HSBC a fait du risque de correspondant au Mexique et de la surveillance des transactions un test de responsabilité en matière de gouvernance LBC

Résumé

• Le dispositif était un accord de poursuite différée, non un plaidoyer de culpabilité.HSBC Bank USA, N.A. et HSBC Holdings plc ont accepté la responsabilité et admis les faits exposés dans le document annexé. Les procureurs ont déposé une information criminelle et un sursis à poursuite de cinq ans sous conditions, notamment la coopération, la remédiation et un contrôleur indépendant. Le classement ultérieur après l'achèvement de la procédure n'a pas effacé les admissions ni tranché chaque question de contrôle subséquente.

• Les limites des entités et des autorités importent.Les défaillances admises au titre du BSA concernent particulièrement HSBC Bank USA; les violations de sanctions impliquaient également HSBC Holdings et ses filiales étrangères. L'OCC a agi contre HSBC Bank USA, la Réserve fédérale contre HSBC Holdings et HSBC North America Holdings, FinCEN a évalué HSBC Bank USA, et l'OFAC a réglé des violations apparentes de sanctions avec HSBC Holdings. Leurs montants et conclusions ne peuvent être fusionnés à la légère.

• Le statut de filiale ne constituait pas une diligence raisonnable.La politique de HSBC Bank USA traitait les filiales du groupe différemment, alors que les obligations de la banque correspondante exigeaient une évaluation des risques des banques étrangères. Le Mexique est resté dans la catégorie de risque pays la plus basse pendant des années malgré les informations publiques sur les risques, les activités de HSBC Mexico et de graves faiblesses de contrôle interne.

• La capacité de surveillance faisait partie de la défaillance.Les flux importants de virements et de devises physiques étaient exclus d'un examen automatisé adéquat ou traités par des ressources spécialisées très limitées. La classification des risques, la couverture des données, les seuils, les effectifs, le vieillissement des alertes et les décisions relatives aux activités suspectes formaient une chaîne de dépendance.

• Une remédiation durable nécessite une preuve opérationnelle.Les conseils d'administration et les régulateurs ont besoin de preuves au niveau des transactions que les conclusions des audits des filiales modifient les notations des clients, que les flux à haut risque entrent dans la surveillance, que les stocks d'alertes restent dans la capacité, que les cas sont escaladés de manière cohérente et que les propriétaires de contrôles peuvent restreindre une filiale avant qu'une autre transaction de compensation en dollars ou de billets ne soit acceptée.

Commencer par la cartographie juridique de 2012

L' annonce de résolution du ministère de la Justice a indiqué que HSBC Holdings et HSBC Bank USA ont admis des violations en matière de LBC et de sanctions et ont conclu un accord de poursuite différée de cinq ans. HSBC Bank USA a accepté de verser 1,256 milliard de dollars; le programme coordonné comprenait également 500 millions de dollars à l'OCC et 165 millions de dollars à la Réserve fédérale. Le communiqué précisait que le paiement à l'OCC satisfaisait à l'évaluation de 500 millions de dollars de FinCEN et que le règlement de l'OFAC était satisfait par la confiscation du DOJ.

Ces crédits empêchent un total fictif obtenu en additionnant deux fois la même obligation économique.

L'annonce trace la première limite d'entité. HSBC Bank USA était la banque américaine qui détenait des comptes correspondants, compensait des dollars et gérait le commerce des billets. HSBC Holdings était la société mère britannique d'un groupe mondial. HSBC North America Holdings se situait entre la société mère et la banque américaine. HSBC Mexico était une filiale étrangère et un client de la banque américaine pour les services concernés. Chacune avait un rôle, un ensemble d'informations et une relation réglementaire différents.

Les verbes juridiques nécessitent également de la discipline. Une information criminelle a mis en cause des comportements. Le DPA et l'exposé des faits qui y est incorporé ont fourni des admissions. Les procureurs ont accepté de différer l'affaire pendant que les institutions exécutaient les obligations spécifiées. Aucune entité n'a plaidé coupable dans cette résolution, et aucun jury n'a rendu de verdict. En même temps, qualifier l'affaire d'allégation non vérifiée ignorerait les admissions explicites.

Les actions coordonnées sont mieux lues comme plusieurs vues d'un même système de contrôle. Le DOJ a traité l'exposition pénale et la coopération; l'OCC a traité la banque nationale; la Réserve fédérale a traité la supervision du groupe et de la société holding intermédiaire; FinCEN a traité l'administration du BSA; et l'OFAC a traité les sanctions. Des faits communs ne transforment pas leurs instruments en un seul ordre.

L'information a retenu deux familles d'infractions différentes

L' information criminelle déposée est l'acte d'accusation dans l'affaire États-Unis c. HSBC Bank USA, N.A. et HSBC Holdings plc. Elle accuse HSBC Bank USA d'avoir délibérément omis de maintenir un programme LBC efficace et d'effectuer une diligence raisonnable sur les comptes correspondants étrangers en vertu du Bank Secrecy Act. Elle accuse séparément des comportements liés aux sanctions impliquant des transactions traitées en violation des restrictions américaines.

Une information n'est pas auto-probante. Ses allégations sont devenues partie du dossier accepté parce que les accusés ont signé le DPA et ont convenu des faits annexés. Les journalistes devraient préserver cette séquence: accusé par information, admis dans le dossier du DPA, poursuite différée sous conditions. Ils ne devraient pas dire qu'un tribunal a jugé chaque paragraphe vrai après un procès.

