Westpac: le reporting des transferts internationaux et la diligence sur les correspondants comme épreuve de gouvernance AML

Résumé

• La procédure ouverte par AUSTRAC en 2019 était civile: la déclaration concise et la demande modifiée contenaient des allégations. Westpac a ensuite admis des faits et des manquements précis dans un document conjoint, puis la Cour fédérale a prononcé ses propres déclarations et une sanction pécuniaire de 1,3 milliard de dollars australiens.
• Les informations IFTI tardives ou incomplètes, les lacunes de diligence sur les correspondants et les défaillances de surveillance constituent des manquements et des signaux de risque. Elles ne prouvent pas que chaque transfert représentait un produit criminel ni que chaque client signalé avait commis une infraction.
• Une réparation durable exige une réconciliation bidirectionnelle des paiements, la traçabilité des champs, la reprise des rejets, une surveillance multicanal, des décisions documentées sur les correspondants et une assurance indépendante après la clôture des programmes exceptionnels.

Une affaire civile, puis des admissions et un jugement

AUSTRAC a engagé en novembre 2019 une procédure civile contre Westpac Banking Corporation. L’annonce initiale identifiait la banque, la nature de l’action et les grandes catégories de manquements allégués: transmission d’instructions de transfert international, informations dans la chaîne de paiement, conservation de documents, diligence sur les banques correspondantes, connaissance continue de la clientèle et surveillance. À ce stade, il s’agissait d’allégations déposées devant une juridiction, non d’un jugement, d’un aveu ou d’une accusation pénale: source: austrac.gov.au

La déclaration concise déposée le même jour exposait la théorie d’origine de l’autorité. Elle est essentielle pour comprendre comment AUSTRAC reliait les lacunes techniques de reporting aux obligations de programme AML/CTF. Sa qualité procédurale doit pourtant rester visible. Le document présentait ce que l’autorité demandait à la Cour de constater; les faits ultérieurement admis et les déclarations finalement prononcées doivent être recherchés dans les instruments correspondants, sans réécrire rétroactivement chaque phrase initiale comme un aveu: source: austrac.gov.au

La demande modifiée a ensuite élargi les populations et précisé la cause. Ce changement offre une leçon de contrôle à part entière. Dans un système de paiement à fort volume, le nombre de dossiers concernés varie selon la définition de l’événement, les versions des règles, les canaux inclus, les doublons et les corrections. Toute population communiquée au conseil, à l’auditeur ou au régulateur doit donc conserver la requête, la date d’extraction et la version des données. La demande modifiée restait une écriture contenant des allégations; elle ne se confond pas avec les admissions ultérieures: source: austrac.gov.au

Le document conjoint fixe la base des admissions

Le document conjoint sur les faits convenus et les admissions est le point d’ancrage pour décrire ce que Westpac a reconnu. Il couvre les instructions de transfert international, les informations relatives au donneur d’ordre et à la chaîne de transfert, la conservation, l’évaluation des correspondants, le programme AML/CTF et la diligence continue sur les clients. Il contient aussi des éléments sur l’impact et la remédiation. Les indicateurs de risque, les défauts de surveillance ou l’existence d’un signal ne prouvent toutefois pas que chaque client ou paiement reposait sur une infraction sous-jacente: source: austrac.gov.au

AUSTRAC et Westpac ont ensuite annoncé une proposition commune de sanction de 1,3 milliard de dollars australiens, en faisant état de plus de vingt-trois millions de manquements admis dans les catégories agrégées. La proposition ne constituait pas encore la sanction judiciaire. Elle demeurait soumise à l’examen de la Cour fédérale, laquelle devait apprécier son caractère approprié. Cette distinction empêche de présenter l’autorité comme ayant imposé seule une amende qui relevait de la Cour: source: austrac.gov.au

La déclaration de la directrice générale d’AUSTRAC soulignait le rôle de première ligne des institutions financières et l’importance des données de transfert pour l’intégrité du système. Cette prise de position éclaire l’attente institutionnelle: une grande banque n’est pas seulement un déclarant passif, mais un producteur de renseignements dont la qualité influence la capacité publique à détecter le risque. Elle reste un commentaire du régulateur, distinct des faits convenus, des motifs judiciaires et des déclarations formelles: source: austrac.gov.au

