De l’appréciation subtile d’un conflit d’intérêt potentiel …

Jean-Marc Fourré • 7 avril 2021

L’AMF a publié récemment le compte-rendu d’une sanction à l’égard d’un CIF – Conseiller en investissement financier.

Heureusement pour les intéressés, la sanction prononcée par la Commission est un « avertissement », non une sanction pécuniaire, mais le document recèle quelques enseignements instructifs, comme toujours.


Quatre éléments à charge

Quatre éléments sont reprochés au conseiller, tous de facture très classique.


1) Absence des documents réglementaires CIF


Tout d’abord, l’AMF reproche l’absence de « documents réglementaires CIF » : document d’entrée en relation, lettre de mission, rapport écrit de conseil … Notons les divers points suivants :

  • L’AMF a analysé un tout petit nombre de dossiers clients : 10
  • L’AMF écarte le fait que certains de ces dossiers clients ont été constitués antérieurement à – disons pour simplifier – la mise en place du corpus de réglementation CIF (mais le conseil a été fourni après)
  • L’AMF écarte aussi le fait que le CIF a corrigé ces manquements, après les faits mais avant le contrôle.

Rien à signaler.


2) Manquement à l’obligation de diffuser une information claire, exacte et non trompeuse


La situation mérite très exposée succinctement :

  • Le CIF propose à ses clients une credit linked note structurée (CLN) portant sur un émetteur unique … qui fera défaut par la suite (mais ce dernier point est sans objet dans la caractérisation du grief)
  • Il envoie à sa clientèle un courriel de présentation du produit, alors que les caractéristiques du produit ne sont pas encore figées …
  • Il envoie ensuite à ses clients (ou certains d’entre eux, ce n’est pas très clair, mais pas très important non plus …) d’autres supports tels une brochure commerciale, les Terms & Conditions de la CLN … fournis par l’émetteur.

L’AMF tique sur le courriel : certaines caractéristiques clés du produit ne sont pas présentes : mentions des risques encourus, hypothèses de survenance de l’événement de crédit, modalités de calcul des sommes dues en cas de remboursement anticipé …

Peu importe que cela n’était pas connu à ce moment-là, ni ce qui pouvait figurer dans les autres documents envoyés aux clients.

Comme souvent souligné ici : considérer chaque information comme un tout, sans considération des autres. Citons le document :

« Le caractère clair, exact et non trompeur de l’information diffusée au sens de l’article 325-5 s’apprécie pour chaque document adressé par le CIF à ses clients (qui] ne peut s’exonérer de ses obligations en la matière en invoquant les informations contenues dans un autre document. »


3) Commercialisation de parts sociales d’un Autre FIA (constitutive d’une OPTF)


Considérés comme des titres d’un ‘‘Autre FIA’’ et non ceux d’un FIA ‘‘par nature’’ (tels les titres d’OPC), les parts sociales du produit en question ne pouvaient être proposées par le CIF à sa clientèle.

Comme souvent souligné ici : bien évaluer la nature et les caractéristiques des titres avant d’entamer une quelconque commercialisation.


4) Traitement des conflits d’intérêts


Le point est subtil car il concerne moins la réalité d’un conflit d’intérêt potentiel (donc son caractère avéré), que l’information due aux clients sur ce conflit d’intérêt potentiel.

Sans entrer dans le détail, disons ici que certaines modalités de rémunération du CIF pouvaient l’inciter à proposer prioritairement un produit particulier à sa clientèle, le CIF étant rémunéré par le biais :

  • D’une commission calculée sur les montants (les montants n° 1) investis par ses clients au titre de son activité CIF d’une part (schéma classique), et par
  • Une rémunération variable basée sur d’autres montants (les montants n° 2) apportés par le CIF au promoteur du produit, dans le cadre plus général d’une activité commerciale connexe et autonome de la première, même si de fait ‘‘emboîtant’’ celle-ci.

En ne retenant pas les montants n°1 dans le total des montants n°2, le CIF évitait le ‘‘double comptage’’ et écartait (à notre avis) la matérialisation du risque de conflit d’intérêt (le conflit d’intérêt avéré). Il ‘‘traitait’’ bien le conflit d’intérêt potentiel.

Mais en n’informant pas sa clientèle de ses modalités de rémunération, et donc de ce conflit d’intérêt potentiel, le CIF ne le ‘‘traitait’’ pas entièrement.

Citons le document :

« Ce défaut d’information ne permet pas de considérer que la société a respecté les dispositions des articles [relatifs aux conflits d’intérêts] qui lui imposaient l’obligation de gérer et traiter les éventuels conflits d’intérêts pouvant naître entre elle-même et ses clients. »



Dans le labyrinthe des situations de conflits d’intérêts : éviter les conflits d’intérêts c’est bien, le dire à son client c’est mieux.


