de l'Union contre les autorités compétentes estoniennes et danoises. Ouvrir une enquête n'était pas une constatation de violation. La lettre ultérieure du président de l'ABE décrivant la décision du Conseil des superviseurs indique qu'un projet de recommandation préparé dans le cadre du processus a été définitivement rejeté. Ce résultat ne doit pas être réécrit comme une constatation adoptée de l'ABE contre l'une ou l'autre autorité.

Il a néanmoins révélé des préoccupations quant à la capacité d'une supervision fragmentée à répondre de manière cohérente à une succursale transfrontalière.

Le lien américain était différent. Le plaidoyer corporatif était centré sur la fraude affectant les banques américaines qui fournissaient un accès correspondant. Les États-Unis ne sont pas devenus le superviseur LBC/FT d'origine ou d'accueil de la succursale. Leur compétence découlait de la conduite liée aux institutions financières américaines et à la loi. Préserver cette distinction empêche qu'un règlement d'exécution ne soit utilisé comme un jugement universel sur chaque question réglementaire au Danemark et en Estonie.

Une bonne supervision transfrontalière a besoin d'une carte de responsabilité explicite. Elle devrait identifier quelle autorité peut inspecter la succursale, qui supervise la gouvernance du groupe, quelles informations doivent être échangées, comment les avertissements urgents sont escaladés et qui peut imposer des restrictions d'activité. Les collèges et les mémorandums ne sont utiles que s'ils produisent des décisions en temps opportun. Un manque d'autorité doit être escaladé comme un risque, et non normalisé comme une complexité administrative.

Les résolutions pénales et réglementaires ont fixé des limites corporatives

Les résolutions de 2022 ont créé les constatations juridiques les plus solides contre Danske Bank en tant que société, mais elles n'ont pas effacé le besoin de discipline de limites. Aux États-Unis, la banque a plaidé coupable de complot en vue de commettre une fraude bancaire. Les faits admis concernent le stratagème et la responsabilité corporative spécifiés dans les documents de plaidoyer. La confiscation et les autres conditions faisaient partie d'une résolution coordonnée.

Les aveux corporatifs peuvent englober les actes des dirigeants, des employés et des agents aux fins de la responsabilité de l'entité sans juger la culpabilité pénale de chaque individu.

L'annonce des services de poursuite danois de la résolution danoise indique que Danske Bank a reçu une amende de 3,5 milliards de DKK et une confiscation de 1,249 milliard de DKK pour des violations liées à l'affaire estonienne. Elle décrit des défaillances au siège impliquant la surveillance des transactions, l'enquête et le signalement pour des clients suspects, ainsi qu'une gouvernance et une réponse insuffisantes aux avertissements. C'est une preuve officielle du résultat corporatif danois.

Elle ne doit pas être confondue avec la confiscation américaine ou les conditions monétaires de la SEC, même si les autorités ont coordonné la résolution globale.

La distinction entre les aveux de la banque, les constatations réglées et les allégations est cruciale pour l'équité individuelle. Une banque peut accepter la responsabilité parce que la conduite du personnel est attribuée à la société, parce que la résolution apporte une certitude, et parce que l'entité reconnaît les faits stipulés. Savoir si une personne particulière possédait la connaissance, l'intention ou l'autorité à un moment particulier nécessite des preuves spécifiques à la personne. Les rapports publics peuvent indiquer que certains employés ont manqué à leurs devoirs ou semblaient suspects;

cela ne remplace pas des accusations, des moyens de défense et une adjudication.

La même discipline s'applique aux clients. Un client à haut risque ou suspect n'est pas automatiquement un blanchisseur d'argent condamné. Une transaction suspecte n'est pas automatiquement un produit criminel prouvé. La suspicion est un seuil juridiquement important pour l'enquête et le signalement précisément parce que la preuve n'est pas encore complète. Inversement, l'absence de condamnation ultérieure ne montre pas que l'acceptation du client ou la surveillance était adéquate. Les banques doivent agir sur le risque avant qu'une affaire pénale ne soit prouvée.