La Cour, et non les seules parties, a arrêté la sanction

Les motifs de la Cour fédérale montrent que le juge a évalué la méthode de sanction, la dissuasion, la coopération, les admissions et les mesures correctrices avant de décider que le montant proposé était approprié. L’analyse doit donc attribuer à la Cour le contrôle judiciaire de l’accord. Les motifs concernent une sanction civile contre Westpac; ils ne sont pas un jugement pénal général sur les clients, les salariés ou chaque transfert sous-jacent: source: austrac.gov.au

L’ordonnance formelle du 21 octobre 2020 contient les déclarations, les populations, les dispositions applicables, la sanction de 1,3 milliard et les dépens. Elle constitue la source précise lorsque l’on affirme ce que la juridiction a déclaré. Une déclaration relative à la diligence continue vise les manquements de la banque; elle ne décide pas que chaque client de la population a commis un acte criminel. L’échelle d’un défaut de contrôle et la culpabilité d’une personne sont deux questions différentes: source: comcourts.gov.au

L’annonce finale d’AUSTRAC confirme l’issue datée et le montant ordonné par la Cour. Elle permet de présenter clairement le résultat public, mais son résumé ne remplace ni les motifs ni l’ordonnance pour les propositions juridiques détaillées. La discipline documentaire consiste à utiliser chaque source pour ce qu’elle établit: l’annonce pour l’issue, l’ordonnance pour les déclarations, les motifs pour le raisonnement et le document conjoint pour les admissions: source: austrac.gov.au

Réconcilier chaque transfert de la source à AUSTRAC

Le cœur opérationnel de la réparation est une réconciliation d’événements, non un simple comptage de fichiers envoyés. Pour chaque instruction de transfert international, la banque doit être capable de relier l’événement créé dans le canal d’origine au message enrichi, à la règle de reportabilité, au fichier transmis, à l’accusé de réception d’AUSTRAC et, le cas échéant, au rejet puis à la correction. Cette chaîne doit fonctionner dans les deux sens. En partant du registre interne, on vérifie qu’aucun événement déclarable ne manque; en partant des accusés du régulateur, on retrouve l’événement source et tous ses champs.

La traçabilité doit être définie au niveau du champ. Les informations du donneur d’ordre, du bénéficiaire, des intermédiaires, du pays, de la devise, du montant et de la chaîne de transfert peuvent provenir de systèmes différents. Une transformation, une valeur par défaut ou une troncature doit laisser une trace. La présence technique d’un message ne suffit pas si une donnée obligatoire est absente ou inexacte. Les responsables de données, de paiement et d’AML doivent savoir qui peut corriger la logique et qui décide qu’une anomalie impose une notification au régulateur.

La gestion des rejets constitue un contrôle séparé. Un message refusé ne peut disparaître dans une file technique sans propriétaire. Il lui faut un code d’erreur interprétable, une priorité selon le délai légal, une relance, une preuve d’acceptation et une alerte d’escalade. Les pannes de canal, changements de format et mises à jour de règles doivent déclencher une comparaison de population avant et après déploiement. Une correction prospective ne ferme pas le risque historique: la banque doit pouvoir rejouer les périodes touchées avec la logique corrigée, identifier les éléments manquants et conserver la preuve de leur traitement.

L’accessibilité des documents pendant sept ans ne signifie pas seulement qu’une archive existe. Un enquêteur doit pouvoir retrouver rapidement le message original, les transformations, la décision de déclaration, l’envoi, l’accusé, la correction et les approbations. Les migrations de systèmes doivent préserver les identifiants et le sens des champs. Un fichier techniquement conservé mais illisible, non indexé ou séparé de son contexte ne satisfait pas l’objectif de responsabilité. Des tests périodiques de récupération sur des échantillons anciens sont donc aussi importants que les contrôles du flux courant.

