Aperçu de l'examen et format
Comprendre la certification
Le Certified AFC Auditor, anciennement appelé Advanced CAMS-Audit, s’adresse notamment aux professionnels qui réalisent des audits AFC, de la surveillance de conformité ou des tests indépendants. Le travail attendu consiste à évaluer les contrôles et leur fonctionnement, et non simplement à vérifier qu’une politique existe.
Selon les informations publiques d’ACAMS consultées le 11 octobre 2026, l’examen comprend 90 questions à choix unique en 180 minutes. Le format, les conditions de réservation, les frais et les langues disponibles pouvant évoluer, vérifiez-les directement auprès d’ACAMS avant de vous inscrire. Ce guide est rédigé en français pour faciliter l’étude : cela ne signifie pas que l’examen est proposé en français.
Comment utiliser ce guide
Les concepts suivent une progression allant de la gouvernance et de la planification jusqu’aux tests, au reporting et au suivi des mesures correctives. Les priorités du tableau sont éditoriales : elles ne représentent pas des pondérations officielles de l’examen. Pour les informations à jour sur la certification, consultez la page officielle du Certified AFC Auditor d’ACAMS.
Repères de préparation (regroupement pédagogique)
| Repère de révision | Périmètre à travailler | Angle de travail |
|---|---|---|
| Gouvernance et fonction d’audit | Mandat, indépendance, responsabilités des lignes de contrôle, supervision par les organes de gouvernance et rôle de l’assurance indépendante. | Distinguer qui gouverne, qui gère les risques et qui fournit une assurance indépendante. |
| Planification et cadrage | Univers et appréciation des risques, objectifs, périmètre, critères, matérialité, échantillonnage, ressources et communication. | Justifier la couverture, les méthodes retenues et les limites de la mission. |
| Travaux de terrain et évaluation | Évaluation du programme AFC; gouvernance, politiques, procédures, formation, information de gestion et gestion des constats; tests KYC/CDD, surveillance des transactions, sanctions, déclarations, modèles, données et preuves. | Évaluer la conception et le fonctionnement des contrôles à partir d’éléments pertinents et suffisamment fiables. |
| Reporting, recommandations et suivi | Constats, notation, causes, recommandations, plans d’action, récurrence, risque résiduel, validation et escalade. | Formuler des conclusions défendables et vérifier que les mesures correctives traitent le problème. |
60 concepts à comprendre et à appliquer 1–10
1. Le mandat de la fonction d’audit
Planification de l’audit AFC
Le mandat précise le rôle, l’autorité, les responsabilités et les limites de la fonction d’audit. Il doit permettre un accès approprié aux informations et aux personnes nécessaires, tout en rendant claire la nature indépendante de l’évaluation. En matière AFC, un mandat intelligible aide à distinguer l’assurance indépendante de la gestion quotidienne des contrôles et des conseils opérationnels.
Mise en situation: Avant une revue du filtrage des sanctions, l’auditeur confirme dans son mandat qu’il peut consulter les journaux de filtrage et interroger les équipes concernées, sans prendre en charge le traitement des alertes.
Erreur fréquente: Un mandat général d’audit ne signifie pas que chaque revue AFC peut ignorer les contraintes de confidentialité ou d’accès. Il faut résoudre les limites concrètes et en apprécier l’effet sur les travaux.
2. Indépendance et objectivité
Planification de l’audit AFC
L’indépendance protège la capacité de l’auditeur à choisir ses procédures, à interpréter les preuves et à communiquer ses conclusions sans pression indue. L’objectivité exige aussi de reconnaître les conflits d’intérêts et les biais possibles. Si une menace ne peut pas être évitée, elle doit être évaluée et traitée selon le cadre de gouvernance applicable à la fonction d’audit.
Mise en situation: Une auditrice ayant conçu récemment un nouveau processus de filtrage est pressentie pour le tester. Le responsable d’audit examine ce conflit et affecte le test à une personne indépendante.
Erreur fréquente: L’indépendance ne se réduit pas au fait de ne pas appartenir à l’équipe conformité. Une relation antérieure, une responsabilité opérationnelle ou une pression hiérarchique peut aussi compromettre l’objectivité.
3. Séparer les rôles des lignes de contrôle
Planification de l’audit AFC
Les responsables opérationnels gèrent les risques liés à leurs activités et mettent en œuvre les contrôles, rôle souvent associé à la première ligne. Les fonctions de conformité ou de risque peuvent fournir une expertise, exercer une surveillance ou remettre en question les pratiques, selon leur mandat. L’audit fournit une assurance indépendante. Les structures et intitulés variant d’une organisation à l’autre, l’auditeur examine les responsabilités réellement exercées plutôt que de déduire le rôle d’une équipe de son nom.
Mise en situation: Une équipe de conformité réalise des revues périodiques de dossiers dans le cadre de sa mission de surveillance. L’audit évalue indépendamment la portée, la méthode et le suivi de ces revues, sans présenter leurs résultats comme ses propres tests.
Erreur fréquente: Une vérification de deuxième ligne ne devient pas automatiquement un audit indépendant parce qu’elle porte sur des dossiers. L’indépendance, les responsabilités et l’usage des résultats restent déterminants.
4. Supervision par l’organe de gouvernance
Planification de l’audit AFC
La gouvernance AFC comprend les mécanismes de supervision, les responsabilités et les voies d’escalade qui permettent aux organes compétents de suivre les risques importants. L’audit examine si l’information qui leur est transmise est pertinente et si les responsabilités sont comprises. Il évalue la gouvernance; il ne se substitue ni à l’organe de gouvernance ni à la direction dans leurs décisions.
Mise en situation: Des retards de traitement d’alertes persistent dans plusieurs unités. L’audit vérifie si cette tendance, ses conséquences possibles et les mesures proposées ont été portées à l’attention de l’instance de gouvernance compétente.
Erreur fréquente: La présence d’un comité ou d’un compte rendu ne démontre pas, à elle seule, une supervision efficace. Il faut aussi examiner la qualité de l’information, les décisions prises et le suivi des sujets.
5. Construire l’univers d’audit
Planification de l’audit AFC
L’univers d’audit réunit les activités, entités, processus, systèmes ou risques susceptibles de faire l’objet d’une revue. Pour l’AFC, il peut couvrir les parcours clients, les produits, les canaux, les juridictions et les contrôles transversaux. Une cartographie suffisamment complète permet de repérer les zones non couvertes et d’expliquer les choix du plan d’audit.
Mise en situation: Une banque met à jour sa cartographie pour inclure une nouvelle activité de paiements, ses prestataires de filtrage et les équipes qui traitent les alertes correspondantes.
