Par Youssef B., consultant chez Safir Consulting

Le 19 octobre 1987, le Dow Jones perd 22,6 % en une seule séance. Ce jour-là, le problème ne vient pas uniquement d’une erreur humaine ou informatique. Certaines stratégies d’assurance de portefeuille, conçues pour réduire automatiquement les expositions lorsque les marchés baissent, contribuent à amplifier le mouvement.

En vendant simultanément dans un marché déjà fragilisé, ces stratégies accentuent la pression sur les prix.

Vingt ans plus tard, en août 2007, un phénomène comparable touche plusieurs fonds quantitatifs actions. Malgré des équipes de gestion concurrentes, certains portefeuilles présentent des expositions similaires aux mêmes facteurs de risque. Lorsque des positions sont débouclées, les pertes se propagent rapidement à d’autres acteurs.

Ces épisodes illustrent une vulnérabilité bien connue des marchés financiers : des stratégies individuellement cohérentes peuvent devenir collectivement déstabilisantes lorsqu’elles conduisent de nombreux acteurs à agir dans le même sens.

Avec l’essor de l’intelligence artificielle (IA), cette question prend une nouvelle dimension.

1. Au-delà des erreurs individuelles : le risque d’uniformisation des décisions

Les discussions sur l’IA en finance portent souvent sur les risques propres à chaque modèle : résultats inexacts, biais dans l’évaluation du crédit, manque d’explicabilité ou confiance excessive des utilisateurs.

Ces risques sont réels et nécessitent des dispositifs de gouvernance, de validation et de contrôle adaptés.

Mais une autre question mérite une attention particulière : que se passe-t-il lorsque plusieurs établissements financiers utilisent des technologies similaires pour prendre leurs décisions ?

Trois facteurs peuvent favoriser cette convergence.

Les mêmes modèles

De nombreux établissements développent leurs applications d’IA à partir d’un nombre relativement limité de modèles de fondation. Même lorsque les solutions sont personnalisées, elles peuvent conserver certaines caractéristiques communes.

Les mêmes données

Publications financières, données de marché, résultats d’entreprises ou informations fournies par des prestataires spécialisés : les établissements s’appuient souvent sur des sources comparables.

Des modèles similaires, alimentés par des données proches, peuvent produire des analyses convergentes.

Les mêmes infrastructures

L’hébergement et l’exploitation des systèmes d’IA reposent en partie sur un nombre limité de grands fournisseurs technologiques.

Cette concentration peut créer des dépendances communes et exposer plusieurs établissements à un même incident opérationnel.

Pris séparément, ces facteurs ne constituent pas nécessairement un risque systémique. Leur combinaison peut toutefois réduire la diversité des analyses et accroître la corrélation des comportements.

Le véritable enjeu n’est donc pas seulement de savoir si un modèle fonctionne correctement, mais aussi de comprendre comment son utilisation à grande échelle peut influencer le fonctionnement du marché.

2. Trois canaux de transmission des risques

Le Fonds monétaire international (FMI), le Conseil de stabilité financière (FSB) et la Banque d’Angleterre ont identifié plusieurs vulnérabilités potentielles liées au développement de l’IA dans les services financiers.

Trois mécanismes méritent une attention particulière.

L’amplification des mouvements de marché

Lorsque plusieurs acteurs utilisent des modèles reposant sur des signaux similaires, leurs décisions peuvent devenir davantage corrélées.

En période de tensions, cette convergence pourrait accentuer les mouvements de vente, réduire la liquidité disponible et amplifier la volatilité.

La vitesse d’exécution constitue également un facteur important.

Certaines stratégies de trading algorithmique peuvent réagir très rapidement aux évolutions du marché. L’intégration croissante de techniques d’IA dans ces systèmes pourrait renforcer certains phénomènes de réaction simultanée.

Il convient néanmoins de distinguer les systèmes de trading automatisé des outils d’IA générative, dont les usages, les performances et les délais de traitement sont différents.

Le risque apparaît lorsque des décisions rapides et similaires se renforcent mutuellement, notamment dans un environnement de marché déjà fragilisé.

La concentration opérationnelle

L’utilisation de fournisseurs technologiques communs peut créer des points de vulnérabilité partagés entre plusieurs institutions financières.

Un incident affectant une infrastructure, un service cloud ou un modèle utilisé dans des processus critiques pourrait perturber simultanément plusieurs établissements.

