TROIS LIGNES DE DÉFENSE ET RED FLAGS LCB/FT/FP: ORGANISER LA MAÎTRISE SANS DILUER LES RESPONSABILITÉS

Appliquer, contrôler et alerter, puis évaluer indépendamment sur la base de preuves Le modèle des trois lignes de défense organise une chaîne de maîtrise sans dilution des responsabilités. La première ligne agit au contact du client et des opérations; la deuxième ligne conçoit le cadre, surveille, contrôle, conseille et alerte; la troisième ligne évalue indépendamment la gouvernance, la conception et l’efficacité réelle du dispositif. Le Conseil et la Direction Générale ne constituent pas une ligne supplémentaire: ils orientent, arbitrent, allouent les ressources et exigent la reddition de compte.

1. Une architecture simple, mais exigeante La première ligne regroupe les métiers, agences, back-offices, opérations, crédit, paiements, trésorerie, commerce international, canaux digitaux et systèmes de production. Elle identifie le client, vérifie les pouvoirs et bénéficiaires effectifs, comprend l’activité et la finalité de la relation, contrôle la cohérence des opérations, applique les blocages, conserve la piste d’exécution, détecte les anomalies et corrige les faiblesses relevant de son périmètre. La deuxième ligne réunit la conformité, la gestion des risques et le contrôle permanent, avec l’appui du juridique lorsque son mandat le prévoit. Elle propose les politiques, coordonne la cartographie, définit les exigences KYC et les vigilances renforcées, maintient les listes et scénarios, contrôle les dossiers, analyse les alertes, organise les déclarations, forme les équipes, produit les indicateurs et suit la remédiation. Son indépendance vis-à-vis des objectifs commerciaux est une condition de crédibilité. La troisième ligne est l’audit interne. Elle élabore un programme fondé sur les risques, examine les décisions du Conseil et de la Direction, teste les contrôles des deux premières lignes, audite les données et systèmes, formule des constats étayés et vérifie la réalisation et l’efficacité des recommandations. Elle ne conçoit pas le contrôle qu’elle auditera, ne réalise pas le contrôle permanent et ne décide ni de l’entrée en relation ni de la déclaration.

SIX RÈGLES NON NÉGOCIABLES — Responsabilité claire, indépendance réelle, approche fondée sur les risques, traçabilité, coopération organisée et remédiation vérifiée. Une faiblesse n’est clôturée qu’après preuve de mise en œuvre et, lorsque nécessaire, test d’efficacité.

2. Le rôle de la gouvernance et des fonctions complémentaires Le Conseil définit les orientations et l’appétence au risque, approuve la politique et la cartographie, veille aux ressources et examine les rapports. La Direction Générale met en œuvre, répartit les responsabilités et arbitre les situations sensibles. La Direction Juridique sécurise le droit et les preuves sans remplacer la conformité. L’audit externe apporte une appréciation indépendante dans le cadre de son mandat, mais ne constitue pas une quatrième ligne opérationnelle. La CENTIF et la Commission Bancaire demeurent extérieures au dispositif interne.   PAGE 2 — INTERFACES, COORDINATION ET PREUVES

3. Organiser le passage de relais entre les lignes Face à un risque ou à une anomalie, la première ligne prévient par les contrôles intégrés, détecte les incohérences et transmet les faits et pièces. La deuxième ligne définit le cadre, reçoit et qualifie les alertes, conduit l’analyse, documente la décision, déclenche l’escalade ou la déclaration et suit la correction. La troisième ligne apprécie a posteriori la qualité de la prévention, de la détection, des délais, des analyses, des décisions et de la remédiation. Elle rapporte une opinion indépendante au Comité d’Audit. Chaque activité doit avoir un responsable qui réalise, un niveau qui assume et rend compte, des fonctions consultées avant la décision et des personnes informées selon le risque. L’audit interne n’est jamais responsable de l’exécution ou de l’approbation d’un contrôle qu’il devra ensuite évaluer. Les alertes critiques disposent d’un point d’entrée unique, d’un accusé de réception, d’un propriétaire, d’un délai et d’une escalade horodatée.