La séparation des chefs d'accusation reflète différents domaines de contrôle. La diligence raisonnable sur les correspondants demande si l'institution étrangère, sa propriété, sa direction, son marché, son régime réglementaire, son activité attendue et son historique LBC justifient la relation et le niveau de risque. La surveillance des transactions demande si les flux réels correspondent à ce profil et si des activités suspectes sont détectées et signalées. Les contrôles des sanctions demandent si les parties, les pays et les informations des messages de paiement déclenchent des interdictions.

Ces domaines dépendent de données partagées, mais chacun a son propre test juridique.

Un conseil d'administration a donc besoin d'une carte contrôle-responsabilité. Pour chaque déficience significative, il doit identifier l'entité responsable, la loi ou la règle, les données sources, le responsable opérationnel, la fonction d'assurance et le point de décision. Une étiquette globale de « criminalité financière » peut cacher le fait qu'une décision de risque d'affiliation dans un système désactive la surveillance des virements dans un autre, tandis que les pratiques de messages de paiement contrecarrent le filtrage des sanctions dans un troisième.

Le DPA a imposé un processus conditionnel de cinq ans

L' accord de poursuite différée exécuté exigeait l'acceptation de la responsabilité, la coopération, la confiscation, la remédiation, le reporting et un contrôleur indépendant. Il a différé les poursuites pendant cinq ans, prévoyait un mécanisme de prolongation en cas de violation et envisageait un classement si le gouvernement déterminait que les accusés avaient rempli les conditions de l'accord. Il ne protégeait pas les individus contre les poursuites.

Cette forme juridique importe pour la responsabilité. Un DPA n'est ni une condamnation ni un acquittement. Il permet aux procureurs de tester la performance institutionnelle au fil du temps tout en préservant une accusation déposée. Le classement ultérieur qui a suivi l'achèvement du terme était une conséquence procédurale de l'accord; ce n'était pas une constatation judiciaire que la conduite historique n'a jamais eu lieu, que chaque recommandation était parfaite ou qu'aucune faiblesse ultérieure ne pourrait survenir.

L'accord a également transformé la remédiation en une obligation probatoire. HSBC devait coopérer aux enquêtes, maintenir et améliorer les contrôles, fournir l'accès au contrôleur et rendre compte des progrès. C'est plus exigeant que de promettre de réécrire la politique. Cela exige que l'institution produise des données, des personnes et des dossiers qu'un examinateur indépendant peut utiliser pour évaluer le fonctionnement.

Pour un programme de contrôle moderne, la structure du DPA suggère un contrat interne durable. Chaque élément de remédiation matériel devrait avoir un propriétaire, une référence, un état cible, une source de preuve, une date limite, une méthode de validation et une conséquence en cas de retard. Les extensions ou les contrôles alternatifs devraient être approuvés explicitement plutôt que de disparaître dans le commentaire du programme. La clôture devrait exiger des échantillons de transactions sur une période soutenue, et non une déclaration qu'un projet technologique a été installé.

Les faits avoués relient la connaissance du groupe à l'exposition de la banque américaine

La déclaration de faits avoués est l'autorité factuelle centrale. HSBC Bank USA et HSBC Holdings ont convenu qu'elle était exacte et ont accepté la responsabilité des actes de leurs dirigeants, administrateurs, employés et agents respectifs comme décrit. La déclaration a indiqué que la conduite de HSBC Bank USA violait les exigences de la BSA pour un programme AML efficace et la diligence raisonnable sur les comptes de correspondants étrangers.

De 2006 à 2010, selon les aveux, la banque américaine n'a pas obtenu ou maintenu une diligence raisonnable adéquate sur les affiliés du groupe, y compris HSBC Mexico, n'a pas surveillé adéquatement les énormes populations de virements et les achats de dollars physiques, et n'a pas fourni suffisamment de personnel et de ressources AML. La déclaration a également indiqué que le groupe était au courant de problèmes AML importants chez HSBC Mexico mais n'a pas informé la banque américaine des problèmes et de leur effet potentiel sur son programme.

Ce dernier point est un échec de gouvernance à travers une frontière d'information. La banque américaine était légalement responsable de son compte de correspondant, mais les audits du groupe et les informations de gestion pertinentes pour le client n'atteignaient pas de manière fiable les personnes fixant sa notation et ses contrôles. Un groupe peut centraliser la propriété sans centraliser la responsabilité légale. Il doit acheminer les informations négatives matérielles à chaque entité dont l'exposition en dépend.

Le dossier factuel soutient également la précision concernant le préjudice. Il indique qu'au moins 881 millions de dollars de produits du trafic de drogue ont été blanchis via HSBC Bank USA sans être détectés. Ce montant avoué ne doit pas être étendu à chaque dollar traité en provenance du Mexique. Les chiffres beaucoup plus larges de virements et de billets décrivent des populations d'exposition insuffisamment surveillées, et non une constatation que chaque transaction contenait des produits criminels.

Le statut d'affilié est devenu un mécanisme d'aveuglement au risque

La banque correspondante permet à une institution de fournir des services de paiement et autres services financiers pour une banque étrangère et, indirectement, pour les clients de cette banque. Le correspondant américain manque souvent d'informations directes sur les donneurs d'ordre et les bénéficiaires sous-jacents. Cette distance structurelle est la raison pour laquelle la diligence raisonnable sur les banques étrangères existe. L'appartenance au même groupe d'entreprises ne supprime pas la distance.

Le dossier avoué a indiqué que les procédures de HSBC Bank USA n'exigeaient pas de diligence raisonnable sur les affiliés du groupe pour lesquels elle maintenait des comptes de correspondants, y compris HSBC Mexico. Cela a créé une hypothèse selon laquelle la propriété commune signifiait un contrôle adéquat. En pratique, la relation de groupe a rendu le flux plus important et le défi plus sensible: le client était proche commercialement et organisationnellement, tandis que la banque américaine restait exposée aux clients de l'affilié et aux faiblesses AML.