La panne informatique mondiale de juillet 2024, provoquée par une mise à jour défectueuse de CrowdStrike, a illustré les conséquences possibles d’une dépendance technologique largement partagée.

Cet événement ne concernait pas directement un modèle d’IA. Il constitue néanmoins un exemple concret des effets qu’un incident chez un fournisseur commun peut produire sur de nombreuses organisations.

À mesure que les systèmes d’IA s’intègrent aux processus opérationnels, les établissements devront évaluer leur capacité à maintenir leurs activités en cas d’indisponibilité de ces technologies.

Le manque de visibilité sur les dépendances

Le développement rapide de l’IA soulève également des questions de transparence et de supervision.

Les établissements ne disposent pas toujours d’une vision complète des modèles, composants, données et prestataires mobilisés dans leurs différentes applications.

À l’échelle du système financier, cette difficulté devient encore plus importante.

Comment identifier une dépendance commune lorsque plusieurs institutions utilisent, directement ou indirectement, les mêmes technologies ?

Comment mesurer les risques de comportements corrélés lorsque les modèles sont complexes et que leurs usages évoluent rapidement ?

Pour les autorités de supervision, la capacité à cartographier ces interdépendances devient un enjeu essentiel de stabilité financière.

3. DORA, supervision et IA : des dispositifs complémentaires

Les autorités financières ont déjà engagé des travaux sur les risques liés à l’intelligence artificielle.

En Europe, le règlement DORA, applicable depuis le 17 janvier 2025, renforce les exigences de résilience opérationnelle numérique des entités financières.

Il prévoit notamment des obligations concernant la gestion des risques liés aux prestataires tiers de services TIC.

Le 18 novembre 2025, les autorités européennes de supervision ont publié une première liste de prestataires TIC critiques, soumis à un cadre européen de surveillance spécifique.

Au Royaume-Uni, la Banque d’Angleterre poursuit également ses analyses sur les risques que l’utilisation croissante de l’IA pourrait faire peser sur le système financier, notamment à travers des travaux de scénarios et de simulation.

Ces initiatives représentent des avancées importantes.

Elles répondent cependant à des enjeux qu’il convient de distinguer.

La résilience opérationnelle consiste notamment à s’assurer qu’un établissement peut continuer à fonctionner lorsqu’un fournisseur ou un système devient indisponible.

Le risque de comportements corrélés concerne les conséquences potentielles de décisions similaires prises simultanément par plusieurs acteurs du marché.

Un établissement peut disposer d’une infrastructure résiliente tout en étant exposé à des mouvements de marché amplifiés par des stratégies comparables à celles de ses concurrents.

Les deux dimensions doivent donc être étudiées de manière complémentaire.

Les registres d’information prévus par DORA contribuent à identifier les dépendances contractuelles envers les prestataires TIC. Ils ne constituent toutefois pas, à eux seuls, une cartographie complète des modèles utilisés pour les décisions d’investissement, de crédit ou de gestion de liquidité.

L’un des défis consiste désormais à mieux comprendre les dépendances communes entre établissements, au-delà de leur seule exposition individuelle aux fournisseurs technologiques.

4. Quelles actions pour les établissements financiers ?

Face à ces risques émergents, plusieurs mesures peuvent être envisagées.

Cartographier les dépendances aux modèles d’IA

Les établissements gagneraient à identifier les modèles utilisés dans leurs fonctions sensibles, les fournisseurs associés et les processus métiers concernés.

Cette cartographie permettrait de repérer les concentrations technologiques et de mieux évaluer leurs conséquences potentielles.

Elle pourrait également alimenter les dispositifs existants de gestion des risques opérationnels et de gouvernance des modèles.

Diversifier les approches lorsque cela est pertinent

Pour certaines fonctions critiques, comparer les résultats de plusieurs modèles ou méthodes indépendantes peut contribuer à détecter des divergences et à limiter une dépendance excessive à une solution unique.

Cette diversification doit néanmoins être appréciée au regard des coûts, des performances, de la complexité opérationnelle et du niveau réel d’indépendance entre les solutions.

Deux modèles provenant de fournisseurs différents ne garantissent pas nécessairement une diversification effective s’ils reposent sur des données ou des architectures similaires.