4. Prévenir les chevauchements dangereux Plusieurs confusions affaiblissent le dispositif: la conformité exécute l’opération qu’elle contrôle; l’audit interne réalise le contrôle permanent; la première ligne attend l’accord informel de la conformité pour toute décision ordinaire; une alerte reste entre deux fonctions; des extractions différentes produisent des résultats contradictoires. Les réponses sont connues: chartes, fiches de poste, séparation des habilitations, délégations claires, propriétaire unique, référentiel commun, dictionnaire d’indicateurs et réconciliation des données. La coordination doit être organisée sans fusionner les responsabilités. Un point opérationnel entre les première et deuxième lignes traite les incidents, alertes et exceptions. Un comité conformité ou risques examine les KPI/KRI, les arbitrages, les ressources et la remédiation. Le Comité d’Audit reçoit l’assurance indépendante, les faiblesses majeures, les limitations et le suivi des recommandations.

5. La gouvernance par la preuve La solidité des trois lignes ne se démontre pas par le nombre de procédures. Elle se prouve par la qualité des dossiers KYC, les résultats de filtrage, les journaux système, les fiches d’alerte, les mémos d’investigation, les décisions, les accusés de transmission, les contrôles de premier et deuxième niveau, les papiers d’audit, les plans d’action et les tests de clôture. Toute diligence importante est datée, attribuée, conservée et reliée à un responsable.

POINT DE PASSAGE — La première ligne applique et prouve; la deuxième challenge, contrôle, décide et alerte ; la troisième évalue sans filtre. La gouvernance arbitre à partir d’une information réconciliée et contextualisée.

PAGE 3 — MÉTHODE DE TRAITEMENT DES RED FLAGS

6. Un red flag est un signal, pas une preuve d’infraction Un red flag doit être apprécié dans son contexte, rapproché du profil du client, combiné avec les autres indices et traité selon une procédure documentée. Le niveau critique couvre notamment une correspondance confirmée à une sanction, un indice de FT/FP, une divulgation interdite, la manipulation d’un contrôle essentiel ou l’impossibilité de sécuriser l’opération. Le niveau élevé résulte d’une accumulation d’indices sérieux: bénéficiaire effectif opaque, opération sans logique économique, PPE non maîtrisée, structure ou juridiction sensible. Le cycle commun comprend six étapes. Détecter le signal à partir du client, de l’opération, d’une alerte système ou d’un contrôle. Sécuriser l’opération et les preuves lorsque la procédure prévoit une suspension, un blocage ou une conservation. Escalader au point d’entrée compétent sans divulguer l’existence de l’analyse. Examiner le KYC, l’historique, les justificatifs, les parties, les pays et les typologies. Décider selon les habilitations: classement, vigilance renforcée, mise à jour, refus, rupture, gel ou déclaration. Enfin, suivre l’exécution, les délais, la récidive et l’efficacité.

7. Exemples de red flags et responsabilités des lignes En matière de clientèle, une pièce expirée ou altérée, des informations contradictoires, une activité décrite de manière vague, un patrimoine incompatible, un refus de fournir les informations, un compte dormant réactivé ou un changement soudain d’actionnariat imposent une réaction. La première ligne suspend ou complète, décrit les faits et remonte. La deuxième ligne rapproche les sources, réévalue le risque, conduit l’analyse et décide. La troisième ligne teste l’authenticité, les exceptions, les délais, les validations et la cohérence du traitement. Pour les bénéficiaires effectifs et PPE, les signaux comprennent les sociétés intermédiaires sans logique économique, les juridictions offshore, le dirigeant de façade, l’actionnaire sans ressources, la société récente sollicitant des flux complexes, le trust mal documenté ou l’origine de la fortune vague. Pour les transactions, il faut agréger comptes, agences, canaux, jours, bénéficiaires et personnes liées afin de détecter le fractionnement, les dépôts par tiers, les comptes de transit, les rotations rapides, les transferts internationaux en chaîne et les correspondants dont le profil réel diverge de la due diligence initiale.