Erreur fréquente: Une liste d’entités juridiques n’est pas nécessairement un univers d’audit AFC utile. Elle peut omettre les flux, systèmes et contrôles transversaux qui créent ou atténuent le risque.
6. Risque inhérent
Planification de l’audit AFC
Le risque inhérent désigne l’exposition avant de tenir compte de l’effet des contrôles. L’auditeur le comprend à partir du contexte : activités, clientèle, produits, canaux, zones géographiques et menaces pertinentes. Cette appréciation aide à identifier où une défaillance pourrait avoir le plus de conséquences, sans présumer que les contrôles en place sont efficaces.
Mise en situation: Un nouveau canal de paiements rapides présente des caractéristiques qui peuvent augmenter l’exposition à certains risques. L’audit l’examine même si aucun incident confirmé n’a encore été signalé.
Erreur fréquente: L’absence d’incident connu ne prouve pas que le risque inhérent est faible. Les incidents peuvent être non détectés, et l’appréciation doit considérer l’exposition potentielle.
7. Risque résiduel
Planification de l’audit AFC
Le risque résiduel est l’exposition estimée après prise en compte des contrôles existants. Pendant la planification, l’évaluation de la direction constitue une information utile, mais pas une conclusion d’audit sur l’efficacité de ces contrôles. L’auditeur apprécie leur effet à partir des éléments recueillis et des tests réalisés, puis considère le risque qui demeure.
Mise en situation: La direction classe un portefeuille comme présentant un risque résiduel faible en raison de contrôles renforcés. Avant de s’appuyer sur cette classification pour limiter la couverture, l’auditeur examine la conception et l’exécution des contrôles concernés.
Erreur fréquente: Un score de risque résiduel attribué par l’organisation ne prouve pas que les contrôles fonctionnent. Le traiter comme un résultat d’audit revient à transformer une hypothèse de planification en conclusion.
8. Planification fondée sur les risques
Planification de l’audit AFC
Une planification fondée sur les risques oriente les travaux vers les expositions les plus importantes, les changements significatifs et les contrôles essentiels. Elle combine plusieurs sources : évaluations de risque, incidents, constats antérieurs, évolutions des activités et informations de gouvernance. Le plan doit rester explicable et révisable ; il ne s’agit ni de tester partout de façon identique, ni de suivre mécaniquement une note interne.
Mise en situation: Face à une expansion des paiements transfrontaliers et à des faiblesses antérieures dans les données, l’audit propose une revue ciblée des flux et de leurs contrôles de filtrage.
Erreur fréquente: Un plan n’est pas fondé sur les risques simplement parce qu’il reprend les scores de la direction. L’auditeur doit apprécier leur pertinence et les confronter à d’autres éléments.
9. Actualiser le plan face aux changements
Planification de l’audit AFC
Le profil de risque AFC évolue lorsque changent les produits, les systèmes, les volumes, les prestataires, les marchés ou les menaces observées. L’auditeur doit réexaminer la pertinence du plan lorsque de nouvelles informations modifient les priorités. Une mise à jour raisonnée peut conduire à avancer, élargir ou réduire une revue, en documentant l’effet du changement sur la couverture globale.
Mise en situation: Un prestataire de filtrage est remplacé en cours d’année. L’équipe d’audit réévalue le calendrier pour couvrir la migration, les tests d’acceptation et la surveillance après déploiement.
Erreur fréquente: Respecter le plan annuel sans tenir compte d’un changement important peut laisser une exposition majeure hors examen. La stabilité du calendrier n’est pas une fin en soi.
10. Définir le périmètre
Planification de l’audit AFC
Le périmètre fixe les activités, entités, contrôles, périodes et interfaces inclus dans une mission, ainsi que les exclusions significatives. Il doit être assez précis pour guider les tests et assez large pour répondre à l’objectif. Une exclusion peut être justifiée, mais son effet sur l’assurance obtenue doit être évalué et expliqué aux parties concernées.
Mise en situation: Une revue de surveillance couvre les règles de génération d’alertes et leur traitement, mais exclut la validation indépendante du modèle. Le rapport précise cette limite et évite toute conclusion sur le modèle.
Erreur fréquente: Un périmètre étroit n’est pas nécessairement efficace si les interfaces exclues déterminent le résultat du contrôle. Les limites doivent être confrontées aux objectifs et aux risques.
60 concepts à comprendre et à appliquer 11–20
11. Formuler des objectifs auditables
Planification de l’audit AFC
Un objectif décrit la question à laquelle les travaux doivent répondre, par exemple si un contrôle est conçu pour traiter un risque donné et s’il fonctionne dans la période examinée. Un objectif précis oriente les procédures, les preuves nécessaires et les conclusions possibles. Des formulations générales comme « examiner la conformité AFC » rendent difficile de définir une couverture suffisante.
Mise en situation: L’équipe remplace « revoir la surveillance » par « évaluer si les alertes prioritaires sont attribuées, analysées et escaladées conformément au processus applicable ».
Erreur fréquente: Un objectif qui promet de prouver l’absence de toute activité suspecte dépasse généralement ce qu’un audit peut établir. Les conclusions doivent rester proportionnées aux procédures et aux éléments obtenus.
12. Choisir des critères d’évaluation pertinents
Planification de l’audit AFC
Les critères sont les références servant à comparer la pratique observée : exigences applicables, politiques internes, procédures approuvées, objectifs de contrôle ou engagements pertinents. L’auditeur doit vérifier qu’ils sont à jour, applicables au périmètre et suffisamment précis. Des critères mal choisis produisent des constats contestables, même si les faits recueillis sont exacts.
Mise en situation: Pour tester l’escalade des alertes, l’auditeur identifie la procédure interne en vigueur pendant la période, puis vérifie séparément les exigences locales pertinentes pour l’entité.
Erreur fréquente: Une recommandation internationale ou une pratique souhaitable ne devient pas automatiquement une obligation juridique locale. Distinguez clairement la loi applicable des critères internes et des bonnes pratiques.
13. Matérialité et importance relative
Planification de l’audit AFC
La matérialité aide à décider quels écarts peuvent affecter significativement les objectifs, les risques ou les décisions de gouvernance. En AFC, une anomalie peu fréquente peut rester importante si elle touche un contrôle essentiel ou révèle une faiblesse systémique. L’analyse ne se limite donc pas à un seuil numérique : elle tient compte du contexte, de la nature et des conséquences possibles.
Mise en situation: Deux dossiers présentent la même omission. Dans l’un, elle concerne une étape administrative secondaire ; dans l’autre, elle empêche d’évaluer une relation jugée sensible. Leur importance peut différer.
