L’affaire dite « Adriano Fossati », dont la presse internationale se fait l’écho depuis plusieurs semaines, dépasse très largement le cadre d’un éventuel manquement individuel au secret bancaire. Elle invite à s’interroger sur une évolution beaucoup plus profonde du droit bancaire contemporain : la responsabilité d’un établissement financier ne s’apprécie plus uniquement à travers les actes de ses collaborateurs, mais également au regard de la robustesse de son organisation interne, de sa gouvernance et de l’effectivité de son dispositif de compliance.

Cette évolution s’inscrit dans un mouvement international de renforcement de la supervision prudentielle. Sous l’influence des Recommandations du Groupe d’action financière (GAFI), des Principes fondamentaux pour un contrôle bancaire efficace du Comité de Bâle et des évaluations conduites par MONEYVAL, les établissements financiers doivent désormais être en mesure de démontrer que leur gouvernance permet d’identifier, de prévenir, de détecter et de maîtriser les risques de non-conformité, en particulier ceux susceptibles de porter atteinte au secret bancaire, à la confidentialité des données et à l’intégrité des marchés financiers. La compliance ne constitue plus une simple fonction de contrôle. Elle s’affirme désormais comme l’un des piliers de la gouvernance bancaire et comme un critère essentiel d’appréciation de la solidité prudentielle des établissements.

La Principauté de Monaco s’est pleinement inscrite dans cette dynamique en se dotant d’un cadre normatif particulièrement exigeant, articulé autour de la loi n° 1.338 du 7 septembre 2007 relative aux activités financières, de la loi n° 1.362 du 3 août 2009 relative à la lutte contre le blanchiment de capitaux, le financement du terrorisme et la corruption, de la loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles, ainsi que des textes réglementaires pris pour leur application et des décisions de la Commission de Contrôle des Activités Financières (CCAF). L’Ordonnance souveraine n° 9.223 du 28 avril 2022, modifiant l’Ordonnance souveraine n° 2.318 du 3 août 2009, a ainsi instauré un dispositif obligatoire de certification professionnelle en matière de lutte contre le blanchiment de capitaux, le financement du terrorisme et la corruption pour les personnes exerçant les fonctions les plus sensibles au sein des établissements assujettis.

Ce choix du législateur monégasque illustre une conception exigeante de la compliance, fondée non seulement sur l’existence de procédures internes, mais également sur la compétence, la responsabilité et la formation continue des professionnels chargés de leur mise en œuvre. L’ensemble de ces dispositions consacre une conception renouvelée de la responsabilité bancaire, désormais fondée autant sur la robustesse de l’organisation interne que sur la qualité de la gouvernance et l’effectivité du dispositif de compliance.

L’intérêt juridique de l’affaire Adriano Fossati réside précisément dans cette mutation. Au-delà de la recherche d’une éventuelle responsabilité personnelle, elle conduit à s’interroger sur les obligations qui pèsent aujourd’hui sur les établissements financiers en matière de gouvernance, de contrôle interne, de gestion des habilitations informatiques, de traçabilité des accès, de protection des données et de prévention des conflits d’intérêts. Elle offre ainsi l’occasion d’illustrer la manière dont la compliance est devenue le vecteur privilégié de l’évaluation prudentielle des banques.

Dans cette affaire Adriano Fossati, les obligations de gouvernance et de conformité qui incombent aux établissements financiers monégasques interrogent également la manière dont la maturité du dispositif de compliance est désormais susceptible de conditionner l’appréciation de leur responsabilité prudentielle, civile et réputationnelle.

Les obligations pesant sur les établissements financiers

Pendant longtemps, le secret bancaire relevait avant tout d’une obligation individuelle. Le banquier devait faire preuve de discrétion. La violation de cette obligation engageait sa responsabilité et pouvait donner lieu à des sanctions disciplinaires, civiles ou pénales. Cette conception demeure naturellement d’actualité. Elle n’est toutefois plus suffisante pour répondre aux exigences de la régulation financière contemporaine.

Le droit de la compliance a profondément renouvelé cette approche. Il ne demande plus seulement aux établissements financiers de sanctionner les manquements lorsqu’ils surviennent. Il leur impose d’organiser leur fonctionnement de manière à rendre ces manquements aussi improbables que possible. La conformité n’est donc plus une fonction périphérique chargée de vérifier le respect des règles. La conformité est devenue l’un des instruments essentiels de la gouvernance bancaire.