Intégrer les comportements collectifs aux scénarios de stress

Les tests de résistance pourraient intégrer davantage de scénarios dans lesquels plusieurs acteurs adoptent simultanément des stratégies comparables.

Pour un gestionnaire d’actifs, cela pourrait notamment consister à évaluer les conséquences de ventes massives sur des positions communes à plusieurs portefeuilles.

L’objectif serait de mieux anticiper les effets potentiels sur la liquidité, les coûts de transaction et la valorisation des actifs.

Prévoir des solutions de continuité

Lorsqu’un système d’IA intervient dans un processus critique, l’établissement doit évaluer les conséquences de son indisponibilité.

Selon la nature de l’activité, cela peut nécessiter des procédures alternatives, une supervision humaine renforcée ou des mécanismes techniques de secours.

Ces dispositifs doivent être documentés et testés selon la criticité des processus concernés.

La performance d’un outil ne doit pas conduire à perdre la capacité de maîtriser les opérations qu’il contribue à automatiser.

5. Quels enjeux pour les régulateurs ?

À l’échelle du système financier, la gestion de ces risques nécessite également une vision collective.

Trois axes pourraient contribuer à renforcer les dispositifs de supervision.

Mieux mesurer les concentrations technologiques

L’identification des modèles et fournisseurs communs utilisés dans des fonctions financières sensibles permettrait de mieux comprendre les dépendances à l’échelle du secteur.

Approfondir l’analyse des comportements corrélés

Les scénarios macroprudentiels pourraient davantage intégrer les conséquences potentielles de stratégies automatisées similaires, notamment en période de stress de marché.

Adapter la surveillance à l’évolution des usages

La supervision des fournisseurs technologiques et des modèles d’IA doit tenir compte de leur rôle effectif dans les activités financières, tout en s’articulant avec les dispositifs réglementaires existants.

L’objectif n’est pas de considérer toute utilisation commune d’un modèle comme dangereuse, mais de pouvoir identifier les situations dans lesquelles une dépendance partagée pourrait devenir une source de fragilité.

6. La diversité des modèles : un enjeu de stabilité financière

Les crises financières ont montré qu’un système ne devient pas nécessairement résilient parce que chacun de ses acteurs dispose individuellement de dispositifs de gestion des risques.

Les interdépendances, les expositions communes et les réactions simultanées peuvent transformer des décisions rationnelles à l’échelle d’un établissement en mouvements déstabilisants à l’échelle du marché.

L’intelligence artificielle renouvelle cette problématique.

Elle offre des perspectives importantes en matière d’analyse, d’automatisation et d’efficacité opérationnelle. Mais son adoption à grande échelle invite également à s’interroger sur la diversité des modèles, des données et des processus décisionnels.

Le risque n’est pas seulement qu’une IA se trompe. C’est aussi que plusieurs systèmes prennent simultanément des décisions similaires, avec des conséquences que chaque établissement n’aurait pas anticipées individuellement.

Pour les institutions financières, l’enjeu ne sera donc pas uniquement de disposer des modèles les plus performants.

Il sera aussi de comprendre leurs dépendances, de préserver une capacité de jugement indépendante et de maîtriser les conséquences de leur utilisation à grande échelle.

Et vous, dans votre établissement, savez-vous combien de fonctions critiques reposent sur les mêmes modèles ou fournisseurs d’IA ?

Article rédigé par Youssef B., consultant chez Safir Consulting.

Sources institutionnelles à associer à l’article

• Fonds monétaire international (FMI) – Global Financial Stability Report, octobre 2024, analyses sur l’IA et les marchés de capitaux.

• Conseil de stabilité financière (FSB) – The Financial Stability Implications of Artificial Intelligence, novembre 2024.

• Banque d’Angleterre – travaux sur l’IA, la stabilité financière et les comportements des agents automatisés.

• Autorités européennes de supervision (EBA, ESMA, EIOPA) – règlement DORA et publication de la première liste des prestataires TIC critiques, novembre 2025.

Par Safir Consulting, en partenariat avec Imoran

Un responsable des risques dans une banque de financement reçoit une alerte : une exposition sectorielle a franchi un seuil. Sa première question n’est pas « combien ? ». C’est « pourquoi, et sur quelles données ? »

Pour y répondre aujourd’hui, il doit souvent interroger trois systèmes différents, recouper des extractions manuelles, vérifier la date de mise à jour de chaque source, et documenter sa méthodologie avant de pouvoir remonter l’information en comité des risques. L’information existe. Le problème, ce n’est pas qu’elle manque c’est qu’elle est fragmentée.