Erreur fréquente: La faible fréquence d’une exception ne suffit pas à la qualifier de négligeable. Une défaillance rare mais liée à un risque grave peut nécessiter une investigation plus large.
14. Concevoir un échantillonnage défendable
Planification de l’audit AFC
L’échantillonnage doit correspondre à la question, à la population et au risque examinés. L’auditeur définit les unités, la période, les critères de sélection et les limites d’inférence. Un échantillon ciblé peut servir à examiner des cas à risque élevé; une méthode représentative répond à un autre objectif et peut étayer d’autres conclusions. La méthode choisie doit être documentée pour que les résultats soient interprétables.
Mise en situation: Pour examiner les dérogations de vigilance, l’auditeur sélectionne des dossiers à risque élevé dans la population des dérogations. S’il veut aussi estimer la fréquence des erreurs dans l’ensemble des dossiers examinés, il constitue séparément un échantillon selon une méthode adaptée à cette population.
Erreur fréquente: Un échantillon ciblé ne permet pas automatiquement d’estimer la fréquence des erreurs dans toute la population. La conclusion doit refléter la méthode de sélection réellement utilisée.
15. Prévoir les compétences, le temps et les échanges
Planification de l’audit AFC
La mission exige des compétences adaptées aux sujets examinés, un calendrier réaliste, un accès aux systèmes et des échanges structurés avec les interlocuteurs. Des lacunes en expertise, en disponibilité ou en accès peuvent réduire la portée des tests. Il faut les repérer assez tôt, obtenir un soutien approprié et communiquer leur effet potentiel sur l’objectif et les conclusions.
Mise en situation: Une revue de modèle nécessite des compétences techniques que l’équipe ne possède pas. Le responsable organise un appui spécialisé avant de confirmer le programme de tests.
Erreur fréquente: Un calendrier serré ne justifie pas de supprimer les procédures essentielles sans en mesurer l’impact. L’effort doit être ajusté avec transparence, pas au prix d’une assurance implicite.
16. Évaluer le programme dans son ensemble
Évaluation de l’efficacité du programme
L’efficacité du programme AFC dépend de l’interaction entre gouvernance, responsabilités, politiques, personnel, systèmes, contrôles et suivi. Une mission doit examiner comment ces éléments se soutiennent ou se contredisent, plutôt que noter uniquement l’existence de documents. Une faiblesse de coordination peut rendre inefficace un ensemble de contrôles qui semblent satisfaisants lorsqu’ils sont examinés séparément.
Mise en situation: Les équipes possèdent des procédures cohérentes, mais les problèmes de données ne sont transmis ni à la conformité ni aux responsables des systèmes. L’audit examine cette rupture transversale.
Erreur fréquente: Une liste complète de politiques et de contrôles n’est pas une preuve d’efficacité globale. Il faut comprendre le fonctionnement des interactions et les résultats qu’elles produisent.
17. Responsabilités et reddition de comptes
Évaluation de l’efficacité du programme
Un programme solide attribue clairement qui conçoit, exécute, surveille et corrige chaque contrôle. Le cadre de gouvernance doit également préciser qui est habilité à accepter les risques résiduels. L’audit vérifie si ces responsabilités sont comprises et exercées dans la pratique; il évalue le processus d’acceptation et signale les risques, mais ne prend pas cette décision à la place des responsables habilités.
Mise en situation: Les retards d’alerte sont renvoyés entre l’équipe opérationnelle et la conformité. L’audit compare les responsabilités formalisées aux actions réellement prises et vérifie si les risques non résolus sont transmis au niveau habilité à en décider.
Erreur fréquente: Attribuer nominalement un contrôle à une équipe ne prouve pas qu’elle en assume effectivement la responsabilité. Il faut vérifier son autorité, ses ressources et le suivi; l’audit ne doit pas se substituer à la direction dans l’acceptation du risque.
18. Culture et ton donné par la direction
Évaluation de l’efficacité du programme
La culture influence la façon dont les équipes appliquent les contrôles, signalent les difficultés et résistent aux pressions commerciales. L’audit peut examiner des indices observables : décisions, messages, traitement des exceptions et réaction aux problèmes soulevés. Les déclarations de soutien de la direction comptent, mais leur cohérence avec les actes est essentielle.
Mise en situation: La direction affirme que les escalades sont encouragées, mais les dossiers montrent que les analystes sont pénalisés lorsqu’ils retardent une décision commerciale pour effectuer une vérification.
Erreur fréquente: Un entretien isolé ou un slogan institutionnel ne suffit pas à établir la culture. Il faut comparer les messages avec les comportements, les décisions et les mécanismes de signalement.
19. Adéquation de l’évaluation des risques AFC
Évaluation de l’efficacité du programme
L’évaluation des risques AFC doit refléter les activités et les expositions réelles de l’organisation et éclairer ses contrôles. L’audit vérifie les sources utilisées, la prise en compte des changements, la cohérence des appréciations et la façon dont les conclusions influencent les décisions. Une notation peut être bien présentée tout en ignorant des données ou segments déterminants.
Mise en situation: Une évaluation annuelle classe uniformément les canaux numériques comme modérés. L’audit examine si les volumes, les incidents et les nouvelles fonctionnalités ont été intégrés à cette conclusion.
Erreur fréquente: La validation formelle d’une évaluation par un comité ne démontre pas sa qualité. L’auditeur examine les hypothèses, les données et l’usage concret des résultats.
20. Politiques : clarté et cohérence
Évaluation de l’efficacité du programme
Une politique établit les principes, responsabilités et exigences internes de haut niveau. L’auditeur examine si elle est approuvée, suffisamment claire, cohérente avec les exigences applicables et communiquée aux équipes concernées. Il vérifie également les écarts entre la politique, les instructions détaillées et les pratiques, car une règle contradictoire peut rendre le contrôle impraticable.
Mise en situation: La politique prévoit une approbation renforcée pour certaines exceptions, tandis que l’outil permet à l’équipe de les valider seule. L’audit évalue cette contradiction et son effet.
Erreur fréquente: La publication d’une politique ne démontre ni sa compréhension ni son application. Un document peut être conforme dans sa forme et contredit par les processus réels.
60 concepts à comprendre et à appliquer 21–30
21. Procédures applicables dans la pratique
Évaluation de l’efficacité du programme
Les procédures traduisent les politiques en étapes, décisions et responsabilités opérationnelles. Pour en évaluer la qualité, l’auditeur vérifie qu’elles sont à jour, compréhensibles et adaptées aux cas rencontrés, puis les compare aux dossiers et aux démonstrations du processus. Une procédure utile doit guider le traitement des exceptions, pas seulement décrire le cas idéal.