Une norme durable de contrôle des affiliés devrait commencer par la parité: chaque affilié étranger doit satisfaire aux exigences légales et fondées sur le risque appliquées à une banque étrangère externe. La connaissance du groupe peut approfondir l'examen; elle ne peut pas y renoncer. Le dossier devrait inclure les activités de l'affilié, ses marchés, son mix clients, ses produits, son environnement de supervision, son dossier AML, les résultats d'audit, l'historique des mesures d'application et l'utilisation prévue des services américains.

Le groupe devrait également définir les informations négatives importantes. Des constats d'audit sévères, des restrictions réglementaires, d'importants arriérés de remédiation, des produits à haut risque, une activité inhabituelle en espèces et des défaillances dans l'identification des clients devraient déclencher une transmission à tous les fournisseurs correspondants. L'entité réceptrice doit accuser réception des informations, réévaluer le risque et enregistrer toute restriction. Un tableau de bord qui indique « partagé » sans prouver qui a reçu et agi sur la constatation n'est pas un enregistrement d'escalade.

Le risque pays doit refléter les preuves, pas une taxonomie héritée

La banque américaine a classé le Mexique comme risque « standard », sa catégorie la plus basse, d'au moins 2006 à 2009, malgré d'amples preuves publiques et internes d'une exposition élevée au blanchiment d'argent. Parce que les seuils de surveillance automatisés dépendaient matériellement de la catégorie de pays, la classification ne se contentait pas de décrire le risque. Elle déterminait quelles transactions entraient dans le champ de la surveillance.

Ce couplage est dangereux lorsque le processus de notation est lent ou influencé politiquement. Un score pays obsolète peut supprimer des alertes sur des millions de transactions, même si l'audit local, les informations des forces de l'ordre et l'activité des clients indiquent le contraire. Le responsable de la notation doit donc comprendre chaque contrôle en aval qui utilise le score.

Un modèle défendable combine les menaces juridictionnelles, l'efficacité réglementaire, l'exposition produit, la composition de la clientèle, l'intensité des espèces, les dépendances de correspondants, les informations d'application et la propre expérience de l'institution. Il enregistre les dates des données, l'incertitude et les dérogations. Il distingue également le risque pays du risque client: une banque dans une juridiction difficile peut avoir des contrôles solides, tandis qu'une filiale dans une juridiction nominalement modérée peut présenter un risque élevé en raison de ses activités ou de ses déficiences.

Les notations nécessitent une révision événementielle. Un audit sévère d'une filiale, une enquête publique, une augmentation des flux d'espèces physiques ou un échec à clore une remédiation doivent rouvrir immédiatement la classification. Le système doit identifier chaque scénario, seuil et approbation qui changeraient si la notation bouge. Cette analyse d'impact empêche un comité d'approuver une nouvelle étiquette tout en laissant la logique de surveillance intacte.

La surveillance des virements a échoué par classification et couverture

Les faits avoués indiquent que la banque américaine a traité plus de 670 milliards de dollars de virements de HSBC Mexico de 2006 jusqu'à ce que la notation de risque change en mai 2009, et que ces flux étaient généralement exclus du système de surveillance automatisé en raison de la faible classification. Le montant définit une population insuffisamment surveillée; il n'établit pas que 670 milliards de dollars ont été blanchis.

Cette différence devrait façonner l'assurance. Une banque doit mesurer la couverture avant de mesurer la qualité des alertes. Quel pourcentage de transactions entre dans chaque scénario? Quels clients, pays, types de paiement ou défauts de données sont exclus? Quels seuils s'appliquent? Combien de temps les lacunes persistent-elles? Un modèle sophistiqué ne peut pas compenser une population qui ne l'atteint jamais.

La traçabilité des données doit joindre le client correspondant, le risque de la filiale, le donneur d'ordre et le bénéficiaire du virement, les champs du message de paiement, la géographie, le montant, le canal et les alertes antérieures. Les changements de notation d'un client ou d'un pays doivent se propager automatiquement à la surveillance, avec une réconciliation prouvant que la population attendue a changé. La propagation manuelle crée une période pendant laquelle la gouvernance dit « risque élevé » alors que les systèmes se comportent encore comme si le risque était standard.

La performance des scénarios doit être testée contre les typologies pertinentes sans présumer que chaque virement inhabituel est criminel. Les alertes identifient une activité nécessitant une enquête. Les décisions sur les dossiers doivent enregistrer les preuves examinées, le contexte relationnel, l'explication, l'escalade et la détermination du signalement d'activité suspecte. L'assurance qualité doit tester à la fois la clôture abusive et l'escalade inutile, car un volume mal calibré peut submerger les enquêteurs et obscurcir les cas les plus importants.

L'activité de change manuel nécessitait son propre modèle de contrôle

L'exposé des faits décrivait les achats et ventes en gros de devises physiques comme une activité mondiale à haut risque. HSBC Bank USA a acheté plus de 9,4 milliards de dollars en dollars américains physiques à HSBC Mexico pendant la période concernée, tandis que la surveillance dépendait d'un ou, parfois, de deux responsables de la conformité et manquait d'un système automatisé. Là encore, le volume décrit l'exposition, pas un jugement que chaque billet était illicite.

Le risque des espèces physiques diffère du risque ordinaire des virements. Les réviseurs doivent comprendre pourquoi un client accumule des dollars, la base de déposants sous-jacente, la géographie des agences, les restrictions de trésorerie, la saisonnalité attendue, le transport et la garde, les contrôles des contreparties et si le volume est plausible par rapport à l'économie locale et aux institutions comparables. Un moteur de virements seul ne peut pas répondre à ces questions.