Pour en savoir plus :

SAN 2021 - 03

Ill. : Untitled (Labyrinthe), P. Kogler (2018)


par Vincent Boisseau 3 mars 2025
Depuis le jeudi 27 février, l'outil O2S d'HARVEST est bloqué suite à une cyberattaque. L'information est officielle depuis le vendredi 28 février. A ce jour , lundi 3 mars, l'outil n'est pas rétabli. A ce jour, aucun élément n'indique qu'il y a eu fuite de données. CONSTATS & ANALYSES Suite à la cyberattaque d’HARVEST, il y a des obligations CNIL à faire en tant que vous Responsable des Traitements et HARVEST sous-traitant. D'autant qu'O2S contient une quantité astronomique de Données à Caractère Personnel sur les clients : adresse, mail, téléphone, RIB, patrimoine, CNI, peut-être données médicales...bref, c'est énorme. Donc il y a effectivement des choses à faire. Voici le lien vers la CNIL qui traite des violations de données personnelles : https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles En effet notre analyse est: qu’il y a eu une violation de données du fait d’un cas cité : perte de disponibilité , d’intégrité ou de confidentialité de données personnelles, de manière accidentelle ou illicite) En revanche on ne sait pas encore s’il y a eu fuite de données, LE DISPOSITIF d'HARVEST Voici les informations reçues par un CGP, en juillet 2024, sur le dispositif HARVEST : plutôt sérieux. "Sécurité physique : Les serveurs sont hébergés dans un Datacenter Interxion dans l’UE. Le Datacenter a de nombreuses certifications : ISO 14001:2004, ISO 27001 & ISO 22301, ISO 50001:2011, OHSAS 18001, ITIL V3 ,PCI-DSS, HDS (Hébergeur Données Santé). Les infrastructures sont monitorées 24h/24 et 7h/7. Les baies hébergeant les systèmes sont fermées à clé, seul le personnel habilité a accès aux baies : Notre sous-traitant (Waycom) pour la mise à disposition et la supervision des infrastructures d’hébergement travaillant pour le compte d’Harvest (hors baies privées dédiées dont l’accès est géré uniquement par Harvest) Les membres habilités de la DSI Harvest. Les grappes de disques ainsi que les alimentations sont redondées (ainsi que tous les éléments critiques physiques du Datacenter : réseaux internet, réseaux électriques, etc…). Sécurité logique : Les données de production sont accessibles uniquement par un nombre de personnes restreint, défini en accord avec le comité des risques d’Harvest. En aucun cas nos sous-traitants ont accès aux données applicatives. L’accès est basé sur une authentification : compte / mot de passe. Les droits et habilitations sont donnés selon le profil de l’utilisateur. Les flux sont chiffrés (HTTPS). Les données des applications répliquées en continue sur un serveur de secours local et sauvegardées sur un serveur de sauvegarde distant. Les opérations effectuées sur les serveurs sont journalisées. Les serveurs sont mis à jour régulièrement et possèdent un antivirus à jour. Des tests de vulnérabilité sont effectués périodiquement et donnent lieu, si nécessaire, à des plans de remédiation. Réglementaire : Dans le cadre de la réglementation européenne RGPD, un registre des traitements a été créé, il est maintenu par le DPO (Data Protection Officer) d’Harvest. Plan de continuité (PUPA), dans ce cadre Harvest : Dispose d’une procédure de gestion et d’escalade des incidents. A mis en place un comité des risques et est accompagné par un cabinet d’audit externe Activation de la cellule de crise en cas de problème majeurRéalise des évolutions régulières sur l’infrastructure matérielle et logicielle de ses environnements pour améliorer en permanence les performances et la sécurité " QUE FAUT IL FAIRE en interne ? La violation de données et la cyberattaque ne concernent pas VOS systèmes mais ceux d'un sous-traitant. Donc pas de panique. Quand on lit les instructions CNIL, dans cette configuration, il faut documenter la violation de données en interne. QUE FAUT IL FAIRE vis à vis de la CNIL? Là l'instruction est claire : il faut notifier l’incident à la CNIL dans les 72 heures (donc aujourd'hui pour ceux qui ne l'ont pas faite). Pour ce faire, la CNIL vous accompagne : compléter le document préparatoire (aide au remplissage) : https://www.cnil.fr/sites/cnil/files/2023-07/trame_des_notifications_de_violations_de_donnees_0.odt puis faite la notification en ligne : https://notifications.cnil.fr/notifications/ QUE FAUT IL FAIRE vis à vis de vos clients ? Ne faites rien pour le moment ! Il faut prévenir les clients si la fuite de données est avérée. En effet, la CNIL précise : en cas de doute sur l’incidence de la fuite de données personnelles concernant la vie privée des personnes concernées (c’est le cas à ce jour car nous ne savons pas s’il y a eu fuite ou non de données), notifiez à la CNIL qui vous indiquera s’il est nécessaire d’informer les personnes. Voilà Croisons les doigts pour que vous puissiez rapidement travailler et que les données des clients ne fuitent pas.!
par Vincent Boisseau 11 février 2025
SRRI ou SRI...that's the question
par Vincent Boisseau 22 novembre 2024
L'ACPR nous fait le plaisir de préciser sa position sur le parcours client en assurance : connaissance client, durabilité, devoir de conseil, actualisation,...
par Vincent Boisseau 15 novembre 2024
Le Sénat veut protéger les consommateurs contre les appels téléphoniques non sollicités et renforcer leurs droits en matière de protection des données personnelles.
par Vincent Boisseau 4 novembre 2024
Nouveautés dans les agréments de SGP...
par Vincent Boisseau 29 octobre 2024
Distribution des certificats à gestion active ou actively managed certificates " (AMC) auprès de clients non professionnels ...l'AMF remet les pendules à l'heure
par Vincent Boisseau 21 octobre 2024
Pour les courtiers, le mandat d'arbitrage ce sera plus de liberté...mais plus de responsabilité ! Et pour les SGP une inscription ORIAS ?
par Vincent Boisseau 1 octobre 2024
Assurance : enfin des précisions sur la périodicité de l'actualisation des données du client et du conseil !
par Vincent Boisseau 25 septembre 2024
Voici les supports de notre intervention commune avec la CNCEF PATRIMOINE
Show More