Mise en situation: Une procédure de filtrage explique le traitement des correspondances incertaines, mais ne précise pas qui tranche lorsqu’une alerte reste non résolue. L’audit suit plusieurs cas pour mesurer cette lacune.
Erreur fréquente: La conformité apparente à une procédure ne suffit pas si ses étapes ne répondent pas au risque. L’auditeur évalue aussi la pertinence du processus qu’elle formalise.
22. Formation et compétence
Évaluation de l’efficacité du programme
La formation doit répondre aux rôles, aux risques et aux changements auxquels le personnel est exposé. L’audit examine sa pertinence, son accessibilité, son suivi et, lorsque c’est utile, les moyens de vérifier la compréhension. La participation à un module est une donnée d’activité ; elle ne prouve pas à elle seule que la personne sait appliquer le contrôle.
Mise en situation: Les analystes suivent tous la même formation générale. L’audit compare ce contenu aux tâches spécialisées de traitement des alertes et teste la compréhension de cas pratiques.
Erreur fréquente: Un taux élevé de complétion ne démontre pas une compétence opérationnelle. Il faut relier le contenu et les résultats d’apprentissage aux responsabilités des personnes formées.
23. Ressources et capacité de la fonction de lutte contre la criminalité financière
Évaluation de l’efficacité du programme
L’adéquation des ressources dépend du volume, de la complexité et de la répartition du travail, ainsi que des compétences et des outils disponibles. L’audit examine si la capacité de la fonction de lutte contre la criminalité financière permet d’exécuter et de superviser les contrôles dans des conditions réalistes. Des retards répétés ou une dépendance à quelques personnes peuvent signaler une fragilité, sans prouver automatiquement une violation.
Mise en situation: Une équipe connaît une hausse durable des alertes et accumule des dossiers en attente. L’audit rapproche l’évolution des volumes, des effectifs, des compétences et des priorités de traitement.
Erreur fréquente: Un effectif inférieur à une cible interne n’établit pas seul l’inefficacité. Il faut montrer comment les ressources influent sur les contrôles et les risques.
24. Information de gestion utile
Évaluation de l’efficacité du programme
L’information de gestion transforme les données opérationnelles en éléments permettant de surveiller les contrôles et de décider. L’auditeur examine sa définition, sa fiabilité, sa granularité, sa fréquence et les limites connues. Des indicateurs sans dénominateur, sans segmentation ou sans rapprochement avec les risques peuvent masquer une détérioration derrière une moyenne apparemment stable.
Mise en situation: Le nombre d’alertes clôturées augmente, mais le rapport ne montre ni l’ancienneté des alertes restantes ni leur niveau de risque. L’audit vérifie si la direction reçoit une vision suffisante.
Erreur fréquente: Un tableau de bord soigné n’est pas nécessairement informatif. Vérifiez les données sous-jacentes, les définitions et les éléments importants absents de la présentation.
25. Reporting aux organes de gouvernance
Évaluation de l’efficacité du programme
Les rapports aux organes de gouvernance doivent permettre de comprendre les risques AFC importants, les faiblesses, les tendances et les décisions attendues. L’audit examine l’exactitude, la clarté et la possibilité de remonter d’un indicateur à ses sources. L’information doit également attirer l’attention sur les limites et les sujets nécessitant une décision ou un suivi.
Mise en situation: Un rapport présente un résultat agrégé satisfaisant. L’audit vérifie si les exceptions répétées par région et les retards d’escalade apparaissent dans les documents transmis au comité.
Erreur fréquente: La transmission régulière d’un rapport ne prouve pas une surveillance efficace. Son contenu peut être trop agrégé, tardif ou dépourvu d’informations utiles à la décision.
26. Gestion des constats internes
Évaluation de l’efficacité du programme
Un dispositif de gestion des constats recense les faiblesses, désigne des responsables, suit les actions et rend visibles les retards ou les risques persistants. L’audit évalue la qualité de ce cycle, notamment la cohérence des statuts et l’existence d’une validation avant clôture. Un suivi administratif exact ne garantit pas que la faiblesse opérationnelle a été corrigée.
Mise en situation: Un problème de filtrage est marqué comme résolu après la publication d’une nouvelle consigne. L’audit vérifie ensuite, sur des cas postérieurs, si le contrôle fonctionne réellement.
Erreur fréquente: La clôture dans un outil n’est pas une preuve de remédiation efficace. La correction doit être étayée par des éléments adaptés au défaut constaté.
27. Tests indépendants et assurance
Évaluation de l’efficacité du programme
Les tests indépendants peuvent révéler si les contrôles fonctionnent, à condition que leur portée, leur méthode et leurs résultats soient fiables. L’auditeur examine qui a réalisé les tests, son indépendance, la qualité de l’échantillon, les preuves, le traitement des exceptions et les suites données. Il peut s’appuyer sur des travaux antérieurs seulement après en avoir évalué la pertinence.
Mise en situation: Une équipe de contrôle a testé des dossiers KYC. L’audit examine son programme, ses sélections, ses pièces justificatives et le suivi des erreurs avant de décider s’il peut utiliser ses résultats.
Erreur fréquente: Le mot « indépendant » dans le titre d’une équipe ne garantit pas son indépendance. Examinez son rattachement, ses responsabilités et la façon dont elle réalise ses tests.
28. Gouvernance des changements
Évaluation de l’efficacité du programme
Les changements de produits, règles, données, systèmes ou prestataires peuvent modifier la couverture des contrôles AFC. Une gouvernance efficace identifie les incidences, attribue des responsabilités, teste les modifications et suit les problèmes après mise en œuvre. L’audit vérifie les étapes réellement suivies et ne suppose pas qu’une validation technique couvre automatiquement les risques de conformité.
Mise en situation: Une mise à jour du système de paiement ajoute un nouveau code de transaction. L’audit vérifie si son effet sur les règles de surveillance a été évalué et testé avant le déploiement.
Erreur fréquente: Une approbation du changement informatique ne prouve pas que les risques AFC ont été examinés. Les contrôles touchés et leurs données doivent être identifiés explicitement.
29. Surveillance des prestataires
Évaluation de l’efficacité du programme
L’externalisation d’une activité ne supprime pas le besoin de comprendre et de surveiller les contrôles correspondants. L’auditeur examine les responsabilités, les informations accessibles, les indicateurs, les incidents et le suivi des engagements du prestataire. Il évalue aussi les limites de visibilité qui peuvent empêcher l’organisation d’obtenir une assurance suffisante sur une activité importante.
Mise en situation: Un prestataire traite une partie des alertes de filtrage. L’audit rapproche les engagements convenus, les rapports de qualité, les incidents et les contrôles effectués par l’organisation cliente.