Les totaux financiers nécessitent également une réconciliation. Les 200 milliards d'euros de flux examinés, les mesures pécuniaires de la SEC, la confiscation américaine et l'amende et la confiscation danoises mesurent des choses différentes. Les additionner produit un nombre sans signification. Le flux mesure l'activité; les pénalités punissent ou dissuadent; la restitution et la confiscation traitent des gains ou des biens conformément à leurs ordres régissant; la confiscation suit les conditions du plaidoyer. Des crédits coordonnés peuvent empêcher un recouvrement en double.

Un compte rendu responsable nomme la devise, l'autorité, l'instrument juridique et la fonction économique de chaque chiffre.

Les résolutions comptent parce qu'elles fixent un dossier corporatif minimum et imposent des conséquences. Elles ne répondent pas à toutes les questions factuelles historiques. Elles créent également des obligations prospectives dont l'exécution doit être testée. La bonne enquête post-résolution n'est pas de savoir si l'organisation a « tourné la page », mais si elle peut démontrer que les conditions qui ont produit la mauvaise conduite ont été modifiées et que de nouvelles faiblesses seront détectées tôt.

La clôture a arrêté un canal mais n'a pas prouvé une réparation complète

Fermer le portefeuille non-résident et mettre fin plus tard à la succursale estonienne étaient des actions décisives de réduction des risques. Elles ont supprimé le canal spécifique par lequel l'exposition historique opérait. Pourtant, la clôture n'est pas un contrôle de détection rétrospectif. Elle n'identifie pas chaque paiement suspect, n'établit pas l'origine de chaque fonds, ne répare pas les omissions de signalement ni ne prouve que des risques similaires n'existent pas ailleurs dans le groupe. La liquidation doit donc coexister avec l'enquête, le signalement, la protection des clients et la remédiation à l'échelle du groupe.

La mise à jour de l'autorité estonienne sur la liquidation de la succursale explique que la liquidation a commencé en octobre 2019 et décrit le transfert des relations clients et les restrictions sur les nouvelles affaires. Cette preuve établit la liquidation opérationnelle sous supervision d'accueil. Elle ne doit pas être exagérée comme une preuve que le cadre LBC/FT de l'entreprise de la banque était efficace après la clôture. Une succursale peut cesser d'opérer tandis que les faiblesses de contrôle migrent, restent non résolues dans des données historiques, ou se reproduisent dans une autre ligne d'activité.

La clôture crée également des devoirs de responsabilité pratiques. Les clients existants ont besoin d'un traitement légal, les dépôts et les prêts nécessitent une gestion ordonnée, les dossiers doivent être conservés, et les enquêtes sur les activités suspectes doivent se poursuivre. Une sortie rapide qui détruit des données ou transfère des clients non examinés à une autre institution externaliserait le risque. Les superviseurs doivent donc équilibrer l'urgence avec la continuité et la conservation des preuves.

Au niveau du groupe, la remédiation devrait commencer par une cartographie des causes. Quels choix de conception ont permis l'exposition? Les catégories probables incluent une intégration inadéquate de l'acquisition, un appétit pour le risque flou, une vérification faible des bénéficiaires effectifs, une technologie locale, une surveillance insuffisante, des conflits dans la première ligne, une conformité sous-dimensionnée, un suivi d'audit incomplet, une mauvaise agrégation des signaux et une réponse tardive du conseil. Chaque cause a besoin d'un propriétaire, d'un état cible, d'un test et de preuves.

Des formations ou des mises à jour de politiques ne peuvent pas combler un défaut technologique ou de données. Une nouvelle plateforme ne peut pas à elle seule résoudre les incitations ou la faible contestation.

Le portail d'enquêtes et de remédiation de la banque décrit des mesures incluant la sortie de la succursale, le renforcement des capacités de lutte contre la criminalité financière et des changements dans les systèmes et la gouvernance. En tant que source corporative, il est utile pour identifier les engagements et les actions rapportées. Ce n'est pas une assurance indépendante que les mesures ont fonctionné. La question probante est de savoir quels tests soutiennent chaque affirmation, qui les a effectués, quelles exceptions sont restées et comment les défaillances ont été corrigées.