C’est exactement le point sur lequel bute la majorité des projets d’IA dans les institutions financières aujourd’hui.

Le vrai sujet n’est plus la performance des modèles

Depuis deux ans, les banques et sociétés de gestion ont massivement testé des outils d’IA générative : synthèse de documents, assistance à la rédaction de notes de recherche, extraction d’informations réglementaires. Les résultats individuels sont souvent impressionnants.

Mais un pilote impressionnant ne fait pas un système fiable. Et dans un environnement régulé Bâle III, MiFID II, CSRD, exigences de traçabilité des méthodologies de risque  la question n’est jamais « l’IA a-t-elle donné une bonne réponse ? ». Elle est : peut-on prouver comment elle y est arrivée ?

Un responsable conformité qui doit justifier une analyse d’exposition ne peut pas se contenter d’un résumé généré automatiquement. Il doit pouvoir remonter jusqu’à la source réglementée, la méthodologie appliquée, la version des données utilisée. Sans cette traçabilité, l’IA reste un outil de confort individuel. Elle ne devient jamais un outil de décision institutionnelle.

Ce qui change la donne : connecter plutôt que remplacer

C’est là que se situe le véritable enjeu de transformation, et c’est le terrain sur lequel Safir Consulting et Imoran travaillent ensemble.

Les institutions financières n’ont pas besoin de jeter leurs systèmes existants  modèles de risque validés, référentiels de données réglementées, processus de gouvernance construits sur des années pour adopter l’IA. Elles ont besoin d’une architecture qui permette à l’IA de s’appuyer sur ces systèmes, plutôt que de fonctionner à côté d’eux, de manière isolée et invérifiable.

Concrètement, cela veut dire :

Gouvernance des données avant automatisation. Savoir précisément quelles données l’IA peut consulter, avec quelles autorisations, avant de lui confier la moindre tâche à valeur ajoutée.

Traçabilité de bout en bout. Chaque résultat généré doit pouvoir être retracé jusqu’à sa source condition non négociable en environnement réglementé, et souvent le point que les projets IA les plus enthousiastes négligent en premier.

Intégration dans les flux existants, pas en parallèle. Un outil d’IA qui vit en dehors des processus de validation habituels crée un système d’ombre utile en apparence, ingérable en réalité pour l’audit et le risk.

Pourquoi Safir + Imoran

Safir Consulting connaît le fonctionnement réel des salles de marché, des fonctions ALM et des exigences réglementaires du secteur bancaire et de l’asset management c’est notre terrain depuis toujours. Imoran apporte l’expertise stratégique et technique de la transformation par l’IA, indépendamment de tout éditeur ou solution propriétaire.

Cette combinaison permet une approche que ni un cabinet de conseil métier seul, ni un cabinet IA généraliste, ne peuvent proposer isolément : une transformation IA pensée depuis les contraintes réelles du secteur financier, et non plaquée dessus après coup.

Et maintenant ?

Si votre organisation évalue actuellement où et comment intégrer l’IA dans vos processus de risque, de conformité ou de gestion de portefeuille, Safir Consulting et Imoran proposent un diagnostic conjoint pour identifier les cas d’usage prioritaires et les prérequis de gouvernance associés.

Contactez nos équipes pour en discuter.

#SafirConsulting #Imoran #IA #FinanceDeMarché #Gouvernance #TransformationIA

Safir Consulting accompagne les acteurs des marchés financiers dans leur transition. Le cabinet applique la même exigence à ses propres activités et publie ses objectifs de réduction des émissions de gaz à effet de serre (GES).

Nos émissions mesurées

Safir Consulting mesure ses émissions selon le GHG Protocol, la norme internationale de comptabilisation des GES, avec les facteurs d’émission de l’ADEME. Notre activité de conseil, exercée depuis un site unique à Paris, génère peu d’émissions directes :

• Scope 1 (émissions directes) : 0 tCO2e. Nos locaux sont chauffés à l’électricité, sans climatisation, et nous ne détenons aucun véhicule.
• Scope 2 (électricité) : 0,006 tCO2e en méthode marché sur la dernière période de 12 mois mesurée. 98,9 % de notre électricité est d’origine renouvelable, certifiée par des garanties d’origine.
• Scope 3 (autres émissions indirectes) : les trajets domicile-travail de nos collaborateurs sont estimés à 3,29 tCO2e. Les achats, le matériel informatique et les déplacements professionnels sont en cours de quantification.