Erreur fréquente: Un rapport du prestataire ne couvre pas nécessairement le périmètre ou la période de l’audit. Vérifiez ce qu’il examine et les limites de son assurance.
30. Mesurer les résultats, pas seulement l’activité
Évaluation de l’efficacité du programme
Les volumes de formations, de revues ou d’alertes traitées décrivent une activité, mais ne démontrent pas seuls la qualité ou l’effet des contrôles. L’audit cherche des indicateurs liés aux objectifs, aux erreurs, aux délais, aux tendances et aux risques. Une combinaison de mesures quantitatives et d’examens qualitatifs donne généralement une lecture plus utile.
Mise en situation: Un service clôture davantage d’alertes qu’au trimestre précédent. L’audit examine aussi les dossiers réouverts, l’ancienneté du stock et la qualité des décisions avant d’interpréter cette hausse.
Erreur fréquente: Un indicateur en hausse n’est pas automatiquement une amélioration. Sans contexte ni mesure de qualité, il peut refléter un changement de volume plutôt qu’un contrôle plus efficace.
60 concepts à comprendre et à appliquer 31–40
31. Identification et vérification KYC/CDD
Tests des contrôles AFC clés
Les contrôles KYC/CDD visent à obtenir et à maintenir des informations adaptées sur le client et la relation, conformément au cadre applicable et au profil de risque. L’auditeur teste si les informations exigées par le processus ont été recueillies, vérifiées et utilisées pour éclairer les décisions. La procédure et les pièces attendues dépendent du contexte et de la juridiction.
Mise en situation: Dans un échantillon d’ouvertures de comptes, l’auditeur compare les données saisies aux pièces disponibles et vérifie que les anomalies ont été résolues avant la décision prévue.
Erreur fréquente: La présence d’une pièce dans le dossier ne prouve pas que son contenu a été vérifié ou pris en compte. Il faut tester le contrôle et la décision associés.
32. Classification du risque client
Tests des contrôles AFC clés
Une classification du risque client devrait refléter les facteurs pertinents retenus par le cadre de l’organisation et orienter les contrôles associés. L’auditeur vérifie l’exactitude des données, la cohérence de l’application des règles et le traitement des changements ou dérogations. Une catégorie de risque constitue un outil de décision ; elle ne prouve pas à elle seule un comportement illicite.
Mise en situation: Deux clients ayant des profils comparables reçoivent des classifications différentes. L’audit retrace les facteurs enregistrés, les paramètres du système et les éventuelles dérogations.
Erreur fréquente: Une catégorie élevée n’est pas une conclusion de criminalité ni un motif automatique de refus. Elle appelle une réponse proportionnée selon le contexte et les règles applicables.
33. Bénéficiaires effectifs : propriété et contrôle
Tests des contrôles AFC clés
L’examen de la propriété et du contrôle vise à comprendre quelles personnes physiques se trouvent derrière une structure, selon les définitions et exigences applicables. L’auditeur teste les informations recueillies, les sources, les incohérences et les démarches de résolution. Des structures complexes peuvent exiger un suivi renforcé, mais les critères juridiques exacts varient selon les juridictions.
Mise en situation: Un dossier décrit plusieurs sociétés interposées sans document expliquant leur relation. L’auditeur vérifie si les démarches prévues permettent d’identifier les personnes physiques qui détiennent ou contrôlent la structure en dernier ressort, selon les définitions applicables, ou de signaler les informations manquantes.
Erreur fréquente: Ne transposez pas un seuil de propriété ou une définition issue d’une juridiction à toutes les autres. Établissez d’abord le cadre applicable à l’entité examinée.
34. Vigilance renforcée proportionnée
Tests des contrôles AFC clés
Les mesures de vigilance renforcée répondent de manière proportionnée à des facteurs de risque plus élevés, conformément au cadre applicable et aux risques constatés. L’audit examine si les mesures choisies répondent aux facteurs présents, si les décisions sont motivées et si la relation est suivie comme prévu. Une catégorie ou un indicateur de risque n’établit pas, à lui seul, qu’une relation doit être rejetée.
Mise en situation: Un client présente un facteur de risque qui justifie des vérifications supplémentaires selon la politique applicable. L’audit vérifie qu’elles ont été réalisées et que la décision prise ensuite est motivée.
Erreur fréquente: Le fait qu’une juridiction figure sur la liste du GAFI des juridictions soumises à une surveillance accrue n’impose pas, à lui seul, une vigilance renforcée uniforme ni la fin de la relation. L’organisation doit évaluer les risques de façon contextualisée et proportionnée.
35. Mise à jour des informations client et suivi continu
Tests des contrôles AFC clés
Le suivi continu vise à détecter les changements pertinents dans le profil ou l’activité d’une relation. La mise à jour des informations dépend du processus et des exigences applicables. L’auditeur teste si les déclencheurs de réexamen, les examens prévus et les mises à jour sont cohérents avec le risque. Il examine aussi la gestion des données manquantes ou devenues obsolètes.
Mise en situation: Une activité récente diffère sensiblement du profil consigné. L’auditeur vérifie si le dispositif a fait remonter le changement et si une réévaluation documentée a suivi.
Erreur fréquente: Un dossier complet à l’ouverture n’est pas nécessairement à jour plus tard. À l’inverse, n’inventez pas une fréquence de mise à jour universelle : elle dépend du cadre applicable.
36. Données d’entrée et traçabilité de la surveillance
Tests des contrôles AFC clés
La surveillance des transactions dépend de données qui doivent parvenir au système avec une qualité et une transformation maîtrisées. L’auditeur suit la traçabilité depuis les systèmes sources jusqu’aux champs utilisés par les règles, en examinant les interfaces, exclusions et rapprochements. Une logique de détection pertinente ne peut compenser des données absentes, erronées ou mal transformées.
Mise en situation: Un champ décrivant le type de transaction n’est pas transmis pour une partie des virements. L’audit suit le flux de données et mesure les segments et règles concernés.
Erreur fréquente: Des alertes plausibles ne prouvent pas que toutes les données nécessaires sont reçues. Vérifiez la complétude et la transformation, pas seulement les sorties du système.
37. Couverture des scénarios et des risques
Tests des contrôles AFC clés
Les scénarios de surveillance doivent être reliés aux risques, aux produits et aux comportements qu’ils sont conçus pour détecter. L’auditeur examine les hypothèses, les segments couverts, les exclusions et les résultats des ajustements. Une absence d’alerte peut refléter une activité réellement absente, mais aussi un scénario inadéquat ou un périmètre de données incomplet.
Mise en situation: Un nouveau produit permet des mouvements entre comptes qui n’étaient pas prévus dans les scénarios existants. L’audit vérifie comment le risque a été évalué et si la couverture a été testée.
