L’externalisation par les établissements bancaires de leurs fonctions opérationnelles importantes doit-elle nécessairement suivre le régime des PSEE ? Cette question revêt une importance majeure pour les établissements bancaires qui souhaitent externaliser une partie de leur activité.
Par Philippe Métais, associé, et Arthur Merle-Beral, avocat, White & Case
En effet, l’externalisation de fonctions ou d’activités nécessite que les établissements bancaires transmettent à des tiers des informations couvertes par le secret bancaire qu’ils ont par ailleurs l’obligation de préserver.
Dans cette perspective, deux régimes s’offrent aux établissements bancaires entre d’une part, la prestation de services essentielle externalisée (ci-après PSEE) telle que définie par les articles 10 q) et 10 r) de l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissements soumises au contrôle de l’Autorité de contrôle prudentiel et de résolution (ci-après ACPR) et, d’autre part, la «fonction opérationnelle importante» au sens de l’article L.511-33 (I) (6°) du Code monétaire et financier qui constitue l’une des exemptions légales à l’interdiction du partage des informations couvertes par le secret bancaire.
De prime abord, ces deux régimes semblent se recouper. En réalité, pourtant, le choix opéré par l’établissement bancaire entraîne des contraintes juridiques et opérationnelles bien plus importantes en cas de recours à la PSEE.
Une question se pose alors : une fonction opérationnelle importante est-elle nécessairement une prestation de services essentielle ? Et, si tel n’est pas le cas, comment distinguer l’une de l’autre ?
La prestation de services essentielle externalisée : un processus contraignant
Juridiquement, lorsqu’ils envisagent d’externaliser une fonction ou une activité, l’une des premières questions que se posent les établissements bancaires est la suivante : l’activité ou la fonction qu’ils s’apprêtent à externaliser constitue-t-elle une PSEE ?
Loin d’être anodine, la réponse à cette question emporte des conséquences réglementaires, contractuelles et opérationnelles non négligeables puisque le recours à la PSEE contraint les établissements bancaires et leurs prestataires de services à respecter les obligations énumérées aux articles 231 à 240 de l’arrêté susvisé.
Ces obligations sont lourdes à mettre en œuvre et peuvent donc décourager, d’une part, les établissements bancaires à recourir à l’externalisation d’une fonction ou d’une activité et, d’autre part, les prestataires de services à contracter avec ces établissements compte tenu des obligations qui pèsent alors sur eux.
Pour autant, le recours à la PSEE présente un avantage indéniable : la possibilité pour les établissements bancaires de partager avec leurs prestataires externes les informations couvertes par le secret bancaire en toute sécurité juridique.
En effet, il ne fait aucun doute qu’une PSEE – au regard de la définition qui en est donnée par l’arrêté du 3 novembre 2014 et des obligations contractuelles pesant sur les parties – constitue une «fonction opérationnelle importante» au sens de l’article L.511-33 (I) (6°) du Code monétaire et financier.
En conséquence, et conformément à la lecture de cet article, les établissements bancaires peuvent communiquer aux tiers avec lesquels ils concluent des PSEE des informations couvertes par le secret bancaire puisque ceux-ci sont assimilables à des «personnes avec lesquelles ils négocient, concluent ou exécutent [des contrats de prestations de services en vue de lui confier des fonctions opérationnelles importantes], dès lors que ces informations sont nécessaires à celles-ci».
La question que se posent de plus en plus d’établissements bancaires est alors la suivante : l’activité ou la fonction qu’ils s’apprêtent à externaliser peut-elle constituer une fonction opérationnelle importante au sens de l’article L.511-33 (I) (6°) du Code monétaire et financier sans pour autant être qualifiée de PSEE ?
En d’autres termes, est-il possible de bénéficier de l’exemption à l’interdiction du partage du secret bancaire offerte par l’article L.511-33 (I) (6°) du Code monétaire et financier sans «s’encombrer» du formalisme et des obligations liées au recours à la PSEE qu’imposent les dispositions de l’arrêté du 3 novembre 2014 ?
La fonction opérationnelle importante : une notion nébuleuse
Afin d’être en mesure de répondre à cette question, encore faut-il pouvoir définir ce qu’est une «fonction opérationnelle importante».
Sur quels critères se fonder pour déterminer ce qu’est une «fonction opérationnelle importante» ?
