Quand on parle sanctions, il faut bien séparer les mesures prudentielles de nature préventive, et les sanctions administratives de nature punitive. Lorsqu’on parle de contrôle prudentiel, on renvoie à une double mission: une surveillance permanente de l’ensemble des organismes du secteur financier – en contrôlant le respect des dispositions législatives et règlementaires en vigueur – et les mesures prudentielles qui visent à garantir la confiance du public dans les entités surveillées et ainsi la stabilité financière, tel un retrait d’honorabilité. Une autre mission de surveillance prudentielle consiste dans la supervision des marchés d’actifs financiers. «Toutes les missions de la CSSF sont obligatoirement exercées dans l’intérêt public», insiste-t-on à la CSSF. Et à côté de ces deux missions, il y a encore la surveillance de l’audit et la surveillance anti-blanchiment (AML). Cette dernière qui, si elle diffère de la surveillance prudentielle, la recoupe quelque peu. «Il y a des risques prudentiels si les règles AML ne sont pas respectées.»

Dans son action, la CSSF applique le principe de légalité – «nous ne sommes habilités à agir que lorsque la loi nous le demande et nous donne la possibilité de le faire» – et le principe de proportionnalité. Et ses décisions administratives, susceptibles de recours, sont contrôlées par la justice administrative.

Ceci posé, comment la CSSF choisit-elle de contrôler telle institution financière plutôt qu’une autre? Le hasard n’a aucune place dans le processus. Toutes les institutions dépendant de la surveillance du gendarme de la Place doivent lui fournir régulièrement des informations sur leur organisation et sur leurs activités ainsi que différents documents (audit, reporting…)

Ces rapports sont analysés par ce que la CSSF appelle les départements de la surveillance «off-site». Il en existe cinq, dont un pour les banques, un pour les sociétés d’investissement, un pour le secteur des fonds d’investissement avec leurs ManCo’s, un pour les PSF spécialisées et un pour les ManCo.

«Toutes ces informations sont injectées dans un système d’analyse qui permet de déterminer des risques par sujets de surveillance. Ces risques sont classés en quatre catégories: Low, Moderate, High, Very High». C’est à partir de ce classement que les départements «off-site» vont proposer aux équipes «on-site» d’effectuer des contrôles sur place qu’ils jugent comme prioritaires et qui vont définir, in fine, leur programme d’enquête sur une année.

Un programme qui peut s’ajuster ou s’étoffer en cas de dénonciations ou d’évènements imprévus en cours d’année. Depuis la reconnaissance du rôle des lanceurs d’alerte, la CSSF a créé au sein de son service juridique une équipe qui traite ces alertes et les transmet, si pertinentes, au service compétent. «Et cela peut, le cas échéant, déclencher un contrôle sur place».

En dehors des équipes qui assurent le planning sur une année, la CSSF dispose d’une équipe ad hoc – «des inspecteurs très expérimentés» – qui peut intervenir de manière inopinée en dehors du planning annuel établi. Avec un plan de contrôle qui n’est pas standard mais «sur-mesure». «De telles enquêtes “inopinées” peuvent également être déclenchées suite à la parution d’articles de presse», poursuit la CSSF.

Transport sur site

Une fois la cible désignée, comment se passent les contrôles sur site? D’abord, les équipes de la CSSF définissent ce qu’ils cherchent via une «risk based approach». Les contrôles ne sont pas toujours globaux, mais peuvent se concentrer sur un aspect particulier de l’activité de l’entité contrôlée ou sur ses procédures les plus risquées ou sur lesquelles la CSSF «a des indications ou des doutes».

La CSSF envoie en général trois semaines à l’avance une «lettre d’annonce» dans laquelle un certain nombre de documents sont demandés. Un prélude à un «kick-off meeting» où contrôlés et contrôleurs se rencontrent et où est défini le déroulement de la mission, et notamment les interlocuteurs que la CSSF souhaite rencontrer.

La mission sur place finie, les agents entament la rédaction de leur rapport. Rapport qui sera validé en interne avant d’être présenté au contrôlé lors d’un «fact validation meeting». Il s’agit d’un moment clé de la procédure. Ce rapport est en effet la première communication officielle qui est faite par la CSSF sur laquelle l’établissement peut prendre position.

