Un dossier introuvable, impossible à prouver ou conservé trop longtemps est un constat d'audit. Six pratiques de gestion documentaire pour les entités réglementées, et un exercice en trois questions pour vérifier qu'elles fonctionnent.
Lorsqu'un superviseur ou un auditeur demande le dossier d'un client, il ne relit pas votre politique : il vérifie si vous pouvez le remettre complet, montrer qui l'a consulté et expliquer ce qui a été fait de ce dont vous n'aviez plus besoin. La gestion documentaire est la partie du programme de conformité où les intentions deviennent des preuves.
Ce que la norme exige réellement de vos archives
Le standard international le résume en quelques lignes. La Recommandation 11 du GAFI demande de conserver pendant au moins cinq ans les enregistrements des transactions, suffisants pour les reconstituer, ainsi que les informations obtenues lors de la vigilance à l'égard de la clientèle (copies des pièces d'identité, dossiers de compte, correspondance commerciale et résultats des analyses), à compter de la fin de la relation d'affaires ou de la date de l'opération occasionnelle. Ces enregistrements doivent aussi pouvoir être mis rapidement à la disposition des autorités compétentes.
Deux précisions. D'abord, cinq ans est un minimum du standard : la loi de votre pays peut exiger davantage, et c'est ce chiffre qui s'applique. Ensuite, conserver trop longtemps est aussi un risque. Les principes de protection des données, comme la limitation de la conservation prévue à l'article 5, paragraphe 1, point e), du RGPD, demandent de ne pas garder les données personnelles plus longtemps que nécessaire pour leur finalité. Les archives de conformité vivent entre deux forces : conserver ce que la norme exige et ne pas conserver plus que ce que vous pouvez justifier.
Six pratiques qui rendent un dossier auditable
1. Un inventaire de l'emplacement de chaque document. Listez les types de documents (pièce d'identité, justificatif de domicile, déclaration du bénéficiaire effectif, résultats de filtrage, correspondance) et leur emplacement réel. Des dossiers éparpillés entre messagerie, dossiers partagés et système central sont une cause fréquente de dossiers incomplets.
2. Classer à l'entrée, pas après. Chaque document doit arriver avec des métadonnées minimales : client, type, date, niveau de risque et classe de conservation. Si le classement dépend de quelqu'un qui rangera les archives « quand il y aura le temps », il n'aura pas lieu.
3. Calculer la date de destruction dès le départ. La conservation court à partir d'un événement, comme la fin de la relation, et non à partir de la date de dépôt. Enregistrez l'événement, calculez la date et traitez la destruction comme un processus avec validation et preuve, pas comme un nettoyage informel.
4. Enregistrer qui a fait quoi. Une piste d'audit doit indiquer qui a consulté, modifié, téléchargé ou supprimé un document, et quand, et elle ne doit pas être modifiable. Conservez aussi les versions : ce qui a été fourni à l'entrée en relation n'est pas forcément ce qui est en vigueur aujourd'hui.
5. Accès par rôle et moindre privilège. Celui qui traite les alertes n'a pas besoin de modifier les dossiers, et celui qui dépose des documents n'a pas besoin de tous les télécharger. Si vous gérez plusieurs entités ou unités, séparez les données de chacune.
6. Des signatures et des consentements démontrables. Les contrats, autorisations et consentements signés électroniquement ne sont des preuves que si vous conservez aussi la trace de la signature : qui a signé, quand et sur quelle version du document.
Un exercice en trois questions
Pour vérifier que tout cela fonctionne, choisissez un client au hasard et répondez en une journée de travail :
- Pouvez-vous remettre son dossier complet sans parcourir cinq systèmes ?
- Pouvez-vous montrer qui a consulté ou modifié chaque document ?
- Pouvez-vous expliquer ce qui a été supprimé et pourquoi, ou quelle date de destruction s'applique ?
L'objectif d'« une journée » est un repère interne que nous proposons, et non un délai fixé par une norme. Si une réponse est « non », vous avez déjà la priorité du prochain trimestre.
Où se situe notre plateforme
Chez GlobalKYCS, nous proposons la numérisation et le stockage sécurisé de documents et nous développons Global Documents Manager, une plateforme de gouvernance documentaire et de gestion numérique des dossiers. Selon sa description, elle comprend la classification automatique par IA, des politiques de conservation et de destruction, une piste d'audit immuable, la signature électronique, la recherche plein texte et un accès par rôles en environnement multi-locataire. C'est notre propre produit : lisez ce paragraphe comme une description et non comme une comparaison. N'importe quel outil convient s'il couvre les six pratiques ci-dessus et peut le prouver lors de l'exercice.
Un outil ne remplace pas la politique : il la rend exécutable. Et si vos processus intègrent des agents d'IA, la traçabilité compte encore davantage ; nous l'avons analysée dans notre article sur le cadre KYA.
Liste de contrôle
- Inventaire des types de documents et de leurs emplacements, mis à jour ce trimestre.
- Métadonnées minimales obligatoires au dépôt : client, type, date, risque et classe de conservation.
- Politique de conservation avec l'événement qui déclenche le délai et le délai exigé dans votre juridiction.
- Processus de destruction avec validation et preuve.
- Piste d'audit non modifiable et versions de chaque document.
- Droits par rôle revus au moins une fois par an.
- Exercice en trois questions documenté et répété à une fréquence définie.