Nos objectifs à l’horizon 2030

Par rapport à l’année de référence 2025, Safir Consulting s’engage à :

• maintenir à 0 tCO2e ses émissions directes (Scope 1) jusqu’en 2030 ;
• réduire de 42 % en valeur absolue ses émissions des Scopes 1 et 2 d’ici le 31 décembre 2030, conformément à la trajectoire 1,5 °C définie par la Science Based Targets initiative (SBTi) pour les PME ;
• réduire de 12,5 % en valeur absolue ses émissions du Scope 3 d’ici le 31 décembre 2030.

Ces objectifs sont formalisés dans une déclaration signée par la Direction. Safir Consulting s’est engagée auprès de la SBTi et participe au Pacte mondial des Nations unies.

Nos actions

• Électricité d’origine renouvelable certifiée par des garanties d’origine.
• Visioconférence par défaut, et train obligatoire pour les déplacements de moins de 4 heures.
• Enquête mobilité annuelle auprès de nos collaborateurs et prise en charge des abonnements de transport en commun.
• Allongement de la durée de vie de notre matériel informatique.
• Critère climat dans la sélection de nos fournisseurs.

Transparence

Nous publierons chaque année nos émissions et l’avancement de nos objectifs.
→ Télécharger notre rapport public sur les émissions de GES (édition 2026) [lien vers le PDF]

Ce scénario n’a rien d’exceptionnel. C’est même, pour beaucoup d’établissements financiers, le quotidien du CRS (Common Reporting Standard), la norme commune de déclaration portée par l’OCDE dans le cadre de l’AEOI (Automatic Exchange of Information).

Sur le papier, le principe est limpide : identifier les comptes concernés, déterminer la résidence fiscale de leurs titulaires, et transmettre l’information aux administrations compétentes. Dans la réalité d’un établissement financier, avec des dizaines de systèmes, des référentiels clients qui ne se parlent pas toujours entre eux et des milliers de dossiers à traiter, la mécanique se révèle nettement plus exigeante.

Pourquoi le CRS existe

Remontons un peu en arrière. À la sortie de la crise financière de 2008, la lutte contre l’évasion fiscale devient une priorité politique mondiale. Les États-Unis dégainent les premiers avec FATCA, un dispositif unilatéral et coercitif. Le G20, lui, demande à l’OCDE de construire quelque chose de plus large : un standard que la majorité des pays du monde pourraient adopter ensemble.

C’est ainsi que naît le CRS, adopté par l’OCDE en février 2014. Contrairement à FATCA, il ne cible pas une nationalité en particulier. Il repose sur un principe plus universel : la résidence fiscale. Si vous êtes résident fiscal d’un pays participant, et que vous détenez un compte financier dans un autre pays participant, votre établissement doit, sous certaines conditions, en informer l’administration fiscale qui la transmettra à votre pays de résidence.

En France, ce mécanisme repose sur l’article 1649 AC du Code général des impôts, modifié par la loi de finances rectificative pour 2015, et précisé par le décret n° 2016-1683 du 5 décembre 2016.

Le dispositif en trois mouvements : identifier, déterminer, déclarer

Derrière la complexité apparente du CRS, la logique tient en trois étapes.

Identifier  l’établissement doit d’abord savoir s’il est lui-même concerné. Toutes les entreprises ne sont pas des « institutions financières déclarantes » au sens du CRS : établissements de dépôt, conservateurs d’actifs, certaines entités d’investissement et certains organismes d’assurance en font partie, selon des critères précis fixés par décret.

Déterminer  une fois ce statut établi, il faut identifier la résidence fiscale de chaque titulaire de compte, et parfois celle des personnes qui contrôlent une entité cliente.

Déclarer  enfin, transmettre les informations requises à l’administration fiscale nationale, qui se charge de l’échange avec les juridictions partenaires.

Simple à énoncer. Beaucoup moins simple à industrialiser à l’échelle d’un portefeuille de plusieurs centaines de milliers de comptes.

