Veille réglementaire
Contrôles SPOT AMF : la fonction conformité sous surveillance
Chassagne Corinne · 13/07/2026
Focus — Contrôles SPOT AMF : la fonction conformité sous haute surveillance
L'Autorité des marchés financiers (AMF) a publié en mai 2024 une synthèse de ses contrôles SPOT (Supervision des Pratiques Opérationnelle et Thématique) menés sur la fonction de vérification de la conformité au sein des prestataires de services d'investissement (PSI) et des sociétés de gestion de portefeuille (SGP). Ce document dresse un bilan sans concession des pratiques observées et met en lumière des faiblesses récurrentes qui doivent alerter l'ensemble de la Place.
Cette publication n'est pas anodine : elle constitue un signal fort du régulateur sur ses attentes et préfigure un durcissement probable de sa supervision. L'enjeu principal est clair : garantir que la fonction conformité dispose réellement des moyens, de l'indépendance et de l'autorité nécessaires pour remplir efficacement sa mission de deuxième ligne de défense.
💡 Sujet/Concept clé : de quoi parle-t-on ?
Les contrôles SPOT sont des missions d'inspection courtes et ciblées, menées par l'AMF sur un échantillon d'acteurs pour évaluer l'application concrète d'une réglementation spécifique. Leur objectif est double : identifier les bonnes et les mauvaises pratiques, puis diffuser ces enseignements à l'ensemble du marché pour élever le niveau général de conformité. Ils servent de baromètre au régulateur pour mesurer la maturité des assujettis sur un sujet donné.
La fonction de vérification de la conformité, incarnée par le Responsable de la Conformité et du Contrôle Interne (RCCI) ou le Responsable de la Conformité pour les Services d'Investissement (RCSI), est une fonction de contrôle permanent clé. Son rôle, défini par la directive MIF 2 et transposé en droit français, va bien au-delà d'une simple veille réglementaire. Elle doit évaluer, conseiller, contrôler et rapporter sur l'ensemble des risques de non-conformité auxquels l'entité est exposée, couvrant des domaines aussi variés que la LCB-FT, la protection de la clientèle, l'intégrité des marchés ou encore la déontologie.
La base légale et réglementaire
Le cadre normatif encadrant la fonction conformité est dense et exigeant. L'article L. 533-30 du Code monétaire et financier impose aux PSI de se doter d'une fonction de conformité 'permanente, efficace et indépendante'. Cette exigence est le pilier de la gouvernance des établissements régulés, visant à prévenir les conflits d'intérêts et à garantir que les décisions stratégiques intègrent les contraintes réglementaires.
Le Règlement Général de l'AMF (RGAMF) détaille ces obligations. Les articles 321-31 et suivants pour les PSI, et 313-2 et suivants pour les SGP, précisent les missions et les moyens de la fonction. Le régulateur insiste sur la nécessité de lui allouer des 'ressources humaines et techniques suffisantes et appropriées' et de garantir son accès direct et sans entrave à toutes les informations pertinentes ainsi qu'aux plus hauts organes de direction. L'esprit de ces textes est de faire du responsable de la conformité un véritable partenaire stratégique de la direction, et non un simple exécutant.
En cas de manquement à ces obligations, la Commission des sanctions de l'AMF peut prononcer des sanctions sévères, allant de l'avertissement à des amendes pouvant atteindre 100 millions d'euros ou 10% du chiffre d'affaires annuel. Les carences dans le dispositif de conformité sont systématiquement un facteur aggravant dans les dossiers de sanction.
Analyse des contrôles SPOT : les points de vigilance de l'AMF
La synthèse de l'AMF met en exergue quatre domaines de faiblesse majeurs qui doivent être considérés comme des priorités absolues par les Compliance Officers. Le régulateur ne se contente plus de principes et attend désormais des preuves tangibles de l'efficacité des dispositifs.
Premièrement, le positionnement et l'indépendance de la fonction sont souvent jugés insuffisants. L'AMF a constaté des cas où le RCSI/RCCI est rattaché hiérarchiquement à des fonctions opérationnelles ou de contrôle de première ligne, créant un conflit d'intérêts manifeste. Le manque de reporting direct et régulier à l'organe de surveillance ou à la direction effective est également pointé du doigt, privant les dirigeants d'une vision claire et indépendante des risques de non-conformité.
Deuxièmement, l'inadéquation des moyens est une critique récurrente et centrale. L'AMF déplore que les ressources allouées (effectifs, outils, budget de formation) ne suivent pas l'évolution de l'activité, la complexité des produits ou l'inflation réglementaire. Cette 'compliance à moyens constants' conduit inévitablement à des impasses : des contrôles superficiels, une veille réglementaire incomplète et une incapacité à jouer un rôle de conseil proactif.
Enfin, la planification et la réalisation des contrôles de deuxième niveau sont jugées défaillantes. Les plans de contrôle sont trop souvent des documents génériques, reconduits d'année en année sans être adossés à une cartographie des risques formalisée et mise à jour. L'AMF critique sévèrement le manque de traçabilité des contrôles effectués, l'absence de documentation des diligences (pistes d'audit) et un suivi laxiste des plans d'actions correctrices. Le reporting qui en découle est par conséquent jugé peu percutant et ne permet pas aux dirigeants de prendre des décisions éclairées.
Ce que ça change opérationnellement (Plan d'action)
Face à ce constat, une réaction rapide et structurée s'impose. Voici une feuille de route pragmatique pour les Compliance Officers :
1. Auditer le positionnement de la fonction : Mettez à plat l'organigramme et les fiches de poste. Assurez-vous que le rattachement hiérarchique du RCSI/RCCI est bien à la direction effective et qu'un lien fonctionnel direct avec l'organe de surveillance (Conseil d'Administration, Comité d'Audit) est formalisé. Présentez les conclusions de cet audit à la direction pour arbitrage.
2. Objectiver l'adéquation des ressources : Menez une analyse formelle de la charge de travail (workload assessment). Listez l'ensemble des tâches (contrôles, reporting, conseil, formation, veille...) et estimez le temps nécessaire. Comparez ce besoin aux ressources disponibles. Ce document chiffré sera votre meilleur allié pour négocier des moyens supplémentaires (ETP, outils RegTech).
3. Refondre le plan de contrôle sur la base des risques : Le plan de contrôle annuel doit être la traduction directe de votre cartographie des risques de non-conformité. La méthodologie de la cartographie (identification, évaluation, cotation des risques bruts et nets) doit être documentée et validée par la direction. Chaque contrôle planifié doit répondre à un risque identifié et priorisé.
4. Industrialiser la traçabilité des contrôles : Mettez en place des fiches de contrôle standardisées qui documentent l'objectif, le périmètre, l'échantillon testé, les constats et les recommandations. Centralisez ces fiches et les preuves de contrôle dans un outil ou un répertoire partagé pour garantir une piste d'audit fiable en cas d'inspection.
5. Dynamiser le reporting de conformité : Transformez vos rapports en véritables outils de pilotage. Intégrez des indicateurs clés de performance (KPIs) : taux de réalisation du plan de contrôle, nombre de recommandations émises/en retard/clôturées, délais de traitement des alertes, etc. Mettez en exergue les 3 risques de non-conformité majeurs du trimestre.
6. Formaliser le rôle de conseil en amont : Assurez-vous que la procédure de validation des nouveaux produits/services/activités (ou 'CNP') inclut une validation obligatoire et formelle de la fonction conformité. Votre avis doit être tracé et annexé au dossier de décision.