Cette évolution est particulièrement perceptible en Principauté de Monaco. Sous l’effet de la loi n° 1.338 du 7 septembre 2007 relative aux activités financières, de la loi n° 1.362 du 3 août 2009 relative à la lutte contre le blanchiment de capitaux, de la loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles ainsi que des textes adoptés par la Commission de Contrôle des Activités Financières, les établissements financiers doivent être en mesure de démontrer que leur organisation permet effectivement de prévenir les risques auxquels ils sont exposés. Cette exigence rejoint les standards développés par le Groupe d’action financière, le Comité de Bâle et MONEYVAL. Elle traduit une idée simple. Une banque moderne ne peut plus être jugée uniquement sur les résultats qu’elle obtient. Elle l’est également sur la qualité de son organisation.

La première de ces exigences est celle d’une gouvernance effective. Les organes dirigeants ne peuvent plus se limiter à désigner un responsable de la conformité ou à adopter des procédures internes. Ils doivent définir une véritable politique de maîtrise des risques, s’assurer de son application quotidienne et être en mesure d’en démontrer l’efficacité devant le superviseur. La gouvernance n’est plus un élément d’organisation parmi d’autres. Elle constitue le premier niveau de protection du secret bancaire.

Cette logique se prolonge naturellement par l’obligation de mettre en place un dispositif de contrôle interne indépendant et permanent. Celui-ci ne se limite plus à vérifier la régularité des opérations réalisées par les collaborateurs. Il doit apprécier la capacité de l’établissement à identifier les risques, à les prévenir et à réagir rapidement lorsqu’ils se matérialisent. Le contrôle interne devient ainsi un instrument de gouvernance avant d’être un instrument de vérification.

La gestion des habilitations informatiques participe de cette même logique. Les établissements financiers détiennent des informations qui comptent parmi les plus sensibles de la vie économique et patrimoniale de leurs clients. L’accès à ces données ne peut résulter d’une simple facilité technique. Il doit répondre au principe du « besoin d’en connaître ». Chaque accès doit être justifié par les fonctions effectivement exercées. Chaque consultation doit pouvoir être expliquée. Chaque anomalie doit pouvoir être détectée.

Il en résulte une exigence tout aussi essentielle de traçabilité. Dans une banque contemporaine, le secret bancaire ne repose plus uniquement sur la loyauté des collaborateurs. Il repose également sur la capacité des systèmes d’information à enregistrer les accès, à conserver leur historique et à signaler les consultations inhabituelles. La technologie n’est plus seulement un outil de gestion. Elle devient un instrument de preuve et de prévention.

La même logique inspire les règles relatives aux conflits d’intérêts, à la protection des données personnelles et à la diffusion d’une véritable culture de conformité. Une banque ne satisfait pas à ses obligations parce qu’elle dispose d’un manuel de procédures. Elle les satisfait parce que l’ensemble de son organisation, depuis ses organes dirigeants jusqu’à chacun de ses collaborateurs, est conçu pour faire prévaloir la protection des intérêts de la clientèle et l’intégrité de l’établissement.

Enfin, les établissements financiers sont tenus d’entretenir une relation de coopération permanente avec leur autorité de supervision. Cette coopération ne traduit pas une logique de défiance. Elle participe d’une conception moderne de la régulation prudentielle fondée sur la transparence, l’amélioration continue et la maîtrise des risques.

L’ensemble de ces obligations révèle une transformation profonde du droit bancaire. Le secret bancaire n’est plus seulement une obligation de discrétion. Il est devenu une obligation d’organisation. La banque n’est plus seulement responsable des fautes commises par ses collaborateurs. Elle est désormais tenue de démontrer que sa gouvernance, son contrôle interne et son dispositif de compliance sont effectivement conçus pour prévenir ces fautes avant qu’elles ne surviennent.

Quelles responsabilités pour l’établissement bancaire ? Une responsabilité désormais appréciée à l’aune de la maturité de la compliance

L’évolution du droit bancaire contemporain conduit à dépasser une conception strictement individuelle de la responsabilité. Lorsqu’un collaborateur est soupçonné d’avoir consulté ou communiqué des informations couvertes par le secret bancaire en dehors de toute justification professionnelle, l’analyse ne s’arrête plus à la recherche d’une faute personnelle. Elle s’étend désormais à l’organisation de l’établissement lui-même. La question essentielle devient celle de savoir si la banque avait mis en place un dispositif de gouvernance et de contrôle interne conforme aux exigences du droit monégasque et aux standards internationaux de supervision.