La planification des capacités doit être explicite. La direction doit estimer le nombre et la complexité des examens produits par le volume de clients, les exceptions et la surveillance renforcée. Les effectifs doivent intégrer les congés, la formation, la révision de la qualité et les enquêts—ne pas supposer que chaque heure payée est disponible pour le filtrage de première ligne. Lorsque la demande dépasse la capacité, l'entreprise doit ralentir, restreindre ou cesser l'activité plutôt que de porter une dette d'examen invisible.

Le registre de contrôle doit conserver une analyse des tendances globales et un échantillonnage transactionnel. Les augmentations soudaines, les montants systématiquement ronds, les flux incohérents avec l'implantation des agences, une documentation source faible et une activité impliquant des entreprises à risque élevé en espèces doivent déclencher une contestation. Des réviseurs indépendants doivent comparer les heures de contrôle réelles et les cas avec la demande modélisée. Une relation de change manuel rentable ne peut pas fixer son propre budget de surveillance.

Les effectifs et les arriérés d'alertes sont des décisions de risque

Un programme AML peut échouer même si ses règles génèrent des alertes. Si les enquêteurs ne peuvent pas les examiner rapidement, les activités suspectes restent mélangées aux flux ordinaires tandis que la relation de correspondant continue. Le dossier historique décrit de graves pénuries et des retards dans les domaines concernés. Ce n'étaient pas simplement des problèmes de ressources humaines; c'étaient des décisions sur la quantité de risque non examiné que l'institution tolérerait.

Les conseils d'administration ont besoin d'un registre des capacités. Il devrait montrer les nouvelles alertes, l'inventaire vieillissant, la complexité des dossiers, la productivité des analystes, les résultats de qualité, les postes vacants, les sous-traitants, les pannes technologiques et la demande prévue. Le registre doit distinguer un pic saisonnier court d'un arriéré structurel. Il devrait également révéler si les seuils ont été modifiés principalement pour réduire le volume plutôt que pour améliorer la détection des risques.

Les seuils d'escalade devraient être prédéterminés. Par exemple, un dépassement d'âge ou de volume peut nécessiter du personnel supplémentaire, une restriction des intégrations, des limites de transaction plus basses ou la suspension d'un produit à haut risque. La fonction de contrôle a besoin d'autorité pour imposer ces mesures. Sans conséquence, un tableau de bord rouge devient un moyen de normaliser l'exposition.

La qualité du personnel compte autant que l'effectif. Les enquêteurs ont besoin d'accès aux dossiers des filiales, aux preuves multilingues, au contexte des sanctions et aux cas antérieurs. L'assurance qualité devrait échantillonner les clôtures par risque et par analyste, identifier les lacunes récurrentes dans les preuves et réintégrer les enseignements dans la diligence raisonnable et la conception des scénarios. L'achèvement de la formation est un intrant; les décisions correctes, opportunes et reproductibles sont la mesure de la performance.

Les actions de l'OCC concernaient HSBC Bank USA

L' annonce de pénalité de l'OCC a imposé 500 millions de dollars à HSBC Bank USA pour des violations du BSA et le non-respect total d'une ordonnance de cessation et d'abstention d'octobre 2010. Elle a également expliqué le crédit coordonné: le paiement de l'OCC a satisfait l'évaluation de FinCEN. Cela empêche de présenter les deux montants de 500 millions de dollars comme une sortie combinée de 1 milliard de dollars.

L' ordonnance de consentement de l'OCC pour l'entreprise exigeait un comité de conformité, un programme à l'échelle de l'entreprise, une évaluation des risques, du personnel, des tests, des rapports et d'autres mesures correctives. Ses termes de consentement et de ni-aveu-ni-déni diffèrent des admissions dans le DOJ DPA. L'ordonnance est un règlement administratif exécutoire, pas une condamnation pénale.

L' ordonnance de pénalité civile distincte a lié la pénalité à des conclusions impliquant les paiements et la gestion de trésorerie, les billets de banque, les correspondants étrangers et les contrôles BSA/AML. Le fait de maintenir l'ordonnance séparée des mesures correctives du programme aide les conseils à voir deux types de responsabilité: la conséquence financière et l'obligation opérationnelle continue.

Un programme d'entreprise ne devrait pas signifier que la maison mère possède toutes les tâches. Le conseil d'administration et la direction de la banque américaine restent responsables de la conformité de la banque. Les politiques de groupe, les systèmes partagés et les informations des filiales sont des intrants sur lesquels la banque peut se fier uniquement si elle teste leur exhaustivité et leur adéquation. Un comité du conseil devrait enregistrer chaque dépendance, écart local et mesure de compensation.

Les ordonnances de la Réserve fédérale visaient la surveillance du groupe

L' annonce de la Réserve fédérale a imposé une pénalité conjointe de 165 millions de dollars à HSBC Holdings et HSBC North America Holdings et a décrit une surveillance inadéquate des contrôles AML et des compensations en dollars américains dans toutes les filiales. Elle a déclaré que les lacunes de surveillance permettaient des transactions substantielles à haut risque entre les filiales bancaires du Mexique et des États-Unis. Le communiqué a également réitéré que les évaluations séparées de FinCEN et de l'OFAC seraient satisfaites par des paiements à d'autres agences.

L' ordonnance de pénalité de la Réserve fédérale identifie les répondants et la base de consentement pour cette évaluation. Elle ne devrait pas être réaffectée à HSBC Bank USA comme si l'OCC et la Réserve fédérale réglementaient la même entité avec la même capacité. Une attribution précise des entités aide à déterminer quel conseil, équipe de direction et responsable du contrôle a dû l'échec de la surveillance.

