BRA & FSC : optimiser vos évaluations de risques à Maurice
Le cadre réglementaire mauricien s’est nettement renforcé ces dernières années, avec une attention plus marquée portée à l’AML/CFT/CPF. À Maurice, les entités régulées doivent composer avec la FIAMLA, les FIAML Regulations et les exigences de supervision de la Financial Services Commission (FSC). Au centre de ce dispositif, on trouve le Business Risk Assessment (BRA), outil qui permet à une entreprise d’identifier, de mesurer et de suivre ses propres risques.
Pendant longtemps, beaucoup d’institutions ont traité cet exercice comme une formalité. Un rapport rédigé au moment de la licence, rangé dans un dossier, puis ressorti au prochain audit. Aujourd’hui, cette approche ne tient plus. Lors des contrôles sur site, mais aussi à travers les campagnes d’évaluation offsite comme l’OMQ 2026, la FSC veut voir autre chose qu’un document bien présenté. Elle veut vérifier que la cartographie des risques colle vraiment à la réalité du terrain. Pour les directions générales, cela suppose une vraie méthode. Recover & Comply vous accompagne pour rester sur la bonne voie.
Ce que la FSC regarde vraiment
Le problème le plus fréquent, lors des inspections, c’est le décalage entre ce qui est écrit et ce qui se passe au quotidien. Un document standardisé, qui ne reflète ni les activités ni les pratiques réelles de l’entreprise, expose l’entité à des sanctions administratives et à une perte de crédibilité opérationnelle.
Un BRA utile doit donc rester vivant, en reflétant les risques propres à l’activité, notamment :
- les structures, véhicules ou entités concernés ;
- l’exposition géographique et les flux financiers ;
- les canaux de distribution et les tiers introducteurs.
Autrement dit, une société commerciale, un fonds multi-juridictionnel ou une structure patrimoniale complexe ne se gèrent pas avec la même grille de lecture. De la même manière, une relation avec une juridiction sous surveillance renforcée ne se traite pas comme une relation locale classique. Enfin, le recours à la distance, aux apporteurs d’affaires ou à certaines technologies financières modifie aussi le niveau de risque.
Si ces paramètres ne sont pas revus régulièrement, la matrice devient vite obsolète. Et quand cela arrive, ce sont les procédures de Customer Due Diligence (CDD) et d’Enhanced Due Diligence (EDD) qui se fragilisent à leur tour.
Comment construire un BRA solide
Pour qu’un BRA soit vraiment utile, il faut le penser comme un outil de gouvernance, pas comme une simple pièce de dossier.
1. Séparer clairement le risque inhérent du risque résiduel
C’est une erreur fréquente de tout mélanger. Le risque inhérent correspond au risque brut lié à l’activité, aux produits et aux clients, avant tout contrôle interne. Le risque résiduel, lui, apparaît une fois les mesures d’atténuation prises en compte. Si on ne fait pas cette distinction, on perd en lisibilité, et surtout en rigueur.
2. S’appuyer sur des données concrètes
Un BRA ne doit jamais reposer uniquement sur des déclarations générales. Les superviseurs attendent des éléments tangibles : volumes transactionnels, typologies de flux, statistiques internes, déclarations de soupçon (STR) adressées à la Financial Intelligence Unit (FIU). Cette logique devient encore plus importante depuis le renforcement des mécanismes de suspension temporaire de certaines transactions suspectes, selon les conditions prévues par le texte applicable.
3. Aligner le BRA et le Customer Risk Assessment
Le BRA au niveau de l’entité doit se retrouver dans l’évaluation de chaque client. Si l’entreprise identifie un secteur ou une zone géographique comme plus risqué, cette donnée doit automatiquement se refléter dans la grille de scoring individuelle. C’est ce qui permet de déclencher, quand il faut, les mesures de vigilance renforcée, notamment sur la Source of Wealth et la Source of Funds.
4. Impliquer réellement le conseil d’administration
Le BRA relève directement de la responsabilité du board. Le conseil doit le revoir, l’approuver et le documenter régulièrement, au minimum une fois par an, ou dès qu’un changement matériel intervient. Cette revue doit aussi s’appuyer sur un audit indépendant AML/CFT capable d’évaluer l’efficacité réelle des contrôles et d’aider le conseil à définir clairement son appétence au risque.
Préparer le contrôle sur site
Le meilleur moyen d’aborder une inspection, c’est de ne pas la subir. Les exercices de simulation d’audit permettent de vérifier si les preuves sont bien là, si les procédures sont réellement appliquées, et si les équipes savent répondre rapidement aux questions du régulateur.
Lors d’un contrôle interne, chaque élément du BRA doit pouvoir être vérifié. Si le document affirme qu’un certain type d’opération fait l’objet d’un examen renforcé, il faut pouvoir le démontrer immédiatement, à partir de registres, de comptes rendus de conseil ou de dossiers traités. C’est cette cohérence entre le document et la pratique qui fait la différence.
Consolidez votre cadre de conformité
Souhaitez-vous auditer la solidité de votre Business Risk Assessment ou préparer vos équipes à un contrôle sur site de la FSC ? Les associés de Recover & Comply vous accompagnent pour faire concorder vos matrices de risques avec les meilleures pratiques du secteur et renforcer la gouvernance de votre établissement.