Évaluation des risques de conformité : guide BSIF/AMF
Maîtrisez le compliance risk management : identifiez, évaluez et atténuez vos risques selon le cadre BSIF/AMF Québec.
Résumer cet article avec
ChatGPT
Claude
Perplexity
Gemini
GrokCet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique, financier ou réglementaire. Consultez un professionnel qualifié pour toute question relative à votre situation spécifique.
Le compliance risk management — ou gestion des risques de conformité — désigne le processus structuré par lequel une organisation identifie les obligations réglementaires qui lui sont applicables, évalue sa probabilité d'y manquer, et met en place des contrôles proportionnés pour réduire cette exposition. Au Canada, ce dispositif s'inscrit dans le cadre défini par la LRPCFAT, les lignes directrices du BSIF, les exigences de l'AMF Québec et les directives du CANAFE. Un programme défaillant expose à des sanctions pouvant dépasser plusieurs millions de dollars et à des mesures conservatoires immédiates.
Qu'est-ce que la gestion des risques de conformité ?
La gestion des risques de conformité est un sous-ensemble de la gestion des risques d'entreprise qui se concentre exclusivement sur le risque réglementaire : la probabilité et l'impact d'un manquement à une loi, un règlement, un code de conduite ou une norme sectorielle applicable à l'organisation.
En pratique, le compliance risk management couvre trois dimensions interdépendantes :
- La dimension normative : cartographie exhaustive des textes applicables (lois fédérales et provinciales, orientations des superviseurs, normes professionnelles)
- La dimension opérationnelle : évaluation des processus, des systèmes et des comportements au regard de ces normes
- La dimension organisationnelle : gouvernance, formation, culture de la conformité et mécanismes d'escalade
Au 1er mars 2026, les institutions soumises à la ligne directrice B-13 du BSIF doivent intégrer le risque numérique dans leur cartographie des risques de conformité (BSIF — Ligne directrice B-13).
Les 5 étapes d'une évaluation des risques de conformité
Les données CheckFile, collectées auprès de plus de 85 entreprises clientes, indiquent que l'automatisation réduit de 67 % le coût par dossier vérifié tout en portant le taux de conformité audit à 99,2 %.
Étape 1 — Cartographie des obligations réglementaires applicables
La première étape consiste à dresser l'inventaire exhaustif des textes juridiques qui s'appliquent à l'organisation. Pour une institution financière canadienne en 2026, cet inventaire inclut au minimum : la LRPCFAT, les lignes directrices du BSIF (B-13, B-10, E-13), la Loi sur les banques, la Loi 25 du Québec, la LPRPDE, et les encadrements de l'AMF Québec.
Étape 2 — Identification et classification des risques
Une fois les obligations cartographiées, l'équipe conformité identifie les scénarios de défaillance : quelle règle peut être enfreinte, dans quel processus, par quel acteur, et dans quelles circonstances ? Chaque risque identifié est ensuite classé selon deux dimensions : la probabilité d'occurrence et la gravité des conséquences (financières, réputationnelles, opérationnelles).
La question posée régulièrement par les professionnels — « En quoi le compliance risk management diffère-t-il de la conformité traditionnelle ? » — mérite une réponse précise : la conformité traditionnelle vérifie le respect des règles a posteriori. Le compliance risk management, lui, anticipe les zones de rupture avant qu'elles ne produisent une sanction. C'est la différence entre un contrôle technique et une stratégie de prévention.
Étape 3 — Évaluation et scoring des risques
L'évaluation consiste à attribuer un score à chaque risque identifié, généralement sur une matrice probabilité × impact. Cette étape produit une carte de chaleur (heatmap) qui hiérarchise les risques et guide l'allocation des ressources de contrôle.
| Niveau de risque | Probabilité | Impact | Action requise | Fréquence de révision |
|---|---|---|---|---|
| Critique | Élevée (> 60 %) | Majeur (> 1 M$ CAD ou suspension d'agrément) | Plan d'action immédiat, remontée au conseil | Mensuelle |
| Élevé | Moyenne à élevée (30-60 %) | Significatif (100 K$ – 1 M$ CAD) | Contrôles renforcés, reporting trimestriel | Trimestrielle |
| Modéré | Faible à moyenne (10-30 %) | Limité (< 100 K$ CAD) | Contrôles périodiques, procédures documentées | Semestrielle |
| Faible | Faible (< 10 %) | Négligeable | Surveillance passive, inclusion dans l'audit annuel | Annuelle |
Étape 4 — Traitement et atténuation des risques
Pour chaque risque évalué, quatre options de traitement existent : accepter le risque (si son coût de traitement dépasse l'impact attendu), le transférer (assurance, sous-traitance à un tiers agréé), le réduire (contrôles, procédures, formation) ou l'éliminer (abandon de l'activité génératrice de risque). En pratique, la réduction par les contrôles est la voie la plus fréquente pour les risques réglementaires de niveau élevé à critique.