Il faut en outre protéger la signification du chiffre de plus de onze milliards de dollars australiens associé aux renseignements IFTI tardifs ou incomplets. Ce montant décrit l’échelle des informations de transfert affectées; il ne constitue pas onze milliards de produits criminels. Confondre valeur déclarative et produit du crime déforme la constatation, stigmatise des clients sans preuve et détourne l’attention de la véritable défaillance: l’autorité n’a pas reçu, en temps utile et sous la forme requise, des renseignements utiles à son analyse.

La diligence sur les banques correspondantes

Une relation de correspondance donne accès à des réseaux, monnaies et juridictions que la banque cliente ne maîtrise pas directement. L’évaluation préliminaire doit identifier la banque, ses propriétaires, ses autorités de contrôle, ses marchés, ses produits, son exposition aux juridictions à risque et l’usage attendu de la relation. Une diligence approfondie doit ensuite vérifier la qualité du programme AML, les contrôles sur les clients sous-jacents, les mécanismes de paiement par transit, les sanctions et les antécédents réglementaires. Les sources, limites et réserves doivent être conservées, pas seulement une note finale.

Le risque de la relation doit déterminer l’approbation. Les correspondants élevés ne devraient pas être acceptés ou renouvelés sans décision d’un responsable suffisamment sénior et indépendant de l’objectif commercial. L’approbation doit préciser les produits permis, les limites, la surveillance, les informations à obtenir et les conditions de sortie. Si la banque ne peut comprendre l’activité attendue ou vérifier les réponses du correspondant, l’incertitude ne doit pas être convertie automatiquement en acceptation.

La surveillance doit relier le profil de la banque correspondante aux transactions réelles. Des flux inattendus, de nouvelles juridictions, des bénéficiaires opaques, une variation brutale de volume ou des alertes publiques peuvent exiger une revue déclenchée avant la prochaine échéance périodique. Il faut documenter qui a reçu le signal, quelles informations ont été demandées, pourquoi la relation a été maintenue ou restreinte et qui pouvait la terminer. Sans autorité de sortie, la diligence devient une description du risque plutôt qu’un moyen de le contrôler.

Surveillance multicanal et exploitation des personnes vulnérables

Les scénarios de surveillance ne peuvent rester enfermés dans un produit. Un même client peut utiliser comptes, paiements internationaux, cartes, virements domestiques et canaux numériques. Des signaux faibles dans chaque canal peuvent devenir significatifs lorsqu’ils sont rapprochés. La banque doit donc tester la couverture entre produits, l’unicité des clients, la qualité des liens et la transmission d’un cas à l’équipe compétente. Une alerte ne vaut que si elle est examinée dans un délai proportionné au risque et si l’analyste dispose des informations nécessaires.

L’activité potentiellement indicative d’exploitation d’enfants exige une précision particulière. Un schéma, un pays, un montant ou une fréquence peuvent contribuer à un soupçon et justifier une analyse ou une déclaration. Ils ne prouvent pas que chaque paiement a acheté un contenu illégal, ni que chaque client signalé a commis une infraction. Les antécédents criminels connus de certaines personnes, les soupçons produits par le système et les infractions établies dans une procédure individuelle doivent rester distincts. Cette frontière protège la rigueur juridique sans minimiser l’obligation d’agir rapidement face à un risque grave.

Les cas à haut risque doivent pouvoir franchir plusieurs niveaux de contrôle. Si une alerte se répète, si l’identité ou l’activité du client reste incohérente, ou si une information externe change l’évaluation, une équipe indépendante doit pouvoir suspendre une relation ou un canal. Le dossier doit conserver l’analyse, les éléments contraires, la décision, l’approbateur et les raisons d’une éventuelle non-déclaration. La qualité ne se mesure pas au nombre maximal de signalements, mais à la cohérence entre données, soupçon, décision et action.