L'examen des activités historiques est tout aussi important. Une institution devrait définir quels clients et transactions historiques sont réexaminés, comment les déclarations d'activités suspectes sont traitées, comment les demandes des forces de l'ordre sont soutenues et comment les exigences de confidentialité et de conservation sont satisfaites dans toutes les juridictions. L'exhaustivité peut être impossible, surtout lorsque les anciennes données sont déficientes. La responsabilité exige de déclarer ouvertement cette limitation plutôt que de prétendre à une remédiation totale.

Les preuves de remédiation doivent montrer une efficacité opérationnelle

La remédiation passe par au moins quatre étapes de preuve. Une politique peut être conçue. Un contrôle peut être mis en œuvre. Il peut fonctionner de manière répétée en production. Un test indépendant peut ensuite évaluer s'il est efficace contre le risque visé. Les institutions annoncent souvent leur achèvement à la première ou à la deuxième étape. L'affaire estonienne exige la quatrième. La question pertinente est de savoir si l'acceptation des clients, la vérification de la propriété, la surveillance, l'escalade et le reporting au conseil produisent maintenant des décisions défendables dans le temps.

Les preuves de conception incluent des normes approuvées, un appétit pour le risque, des définitions de données et une responsabilité assignée. Les preuves de mise en œuvre incluent des systèmes déployés, des dossiers migrés, du personnel formé et des dépendances résolues. Les preuves opérationnelles incluent des échantillons de cas, des résultats d'alertes, des arriérés, des dérogations, des sorties de clients, des décisions de signalement et des réponses aux incidents.

Les preuves d'efficacité incluent une validation indépendante, des résultats d'audit, des tests réglementaires, une analyse des risques manqués et une performance soutenue face à l'évolution des menaces. Un statut de projet vert ne remplace pas ces couches.

Le Rapport annuel 2023 de Danske Bank a rapporté l'achèvement de son plan pluriannuel de lutte contre la criminalité financière, a décrit des tests par les lignes de défense et des parties indépendantes, et a reconnu que d'autres tests pourraient identifier des ajustements. Il a également décrit des obligations post-résolution et une probation corporative. Ce sont des divulgations de remédiation concrètes, mais elles restent des rapports de la direction. Elles soutiennent la conclusion qu'un programme substantiel a été mis en œuvre et testé comme décrit;

elles ne prouvent pas l'efficacité permanente ou la détection de chaque transaction suspecte historique.

Le Rapport annuel 2024 a déplacé le récit de la livraison du programme vers un cadre de contrôle de la criminalité financière en activité normale et des tests de contrôle continus. Cette transition est elle-même un moment à haut risque. La gouvernance temporaire du programme fournit souvent des personnes supplémentaires, une attention de la direction et un reporting. Un contrôle durable exige que ces disciplines survivent après la fermeture du programme, avec une propriété, un financement, une maintenance des modèles et un escalade stables.

Les indicateurs doivent être interprétés comme un portefeuille, et non comme un décompte de victoires. Plus d'alertes peuvent refléter une détection plus forte, un mauvais calibrage ou un risque plus élevé. Moins de clients peuvent refléter une réduction réussie du risque ou une exclusion injustifiée. Une clôture plus rapide peut améliorer l'efficacité ou réduire la qualité de l'enquête. Les preuves utiles combinent les volumes avec les résultats et la qualité: l'exhaustivité des dossiers clients vérifiée par échantillonnage; les divergences de bénéficiaires effectifs résolues;

la précision et le rappel de la surveillance évalués par des tests ciblés; l'ancienneté des alertes par risque; l'escalade des alertes répétées; la qualité des déclarations de suspicion; les exceptions d'audit; les constatations des régulateurs; et les dérogations de la direction.