Erreur fréquente: L’existence de nombreux scénarios ne démontre pas une bonne couverture. Leur pertinence dépend des risques, des données et de la capacité à reconnaître les angles morts.
38. Traitement des alertes
Tests des contrôles AFC clés
Le traitement des alertes comprend leur attribution, leur analyse, leur décision, leur documentation et, si nécessaire, leur escalade. L’auditeur vérifie la cohérence entre les procédures et les dossiers réels, y compris les retards, les fermetures et les réouvertures. Une décision doit être suffisamment étayée pour qu’un autre examinateur puisse comprendre le raisonnement suivi.
Mise en situation: Plusieurs alertes sont clôturées avec la même phrase générique. L’auditeur sélectionne les dossiers et vérifie si l’analyse tient compte des faits propres à chaque cas.
Erreur fréquente: La clôture d’une alerte ne prouve pas que l’analyse était adéquate. Le résultat doit être évalué au regard des informations examinées et du raisonnement documenté.
39. Escalade et déclarations de soupçon
Tests des contrôles AFC clés
L’audit peut évaluer si les soupçons sont identifiés, remontés et traités selon les responsabilités et exigences applicables à l’entité et à sa juridiction. Il vérifie la traçabilité des décisions et la maîtrise de la confidentialité. Les délais, critères et modalités de déclaration ne sont pas universels : ils doivent être établis à partir des règles compétentes.
Mise en situation: Un analyste relève des éléments nécessitant une décision d’escalade. L’auditeur suit le dossier jusqu’à la décision documentée et compare le processus aux exigences locales applicables.
Erreur fréquente: Un signal d’alerte n’est pas une preuve de délit. L’auditeur teste la qualité de l’escalade et des décisions sans transformer un indicateur en verdict.
40. Qualité du filtrage des sanctions
Tests des contrôles AFC clés
Un contrôle de filtrage doit appliquer les règles et listes pertinentes au contexte de l’entité, traiter les correspondances et documenter les décisions. L’auditeur examine la couverture des populations concernées, les paramètres, la gestion des alertes et les contrôles contre les erreurs. Les conséquences juridiques et les obligations dépendent du régime applicable ; une correspondance possible doit être examinée, non présumée concluante.
Mise en situation: Une alerte de filtrage est clôturée comme faux positif sans justification détaillée. L’audit vérifie les données comparées, la décision et le respect du processus interne applicable.
Erreur fréquente: Une correspondance possible n’établit pas à elle seule une violation ou une identité certaine. Il faut examiner les éléments et appliquer le régime juridique pertinent.
60 concepts à comprendre et à appliquer 41–50
41. Propriété, contrôle et régimes de sanctions
Tests des contrôles AFC clés
L’analyse des liens de propriété ou de contrôle peut influer sur l’évaluation d’une relation au regard d’un régime de sanctions, mais les règles varient selon la juridiction. L’auditeur identifie le régime applicable, la méthode suivie et les sources examinées. Dans le régime de l’OFAC, la règle des 50 % vise généralement les entités détenues directement ou indirectement, à hauteur d’au moins 50 % au total, par une ou plusieurs personnes bloquées. Cette règle ne permet pas de déduire les critères applicables dans d’autres régimes.
Mise en situation: Une entité est détenue indirectement par plusieurs sociétés. L’auditeur vérifie les liens de propriété établis, puis examine la méthode de calcul retenue par l’organisation au regard du régime applicable à cette opération.
Erreur fréquente: Ne traitez pas la règle OFAC des 50 % comme une norme universelle : elle porte sur la propriété directe ou indirecte agrégée par des personnes bloquées. Les règles relatives au contrôle et celles d’autres juridictions peuvent différer.
42. Validation et surveillance des modèles
Tests des contrôles AFC clés
La validation évalue si un modèle est adapté à son objectif, repose sur des hypothèses défendables et produit des résultats suffisamment fiables. La surveillance continue détecte ensuite des dérives ou changements qui peuvent affecter ses performances. L’auditeur examine la gouvernance, les tests, les limites, les versions et les suites données ; il distingue ces questions de celles touchant les données d’entrée.
Mise en situation: Un modèle a été validé avant le lancement d’un produit, mais les résultats changent fortement après son ajout. L’audit vérifie si la portée de la validation couvrait ce produit et si un réexamen a eu lieu.
Erreur fréquente: Une validation antérieure ne garantit pas que le modèle reste adapté après un changement important. Elle n’établit pas non plus que les données actuelles sont de bonne qualité.
43. Qualité et complétude des données
Tests des contrôles AFC clés
La qualité des données se juge selon leur exactitude, leur complétude, leur cohérence et leur adéquation à l’usage prévu. Pour tester un contrôle AFC, l’auditeur vérifie les champs déterminants, les sources, les transformations et les contrôles de correction. Il faut localiser les défauts dans la chaîne de données avant de décider si le problème vient du modèle, du processus ou de la gouvernance.
Mise en situation: Des codes de produit incorrects excluent certains comptes d’un scénario. L’auditeur confirme le défaut à la source et suit ses effets jusqu’aux résultats de surveillance.
Erreur fréquente: Un faible nombre d’alertes ne prouve pas à lui seul que le modèle est mal calibré. Des données incomplètes peuvent expliquer le résultat et nécessiter une autre remédiation.
44. Conception du contrôle et exécution réelle
Tests des contrôles AFC clés
La conception évalue si le contrôle, correctement appliqué, peut prévenir, détecter ou corriger le risque visé. L’efficacité opérationnelle concerne son exécution réelle pendant la période et par les personnes ou systèmes concernés. Pour conclure, l’auditeur teste ces dimensions séparément : une procédure bien conçue n’efface pas une défaillance d’exécution, et une exécution fidèle ne corrige pas une conception inadéquate.
Mise en situation: La procédure d’approbation des dérogations est claire, mais des dossiers montrent des validations hors délégation. L’auditeur distingue la qualité de la règle de son application réelle.
Erreur fréquente: Lire une procédure ne suffit pas à conclure que le contrôle fonctionne. À l’inverse, une exception opérationnelle ne prouve pas automatiquement que la conception est défectueuse.
45. Fiabilité et suffisance des preuves
Tests des contrôles AFC clés
Les preuves doivent être suffisamment pertinentes et fiables pour soutenir une conclusion. Leur valeur dépend de leur source, de leur intégrité, de leur lien avec l’objectif et de la possibilité de les corroborer. Une extraction système, un document source et une déclaration d’entretien n’apportent pas le même type d’assurance ; leur qualité doit être appréciée dans le contexte du test.