A cet égard, les débats parlementaires de la loi n° 2008-776 du 4 août 2008 de modernisation de l’économie (dite «LME») qui a institué les exemptions à l’interdiction du partage du secret bancaire ne sont d’aucune aide puisqu’ils se concentrent essentiellement sur la dérogation à cette interdiction via le consentement donné au cas par cas par le client.
Le législateur a certes semé dans le corps de l’article L.511-33 du Code monétaire et financier quelques critères généraux de définition d’une «fonction opérationnelle importante». Ainsi, revêtent une telle qualité les fonctions qui (i) sont importantes (ii) pour l’accomplissement desquelles la transmission d’informations couvertes par le secret bancaire est nécessaire et (iii) à condition que le prestataire recevant les informations couvertes par le secret bancaire préserve également la confidentialité de ces informations.
La doctrine semble, quant à elle, ne s’être jamais vraiment intéressée au sujet à l’exception du commentaire de la seule décision de justice y afférente.
Reste la jurisprudence, mais elle est rare car, à notre connaissance, seule la cour d’appel de Monaco, par un arrêt du 30 mai 2011, a eu à se prononcer sur l’applicabilité de la dérogation prévue par l’article L.511-33 (I) (6°) du Code monétaire et financier. Cette décision constitue néanmoins une bonne illustration des quelques critères de définition d’une «fonction opérationnelle importante».
Surtout, en l’absence d’autres décisions de justice venant contredire la position adoptée par la Cour d’appel de Monaco, il peut être soutenu au regard de cet arrêt qu’une «fonction opérationnelle importante» n’est pas nécessairement une PSEE, puisqu’en l’espèce la fonction externalisée était de nature juridique (assistance par un cabinet d’avocats de manière permanente en droit bancaire et financier, droit fiscal, droit du travail et droit social). Or, l’article 10 r) de l’arrêté du 3 novembre 2014 exclut expressément que la fourniture de conseils juridiques puisse être considérée comme une PSEE.
Par conséquent, reste à déterminer dans quels cas nous sommes en présence d’une «simple» fonction opérationnelle importante, c’est-à-dire qui ne soit pas par ailleurs une PSEE.
L’empirisme à défaut de déterminisme des textes : une solution insatisfaisante et non pérenne
Les critères dégagés supra ne permettent pas aux établissements bancaires de faire l’économie d’une analyse in concreto, c’est-à-dire au cas par cas, de la fonction ou de l’activité qu’ils envisagent d’externaliser afin d’être en mesure de déterminer si telle fonction ou activité peut être considérée comme une «fonction opérationnelle importante» sans pour autant être qualifiée de PSEE.
Ainsi, citons pour exemple le recours par les banques d’investissement aux mécanismes de déclaration agréé (ci-après ARM) afin de se conformer à l’obligation de reporting des transactions aux régulateurs telle que définie par le Règlement UE n° 600/2014 du 15 mai 2014 concernant les marchés d’instruments financiers (dit «MIFIR»). Le recours à l’ARM présente presque toutes les caractéristiques d’une PSEE. Toutefois, le fait que la responsabilité d’une défaillance dans le reporting des transactions soit transférée à l’ARM permet de conclure que sans constituer une PSEE, le recours à l’ARM demeure néanmoins une «fonction opérationnelle importante» au sens de l’article L.511-33 (I) (6°) du Code monétaire et financier.
Par le biais de ce type d’exercice, les établissements bancaires vont acquérir une certaine expérience qui leur permettra sans doute d’affiner la liste des critères permettant de définir une «fonction opérationnelle importante».
Toutefois, cette solution n’est pas satisfaisante et ne peut pas être pérenne puisque le choix in fine opéré par les établissements bancaires est certes guidé par les contraintes juridiques liées à l’obligation légale de préserver le secret bancaire mais également par les contraintes opérationnelles propres au régime des PSEE que les établissements bancaires pourraient être tentés, sinon de contourner, à tout le moins d’éviter.
Aussi, afin que les établissements bancaires ne renoncent à externaliser certaines de leurs fonctions ou activités ou, pis, risquent de se trouver en violation de l’arrêté du 3 novembre 2014 ou de l’interdiction de partager les informations couvertes par le secret bancaire, il serait bienvenu que plus de dix ans après l’entrée en vigueur de la loi LME, l’ACPR soit définisse la notion de «fonction opérationnelle importante», soit fournisse les clés de lecture exhaustives qui nous paraissent indispensables afin de permettre à ses assujettis de recourir à l’externalisation de certaines de leurs activités ou fonctions en toute sécurité juridique.