Dans l’hypothèse où les faits allégués seraient établis, la première responsabilité susceptible d’être examinée serait celle relevant du contrôle prudentiel. En vertu de la loi n° 1.338 du 7 septembre 2007 relative aux activités financières, la Commission de Contrôle des Activités Financières (CCAF) de la Principauté de Monaco est chargée de veiller au respect des règles prudentielles applicables aux établissements agréés. Son contrôle ne porte pas uniquement sur la régularité des opérations financières, mais également sur l’organisation interne des établissements, la qualité de leur gouvernance, l’effectivité de leur contrôle interne et leur capacité à maîtriser les risques opérationnels.

Dans cette perspective, la CCAF pourrait être conduite à apprécier si les procédures internes de l’établissement étaient adaptées aux risques inhérents à la conservation et au traitement de données particulièrement sensibles. L’examen pourrait notamment porter sur la politique de gestion des habilitations informatiques, la traçabilité des consultations, les mécanismes de détection des accès atypiques, l’indépendance de la fonction conformité ainsi que l’efficacité du contrôle permanent exercé sur les collaborateurs. Si des insuffisances organisationnelles étaient constatées, le superviseur pourrait demander la mise en œuvre de mesures correctrices, renforcer les exigences prudentielles applicables à l’établissement ou, lorsque les conditions prévues par la loi sont réunies, mettre en œuvre les pouvoirs de sanction que lui confère le droit monégasque. L’enjeu ne serait donc pas seulement de déterminer si une faute individuelle a été commise, mais d’apprécier si cette faute révèle une défaillance plus générale du système de gouvernance.

À cette responsabilité prudentielle pourrait s’ajouter une responsabilité civile à l’égard du client ou un tiers pourrait également être engagée. La relation bancaire repose sur une obligation de loyauté, de confidentialité et de sécurité qui constitue l’un des fondements essentiels du contrat conclu entre l’établissement et son clients. Si ce dernier établissait que des informations couvertes par le secret bancaire ont été consultées, utilisées ou communiquées en dehors de toute finalité légitime, il pourrait soutenir que la banque n’a pas exécuté avec la diligence requise les obligations qui lui incombaient. L’appréciation du juge ne porterait alors pas uniquement sur le comportement du collaborateur concerné. Elle s’étendrait également aux mesures de prévention, de contrôle et de surveillance mises en œuvre par l’établissement afin d’éviter la réalisation d’un tel risque. Dans cette perspective, la robustesse du dispositif de compliance, l’effectivité du contrôle interne et la pertinence des mécanismes de gouvernance constitueraient des éléments déterminants dans l’appréciation d’une éventuelle faute de l’établissement, sans préjudice de la démonstration, conformément au droit commun de la responsabilité civile, d’un dommage et d’un lien de causalité entre cette faute et le préjudice invoqué.

La protection des données personnelles constitue un troisième niveau d’analyse. La loi n° 1.565 du 3 décembre 2024 impose aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir la sécurité et la confidentialité des données personnelles. Dans le secteur bancaire, ces obligations présentent une intensité particulière en raison de la nature des informations traitées. Si des données étaient consultées ou communiquées sans base légitime, les autorités compétentes pourraient examiner non seulement les circonstances de cet accès, mais également les mesures préventives mises en œuvre par la banque : limitation des droits d’accès, authentification des utilisateurs, journalisation des consultations, contrôle des habilitations, audits réguliers et procédures de réaction en cas d’incident. Là encore, la responsabilité ne résulterait pas automatiquement de la seule existence d’un accès irrégulier ; elle dépendrait de la capacité de l’établissement à démontrer que son organisation répondait aux exigences légales.

L’affaire Adriano Fossati soulève également la question de la gestion des risques opérationnels, laquelle occupe aujourd’hui une place centrale dans les standards internationaux de supervision bancaire. Les Principes fondamentaux pour un contrôle bancaire efficace du Comité de Bâle ainsi que les Principles for the Sound Management of Operational Risk rappellent que les établissements doivent être en mesure d’identifier, d’évaluer, de surveiller et de maîtriser les risques découlant tant des défaillances des systèmes que des comportements de leurs collaborateurs. Cette approche est désormais pleinement intégrée dans la doctrine prudentielle contemporaine. Une consultation injustifiée d’informations confidentielles n’est plus appréhendée comme un simple manquement disciplinaire ; elle est analysée comme la matérialisation d’un risque opérationnel dont la prévention incombe à l’établissement lui-même.

