Risques & conformité : ce qui s'applique, à qui, et quand

Une culture de conformité existe quand les collaborateurs respectent les règles parce qu'ils en comprennent le sens, et qu'ils osent signaler un problème sans crainte. Le cadre COSO en fait un principe à part entière : sans culture, même les contrôles les mieux conçus échouent. Elle repose sur l'exemple des dirigeants, un code de conduite clair, la formation, un dispositif d'alerte protégé et des sanctions appliquées à tous.

4 min de lecture

Au Maroc, le bénéficiaire effectif est la personne physique qui possède ou contrôle en dernier lieu un client, même à travers une chaîne de sociétés (article 1er de la loi 43-05). Le décret n° 2-21-708 de septembre 2021 retient notamment la détention d'au moins 25 % du capital ou des droits de vote et organise un registre public tenu par l'OMPIC. Le professionnel assujetti doit identifier, vérifier et conserver ces informations dix ans.

7 min de lecture

Au Maroc, l'article 9 de la loi 43-05 oblige les assujettis, dont avocats, notaires, comptables et agents immobiliers dans le périmètre de l'article 5, à déclarer sans délai à l'ANRF les fonds ou opérations soupçonnés d'être liés au blanchiment ou au financement du terrorisme. La déclaration est écrite et reste obligatoire même après l'exécution de l'opération (article 11), et le secret professionnel n'est pas opposable à l'ANRF. Informer le client est puni (article 29).

7 min de lecture

L'appétit au risque désigne, selon COSO, les types et le niveau de risque qu'une organisation accepte, de manière générale, pour créer de la valeur. Il se distingue de la tolérance, qui fixe les écarts de performance acceptables autour d'un objectif. Formalisé dans une déclaration validée par la direction, il guide les décisions stratégiques et l'allocation des ressources de contrôle.

4 min de lecture

La gestion du risque tiers consiste à identifier, évaluer et suivre les risques créés par les fournisseurs, prestataires, sous-traitants et partenaires d'une organisation. Elle suit un cycle en six étapes : inventaire, classement par criticité, due diligence, contrat, suivi, puis sortie. Au Maroc, elle croise la loi 09-08 (sous-traitants et transferts), les règles de Bank Al-Maghrib sur le cloud pour les banques et la loi 05-20 pour les entités d'importance vitale.

4 min de lecture

Le secteur financier marocain est le plus encadré en matière de GRC. Les banques relèvent de Bank Al-Maghrib, qui impose notamment une fonction conformité (directive n° 49/G/2007) et un dispositif de contrôle interne (circulaire n° 4/W/2014). Les assureurs relèvent de l'ACAPS et le marché des capitaux de l'AMMC. S'y ajoutent la lutte contre le blanchiment, la protection des données et, depuis décembre 2025, des codes de gouvernance sectoriels.

4 min de lecture

La conformité classique répond aux obligations une par une, souvent sous forme de listes de contrôle gérées par des équipes séparées. L'approche GRC intègre gouvernance, gestion des risques et conformité dans un même pilotage : un référentiel commun des risques et des obligations, des contrôles partagés et une vue unique pour la direction. Elle réduit les doublons et fait remonter les risques plus tôt.

3 min de lecture

L'article 3 de la loi 43-05 impose aux assujettis, dont les cabinets d'avocats, notaires, comptables et agents immobiliers, d'identifier, d'évaluer et d'atténuer leurs risques de blanchiment et de financement du terrorisme. Concrètement, chaque client et chaque dossier reçoit un niveau de risque fondé sur le client, la géographie, l'opération et le canal. Ce niveau détermine une vigilance simplifiée, standard ou renforcée, documentée et mise à jour périodiquement.

7 min de lecture

Le Centre marocain de médiation bancaire (CMMB, « Al Wassit Al Banki »), créé en 2013 et opérationnel depuis 2014, offre une médiation gratuite après une réclamation restée sans réponse satisfaisante sous 40 jours ouvrables. Il traite le dossier en 30 jours ouvrables, délai prolongeable. Sa proposition, si le client l'accepte, engage l'établissement jusqu'à 200 000 DH pour une banque. En 2024, il a reçu 5 536 dossiers (+15 %), dont environ la moitié des dossiers traités ont abouti à un accord.

5 min de lecture

Au Maroc, la loi n° 43-05, modifiée par la loi n° 12-18 publiée au Bulletin officiel du 2 septembre 2021, soumet notamment les avocats, notaires, adouls, comptables et agents immobiliers à la lutte contre le blanchiment. Les professions juridiques et comptables ne sont concernées que pour certaines opérations : immobilier, gestion de fonds, sociétés. Elles doivent alors identifier leurs clients et bénéficiaires effectifs, conserver les pièces dix ans et déclarer leurs soupçons à l'ANRF.

7 min de lecture

Le cadre COSO ERM, publié en 2017 sous le titre « Enterprise Risk Management — Integrating with Strategy and Performance », organise la gestion des risques autour de cinq composantes et vingt principes. Il ne traite pas le risque comme une liste de menaces à éviter, mais comme une dimension de la stratégie : les risques doivent être gérés pour créer, préserver et réaliser la valeur.

4 min de lecture

Bank Al-Maghrib publie chaque année, dans son rapport sur la supervision bancaire, le nombre et la nature des réclamations reçues. La circulaire n° 10/W/16 du 10 juin 2016 impose aux banques une unité dédiée, un accusé de réception immédiat, une réponse sous 40 jours ouvrables et des états trimestriels.

5 min de lecture

L'ACAPS a reçu 4 941 réclamations en assurance en 2024 (+4 %), plus 541 en protection sociale, selon son rapport d'activité publié en avril 2026. L'automobile en représente environ les deux tiers, et 62 % des dossiers arrivent par la plateforme reclamation.acaps.ma, ouverte en 2017. Un médiateur de l'assurance, désigné par l'ACAPS et la FMSAR, complète le dispositif. Aucune circulaire imposant une unité réclamations aux assureurs n'a été identifiée.

5 min de lecture

Un client européen qui confie des données ou un service à un prestataire marocain doit vérifier ses garanties : le RGPD lui impose de ne choisir que des sous-traitants offrant des garanties suffisantes et de pouvoir les auditer (article 28). Le questionnaire couvre en général six domaines : sécurité, protection des données, sous-traitants ultérieurs, usage de l'IA, continuité et éthique. La réponse la plus solide s'appuie sur une salle de preuves tenue à jour.

7 min de lecture