L'automatisation appartient à ce modèle de preuve. L'apprentissage automatique, l'analyse de réseau et les outils de workflow peuvent améliorer la priorisation et la cohérence, mais ils créent des risques liés aux modèles, aux données et à l'explicabilité. Les enquêteurs humains ont besoin d'un contexte et d'une autorité suffisants. Les modèles nécessitent une validation, un contrôle des modifications et une surveillance de la dérive. Les fournisseurs n'assument pas la responsabilité de la banque.

Si un contrôle ne peut pas expliquer pourquoi un client a été accepté, une alerte a été fermée ou un réseau n'a pas été escaladé, la sophistication peut augmenter l'opacité plutôt que la réduire.

À quoi ressemblerait une gouvernance responsable

Une banque responsable maintiendrait une carte de responsabilité unique allant de l'onboarding client à l'assurance du conseil. Le sponsor métier posséderait la décision de servir un segment à haut risque. Un dirigeant nommé de la première ligne posséderait les données clients et les contrôles de transaction. La conformité fixerait des normes minimales, contesterait les exceptions et disposerait d'un pouvoir d'arrêt. Les propriétaires de la technologie et des données certifieraient la lignée, l'exhaustivité et la couverture du système. L'audit interne testerait la conception et l'efficacité opérationnelle.

La direction générale résoudrait les défaillances interfonctionnelles. Le conseil approuverait l'appétit pour le risque et recevrait un reporting direct sur les violations matérielles et l'exposition incertaine.

Les droits de décision doivent être accompagnés de preuves. L'acceptation du client devrait enregistrer les propriétaires vérifiés, le but, la source des fonds, l'activité attendue et la justification de l'approbation. Les exceptions importantes devraient avoir des dates d'expiration et une approbation indépendante. La couverture de surveillance devrait concilier les produits, les entités, les devises et les systèmes pour prouver qu'aucun flux matériel n'est silencieusement exclu. Les réponses aux correspondants devraient être vérifiées par la conformité et étayées par des tests à jour.

Les cas de lanceurs d'alerte devraient avoir un escalade protégé et indépendant et une disposition documentée.

La carte doit s'étendre sur le plan géographique. Pour chaque succursale, le groupe devrait identifier les obligations du pays d'origine et d'accueil, les contraintes d'accès aux données, les voies de reporting et les contacts de supervision. Le droit local devrait être traduit en exigences de contrôle sans permettre à l'autonomie locale de masquer l'exposition du groupe. Les restrictions de partage d'informations devraient être conçues autour de contrôles licites, de minimalisation et d'autorisations, et non traitées comme une excuse pour l'ignorance.

Si le groupe ne peut pas obtenir suffisamment d'informations pour gérer une activité en toute sécurité, cette limitation appartient à la décision de savoir si l'activité peut se poursuivre.

Les conseils ont besoin d'indicateurs avancés. La concentration des bénéfices dans des segments à haut risque, les propriétaires non vérifiés, les lacunes de surveillance, les alertes anciennes, les constatations répétées, les retards d'audit, les préoccupations des employés, les demandes des correspondants et les critiques réglementaires devraient apparaître ensemble. Les dépassements de seuils devraient déclencher des actions prédéterminées: examen renforcé, pause dans l'onboarding, enquête indépendante ou sortie. Les procès-verbaux devraient identifier la contestation faite, la preuve demandée et la décision atteinte.

Cela rend la responsabilité ultérieure possible sans exiger une perfection rétrospective.

Le reporting public devrait utiliser la même discipline. Les estimations de flux doivent être étiquetées comme des flux; les populations suspectes comme suspectes; les produits avérés comme avérés seulement lorsque cela est étayé. Les aveux corporatifs doivent être distingués des allégations des régulateurs et des affirmations individuelles. Les déclarations de remédiation devraient spécifier l'étape et les tests. Les chiffres monétaires devraient identifier l'autorité, la devise et le but juridique. Ces pratiques réduisent le sensationnalisme tout en rendant plus claire la défaillance institutionnelle.