Mise en situation: Un responsable affirme que chaque alerte a été approuvée. L’auditeur rapproche cette déclaration des dossiers, horodatages et journaux de validation disponibles.
Erreur fréquente: Une preuve produite par un système n’est pas automatiquement fiable si l’accès, l’extraction ou les paramètres ne sont pas maîtrisés. La provenance et l’intégrité comptent aussi.
46. Interpréter les exceptions d’échantillon
Tests des contrôles AFC clés
Une exception est un écart par rapport au critère de test, pas encore une explication complète de sa cause ou de son étendue. L’auditeur confirme les faits, évalue leur importance, cherche des motifs et décide si des tests complémentaires sont nécessaires. Toute extrapolation doit tenir compte de la méthode de sélection et des limites de l’échantillon.
Mise en situation: Un dossier de diligence ne contient pas l’analyse attendue. L’auditeur vérifie si la pièce est conservée ailleurs, puis recherche si la même omission apparaît dans d’autres segments.
Erreur fréquente: Une exception ne justifie pas toujours une conclusion sur toute la population. Mais l’ignorer parce qu’elle est isolée serait également prématuré sans en évaluer le contexte.
47. Entretiens, observation, cheminement et réexécution
Tests des contrôles AFC clés
Les entretiens et l’observation aident à comprendre comment un processus est censé fonctionner. Le cheminement d’un dossier consiste à suivre une opération réelle au fil des étapes et des éléments disponibles. La réexécution est différente : l’auditeur effectue indépendamment une étape du contrôle, à partir des données et critères pertinents, puis compare son résultat à celui qui avait été obtenu. Il choisit ses procédures selon l’objectif, documente les étapes et recherche des éléments corroborants lorsque les affirmations seules sont insuffisantes.
Mise en situation: Pour tester un calcul de score, l’auditeur reprend indépendamment les données d’un dossier et les critères applicables, recalcule le résultat, puis le compare à celui consigné par l’analyste.
Erreur fréquente: Une démonstration préparée par le personnel peut montrer le processus idéal plutôt que son fonctionnement habituel. De plus, suivre un dossier de bout en bout ne constitue pas, à lui seul, une réexécution du contrôle.
48. Contrôles d’accès et journaux système
Tests des contrôles AFC clés
Les droits d’accès et les journaux peuvent influencer la fiabilité des contrôles AFC et des preuves utilisées en audit. L’auditeur examine si les habilitations sont adaptées, si les modifications sensibles sont traçables et si les journaux sont protégés et exploitables. Le test porte sur les risques du système dans le périmètre, sans supposer qu’un journal existe ou qu’il couvre toutes les actions.
Mise en situation: Un utilisateur peut modifier une règle de filtrage sans approbation visible. L’auditeur examine les droits attribués, les journaux disponibles et les contrôles compensatoires.
Erreur fréquente: La présence d’un journal technique ne prouve pas que toutes les modifications sont enregistrées ni examinées. Il faut tester sa couverture, son intégrité et son utilisation.
49. Assurance qualité des décisions
Tests des contrôles AFC clés
L’assurance qualité examine si les décisions ou dossiers répondent aux critères attendus et si les erreurs détectées donnent lieu à un suivi. L’auditeur évalue la compétence et l’indépendance des réviseurs, la méthode de sélection, la cohérence des critères et la résolution des désaccords. Un dispositif de qualité utile révèle des tendances au lieu de se limiter à un score global.
Mise en situation: Une revue qualité signale des erreurs d’analyse, mais aucun rapport ne les répartit par type ou équipe. L’audit examine si ces résultats permettent d’orienter la formation et la remédiation.
Erreur fréquente: Un score d’assurance qualité élevé ne garantit pas la qualité du contrôle si l’échantillon ou les critères sont faibles. Vérifiez comment le score a été construit.
50. Documenter les tests et leurs limites
Tests des contrôles AFC clés
La documentation de travail doit permettre à un autre auditeur compétent de comprendre l’objectif, la population, les procédures, les preuves, les résultats et le raisonnement. Elle expose aussi les limites d’accès, de données ou de méthode qui influencent l’assurance obtenue. Une documentation claire facilite la revue, la reproduction des tests et la résolution des divergences.
Mise en situation: Une extraction exclut une partie des dossiers en raison d’un défaut de données. L’équipe conserve les paramètres, quantifie l’exclusion connue et explique la limite dans son évaluation.
Erreur fréquente: Une conclusion concise dans le rapport ne compense pas des dossiers de travail incomplets. Sans trace du raisonnement et des preuves, le résultat devient difficile à défendre.
60 concepts à comprendre et à appliquer 51–60
51. Structurer un constat
Reporting et remédiation
Un constat convaincant relie le critère applicable à la condition observée, explique la cause lorsque les éléments le permettent et décrit les conséquences ou risques pertinents. Les preuves doivent soutenir les faits formulés. Cette structure aide le lecteur à comprendre non seulement ce qui n’a pas fonctionné, mais aussi pourquoi le point mérite une réponse.
Mise en situation: La règle interne exige une approbation documentée ; plusieurs dossiers n’en contiennent pas. Le constat précise les cas vérifiés, le processus touché et l’incidence possible.
Erreur fréquente: Une description d’erreur sans critère ni contexte peut être contestée ou mal comprise. Un constat doit distinguer les faits observés de l’interprétation du risque.
52. Rechercher la cause racine
Reporting et remédiation
La cause racine explique le mécanisme qui a permis à l’écart de se produire ou de persister. L’auditeur examine les étapes, les responsabilités, les données, les outils, les incitations et le suivi afin d’aller au-delà de la première erreur visible. La cause proposée doit être étayée et suffisamment précise pour orienter une correction durable.
Mise en situation: Plusieurs dossiers manquent de justificatifs. Le suivi révèle que le formulaire ne rend pas le champ obligatoire et qu’aucune revue ne détecte l’omission avant validation.
Erreur fréquente: Attribuer un problème à un simple oubli individuel peut masquer une faiblesse de processus. À l’inverse, ne retenez pas une cause systémique sans preuves qui la soutiennent.
53. Évaluer la gravité d’un constat
Reporting et remédiation
La gravité se détermine selon le cadre de notation de l’organisation et les faits de la mission : nature du risque, portée, durée, récurrence, contrôles compensatoires et conséquences possibles. L’auditeur explique pourquoi le niveau choisi est cohérent avec les critères utilisés. La notation facilite la priorisation, mais ne remplace ni l’analyse ni la communication du risque.
Mise en situation: Une défaillance affecte peu de dossiers, mais touche un contrôle clé sans mécanisme de détection alternatif. L’équipe justifie sa notation en tenant compte de cette portée qualitative.