L' ordonnance de cessation et d'abstention jointe exigeait des améliorations de groupe couvrant la surveillance, la gestion des risques, l'examen juridique, la communication d'audit, la conformité aux sanctions et la remédiation. La maison mère doit s'assurer que les informations concernant une filiale peuvent modifier les contrôles d'une autre, tandis que la société de portefeuille intermédiaire doit superviser l'organisation américaine qu'elle contrôle.

C'est la valeur de gouvernance d'une ordonnance de société de portefeuille. Les preuves de contrôle local doivent être consolidées sans devenir un score global moyen. Une constatation grave concernant la filiale mexicaine doit rester visible lorsque la direction examine l'exposition de correspondant américain. Le conseil de groupe devrait voir où les notations locales sont en conflit avec l'audit, où les informations n'ont pas franchi les limites des entités et où une activité continue sous remédiation en retard.

L'évaluation de FinCEN était civile et créditée

Le dossier d'application officiel de FinCEN identifie l'affaire contre HSBC Bank USA, la date et l'évaluation civile. L'index est une provenance; il ne crée pas de nouvelles conclusions au-delà de l'instrument sous-jacent.

L' évaluation de FinCEN aborde le programme LBA de la banque américaine, la diligence raisonnable envers les correspondants étrangers, la surveillance des transactions et la déclaration d'activités suspectes. Il s'agit d'une action administrative civile. Son montant de 500 millions de dollars a été satisfait par le paiement de l'OCC, de sorte qu'un grand livre devrait enregistrer à la fois les obligations légales et un paiement économique crédité.

Cette distinction offre un modèle pour les données réglementaires. Une institution devrait maintenir des champs séparés pour le montant évalué, le montant payé, le montant crédité, le bénéficiaire, l'instrument juridique et l'état de satisfaction. Un total global assemblé à partir des seuls champs d'évaluation peut considérablement surestimer la conséquence financière et induire en erreur les conseils d'administration, les actionnaires et le public.

La même structure s'applique aux constatations. Un catalogue central des problèmes peut relier plusieurs agences à un seul contrôle racine sans effacer les différences de norme légale, d'entité, de période ou de formulation. Les équipes de remédiation évitent alors de dupliquer les projets tandis que les rapports juridiques et de conformité restent exacts. Une amélioration de contrôle peut répondre à plusieurs ordres; la clôture nécessite toujours des preuves adaptées à chaque autorité.

L'OFAC a traité des violations apparentes spécifiques de sanctions

L' indice d'exécution de 2012 du Trésor fournit une provenance officielle pour le règlement des sanctions de HSBC parmi les actions civiles de cette année-là. Un indice n'est pas une constatation sur chaque paiement ou un calcul de dommages distinct.

L' avis d'exécution détaillé de l'OFAC utilise le terme « violations apparentes » de l'agence pour des transactions spécifiées et explique les mécanismes de règlement et de crédit. Cette expression ne doit pas être réécrite comme une condamnation pénale. La conduite liée aux sanctions chevauchait opérationnellement la compensation en dollars mais impliquait des questions de client, de message et juridiques différentes de la défaillance LBA du correspondant mexicain.

L' accord de règlement de l'OFAC définit la conduite libérée, les engagements et les conditions entre l'OFAC et HSBC Holdings. Il ne juge pas d'activités non liées et ne fait pas de chaque filiale étrangère un intimé. Son obligation de règlement de 375 millions de dollars a été satisfaite par la confiscation du DOJ dans le cadre de l'ensemble coordonné.

Sur le plan opérationnel, les contrôles des sanctions dépendent de messages de paiement complets. Les systèmes doivent préserver les informations sur le donneur d'ordre, le bénéficiaire, la banque et le pays à travers chaque conversion de format et couche de paiement de couverture. La réparation manuelle, l'omission ou l'instruction pour éviter les données d'identification devrait déclencher une mise en attente et une enquête. Le statut d'affilié ne peut justifier des messages moins complets, car la banque de compensation américaine doit évaluer la transaction par rapport aux restrictions américaines.

Les équipes LBA et sanctions devraient partager un identifiant de transaction et des preuves de relation pertinentes tout en gardant leurs décisions juridiques distinctes. Une transaction suspecte peut ne pas être interdite; une transaction interdite ne doit pas nécessairement correspondre à une typologie LBA. Combiner les données améliore la détection, tandis que combiner les conclusions peut produire des rapports inexacts.

La surveillance du Sénat a documenté l'historique de contrôle avant la résolution

Le compte rendu d'audience du Sous-comité permanent d'enquête du Sénat identifie les témoins, les pièces et l'enquête législative sur les vulnérabilités du système financier américain. Les témoignages doivent être attribués à leur orateur, et l'audience n'est pas une décision judiciaire.

Le rapport bipartisan du personnel fournit une chronologie détaillée de la diligence raisonnable envers les affiliés, des risques au Mexique, des flux de billets, des arriérés de surveillance, de la communication d'audit et de la supervision réglementaire. Les conclusions du personnel fournissent des preuves de surveillance solides, mais elles n'établissent pas de responsabilité pénale. Là où la déclaration ultérieure du DOJ a admis des faits, l'admission est la source juridique la plus solide.

Le rapport montre pourquoi les informations du conseil ne peuvent pas être réduites à la conformité politique. La direction devait savoir que HSBC Mexico opérait dans un environnement à haut risque, avait des faiblesses de contrôle pertinentes et générait des flux de dollars physiques inhabituellement importants; que la classification de la banque américaine avait supprimé la surveillance; et que les ressources étaient insuffisantes. Chaque fait seul pourrait inviter à une explication. Ensemble, ils nécessitaient restriction et escalade.