8. Cas pratique: un compte dormant devient un dossier critique Un compte dormant est réactivé sans actualisation complète. Il reçoit plusieurs dépôts de tiers, puis exécute des virements internationaux vers des bénéficiaires nouveaux. Le client est une société récente dont la chaîne de propriété comporte plusieurs intermédiaires et dont le dirigeant explique mal l’activité. La première ligne doit bloquer l’exécution selon la procédure, rassembler les faits, identifier les déposants et transmettre l’alerte. La deuxième ligne reconstitue le bénéficiaire effectif, agrège les flux, examine les pays, l’origine des fonds et les liens, puis décide des diligences renforcées, d’une restriction, d’une rupture, d’un gel ou d’une déclaration selon les faits et habilitations. La troisième ligne n’intervient pas pour décider le dossier. Elle évalue ensuite si le compte aurait dû rester bloqué, si les systèmes ont détecté la réactivation et le fractionnement, si les délais et décisions ont été respectés, si la confidentialité a été protégée et si la cause de la défaillance a été corrigée. Le Comité d’Audit reçoit une information sur les responsabilités, la population exposée, les risques résiduels et la preuve de remédiation.   PAGE 4 — DÉPLOIEMENT, MATURITÉ ET DÉCISIONS DE GOUVERNANCE

9. Passer d’une juxtaposition de contrôles à un système cohérent La maturité progresse lorsque les rôles deviennent compris et testés, que la première ligne sait arrêter, détecter, escalader et prouver, que la deuxième ligne dispose d’un programme indépendant fondé sur les risques, que la troisième ligne couvre les risques majeurs sans auto-révision et que la gouvernance agit sur la base de données fiables. Le niveau le plus faible se caractérise par des responsabilités confuses, des preuves incomplètes et une réaction après incident; le niveau le plus avancé combine apprentissage, assurance coordonnée et adaptation rapide.

Cockpit commun des trois lignes La gouvernance doit pouvoir vérifier que les responsabilités sont formalisées et comprises, que la première ligne contrôle avant d’exécuter, que la deuxième ligne est indépendante des objectifs commerciaux, que les alertes critiques disposent d’un circuit unique et horodaté, que l’audit interne bénéficie d’un accès sans filtre, que les données sont réconciliées et que les recommandations critiques sont suivies jusqu’au test d’efficacité. Chaque indicateur doit conduire à une décision, une ressource ou une escalade.

Quatre décisions à obtenir du Conseil et de la Direction Générale 1. Approuver la charte et le RACI — identifier un responsable et un niveau d’autorité pour chaque processus, contrôler les incompatibilités et empêcher la dilution des obligations. 2. Créer un circuit unique des alertes critiques — prévoir le point d’entrée, l’accusé, le propriétaire, le délai, la confidentialité, la mesure immédiate et la preuve de clôture. 3. Réconcilier les données des trois lignes — imposer un dictionnaire commun, des populations rapprochées, des KPI/KRI commentés et une piste entre le fait, la décision et le reporting. 4. Tester la remédiation — interdire les clôtures déclaratives, exiger la preuve d’application, la correction de la cause racine et une re-performance pour les faiblesses significatives.

Agenda opérationnel sur 90 jours Jours 1 à 30 — Clarifier: cartographier les processus, identifier les acteurs, recenser les contrôles, analyser les chevauchements, valider les rattachements, les délégations et les droits d’accès. Jours 31 à 60 — Outiller: standardiser les contrôles de première ligne, le programme de deuxième ligne, le plan d’audit, les escalades, le registre des red flags, les preuves et le cockpit commun. Jours 61 à 90 — Tester: réaliser un exercice sur un parcours client et une opération sensible, mesurer les délais, corriger les ruptures, tester l’efficacité et soumettre les résultats à la gouvernance.

MESSAGE FINAL — La solidité des trois lignes se démontre par la clarté des responsabilités, la rapidité des escalades, la fiabilité des preuves, l’indépendance des fonctions et la correction durable des faiblesses. Source de rédaction: Guide pratique des trois lignes de défense — rôles, responsabilités et red flags LBC/FT/FP — banque ivoirienne — version enrichie, juillet 2026. La présente note synthétise le modèle, les interfaces, la méthode de traitement des signaux et la feuille de route du guide. Par convention rédactionnelle, elle utilise « LCB/FT/FP ».

Dr TRAORE Bakari Docteur en droit des affaires et droit économique — Responsable scientifique et technique, TBC-IPGE