Erreur fréquente: Le nombre d’exceptions ne suffit pas à fixer la gravité. Une faible fréquence peut coexister avec une conséquence potentielle importante ou une faiblesse de gouvernance.
54. Expliquer le risque résiduel dans un constat
Reporting et remédiation
Le risque résiduel correspond à l’exposition qui demeure après prise en compte des contrôles, dans la mesure où leur fonctionnement est étayé par les travaux. Une limite de périmètre, de données ou de preuve ne constitue pas en elle-même une composante de ce risque : elle réduit le niveau d’assurance de l’auditeur et doit être signalée séparément. Dans le rapport, expliquer le risque résiduel aide à montrer pourquoi la faiblesse compte et ce qui reste à gérer jusqu’à sa correction.
Mise en situation: Des alertes sont parfois clôturées sans justification. Le rapport explique que cette pratique peut réduire la capacité à repérer des activités pertinentes, sans affirmer qu’un cas criminel a été manqué.
Erreur fréquente: Ne confondez pas l’exposition qui subsiste après les contrôles avec l’incertitude liée aux limites de l’audit. Distinguez les faits démontrés, les conséquences possibles et les réserves sur l’évaluation.
55. Formuler une recommandation utile
Reporting et remédiation
Une recommandation vise à traiter le risque et la cause, tout en laissant aux responsables une marge appropriée pour choisir la solution opérationnelle. Elle doit être compréhensible, réalisable et vérifiable. Une recommandation trop vague ne guide pas l’action ; une prescription excessivement détaillée peut imposer un mécanisme qui ne relève pas du rôle de l’auditeur.
Mise en situation: Au lieu de demander seulement de « rappeler la procédure », l’audit recommande de corriger le mécanisme d’approbation et de définir une vérification permettant de repérer les dérogations non autorisées.
Erreur fréquente: Une mesure qui traite uniquement les dossiers déjà repérés peut laisser intacte la cause. Reliez la recommandation au mécanisme ayant produit ou laissé persister l’écart.
56. Un plan d’action vérifiable
Reporting et remédiation
Un plan d’action transforme une intention de correction en engagements concrets dont l’avancement peut être suivi : actions, responsable, calendrier, dépendances et preuve attendue. L’auditeur vérifie que la réponse traite le risque et que les jalons permettent de suivre les progrès. Il faut aussi tenir compte des mesures provisoires lorsqu’une correction durable nécessite du temps.
Mise en situation: La direction propose une correction informatique qui prendra plusieurs mois. Le plan prévoit entre-temps une revue manuelle documentée et précise comment l’audit en vérifiera l’application.
Erreur fréquente: Un responsable et une échéance ne rendent pas automatiquement l’action adéquate. Le plan doit aussi s’attaquer au problème et prévoir une manière crédible de démontrer le résultat.
57. Constats récurrents et engagements antérieurs
Reporting et remédiation
La récurrence indique qu’un problème antérieur n’a peut-être pas été corrigé durablement, ou qu’un risque semblable réapparaît ailleurs. L’auditeur compare les faits actuels aux constats et actions précédents, évalue les raisons de la répétition et en tient compte dans l’escalade et la notation. La récurrence doit être démontrée, pas simplement déduite d’un thème voisin.
Mise en situation: Un défaut d’approbation réapparaît après la publication d’une consigne déjà présentée comme corrective. L’auditeur compare les causes et teste si l’action antérieure avait été mise en œuvre.
Erreur fréquente: Un constat portant sur le même processus n’est pas forcément une répétition identique. Comparez la faiblesse, la cause, le périmètre et l’efficacité de l’action passée.
58. Valider la remédiation avant clôture
Reporting et remédiation
La validation vérifie que l’action annoncée a été mise en œuvre et qu’elle réduit effectivement le risque visé. Selon le constat, elle peut nécessiter l’examen de documents, un test de fonctionnement, une nouvelle sélection de dossiers ou une analyse de données postérieures. La clôture doit s’appuyer sur des preuves adaptées, pas seulement sur la confirmation du responsable de l’action.
Mise en situation: Après modification d’une règle, l’auditeur teste des transactions traitées après le déploiement et vérifie que les résultats attendus sont visibles dans les journaux.
Erreur fréquente: Voir une nouvelle procédure ou une capture d’écran ne démontre pas toujours le fonctionnement durable du contrôle. Choisissez des preuves correspondant à la nature de la correction.
59. Rédiger un rapport clair et équilibré
Reporting et remédiation
Un rapport utile présente les objectifs, le périmètre, les limites importantes, les résultats, les risques et les mesures attendues dans un langage précis. Il sépare les faits des appréciations et évite les généralisations que les tests ne soutiennent pas. Un lecteur de gouvernance doit pouvoir comprendre la portée de la conclusion sans confondre une faiblesse de contrôle avec une preuve de criminalité.
Mise en situation: Le rapport indique que certains dossiers n’ont pas été justifiés selon la procédure testée, décrit la sélection et précise qu’aucune conclusion n’est tirée sur la conduite criminelle des clients.
Erreur fréquente: Un ton catégorique peut rendre le rapport moins défendable si les preuves sont limitées. Nuancez la portée sans minimiser une faiblesse réellement significative.
60. Gérer les désaccords et l’escalade
Reporting et remédiation
Un désaccord avec la direction doit être documenté de façon factuelle : position de chaque partie, éléments examinés, règle de résolution prévue et risque restant. L’audit cherche une réponse fondée, mais conserve son jugement indépendant. Si le désaccord persiste ou si le risque est important, l’escalade suit les voies de gouvernance applicables et la communication reste proportionnée.
Mise en situation: La direction conteste la gravité d’un constat en invoquant un contrôle compensatoire. L’auditeur teste ce contrôle, consigne le résultat et transmet le risque non résolu selon le processus prévu.
Erreur fréquente: Un désaccord ne doit pas être résolu par l’abandon d’un constat simplement pour faciliter la clôture. Il ne justifie pas non plus une escalade sans faits ni procédure.
Plan de révision en six étapes
Sources et portée
La source principale est la page officielle d’ACAMS consacrée au Certified AFC Auditor : https://www.acams.org/en/certifications/afc-auditor. Les informations publiques vérifiées le 11 octobre 2026 décrivent notamment les grands domaines et le format de l’examen. Les repères de ce guide, son découpage et le détail des 60 notions constituent une synthèse pédagogique; ils ne sont ni une reproduction ni une confirmation exhaustive du blueprint officiel. Les explications et exemples sont un support original, sans garantie de contenu d’examen. Les exigences juridiques relatives aux déclarations, aux sanctions et aux délais dépendent de la juridiction applicable; vérifiez les textes et consignes compétents.