Cela marque le début d’un processus durant lequel ce dernier peut formuler ses observations en application du principe du débat contradictoire nécessaire à la protection des droits de la défense. Ces allers-retours terminés, le dossier d’instruction est clos et les faits considérés comme établis. «Un dossier constitué à charge et à décharge.»

Sanction et éducation

Vient alors la phase de sanctions. Ce dossier est présenté par la suite en interne à la hiérarchie de la CSSF qui détermine la nature de l’action du régulateur pouvant être soit une lettre d’observation, soit une lettre d’injonction, soit le lancement d’une procédure administrative en présence de «findings» de nature plus grave.

«Le but des sanctions est moins de punir que de prévenir, d’éduquer et de dissuader», insiste la CSSF. «La plupart des contrôles ne mènent pas à une procédure de sanctions. Nous avons d’autres outils tels que les lettres d’observation et les lettres d’injonction.»

Pour l’institution, il y a un niveau de conformité en dessous duquel il ne faut pas descendre. Utiliser des outils non contentieux comme les lettres d’observation et les lettres d’injonction permet en quelque sorte d’unifier l’interprétation des règlementations que peuvent avoir les acteurs de la Place. C’est pour cela d’ailleurs que la CSSF lance des missions de contrôle thématiques auprès de différents acteurs en même temps lorsqu’il y a d’importants changements de règlementation afin d’en tirer des conclusions en termes de best practices.

Ce n’est qu’en dernier recours qu’une procédure de sanctions est lancée. Bien entendu, quel que soit le chemin choisi, toute procédure menant à une décision administrative (qu’il s’agisse d’une mesure prudentielle ou d’une sanction) est forcément toujours contradictoire et susceptible de recours devant la juridiction administrative.

Le coût d’une réputation

L’échelle des sanctions est vaste et peut aller jusqu’à l’interdiction d’exercer. Mais la plupart du temps, elles sont financières. Et avec le temps, elles sont devenues plus conséquentes. Avant que différentes directives ne précisent les éléments d’appréciation pour déterminer la sanction (gravité de la faute, intentionnalité…) et une assiette (l’amende est basée sur le chiffre d’affaires et peut atteindre jusqu’à 410% de celui-ci), la CSSF ne disposait d’aucun barème et ne pouvait infliger que 250.000 d’euros maximums d’amende.

Pour autant, c’est moins la facture que la publicité de la sanction qui est la plus dissuasive. Dans le régime actuel, rendre toute sanction publique est devenue le principe. Principe dont peut s’absoudre la CSSF si ladite publication avait un effet disproportionné sur le sanctionné. «Comme un risque de liquidation par exemple ou de création de turbulence sur les marchés.» Des conséquences que doit démontrer lors d’un échange contradictoire l’entité sanctionnée.

Dans certains cas, la sanction peut être anonymisée. Notamment lorsque les entités ont été reprises ou ont changé de management entre l’établissement des faits et le prononcé de la sanction. «Nous considérons qu’il serait dommageable de mentionner cette entité alors que souvent les gens s’arrêtent aux seuls titres des communiqués. Ce serait injuste pour les nouveaux arrivants de commencer leur vie sur la Place avec une telle image négative.»

Le produit des amendes représente moins de 5% du budget de la CSSF

La publication se fait une fois tous les recours de droit épuisés. Ce qui explique que souvent, entre le prononcé de la sanction et sa publicité il puisse s’écouler plusieurs mois.

Le produit des amendes est affecté au budget de fonctionnement de la CSSF. Ce qui répond à une certaine logique, les frais d’enquêtes pouvant très vite grimper.

De par leur caractère; leur évolution est aléatoire, elles ne figurent donc pas dans le budget prévisionnel. Historiquement, elles pèsent moins de 5% du budget de l’institution dont le financement est assuré par les cotisations des entités surveillées.

Cet article est issu de la newsletter Paperjam + Delano Finance, le rendez-vous hebdomadaire pour suivre l’actualité financière au Luxembourg.