Étape 5 — Surveillance continue et mise à jour
La LRPCFAT impose aux entités déclarantes de maintenir leur évaluation des risques LBA/LAT à jour en permanence. Le CANAFE attend une révision formelle au minimum tous les deux ans, avec des mises à jour plus fréquentes pour les zones à risque élevé.
Cadre réglementaire canadien : BSIF, AMF Québec et CANAFE
Le BSIF : superviseur prudentiel fédéral
Le Bureau du surintendant des institutions financières (BSIF) supervise les institutions financières fédérales. Ses priorités de supervision pour 2026 incluent la mise en conformité avec B-13, le renforcement des dispositifs LBA/LAT, et la supervision des usages de l'IA.
L'AMF Québec : régulateur provincial
L'Autorité des marchés financiers du Québec (AMF) supervise les institutions financières provinciales, les sociétés d'assurance, les courtiers et les distributeurs de produits financiers au Québec.
Le CANAFE : cellule de renseignement financier
Le CANAFE reçoit et traite les déclarations d'opérations douteuses émises par les entités déclarantes. En 2023-2024, le CANAFE a transmis 2 408 communications de renseignements financiers. Le risque de conformité associé au CANAFE est double : l'absence de déclaration expose à des pénalités administratives, tandis qu'une déclaration tardive peut être interprétée comme un manquement à l'obligation de vigilance.
Approfondir le sujet
Découvrez nos guides pratiques et ressources pour maîtriser la conformité documentaire.
Explorer nos guidesLes erreurs fréquentes à éviter
Les défaillances récurrentes dans les programmes de compliance risk management révèlent des problèmes structurels d'organisation et de culture.
L'évaluation traitée comme un exercice de case à cocher
L'erreur la plus fréquente et la plus dangereuse : produire une évaluation des risques uniquement pour satisfaire une obligation formelle, sans qu'elle soit réellement utilisée dans les décisions opérationnelles. Une évaluation qui dort dans un tiroir ne réduit aucun risque — elle crée au contraire un faux sentiment de sécurité et une preuve documentaire d'un processus sans effet.
Le cloisonnement entre départements (silos)
Les risques de conformité ne respectent pas les organigrammes. Un risque LBA prend naissance dans les processus commerciaux (intégration client), se matérialise dans les opérations (transactions douteuses) et se résout dans la direction juridique (déclaration au CANAFE). Quand ces trois fonctions ne partagent pas leur cartographie des risques, chacune travaille sur une vision partielle — et les angles morts deviennent des brèches réglementaires.
Le conseil d'administration non impliqué
Lorsque le conseil ne comprend pas la complexité des obligations, les ressources budgétaires allouées à la conformité restent insuffisantes et les escalades de risque critique ne trouvent pas de réponse adéquate. La réponse à cette situation est structurelle : formaliser des rapports de conformité au niveau du conseil, avec des indicateurs clés de risque (KRI) exprimés en termes financiers et réputationnels, pas en termes techniques.
La sous-estimation de la fréquence de mise à jour
Une évaluation bisannuelle est le minimum exigé par le CANAFE. Ce n'est pas un optimum. Pour les zones de risque élevé — LBA, cybersécurité, risque de contrepartie — une revue trimestrielle est la pratique attendue par les superviseurs. Plusieurs institutions sanctionnées disposaient d'une évaluation formellement complète... mais datant de plus de 18 mois au moment du contrôle.
L'absence de documentation probatoire
Un examen du CANAFE ou du BSIF ne se limite pas à vérifier que des contrôles existent — il vérifie que leur exécution est tracée, datée et attribuée à un responsable identifié. Une organisation qui effectue ses contrôles sans les documenter est, du point de vue réglementaire, une organisation qui ne les effectue pas. La sécurité et traçabilité de vos documents de conformité est un prérequis non négociable pour toute organisation sous supervision prudentielle.
Comment automatiser et renforcer votre dispositif
L'automatisation du compliance risk management n'est pas un luxe — c'est une nécessité opérationnelle.
Les organisations qui ont automatisé leur processus de collecte et de vérification documentaire réduisent de 60 à 70 % le temps consacré aux tâches de contrôle à faible valeur ajoutée, selon les données de référence du secteur.