Enfin, la responsabilité devrait survivre au changement de personnel. L'affaire devrait devenir une mémoire de contrôle durable: listes de contrôle d'acquisition, normes de risque de succursale, déclencheurs d'escalade, bibliothèques de scénarios, reporting au conseil et tests indépendants. Les erreurs répétées devraient mettre à jour les systèmes et les incitations, et pas seulement les diapositives de formation. L'objectif n'est pas une promesse qu'aucun client criminel ne pénétrera jamais une banque.

C'est une capacité démontrable de connaître le risque, de détecter les contradictions, d'agir avant que l'exposition ne s'aggrave, de faire des reportages honnêtes et d'apprendre lorsque les contrôles échouent.

Le test de légitimité durable

L'affaire de la succursale estonienne de Danske Bank est devenue critique parce que plusieurs institutions dépendaient de représentations qu'elles ne pouvaient pas facilement vérifier. Les clients dépendaient de services bancaires légaux et stables. Les correspondants dépendaient du compte de la banque sur ses contrôles de clients finaux. Les superviseurs dépendaient d'informations précises du groupe et de la succursale. Les investisseurs dépendaient de descriptions publiques du risque. Les employés dépendaient de canaux d'escalade qui répondraient aux avertissements.

La légitimité de la banque reposait sur la question de savoir si ces représentations étaient étayées par des preuves opérationnelles.

L'affaire ne soutient pas l'affirmation simpliste selon laquelle 200 milliards d'euros ont été prouvés blanchis. Elle soutient une conclusion plus exacte et institutionnellement sérieuse: une activité non-résidente à haut risque très importante a fonctionné avec des contrôles déficients; la banque a admis une conduite criminelle définie impliquant la tromperie de banques américaines; les régulateurs et les procureurs ont atteint des résolutions corporatives spécifiques; et des défaillances de supervision, de gouvernance et de divulgation ont persisté assez longtemps pour imposer des coûts financiers et de confiance énormes.

Cette conclusion préserve l'équité juridique tout en renforçant la responsabilité. Elle évite d'attribuer une culpabilité non jugée à des individus. Elle respecte les différents mandats des organismes danois, estoniens, européens et américains. Elle traite la clôture et la remédiation comme des preuves à tester, et non comme une absolution. Et elle place les questions décisives là où elles doivent être: qui pouvait voir le risque, qui pouvait l'arrêter, quelles preuves leur sont parvenues, quelle action a suivi, et comment l'institution prouve maintenant que ses contrôles fonctionnent.

La mesure ultime n'est pas l'absence d'un autre titre. C'est de savoir si la banque peut produire une chaîne de preuve continue allant de l'identité du client à la surveillance des paiements en passant par l'escalade et la gouvernance jusqu'à la divulgation. Cette chaîne doit rester intelligible pour les enquêteurs, les auditeurs, les superviseurs, les correspondants, les conseils et le public. Lorsqu'elle se brise, une faiblesse au niveau de la succursale peut devenir une crise de responsabilité à l'échelle du groupe.

Lorsqu'elle est maintenue et contestée indépendamment, l'échelle de l'entreprise devient une source de contrôle plutôt que d'opacité.

Résumé

• Le chiffre d'environ 200 milliards d'euros examiné décrivait les flux de paiements dans une population d'enquête; ce n'était pas une constatation que la totalité du montant constituait des produits criminels. Les activités à haut risque ou suspectes et les produits légalement prouvés doivent rester des catégories distinctes.
• Le plaidoyer corporatif de Danske Bank, la résolution corporative danoise et le règlement de la SEC établissent ou résolvent des réclamations définies contre la banque. Ils ne jugent pas la responsabilité individuelle de chaque employé ou client.
• La supervision d'accueil de l'Estonie, la supervision de gouvernance de l'État d'origine du Danemark, la coordination européenne et la juridiction américaine des banques correspondantes ont traité des questions juridiques différentes et ne doivent pas être regroupées en une seule autorité.
• La fermeture de la succursale, les pénalités et la remédiation rapportée ont réduit l'exposition et modifié les contrôles, mais une efficacité durable nécessite des preuves indépendantes et répétées que le KYC, la propriété effective, la surveillance, l'escalade et la supervision du conseil fonctionnent en production.