Les preuves législatives sont également précieuses pour la conception de systèmes car elles révèlent comment les informations circulaient. Les rapports d'audit, les constatations des régulateurs, les procès-verbaux de comité et les données commerciales existent souvent, mais l'entité responsable ne peut pas les rassembler. Un graphique de preuves moderne devrait connecter le client, l'affilié, le problème d'audit, le score pays, le produit, le scénario, l'alerte, le dossier et la décision du conseil. Il devrait montrer à la fois le signal et l'action entreprise.

Le mandat du contrôleur a rendu l'indépendance testable

L' annexe du contrôleur du DPA a défini la nomination, l'accès, les plans de travail, les rapports, les recommandations, les litiges et la confidentialité. Un contrôleur n'est pas un observateur cérémoniel et n'exploite pas le programme. Le mandat donne à un professionnel indépendant l'accès pour évaluer la mise en œuvre et faire des recommandations tandis que la direction reste responsable de la conformité.

Les preuves de surveillance nécessitent une interprétation prudente. La nomination ne prouve pas qu'un contrôle est faible; une recommandation identifie un domaine nécessitant une réponse; l'activité de mise en œuvre ne prouve pas l'efficacité; et l'achèvement d'une recommandation n'est pas une assurance permanente. La preuve la plus solide est une population de transactions testées montrant que le contrôle fonctionne sous un volume et une pression réalistes.

La direction devrait tenir un registre des recommandations avec le problème d'origine, le risque, le responsable, l'action proposée, la réponse du surveillant, les preuves de mise en œuvre, le résultat de la validation et tout litige. Si la direction propose une alternative, le dossier devrait expliquer pourquoi elle atteint l'objectif. Les conseils d'administration devraient voir les éléments en retard et les constatations récurrentes sans recevoir de rapports de surveillance confidentiels en dehors des canaux autorisés.

La fonction d'audit interne ne devrait pas sous-traiter son jugement au surveillant. Elle peut utiliser les informations du surveillant, mais elle a besoin de sa propre évaluation des risques, de son échantillonnage et de sa ligne de rapport. Après la période de surveillance, l'assurance devrait se poursuivre par des tests répétés et des déclencheurs qui rouvrent un dossier clos lorsque les données, les produits ou les risques changent.

La surveillance des transactions est un produit de données intégré

Une surveillance durable commence par un inventaire de tous les flux pertinents. Pour un affilié correspondant, cela comprend les virements, la compensation, les messages de gestion de trésorerie, les achats de devises physiques, les chèques de voyage et autres produits inclus dans le périmètre. Chaque flux a besoin d'un propriétaire, d'un schéma, d'une lignée, d'un rapprochement de l'exhaustivité et d'un plan de secours en cas de retard ou de malformation des données.

Le contexte du client et de l'affilié doit accompagner chaque transaction. La couche de surveillance a besoin des notations actuelles du pays et du client, de la propriété, des produits, de l'activité attendue, des constatations d'audit, des restrictions et des sous-clients à haut risque connus, lorsque la loi le permet. La localisation des données peut limiter l'endroit où les enregistrements bruts résident, mais des identifiants fédérés et des requêtes contrôlées peuvent toujours fournir le signal de risque à la banque américaine.

La gouvernance des scénarios devrait documenter l'objectif, la typologie, la population, les seuils, les exclusions, les hypothèses du modèle, la validation, l'approbation des changements et les performances. Un changement de seuil devrait estimer le volume d'alertes et l'impact sur le personnel avant la mise en œuvre. Si la capacité n'est pas disponible, la direction devrait restreindre l'activité plutôt que d'atténuer le risque.

Chaque jour, les propriétaires de contrôles devraient rapprocher les totaux des systèmes sources de l'ingestion de surveillance. Les populations manquantes doivent générer des incidents avec une gravité basée sur le risque et la durée. Les conseils d'administration devraient recevoir les défaillances de couverture importantes, et non seulement les totaux d'alertes. Un taux d'alerte apparemment en baisse peut indiquer une amélioration, des données manquantes ou un changement non propagé de la notation de risque.

L'escalade des activités suspectes nécessite une boucle fermée

Une alerte est le début d'une décision, pas la décision elle-même. Les enquêteurs ont besoin de l'historique des transactions, du contexte de l'affilié, de la diligence raisonnable du client, de l'activité comparable, des cas antérieurs et des explications. Le dossier du cas devrait distinguer les faits observés, les déclarations du client, le jugement analytique et la conclusion juridique.

L'escalade doit nommer un destinataire et une date limite. Les activités des affiliés à haut risque, les espèces substantielles non expliquées, les omissions répétées de données, les constatations d'audit graves ou les soupçons de contournement de sanctions devraient atteindre les rôles de conformité et juridiques seniors définis. Les contrôles intérimaires peuvent inclure des blocages de transactions, des limites, un examen renforcé ou une restriction de la relation. Le système devrait prouver que le propriétaire récepteur a reconnu et résolu l'affaire.

Les décisions de déclaration d'activités suspectes nécessitent confidentialité et prudence juridictionnelle. Un groupe ne peut pas diffuser des rapports sans discernement, mais il peut partager des informations de risque appropriées pour que d'autres entités se protègent. La gouvernance devrait documenter quelles informations étaient légalement partageables, ce qui était restreint et si la restriction a nui à l'évaluation.

L'assurance qualité devrait échantillonner à la fois les cas déclarés et non déclarés, les cas tardifs, les cas rouverts et les affaires impliquant des affiliés commercialement importants. Elle devrait comparer les analystes, les équipes et les régions pour des normes incohérentes. Les défauts récurrents devraient modifier la formation, les scénarios ou la supervision plutôt que de générer un autre rappel.