Enfin, au-delà des responsabilités juridiques proprement dites, une telle situation est susceptible de générer un risque réputationnel dont la portée dépasse souvent celle des sanctions administratives ou judiciaires. Dans le secteur de la banque privée, la réputation constitue un actif immatériel essentiel. La confiance de la clientèle repose moins sur la seule solidité financière de l’établissement que sur la certitude que les informations patrimoniales confiées demeureront strictement protégées. Une remise en cause publique, même provisoire, de cette capacité à garantir la confidentialité est susceptible d’affecter durablement l’image de l’établissement, ses relations avec ses partenaires internationaux ainsi que la confiance de sa clientèle. Les standards internationaux de gouvernance reconnaissent d’ailleurs expressément le risque réputationnel comme une composante du risque global devant être intégrée dans les dispositifs de gestion des risques.

C’est précisément en ce sens que l’affaire Adriano Fossati présente un intérêt doctrinal particulier. Elle pourrait constituer une illustration des nouvelles exigences de la compliance monégasque. Les autorités ne se limiteraient pas à rechercher si un collaborateur a, ou non, méconnu ses obligations professionnelles. Elles seraient également conduites à apprécier si l’établissement pouvait démontrer que son organisation répondait effectivement aux exigences du contrôle prudentiel contemporain. La conformité des habilitations, l’efficacité des mécanismes de surveillance, la qualité du contrôle interne, l’indépendance de la fonction conformité, la traçabilité des accès et la rapidité de la réaction institutionnelle constitueraient autant d’éléments déterminants dans l’évaluation de la gouvernance de la banque.

Ainsi, la véritable portée de cette affaire ne réside peut-être pas dans la seule recherche d’une responsabilité individuelle. Elle révèle une transformation plus profonde du droit bancaire : l’établissement financier n’est plus uniquement jugé sur les actes de ses collaborateurs, mais sur sa capacité à démontrer que son organisation est conçue pour prévenir les atteintes au secret bancaire, protéger les données qui lui sont confiées et maintenir la confiance qui constitue le fondement même de la place financière monégasque. C’est là, sans doute, l’expression la plus aboutie de ce qu’il convient désormais de qualifier de compliance monégasque.

Les risques systémiques pesant sur l’établissement bancaire. L’affaire Adriano Fossati ou l’épreuve de la gouvernance prudentielle

L’affaire Adriano Fossati invite à dépasser la seule recherche d’une éventuelle responsabilité individuelle et met déjà en lumière une évolution profonde du droit bancaire contemporain. La question n’est plus uniquement de savoir si un collaborateur a méconnu ses obligations professionnelles. Elle est désormais de déterminer si l’établissement disposait d’une organisation suffisamment robuste pour prévenir une telle situation, la détecter sans délai et en limiter les conséquences. La responsabilité bancaire s’apprécie aujourd’hui à l’aune de la maturité de la gouvernance, de l’effectivité du contrôle interne et de la maturité du dispositif de compliance.

Cette évolution traduit un changement de paradigme. Les standards internationaux élaborés par le Comité de Bâle, le Groupe d’action financière et MONEYVAL ne considèrent plus un incident de conformité comme un événement isolé. Ils y voient le révélateur d’un risque susceptible d’affecter l’ensemble de l’organisation. Une consultation injustifiée de données confidentielles conduit ainsi le superviseur à s’interroger sur le fonctionnement global de l’établissement. Les conditions d’attribution des habilitations, la séparation des fonctions, la surveillance des accès, l’indépendance de la fonction conformité, la qualité du contrôle permanent de second niveau et l’implication des organes dirigeants deviennent autant d’éléments permettant d’apprécier la solidité du dispositif prudentiel. L’objet du contrôle se déplace. Il ne porte plus exclusivement sur le comportement d’un individu. Il s’étend désormais à la capacité de l’institution à maîtriser les risques qui lui sont propres.