Enquête interne et conséquences de gouvernance

Westpac a publié les résultats de son enquête interne et les travaux d’un comité consultatif chargé d’évaluer des questions de gouvernance et de diligence du conseil. Le paquet traite de causes internes, de responsabilités, de conséquences pour certains dirigeants et de la conception de la remédiation. Il s’agit d’une preuve produite par l’entreprise et d’une revue qu’elle a commandée. Ce ne sont pas des déclarations de la Cour fédérale sur la responsabilité juridique individuelle des administrateurs ou dirigeants: source: westpac.com.au

Cette distinction n’interdit pas la responsabilité managériale. Une banque peut prendre des décisions d’emploi, de rémunération, de délégation ou de gouvernance selon ses propres règles, tout en évitant de les présenter comme une condamnation personnelle. Pour être crédible, le processus doit relier chaque conséquence à une obligation de rôle, aux informations disponibles à l’époque, aux décisions prises et aux droits de la personne concernée. L’échec institutionnel ne doit pas se transformer en attribution individuelle fondée seulement sur le titre ou le recul.

Le portail de réponse de Westpac décrit notamment la fermeture de LitePay, les engagements du plan, les enquêtes et la chronologie judiciaire. Il permet de suivre la réponse déclarée par la banque, mais un engagement n’est pas une preuve indépendante d’efficacité. Chaque action doit être reliée à un contrôle, à un propriétaire, à une date, à un test et à une validation. Fermer un produit réduit une exposition particulière; cela ne prouve pas que les mêmes lacunes ne réapparaissent pas dans un autre canal: source: westpac.com.au

APRA: une voie prudentielle distincte

APRA a lancé une enquête portant sur de possibles questions relevant du Banking Act et du régime BEAR, a examiné la gouvernance du risque et a accru les exigences additionnelles de capital, pour un total annoncé d’un milliard de dollars australiens. L’ouverture d’une enquête soulevait des questions; elle n’établissait pas encore une violation de ces textes, ni une faute individuelle. L’exigence de capital était une mesure prudentielle, distincte de la sanction civile de la Cour fédérale: source: apra.gov.au

APRA a ensuite accepté un engagement exécutoire en justice portant sur la faiblesse d’exécution, un plan intégré, une assurance indépendante et des responsabilités identifiées. Cet instrument visait une remédiation prudentielle plus large que les seuls manquements IFTI. Il ne constitue ni une deuxième sanction pécuniaire au titre de la même procédure, ni une disposition pénale. Le mélanger avec les 1,3 milliard fausserait le coût et la nature des mesures: source: apra.gov.au

Le texte signé de l’engagement du 3 décembre 2020 fixe les obligations relatives au plan, à la revue indépendante, à la responsabilité, à la mise en œuvre et au reporting. Il offre donc un référentiel pour demander non seulement ce que Westpac promettait, mais aussi quels livrables et quelles attestations devaient exister. Sa force exécutoire n’en fait pas une amende supplémentaire; c’est un mécanisme de gouvernance et de supervision: source: apra.gov.au

En 2021, APRA a clos son enquête en indiquant ne pas avoir trouvé de preuve de violations du Banking Act ou de BEAR. Cette conclusion procédurale doit être rapportée pleinement. Elle ne remet pas en cause les admissions AML/CTF de Westpac ni les déclarations de la Cour fédérale fondées sur une législation distincte. Dans le même temps, le programme de remédiation prudentielle et l’exigence de capital continuaient: source: apra.gov.au

CORE et les étapes de clôture

En juillet 2024, APRA a réduit de cinq cents millions de dollars australiens l’exigence additionnelle de capital liée au risque opérationnel, reconnaissant des progrès tout en maintenant une validation de durabilité. Une libération partielle n’était pas la clôture finale de l’engagement. Elle signalait qu’une partie de l’évidence avait satisfait le superviseur, alors que la démonstration de maintien restait à achever: source: apra.gov.au

Westpac a annoncé en mai 2024 l’achèvement de son plan intégré CORE et la remise du douzième rapport du réviseur indépendant, avec une transition vers la durabilité. Cette étape renseigne sur le programme selon l’entreprise. Elle précédait la validation finale d’APRA et ne pouvait démontrer que chaque transaction, chaque champ de message ou chaque scénario de surveillance était désormais parfait: source: westpac.com.au