Automatiser la collecte et la vérification documentaire
Le premier levier d'automatisation est la vérification documentaire : identification des clients (KYC), vérification des bénéficiaires effectifs, contrôle de l'authenticité des pièces justificatives. Ces tâches, qui mobilisent plusieurs ETP dans une gestion manuelle, peuvent être traitées en quelques secondes par des solutions d'IA spécialisées, avec un niveau de fiabilité supérieur à 98 % pour la détection de documents falsifiés. La plateforme CheckFile, qui centralise la vérification et la validation des documents de conformité, s'intègre directement aux flux de travail existants via API.
Structurer la veille réglementaire automatisée
La veille réglementaire manuelle est une source majeure d'inefficacité et de risque résiduel. Les textes législatifs et les orientations des superviseurs (BSIF, AMF Québec, CANAFE) se multiplient à un rythme que les équipes de taille intermédiaire ne peuvent plus absorber sans outillage dédié. Des solutions spécialisées agrègent et classifient automatiquement ces publications, alertent sur les évolutions applicables et mettent à jour les inventaires d'obligations.
Mettre en place un tableau de bord de risque en temps réel
Un programme de compliance risk management mature s'appuie sur un tableau de bord centralisant les indicateurs clés de risque (KRI) en temps réel. Ces indicateurs incluent : le taux de complétion des dossiers KYC, le délai moyen de traitement des alertes, le nombre de déclarations d'opérations douteuses en attente, le taux de couverture des contrôles planifiés et le score de conformité par entité ou produit.
Découvrez nos offres et tarifs.
Questions fréquentes
Qu'est-ce qu'une évaluation des risques de conformité ?
Une évaluation des risques de conformité est un processus documenté par lequel une organisation identifie les réglementations applicables, analyse sa probabilité d'y manquer et définit des contrôles proportionnés. Au Canada, la LRPCFAT et les directives du CANAFE imposent cette évaluation comme condition préalable à tout dispositif de vigilance LBA/LAT.
À quelle fréquence doit-on renouveler l'évaluation ?
La révision bisannuelle est le minimum exigé par le CANAFE. Cependant, le BSIF attend des institutions financières une mise à jour plus fréquente pour les zones classées à risque élevé.
Quels sont les outils recommandés ?
Un programme mature s'appuie sur quatre catégories d'outils complémentaires : une solution GRC, un outil de veille réglementaire automatisée, une plateforme de vérification documentaire (comme CheckFile), et un système de gestion documentaire conforme.
Comment intégrer la vérification documentaire dans votre programme de conformité ?
La vérification documentaire est un pilier central du compliance risk management. Chaque document collecté dans le cadre du KYC, de l'onboarding fournisseur ou de la due diligence constitue une preuve de conformité qui doit être traçable, authentifiée et conservée. CheckFile s'intègre directement dans le flux de conformité en vérifiant automatiquement l'authenticité des documents reçus, en détectant les anomalies et en générant des rapports d'audit exploitables par les superviseurs.
Les spécificités québécoises du compliance risk management
Le Québec présente un environnement réglementaire distinct qui superpose des obligations provinciales aux exigences fédérales.
La Loi 25 et son impact sur la conformité
Depuis septembre 2023, la Loi 25 impose des obligations renforcées en matière de protection des renseignements personnels. Les responsables conformité doivent intégrer ces exigences dans leur cartographie des risques :
- Obligation de nommer un responsable de la protection des renseignements personnels
- Évaluation des facteurs relatifs à la vie privée (EFVP) avant tout nouveau projet impliquant des données personnelles
- Notification obligatoire des incidents de confidentialité à la CAI
- Droit à la portabilité des données
L'AMF Québec et la supervision provinciale
L'AMF Québec supervise les institutions financières provinciales avec des attentes de conformité qui complètent celles du BSIF. Les coopératives de services financiers (comme le Mouvement Desjardins), les assureurs provinciaux et les courtiers en valeurs mobilières sont soumis à des exigences spécifiques de gestion des risques de conformité documentées dans les Lignes directrices de l'AMF.
Le Code civil du Québec
Le Code civil du Québec impose un devoir de bonne foi (art. 1375) qui fonde l'obligation de diligence raisonnable dans les relations commerciales. Ce cadre juridique distinct de la common law applicable dans les autres provinces canadiennes crée des obligations spécifiques que les programmes de conformité doivent prendre en compte.
Dernière mise à jour : 25 mars 2026. Consultez les sources officielles (BSIF, AMF Québec, CANAFE) pour toute décision opérationnelle.
Aller plus loin
Pour approfondir ce sujet, consultez notre guide complet sur la vérification documentaire.
Restez informé
Recevez nos analyses conformité et guides pratiques, directement dans votre boîte mail.