La surveillance du conseil doit relier l'appétit pour le risque à la capacité

Un conseil ne peut pas superviser la LBC par une simple approbation annuelle de la politique. Il a besoin d'une déclaration d'appétit pour le risque liée à des limites mesurables: quelles relations d'affiliés et de correspondants sont acceptables, quelle diligence renforcée est obligatoire, quel stock d'alertes anciennes est tolérable, quelles lacunes de données nécessitent une restriction et qui peut arrêter un produit.

Les informations de gestion devraient combiner l'exposition et l'état des contrôles. Pour chaque affilié à haut risque, les administrateurs devraient voir le volume de transactions, les produits, la notation actuelle, les constatations d'audit non résolues, la couverture de surveillance, le vieillissement des alertes et des cas, les résultats des activités suspectes, les exceptions de sanctions, le personnel, les jalons réglementaires et les restrictions. Les agrégats ne devraient pas cacher une relation aberrante.

La contestation devrait être enregistrée. Si la direction maintient une notation standard malgré des preuves contraires, le conseil a besoin de la justification, de l'opposition, des contrôles compensatoires et de la date d'examen. Si une activité continue alors que la surveillance est altérée, le dossier devrait identifier qui a accepté l'exposition et pourquoi. L'acceptation répétée devrait affecter la performance et la rémunération.

Le conseil a également besoin de voix indépendantes. La conformité devrait avoir un accès direct, l'audit interne devrait rapporter sans édition commerciale, et la validation du modèle devrait être séparée de la propriété des scénarios. Les statistiques d'escalade devraient inclure les affaires soulevées contre des sponsors seniors ou à haut revenu, car un système qui ne fonctionne que pour les petits clients ne démontre pas l'indépendance institutionnelle.

Le licenciement et la résiliation ultérieure d'une ordonnance ont une signification limitée

Le DPA de cinq ans a créé une voie conditionnelle vers le rejet après performance. L'achèvement et le rejet sont juridiquement significatifs: ils signifient que les procureurs ont suivi la procédure convenue plutôt que d'obtenir une condamnation. Ils ne doivent pas être décrits comme un acquittement, un retrait des aveux ou une certification qu'aucune transaction ultérieure ne pourrait révéler une faiblesse.

Les ordonnances réglementaires ont leurs propres cycles de vie. La modification ou la résiliation par une autorité concerne l'instrument et la date de cette autorité. Elle ne met pas automatiquement fin à une ordonnance d'une autre agence et ne transforme pas les constatations historiques en allégations. Un registre de statut actuel doit donc suivre chaque instrument séparément, avec la date d'effet, les amendements, les termes monétaires satisfaits, les obligations ouvertes, les preuves de résiliation et les contrôles internes résiduels.

Les institutions devraient éviter deux erreurs opposées. L'une est la rhétorique de l'échec permanent qui ignore la véritable remédiation et l'achèvement procédural. L'autre est la rhétorique de clôture qui traite un DPA rejeté ou une ordonnance résiliée comme la preuve que le contrôle sous-jacent ne peut plus jamais échouer. Les preuves permettent une vision plus exacte: les admissions historiques restent partie du dossier; l'achèvement ultérieur modifie le statut juridique; l'efficacité actuelle nécessite des tests actuels.

Cette distinction protège la légitimité institutionnelle. Les citoyens, clients, employés et actionnaires ne peuvent évaluer les progrès que si l'organisation rapporte ce qui a été admis, ce qui a été exigé, ce qui a été achevé et ce qui a été testé indépendamment. Un seul mot comme « résolu » ne peut pas porter les quatre significations.

La localisation des données ne doit pas devenir une localisation des risques

Les registres bancaires transfrontaliers sont soumis à des restrictions légitimes impliquant le secret, la vie privée, le droit du travail, la confidentialité réglementaire et le signalement des activités suspectes. Ces restrictions affectent qui peut voir les preuves brutes et où elles peuvent être stockées. Elles n'éliminent pas le besoin pour la banque américaine de savoir que son correspondant étranger présente un risque matériel.

Une conception fédérée peut séparer la découverte de la divulgation. Le groupe peut maintenir des identifiants communs pour les entités, les comptes, les constatations d'audit et les problèmes de contrôle tandis que les registres sensibles restent dans leur juridiction autorisée. Un examinateur approuvé voit que des preuves pertinentes existent, la classification et le propriétaire, ainsi qu'une voie gouvernée pour demander le détail. Lorsque l'accès est refusé, la raison, le décideur et l'effet sur l'évaluation des risques sont enregistrés.

Cette architecture a besoin de normes d'information minimales. Une filiale étrangère devrait fournir la propriété et la direction actuelles, le statut réglementaire, les produits, la distribution du risque client, l'exposition aux sous-clients à haut risque, les notations d'audit, les incidents matériels, le statut de remédiation et l'activité de correspondant attendue. La banque réceptrice devrait rapprocher ces champs de son propre fichier client et contester les omissions ou incohérences.

Les restrictions elles-mêmes peuvent devenir des signaux de risque. Si la banque américaine ne peut pas obtenir suffisamment d'informations pour remplir ses obligations de diligence raisonnable ou de surveillance, la réponse ne peut pas être une hypothèse non documentée selon laquelle le groupe a traité le problème ailleurs. Il peut être nécessaire de réduire les services, d'imposer des limites, d'exiger une approbation manuelle ou de quitter la relation. La décision et la base juridique doivent être conservées.

Les conseils d'administration devraient tester si les contrôles fédérés fonctionnent lors d'un événement urgent. Un constat d'audit sévère d'une filiale devrait parvenir rapidement au propriétaire du correspondant concerné, même si le rapport sous-jacent ne peut pas être déplacé. Le propriétaire devrait connaître la gravité, les produits affectés, les protections intérimaires et le contact autorisé. Une assurance indépendante devrait ensuite vérifier que la notation de risque, la population de surveillance et les restrictions commerciales ont changé comme prévu.

