Monaco : l’affaire Adriano Fossati met à l’épreuve les mécanismes de contrôle bancaire
L’affaire Adriano Fossati dépasse désormais le seul cadre d’un éventuel manquement individuel au secret bancaire. Elle pose une question plus large sur la responsabilité d’un établissement financier lorsqu’un incident concerne l’accès à des informations sensibles. Selon Julien Briot-Hadar, expert international en compliance, LCB-FT, anticorruption et gouvernance internationale, le droit bancaire contemporain ne se contente plus d’examiner le comportement d’un collaborateur. Il conduit aussi à regarder la solidité de la gouvernance, l’efficacité du contrôle interne, la qualité des dispositifs de surveillance et la capacité de la banque à prévenir les risques avant qu’ils ne se réalisent. Cette évolution s’inscrit dans un mouvement international de renforcement de la supervision prudentielle porté notamment par le GAFI, le Comité de Bâle et MONEYVAL, auquel Monaco a progressivement adapté son cadre réglementaire.
La conformité bancaire occupe donc une place bien différente de celle qu’elle avait encore il y a quelques années. Elle ne consiste plus uniquement à vérifier, après coup, qu’une règle a été respectée ou qu’un manquement a été sanctionné. Les établissements doivent organiser leur fonctionnement pour rendre ces manquements aussi difficiles que possible et démontrer que les contrôles existent réellement dans la pratique. À Monaco, cette logique s’appuie notamment sur les règles relatives aux activités financières, à la lutte contre le blanchiment de capitaux, au financement du terrorisme, à la corruption et à la protection des données personnelles. L’implication des dirigeants, l’indépendance du contrôle interne et la capacité à documenter l’efficacité du dispositif deviennent ainsi des éléments essentiels pour apprécier la qualité de la gouvernance d’une banque.
Des accès aux données qui doivent pouvoir être justifiés
La gestion des habilitations informatiques figure au cœur de ces exigences. Les établissements financiers détiennent des informations particulièrement sensibles sur la situation économique, patrimoniale ou personnelle de leurs clients, mais aussi, dans certains cas, de tiers. Leur consultation ne peut pas dépendre d’une simple possibilité technique. Chaque accès doit correspondre à une nécessité professionnelle précise et être compatible avec les fonctions exercées. La traçabilité devient alors indispensable : la banque doit pouvoir identifier l’auteur d’une consultation, son moment, son contexte et détecter rapidement tout comportement inhabituel. Pour Briot-Hadar, cette évolution marque un basculement important : le secret bancaire ne repose plus seulement sur la discrétion individuelle du professionnel, mais aussi sur l’architecture même des systèmes de contrôle et de surveillance.
Si les faits allégués dans l’affaire Adriano Fossati étaient établis, les autorités pourraient donc s’intéresser à l’organisation de la banque elle-même. La Commission de Contrôle des Activités Financières pourrait notamment examiner la manière dont les droits d’accès ont été attribués, les outils utilisés pour repérer d’éventuelles consultations atypiques, l’indépendance de la fonction conformité et l’efficacité du contrôle permanent exercé sur les collaborateurs. L’enjeu serait de déterminer si l’incident relève exclusivement d’un comportement individuel ou s’il révèle une faiblesse plus générale du dispositif de gouvernance. Dans cette seconde hypothèse, des mesures correctrices pourraient être exigées et, lorsque les conditions prévues par le droit monégasque sont réunies, des sanctions pourraient également être envisagées.
Une responsabilité qui peut aussi devenir civile et réputationnelle
La question ne s’arrête pas au terrain prudentiel. Une personne estimant que des informations la concernant ont été consultées, utilisées ou communiquées sans justification pourrait chercher à engager la responsabilité civile de l’établissement, à condition de démontrer les éléments nécessaires à une telle action. Les mesures de prévention prises par la banque seraient alors susceptibles d’être examinées : limitation des droits d’accès, authentification des utilisateurs, conservation des historiques, audits, surveillance des habilitations ou procédures de réaction en cas d’incident. La protection des données personnelles ajoute encore un niveau d’exigence. Dans ce domaine, la responsabilité ne découlerait pas automatiquement d’un accès irrégulier, mais la capacité de la banque à prouver qu’elle avait mis en œuvre des protections adaptées pourrait devenir déterminante.
L’affaire touche enfin à un enjeu particulièrement sensible pour Monaco : la réputation de sa place financière. Dans la banque privée, la confiance repose largement sur la certitude que les informations sensibles resteront protégées et ne pourront pas être utilisées en dehors d’un cadre strictement professionnel. Une controverse sur ce terrain peut donc affecter l’image d’un établissement auprès de ses clients, de ses partenaires internationaux, de ses contreparties et des autorités de supervision. Un élément rend le dossier encore plus délicat : la personne présentée comme victime n’aurait jamais été cliente de Safra Bank. Si ce point était confirmé, la question porterait aussi sur la manière dont des informations concernant un tiers extérieur à l’établissement ont pu être accessibles et consultées. Pour Julien Briot-Hadar, l’affaire illustre ainsi la transformation profonde de la compliance bancaire : la banque n’est plus seulement évaluée sur les actes de ses collaborateurs, mais sur sa capacité à démontrer que toute son organisation est conçue pour prévenir les dérives, les détecter rapidement et protéger durablement la confiance.