En octobre 2025, APRA a confirmé que Westpac avait rempli les obligations de l’engagement et a supprimé le reliquat de l’exigence de capital, tout en rappelant l’importance de ne pas recréer des problèmes hérités. C’est l’état officiel le plus récent du volet prudentiel à la date de cette analyse. La clôture au niveau du programme n’est pas une garantie permanente d’absence de défaut au niveau d’une transaction future: source: apra.gov.au

Prouver la durabilité après la remédiation

La première preuve durable est le rejeu bidirectionnel. Un vérificateur indépendant sélectionne des événements sources et confirme leur présence exacte dans les envois acceptés par AUSTRAC. Il sélectionne ensuite des enregistrements acceptés et remonte jusqu’aux paiements, aux transformations et aux décisions. L’échantillon doit couvrir anciens systèmes, nouveaux systèmes, corrections, rejets, devises, canaux et périodes de déploiement. Les écarts doivent créer un dossier avec gravité, propriétaire, délai, correction historique et critère de clôture.

La deuxième preuve concerne les scénarios transversaux. Il faut indiquer la population couverte, les produits exclus, la qualité des liens client, les délais d’analyse, les alertes répétées et les cas qui ont atteint une autorité de suspension. Les changements de modèle doivent être comparés à une période historique pour repérer une chute inexpliquée d’alertes. Un indicateur de volume sans dénominateur peut masquer une perte de couverture: moins d’alertes peut signifier un meilleur ciblage ou une règle cassée.

La troisième preuve porte sur les correspondants. Pour chaque relation, un tiers doit pouvoir retrouver l’évaluation préliminaire, la diligence, le risque pays et relationnel, l’approbation sénior, les limites, la surveillance, les revues déclenchées et l’éventuelle sortie. Les exceptions anciennes doivent apparaître dans le tableau de bord du conseil avec leur âge et leur propriétaire. Un dossier marqué « revu » sans sources, réserves ni décision ne constitue pas une diligence démontrable.

Enfin, le conseil doit recevoir des mesures qui révèlent les faiblesses plutôt que des moyennes rassurantes: événements non réconciliés, rejets anciens, champs manquants, archives non récupérables, correspondants sans revue à jour, alertes hors délai, dérogations, corrections au régulateur et contrôles compensatoires. Toute prolongation doit expliquer le risque, l’autorité qui l’accepte et la mesure temporaire. La durabilité se voit lorsque ces contrôles fonctionnent sans équipe exceptionnelle et lorsque les échecs restent visibles jusqu’à leur preuve de clôture.

Une responsabilité institutionnelle mesurable

Westpac ne peut pas réduire cette affaire à un volume de rapports tardifs, pas plus que l’analyse ne peut transformer ce volume en argent criminel. L’enjeu est une chaîne de gouvernance: conception du message, qualité des données, envoi, accusé, correction, surveillance, décision sur le correspondant, escalade du soupçon, information du conseil et dialogue avec le régulateur. Chaque maillon doit avoir un propriétaire capable d’agir et un enregistrement qu’un tiers peut reproduire.

La rigueur juridique est une composante de cette gouvernance. Les écrits initiaux restent des allégations jusqu’à ce qu’un fait soit admis ou déclaré. Les admissions conjointes appartiennent à Westpac et aux catégories convenues. La Cour a prononcé les déclarations et la sanction civile. Les constatations internes et les conséquences de carrière demeurent des éléments d’entreprise, non des jugements individuels. L’enquête d’APRA et sa conclusion sous le droit prudentiel restent distinctes des manquements AML/CTF admis et déclarés.

Cette séparation renforce la responsabilité parce qu’elle permet de relier chaque affirmation à son autorité, chaque obligation à son propriétaire et chaque fermeture à son test. Une banque ne peut promettre qu’aucune opération future ne sera défectueuse. Elle peut en revanche démontrer que les données de paiement sont traçables, que les rejets ne disparaissent pas, que les relations risquées sont contestées, que les signaux concernant les personnes vulnérables sont traités sans déclarer coupable tout client signalé, et que les mêmes lacunes ne sont pas recréées après la fin du programme exceptionnel.