Un calendrier d'assurance durable

L'assurance de contrôle mensuelle devrait rapprocher l'exhaustivité du flux de transactions, la propagation des notations de risque, les inventaires d'alertes, le vieillissement des dossiers, les restrictions des filiales à haut risque et les incidents matériels de données. Les résultats devraient être segmentés par produit, entité et juridiction. Les dépassements de seuils devraient déclencher une action prédéterminée plutôt qu'un commentaire.

Les tests trimestriels devraient sélectionner les relations de correspondant de filiale par le biais d'échantillons basés sur le risque et surprises. Les examinateurs devraient reproduire la diligence raisonnable, inspecter les informations d'audit et réglementaires, tester l'activité attendue par rapport aux flux, vérifier l'inclusion dans la surveillance, examiner les dossiers clos et tracer les escalades vers les destinataires responsables. L'échantillonnage devrait inclure des relations notées en dessous de ce que suggèrent les preuves externes ou internes.

Au moins une fois par an, une équipe indépendante devrait rejouer un scénario sévère de bout en bout. Elle devrait introduire un échec d'audit de filiale, une augmentation des devises physiques, une classification de pays incohérente, des données retardées et un arriéré d'alertes, puis tester si le système actuel modifie le risque, augmente la surveillance, restreint l'activité et informe les bons conseils d'administration. Une discussion de table ronde ne suffit pas; l'exercice devrait utiliser des données semblables à la production et des preuves de flux de travail.

La clôture de la remédiation devrait exiger une performance soutenue sur plusieurs cycles. Les métriques doivent inclure les taux d'erreur et les limitations, pas seulement le statut vert. Un propriétaire de contrôle devrait attester du fonctionnement, la validation devrait contester l'attestation, et le comité du conseil devrait enregistrer l'acceptation ou une action supplémentaire. La récurrence matérielle devrait rouvrir automatiquement le problème d'origine.

Qui doit quoi dans une chaîne LBC transfrontalière

Le conseil d'administration de HSBC Holdings doit un cadre de groupe qui transmet le risque matériel des filiales, finance la conformité, aligne la rémunération et permet aux entités locales d'imposer des contrôles plus stricts. Il ne doit pas permettre à la présomption de normes de groupe de remplacer les preuves concernant une filiale particulière.

La société holding intermédiaire américaine doit assurer la supervision de l'organisation américaine et une escalade claire à la fois à la maison mère et à la banque. Le conseil d'administration de HSBC Bank USA doit se conformer aux obligations américaines de diligence raisonnable en matière de correspondants, au programme BSA, à la surveillance, au reporting et aux sanctions. Il ne peut pas externaliser ces tâches au groupe ni accepter une notation de filiale sans la contester.

HSBC Mexico et les autres filiales doivent fournir des informations précises sur les clients, les activités, les audits et les mesures correctives aux destinataires autorisés du groupe et des correspondants. Les propriétaires d'activités doivent fournir des prévisions complètes de produits et de volumes. La conformité est responsable de la classification des risques et de la contestation; la technologie assure la fiabilité des flux; les opérations gèrent le traitement des exceptions; les enquêtes doivent mener des dossiers opportuns et étayés; le juridique définit un périmètre et un reporting précis;

l'audit interne effectue des tests indépendants.

Les régulateurs doivent fournir des déclarations précises sur le répondant, la loi, les constatations, les mesures correctives, le crédit et le statut de l'ordre. Les analystes et les journalistes doivent faire de même. Les communautés touchées par le trafic de drogue, les clients utilisant des services transfrontaliers légitimes, les employés, les actionnaires et les institutions correspondantes ont tous besoin d'un récit sérieux sans être indiscriminé.

La norme de responsabilité est la visibilité indépendante

Le bilan de HSBC Mexico est souvent réduit à une sanction spectaculaire ou à une faible notation pays. Sa leçon plus profonde est architecturale. Un groupe mondial possédait des éléments de connaissances pertinents, tandis que le traitement des clients, les systèmes de transactions et les effectifs de la banque américaine n'ont pas converti ces éléments en contrôle proportionné. La familiarité avec la filiale est devenue une raison pour moins de contrôle alors qu'elle aurait dû fournir plus de preuves.

La visibilité indépendante signifie que le fournisseur correspondant peut voir le risque de la filiale sans dépendre uniquement de la filiale ou du sponsor commercial. Cela signifie que les notations pays et clients modifient les populations surveillées; l'activité en espèces physiques a un contrôle spécifique au produit; les effectifs reflètent la demande mesurée; les arriérés d'alertes imposent des conséquences commerciales; et les conseils d'administration peuvent tracer chaque signal grave jusqu'à une décision.

Cela signifie également que les dossiers juridiques restent exacts. Les informations étaient une accusation, le DPA comportait des aveux et des conditions sans plaidoyer de culpabilité, le rejet a suivi l'achèvement procédural plutôt qu'une exonération au fond, les ordonnances de l'OCC et de la Réserve fédérale concernaient des entités différentes, les montants du FinCEN et de l'OFAC ont été crédités, et les conclusions du Sénat étaient une surveillance législative plutôt que des condamnations.

La preuve de la réforme n'est pas que le groupe peut décrire un programme mondial. C'est qu'un évaluateur indépendant peut sélectionner un flux de filiale à haut risque, reproduire les preuves du client et de la transaction, voir pourquoi il a été surveillé, inspecter la décision du dossier et identifier qui avait l'autorité de restreindre l'accès avant que le système financier américain n'absorbe le risque.