L’affaire Adriano Fossati ne se réduit plus à la seule hypothèse d’un manquement individuel au secret bancaire. Elle ouvre un débat beaucoup plus large sur la manière dont un établissement financier organise l’accès aux informations sensibles et sur la responsabilité qui peut lui incomber lorsque ses mécanismes de contrôle sont susceptibles d’être mis en cause. Selon Julien Briot-Hadar, expert international en compliance, LCB-FT, anticorruption et gouvernance internationale, l’évolution du droit bancaire conduit désormais à apprécier non seulement le comportement d’un collaborateur, mais aussi la solidité de la gouvernance, la qualité du contrôle interne et l’efficacité concrète des dispositifs de conformité. Cette approche s’inscrit dans un mouvement international plus large, porté notamment par le GAFI, le Comité de Bâle et MONEYVAL, qui exige des établissements financiers qu’ils soient capables de démontrer leur aptitude à identifier, prévenir et maîtriser les risques de non-conformité.
À Monaco, cette transformation est particulièrement visible. Le cadre juridique s’est progressivement renforcé autour des activités financières, de la lutte contre le blanchiment de capitaux, le financement du terrorisme et la corruption, ainsi que de la protection des données personnelles. La logique n’est plus seulement de sanctionner lorsqu’une irrégularité est constatée, mais d’organiser l’établissement de manière à rendre cette irrégularité aussi difficile que possible. Pour les banques, cela suppose une implication réelle des organes dirigeants, des procédures adaptées, un contrôle permanent et une capacité à démontrer que les règles fonctionnent dans la pratique. La compliance n’est donc plus cantonnée à un service chargé de vérifier des dossiers. Elle devient un instrument de gouvernance et un élément central dans l’évaluation de la solidité de l’établissement.
La maîtrise des accès devient un enjeu déterminant
La gestion des habilitations informatiques se trouve au cœur de cette nouvelle approche. Les établissements bancaires détiennent des informations économiques, patrimoniales et personnelles parmi les plus sensibles. Leur accès ne peut pas résulter d’une simple possibilité technique offerte à un collaborateur. Il doit répondre à une nécessité professionnelle identifiable et être strictement proportionné aux fonctions exercées. Chaque consultation doit pouvoir être expliquée, chaque accès retracé et chaque anomalie potentiellement détectée. La technologie joue ici un rôle déterminant : les systèmes d’information doivent permettre de conserver l’historique des consultations, d’identifier les usages inhabituels et de fournir, si nécessaire, des éléments permettant de reconstituer les faits. Pour Julien Briot-Hadar, cette exigence de traçabilité traduit un changement majeur : le secret bancaire ne repose plus uniquement sur la loyauté individuelle, mais sur l’organisation même de la banque.
Si les faits allégués dans l’affaire Fossati venaient à être établis, l’examen pourrait donc s’étendre bien au-delà du comportement personnel du collaborateur concerné. La Commission de Contrôle des Activités Financières pourrait notamment s’intéresser à la manière dont les droits d’accès étaient attribués, à l’existence de contrôles réguliers, à l’indépendance de la fonction conformité ou encore aux outils permettant de repérer une consultation inhabituelle. L’enjeu serait de déterminer si l’éventuel incident constitue un acte isolé ou s’il révèle une insuffisance plus générale dans le dispositif de gouvernance. Dans ce second cas, le sujet deviendrait institutionnel : il ne s’agirait plus uniquement d’une faute individuelle, mais de la capacité de la banque à démontrer qu’elle avait effectivement mis en place les protections attendues au regard des exigences prudentielles.
De la responsabilité juridique au risque de réputation
La dimension civile pourrait également entrer en jeu si une personne estimait que des informations la concernant avaient été consultées, utilisées ou communiquées sans justification légitime. Les mesures prises par la banque pour empêcher ce type de situation pourraient alors être examinées : limitation des droits, authentification, traçabilité des accès, audits, procédures d’alerte ou mécanismes de réaction en cas d’incident. La protection des données personnelles ajoute un autre niveau d’exigence, puisque les établissements doivent être capables de démontrer que leurs moyens techniques et organisationnels sont adaptés à la sensibilité des informations traitées. La responsabilité ne découlerait toutefois pas automatiquement de l’existence d’un accès irrégulier. Elle dépendrait des faits établis, de l’existence d’un dommage et d’un lien de causalité, mais aussi de la manière dont l’établissement serait en mesure de justifier la robustesse de son organisation.
L’affaire prend enfin une dimension particulièrement sensible sur le terrain de la réputation. Dans la banque privée, la confiance repose largement sur la certitude que les informations personnelles et patrimoniales resteront protégées. Une mise en cause de cette confidentialité peut donc affecter durablement les relations avec la clientèle, les partenaires, les contreparties et les autorités de supervision. À Monaco, cet enjeu dépasse potentiellement la seule Safra Bank, car la crédibilité de chaque établissement contribue à celle de l’ensemble de la place financière. Un élément rend le dossier encore plus délicat : la personne présentée comme victime n’aurait jamais été cliente de Safra Bank. Si ce point était confirmé, la question porterait aussi sur les conditions dans lesquelles des informations concernant un tiers extérieur ont pu être accessibles au sein de l’établissement. Pour Julien Briot-Hadar, l’affaire Fossati illustre ainsi une mutation profonde : aujourd’hui, une banque doit pouvoir démontrer que sa gouvernance, ses contrôles et ses systèmes sont suffisamment robustes pour empêcher les dérives, les détecter rapidement et préserver la confiance sur laquelle repose son activité.
Bruno Gabriel
