Un logiciel de background check pour banques doit fournir cinq choses : des catégories d’examen définies, une couverture robuste des sources dans la région DACH, un concept solide de protection des données, des rapports vérifiables et un soutien aux contrôles ponctuels comme récurrents. Le critère de référence n’est pas la fiche produit du fournisseur mais la loi : le § 6 (2) n° 5 GwG (la loi allemande sur le blanchiment d’argent) exige le contrôle de fiabilité des salariés, et le § 1 (20) GwG définit ce que fiabilité signifie en termes juridiques. Structurer la sélection le long de ces obligations produit une décision qui tiendra aussi devant l’audit interne.
Pourquoi les contrôles manuels ne passent pas à l’échelle
Tant que seuls quelques postes clés individuels sont contrôlés, le travail manuel est gérable. Mais dès que l’ensemble des effectifs pertinents pour l’AML doit être couvert — à l’embauche et selon un cycle récurrent — l’approche manuelle s’effondre à trois points : la profondeur d’examen varie selon qui contrôle ; les sources ne sont pas documentées ; et les résultats sont éparpillés entre boîtes mail et dossiers RH. Ce sont exactement ces trois faiblesses qui ressortent lors d’un audit spécial. La fiabilité au sens du § 1 (20) GwG est une norme légale uniforme — elle ne tolère pas une qualité d’examen qui dépend de la charge de travail quotidienne de celui qui contrôle par hasard. La répétabilité et la documentation ne sont donc pas des fonctions de confort mais la raison réelle de systématiser le screening — pour le processus de bout en bout, voir notre guide de processus pour les responsables de la lutte contre le blanchiment.
Le catalogue d’exigences : cinq critères pour la matrice d’évaluation
Quiconque compare des fournisseurs devrait évaluer chaque solution selon les mêmes cinq critères — par écrit, dans une matrice d’évaluation qui documentera ensuite aussi la décision de sélection auprès de l’audit interne et de la direction :
- Catégories d’examen définies : identité, parcours professionnel, registres, sanctions et listes de surveillance, adverse media — le périmètre doit être configurable par classe de risque et reproductible à l’identique par rapport.
- Couverture des sources DACH : registres allemands et suisses, sources d’insolvabilité et de gazette, et médias de langue allemande ; les bases de données internationales seules ne suffisent pas pour les contrôles dans cette région.
- Concept de protection des données : cartographie claire des bases juridiques par catégorie, logique de nécessité au titre du § 26 (1) et (8) BDSG (la loi fédérale allemande sur la protection des données), et concepts définis de conservation et de suppression.
- Format de documentation : chaque rapport avec date, source et référence par constat — de sorte qu’il puisse partir à l’audit interne ou au superviseur sans modification.
- Ponctuel et continu : soutien des contrôles pré-embauche, des contrôles événementiels et des re-screening récurrents, sans créer un nouveau projet à chaque fois.
Protection des données et MaRisk comme critères éliminatoires
Deux critères ne sont pas négociables. Premièrement, la protection des données : un outil qui utilise des sources qui ne peuvent pas être rattachées à la norme de nécessité du § 26 BDSG déplace le risque juridique sur la banque. Deuxièmement, les exigences du superviseur sur les effectifs : la MaRisk (circulaire BaFin 06/2024 (BA), les exigences minimales allemandes pour la gestion des risques) exigent en AT 7.1 que la quantité et la qualité du personnel correspondent aux besoins opérationnels — l’aptitude des salariés fait donc explicitement partie du cadre prudentiel, pas seulement une affaire de RH. Un outil de screening qui ne fournit pas ses résultats sous une forme qui s’inscrit dans cette logique prudentielle crée un double travail : la conformité doit retravailler chaque rapport avant qu’il puisse rejoindre le dossier. Pour la question des contrôles ponctuels versus continus, notre comparaison contrôle ponctuel vs. surveillance continue vaut le coup d’œil.
Architecture de référence : le rapport à 7 catégories
Ce à quoi une telle architecture ressemble en pratique est montré par le rapport Indicium : sept catégories d’examen définies, chaque constat adossé à une source datée, et une relecture finale humaine avant la livraison (art. 22 RGPD) — dès 79 € par rapport. Vous trouverez la structure en détail sous rapport logiciel et les conditions sous tarifs.
Action recommandée
Avant votre première conversation avec un fournisseur, créez votre propre matrice d’évaluation le long des cinq critères et pondérez le concept de protection des données et le format de documentation le plus haut — les catégories d’examen peuvent être étendues, un format de documentation faible ne le peut pas. Demandez à chaque fournisseur de vous montrer un véritable rapport d’exemple, pas seulement des diapositives — et utilisez ce rapport pour vérifier spécifiquement si la date, la source et la référence sont indiquées pour chaque constat et si vous pourriez le transmettre à votre audit interne sans retravail. Vous pouvez obtenir exactement ce regard sur le rapport Indicium lors d’une démo.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.