L’auto-certification : bien plus qu’une formalité

Au cœur du dispositif se trouve un document que beaucoup de clients remplissent sans y prêter attention : l’auto-certification. C’est elle qui permet à l’établissement de documenter la ou les résidences fiscales déclarées par le titulaire.

Mais cette auto-certification n’a de valeur que si elle est cohérente avec le reste du dossier client. Le décret français est explicite sur ce point : pour les nouveaux comptes d’entités, l’établissement doit vérifier la vraisemblance de l’auto-certification au regard des informations déjà recueillies à l’ouverture du compte.

Autrement dit : une auto-certification qui contredit l’adresse enregistrée, le numéro de téléphone, ou les éléments du dossier KYC n’est pas simplement suspecte. Elle doit déclencher une vérification complémentaire.

Les indices qui ne mentent pas (ou qui, du moins, doivent alerter)

Quand l’auto-certification ne suffit pas à trancher, le CRS prévoit une recherche d’indices de rattachement fiscal :

• une adresse de résidence ou postale à l’étranger ;
• un numéro de téléphone étranger ;
• un ordre de virement permanent vers un compte situé dans un autre pays ;
• une adresse « poste restante » ou « à l’attention de » ;
• une procuration donnée à une personne résidant à l’étranger.

Un point mérite d’être souligné : la présence d’un indice ne rend pas automatiquement un compte déclarable. Elle oblige simplement l’établissement à pousser l’analyse un cran plus loin. C’est précisément à cet endroit que la qualité des données fait toute la différence entre un dispositif qui fonctionne et un dispositif qui multiplie les faux positifs.

Le cas des entités : quand il faut remonter jusqu’au bénéficiaire final

Pour les personnes morales, le CRS impose une étape supplémentaire : classifier l’entité, puis, si elle est qualifiée d’« entité non financière passive » (Passive NFE), identifier les personnes physiques qui la contrôlent réellement.

Bonne nouvelle pour les équipes conformité : le décret français autorise, dans certains cas, à s’appuyer sur les informations déjà collectées au titre de la lutte contre le blanchiment de capitaux (AML/CFT) pour identifier ces personnes. Le CRS n’est donc pas condamné à fonctionner en vase clos — il peut, et il devrait, s’articuler avec les données KYC et AML déjà en possession de l’établissement.

Ce qui doit être déclaré, concrètement

CRS et FATCA : cousins, pas jumeaux

Il est tentant de traiter le CRS comme une simple extension de FATCA. C’est une erreur qui coûte cher en organisation. Les deux dispositifs partagent un objectif — la transparence fiscale — mais reposent sur des logiques différentes.

Cette différence de logique coopération administrative d’un côté, coercition financière de l’autre explique pourquoi un établissement ne peut pas se contenter de dupliquer son dispositif FATCA pour traiter le CRS. Les deux référentiels doivent coexister, avec leurs règles propres.

« Le défi du CRS n’est plus seulement de déclarer. Il est de pouvoir démontrer que l’information déclarée est fiable, cohérente et maîtrisée. »

Le vrai sujet : la donnée, pas le formulaire

C’est probablement le point le plus sous-estimé du CRS. Un établissement peut avoir une procédure impeccable sur le papier et se heurter, dans les faits, à des données incomplètes, obsolètes ou tout simplement incohérentes entre systèmes.

Une adresse enregistrée dans le référentiel client qui ne correspond pas à la résidence fiscale déclarée dans l’auto-certification, elle-même différente de ce que montre le dossier KYC : ce genre d’écart, loin d’être anecdotique, est exactement ce qui transforme un dispositif CRS conforme sur le papier en un vrai risque opérationnel.

La chaîne de valeur de la donnée CRS ressemble à ceci :

Collecte → Contrôle → Classification → Enrichissement → Validation → Reporting → Contrôle qualité

Chaque maillon compte. Un seul défaillant, et c’est toute la chaîne qui perd en fiabilité.

CRS, KYC, AML : la fin des silos ?

Les établissements les plus avancés ont compris une chose : les données nécessaires au CRS recoupent largement celles déjà collectées pour le KYC et l’AML/CFT. Adresse, identité, structure de détention, personnes exerçant le contrôle ce sont souvent les mêmes informations, demandées à des moments différents, par des équipes différentes, parfois dans des systèmes différents.

L’enjeu, pour beaucoup d’organisations, n’est donc plus de collecter davantage de données, mais d’éviter de les collecter deux fois et surtout d’éviter qu’elles se contredisent d’un référentiel à l’autre.