Le premier risque qui pèse sur l’établissement est donc un risque prudentiel. Si les faits allégués venaient à être établis, l’autorité de supervision pourrait examiner si les mécanismes de prévention étaient adaptés à la sensibilité des informations traitées et à la nature des activités exercées. Elle pourrait également apprécier si les dispositifs de surveillance permettaient d’identifier rapidement une consultation atypique et si les procédures internes garantissaient une réaction immédiate et proportionnée. Le contrôle prudentiel ne recherche plus seulement l’existence d’un manquement. Il vérifie que l’établissement est en mesure de démontrer la maîtrise effective de ses risques.

À ce risque prudentiel s’ajoute un risque contentieux. La relation bancaire repose sur une obligation de confidentialité qui constitue l’un des fondements de la confiance accordée par le client à son établissement. Si cette confiance devait être altérée par une utilisation irrégulière des informations couvertes par le secret bancaire, le débat judiciaire ne porterait plus uniquement sur le comportement du collaborateur concerné. Il porterait également sur les diligences accomplies par la banque pour prévenir un tel événement. La qualité du dispositif de compliance deviendrait alors un élément essentiel de l’appréciation de la responsabilité de l’établissement.

L’affaire révèle également un risque institutionnel dont la portée dépasse le cadre du litige lui-même. Une banque privée ne se distingue pas uniquement par la qualité de ses prestations ou par la performance de sa gestion. Elle fonde sa réputation sur la certitude que les informations qui lui sont confiées demeurent protégées par une organisation irréprochable. La confidentialité constitue l’une des premières attentes de la clientèle internationale. Elle participe également à la crédibilité de l’établissement auprès des banques correspondantes, des contreparties, des investisseurs et des autorités de supervision. Lorsqu’une affaire met publiquement en cause cette confidentialité, c’est l’ensemble du capital de confiance de l’établissement qui peut être fragilisé.

Cette dimension revêt une importance particulière en Principauté de Monaco. La réputation de sa place financière repose sur un équilibre subtil entre attractivité économique, excellence de la supervision prudentielle et respect des standards internationaux. Chaque établissement agréé contribue, par son organisation et par ses pratiques, à la crédibilité de cet ensemble. Dès lors, un incident susceptible de révéler une faiblesse des dispositifs de contrôle interne dépasse nécessairement les intérêts propres de la banque concernée. Il est susceptible d’interroger la capacité de la place financière elle-même à offrir les garanties de sécurité, de confidentialité et de gouvernance attendues par les acteurs internationaux.

Enfin, l’affaire met en évidence un risque plus fondamental encore. Elle rappelle que la compliance ne constitue plus une fonction accessoire chargée de vérifier le respect des procédures internes. La compliance est devenue l’un des principaux critères d’évaluation de la gouvernance bancaire. L’existence de procédures ne suffit plus. Encore faut-il démontrer qu’elles sont effectivement appliquées, qu’elles permettent d’identifier les situations anormales et qu’elles garantissent une réaction rapide lorsque survient un incident. L’efficacité d’un dispositif de conformité se mesure moins à la perfection théorique de ses règles qu’à sa capacité à prévenir les défaillances avant qu’elles ne produisent leurs effets.

L’affaire Adriano Fossati illustre ainsi une transformation silencieuse mais profonde du droit bancaire. Longtemps, la responsabilité de l’établissement trouvait son origine dans les fautes commises par ses collaborateurs. Désormais, elle tend à s’apprécier au regard de la qualité de son organisation. Ce déplacement du regard, de l’individu vers le système, constitue sans doute l’une des évolutions les plus significatives du droit contemporain de la compliance. Il consacre une idée devenue essentielle dans la régulation financière moderne.

Une banque est désormais jugée autant sur la robustesse de sa gouvernance que sur les comportements individuels de ceux qui la composent.

Pire, et nous gardions le meilleur pour la fin : la victime n’est pas et n’a jamais été client de la Safra Bank. Les agissements du banquier Adriano Fossati, de sa maitresse Rebecca Zanazzo et les manquements coupables de la Banque Safra ne visaient donc pas un de leurs clients mais un tiers extérieur.

C’est dire la gravité des faits commis qui ne font que décupler les risques systémiques de réputation et de compliance pour une des banques les plus réputées de la place.

L’affaire Adriano Fossati pourrait donc bien devenir une affaire Safra bank et une affaire monégasque.

Michel Taube avec Julien Briot-Hadar, Expert international – compliance, LCB-FT, anti-corruption, gouvernance internationale