La LEFin impose aux gérants indépendants une gestion des risques et compliance indépendantes, à partir d’un certain niveau de risques. Cette exigence, strictement appliquée lors des autorisations, a conduit à de nombreuses externalisations. Dans son Monitorage sur les risques 2023 et sa Communication 2024 sur les risques opérationnels, la FINMA insiste sur des exigences accrues concernant ces externalisations.

Focus sur les risques opérationnels
La Communication 2024, bien que formellement adressée aux gestionnaires de fortune collective, mentionne la gestion individuelle en ce qui concerne les risques juridiques et compliance. Selon l’autorité, trop peu d’importance a été accordée aux connaissances et à l’expérience des prestataires dans la gestion des risques opérationnels. Plus particulièrement, les activités externalisées ne seraient pas suffisamment prises en compte dans la gestion de ces risques.

Cette préoccupation se reflète dans le Monitorage 2023, qui présente l’externalisation comme un risque additionnel. La FINMA surveille ces risques par des contrôles sur place et l’analyse des données de surveillance et d’audit.

Absence de guidelines
Ni la circulaire sur les risques 2017, en date du 17 janvier, ni celle de 2023, parue le 23 janvier, limitée aux risques opérationnels, ne visent directement les GFI. Il en va de même de la Communication sur les risques de blanchiment de mai 2023. Au niveau des prestataires qui servent les gérants indépendants, un concept de gestion des risques est généralement attendu. Autre nouveauté : la FINMA semble vouloir systématiquement une approche en risques cyber.

Avantages et risques de l’externalisation
La FINMA reconnait les avantages de l’externalisation. Flexibilité, innovation et meilleure résilience opérationnelle sont mentionnés, entre autres. Elle estime néanmoins que les défaillances de prestataires essentiels sont indissociables de risques importants. Elle ajoute que la surveillance des prestataires et des risques qu’ils représentent sont indispensables au bon fonctionnement opérationnel.

Pour les gérants indépendants, il est évident que cette surveillance étroite est difficile à mettre en œuvre, sauf à désigner un COO en charge des externalisations.

Reste la préférence donnée à l’internalisation des fonctions chez le GFI. A cet égard, la résilience opérationnelle est loin d’être totale, dès lors qu’elle est soumise aux aléas du droit du travail. Une approche comparative entre l’internalisation et l’externalisation des fonctions de compliance et de gestion des risques pour des GFI comparables fait défaut. Autant rappeler ici l’exigence d’indépendance par rapport aux fonctions génératrices de revenus.

Quelle approche en risques pour les GFI ?
Lors des audits, les organismes de surveillance se concentrent sur les risques LBA, LSFin et LEFin, adoptant une approche réglementaire envers les GFI. Certains facteurs, qui aggravent ou atténuent, les risques sont encore analysés.

Les GFI doivent soumettre une matrice de risques avant l’autorisation, servant souvent de base aux plans de contrôle. Trop standardisées, ces matrices ne coïncident souvent pas avec les activités du GFI. Trop spécifiques, elles ne permettent pas d’appréhender les points attendus dans l’audit aux titres des risques LBA, LSFin et LEFin. Elles reprennent souvent, de manière assez équipondérée, les risques réglementaires, opérationnels et financiers.

Un focus sur les risques opérationnels, accompagnés des risques réglementaires et cyber qui y sont associés, permettrait de mieux cerner les attentes relatives à leur gestion. La FINMA l’exprime clairement dans sa Communication de 2024 : « trop peu d’importance a été accordée à la connaissance et à l’expérience des prestataires en question dans le domaine de la gestion des risques opérationnels ».

Il est, par exemple, reproché à certains établissements de ne pas avoir pris conscience qu’il leur fallait annoncer les cyberattaques dont ils auraient pu être victimes. Une mauvaise appréhension et une absence de contrôle des problématiques crossborder sont également citées. Autant d’éléments qui relèvent des risques opérationnels.

La LBA comme base de la compliance et gestion des risques
Une analyse des risques de blanchiment est exigée lors de l’autorisation. Dans sa Communication 2023, la FINMA attend des indicateurs chiffrés, limités à des ratios. Aux termes de la Circulaire sur les risques de 2017, la limitation des risques de blanchiment suppose une définition adéquate de la tolérance au risque par l’établissement. Au vu des normes pénales, il est difficilement envisageable que ce seuil puisse être autre que bas. Enfin, la FINMA précise que les observations et expériences de la Communication de 2023 peuvent être utilisées par analogie pour les GFI.

Règles de comportement LSFin
Le projet de Circulaire de mai 2024 traite de certains risques financiers et de risques de marché, comme la concentration. Cependant, les conflits d’intérêts et rétrocessions relèvent avant tout des risque opérationnels et réglementaires.

Le gérant ne peut mettre sur pied d’égalité la maîtrise des risques opérationnels avec une approche quantitative, voire statistique, des risques, notamment financiers, à l’instar d’une banque. Scinder risques et compliance est parfois compliqué à mettre en œuvre.  Enfin, des attentes trop grandes et surtout trop larges en matière de gestion des risques sont indissociables d’un rendu médiocre. C’est dès lors également le concept assez fou de gestion des risques chez le GFI qui peut être à l’origine de défaillances. Ces dernières sont susceptibles d’intervenir, que la compliance et gestion des risques soit scindée ou unitaire, externalisée ou non.

Les attentes en matière de gestion des risques pour les gérants indépendants doivent être réalistes et adaptées, afin de garantir un rendu efficace. Un concept de gestion des risques légitime et adapté aux gérants est dès lors nécessaire.

Assouplir les exigences en matière d’indépendance de la gestion des risques et de la compliance supposerait un changement législatif. Dans cette configuration, l’externalisation de ces fonctions demeurera incontournable pour de nombreux gérants, qu’elle soit qualifiée en risque ou non.

Henri Corboz

PBM Avocats

Henri Corboz est avocat, responsable Règlementation et Conformité auprès de PBM Avocats. Il intervient sur des sujets réglementaires, de compliance et dans des contentieux connexes. Il intervient encore dans la structuration de fonds d’investissement, ainsi que dans le domaine des trusts.

Henri a été responsable Suisse romande de l’OS – AOOS durant la phasé clé des autorisations entre 2021 et 2023. Précédemment, il a pratiqué au barreau avant de rejoindre, en 2011, le pôle Marché des Capitaux de Crédit Agricole (Suisse). En 2014, il devient Head Legal & Compliance d’un gestionnaire de placements collectifs, avant de rejoindre un cabinet implanté à Genève, Paris et Luxembourg en 2015. En 2017, il retrouve CA Indosuez (Switzerland) où il a mis en œuvre l’EAI, l’entraide FATCA et la conformité QI.