Qui porte le sujet, en interne ?

Le CRS n’appartient à aucune direction en particulier. C’est précisément ce qui en fait un sujet difficile à piloter.

• Compliance s’assure que les procédures répondent aux exigences réglementaires.
• KYC / Onboarding collecte l’information dès l’entrée en relation.
• Operations traite les dossiers et les exceptions au quotidien.
• Data garantit la qualité et la traçabilité des informations.
• IT fournit les systèmes capables de collecter, rapprocher et transmettre les données en toute sécurité.
• Contrôle interne identifie les anomalies et les écarts.

Six fonctions, un seul dispositif. C’est souvent là que les projets CRS achoppent : non pas sur la compréhension de la règle, mais sur la coordination entre équipes qui ne parlent pas toujours le même langage.

Un dossier jamais vraiment clos

Autre piège fréquent : traiter le CRS comme une case à cocher une fois pour toutes à l’ouverture du compte. Or la situation d’un client évolue déménagement, changement de statut, restructuration d’une entité, nouvelle personne aux commandes. Chacun de ces événements peut remettre en cause une auto-certification déjà en place.

L’administration fiscale française le rappelle d’ailleurs explicitement : les établissements peuvent demander une nouvelle auto-certification dès qu’un changement de circonstances est identifié. Le CRS doit donc être pensé comme un processus de surveillance continue, pas comme une formalité d’entrée en relation.

Ce qui change depuis 2026

Le cadre CRS n’est pas figé. L’OCDE a fait évoluer le standard pour élargir son périmètre à certains produits de monnaie électronique, aux monnaies numériques de banque centrale et à certaines expositions aux crypto-actifs une version consolidée a été publiée en 2025.

Côté français, le décret n° 2025-1277 du 19 décembre 2025 est venu modifier le décret de 2016, avec plusieurs dispositions entrées en vigueur au 1er janvier 2026, notamment sur le traitement de certains produits liés aux crypto-actifs.

Le message est clair : la conformité CRS n’est jamais un chantier terminé. C’est un dispositif vivant, qui doit pouvoir absorber les évolutions réglementaires sans tout reconstruire à chaque fois.

Vers l’industrialisation

À mesure que les volumes augmentent, le traitement artisanal montre ses limites. Les établissements les plus matures orientent leurs efforts vers cinq capacités clés :

1. Centraliser les données réglementaires pour obtenir une vision cohérente du client ;
2. Automatiser les contrôles de cohérence et de complétude ;
3. Gérer les exceptions en orientant les cas complexes vers les bonnes équipes ;
4. Assurer la traçabilité de chaque décision de classification ;
5. Sécuriser le reporting par des contrôles systématiques avant transmission.

Cette trajectoire rapproche naturellement des fonctions qui, historiquement, travaillaient chacune de leur côté : Compliance, Data, Operations et IT.

En conclusion

Le CRS/AEOI n’est plus un simple exercice déclaratif annuel. C’est un test permanent de la capacité d’un établissement à connaître réellement ses clients, à maintenir des données fiables dans la durée, et à documenter chaque décision de classification.

Sa coexistence avec FATCA, le KYC et l’AML/CFT ne simplifie pas l’équation elle impose une approche intégrée, où réglementation, données et opérations avancent ensemble plutôt qu’en silos.

Le défi du CRS n’est plus seulement de déclarer. Il est de pouvoir démontrer que l’information déclarée est fiable, cohérente et maîtrisée.

Références réglementaires et sources

• OCDE, Consolidated text of the Common Reporting Standard, publié le 2 juin 2025 (standard adopté en février 2014, évolutions ultérieures intégrées)
• OCDE, Automatic Exchange of Information: Guide on Promoting and Assessing Compliance by Financial Institutions
• France : Code général des impôts, article 1649 AC
• France : Loi n° 2015-1786 du 29 décembre 2015 (article 44)
• France : Décret n° 2016-1683 du 5 décembre 2016
• France : Décret n° 2025-1277 du 19 décembre 2025 (entrée en vigueur au 1er janvier 2026)
• France : BOFiP, BOI-INT-AEA-20-40
• France : DGFiP, informations sur l’auto-certification de résidence fiscale
• États-Unis : Internal Revenue Service (IRS), documentation FATCA

Dernière vérification des références : septembre 2026.