LES CONDITIONS D EXERCICE POUR LES ACTIVITÉS BANCAIRES EN LIGNE par SUSAN EMMENEGGER * Dr en droit, avocate, LL.M., professeure à l Université de Berne, directrice de l Institut de droit bancaire * Je tiens à remercier M. Hansueli Geiger, avocat, directeur du Service des autorisations, Secrétariat de la Commission fédérale des banques, pour ses conseils précieux et les discussions, et M. Peter Ling, assistant au Cedidac, pour la traduction de cet article.
Les conditions d exercice pour les activités bancaires en ligne Parce que l activité bancaire est une activité risquée, les banques sont soumises à une réglementation étatique. Le développement fulgurant des technologies de l information et des télécommunications, ainsi que l introduction d Internet dans la très grande majorité des ménages privés, placent la réglementation des banques devant de nouveaux défis. Dans la présente contribution, nous donnerons un aperçu de ces défis et des solutions possibles au niveau de la réglementation, notamment concernant les conditions d exercice pour les activités bancaires en ligne. Nous commencerons par un aperçu de l e-banking en Suisse (I), que nous placerons ensuite dans le contexte plus large du développement moderne (II). Nous établirons ensuite les conditions générales pour obtenir l autorisation d exercer une activité bancaire (III) et analyserons les défis principaux qui attendent la réglementation future de la branche (IV). I. E-banking : la situation actuelle en Suisse Procéder à une transaction bancaire en ligne paraît aujourd hui une évidence. Pratiquement toutes les banques suisses proposent à l heure actuelle cette prestation à leurs clients dans le cadre de leur stratégie multicanaux. Les banques purement en ligne demeurent en revanche encore rares 1. On entend par là les banques qui renoncent à des locaux «physiques» accessibles au public et proposent leurs prestations exclusivement ou essentiellement par le biais d Internet. Si on a pu assister au tournant du siècle à une véritable explosion de création de telles institutions, le boom n a été que de courte durée. Sur les sept banques en ligne 2 auxquelles la Commission fédérale des banques (CFB) 1 2 Les banques purement en ligne sont aussi appelées «Internet-only banks» ou encore «banques virtuelles» ; cf. Michael KUNZ, Aufsichtsrechtliche Probleme des E- Banking, in : Wolfgang Wiegand (édit.), Rechtliche Probleme des E-Banking, Berner Bankrechtstag 2000, Berne 2000, p. 23 à 92 (p. 26). Cf. à ce sujet Daniel ZUBERBÜHLER, E-Finance : Réglementation et surveillance, Conférence de presse de la CFB du 26 avril 2001, disponible en ligne à l adresse www.ebk.admin.ch/f/archiv. La Global Direct Dealing AG dont il est question dans le document précité ne disposait que d une licence de commerce de valeurs mobilières et n est donc pas comptée parmi les banques en ligne dans la présente contribution. La Global Direct Dealing AG fut rachetée par la Redsafe Bank à la fin de l année 2003. En tant que filiale de la Redsafe Bank, elle en partagea le sort : son autorisation fut 3
Susan Emmenegger a délivré une autorisation d exercer leurs activités, une seule reste sur le marché : - La Direkt Anlage Bank (Schweiz) AG reçut l autorisation de la CFB pour son inscription au registre du commerce en janvier 2001 3. La Direkt Anlage Bank est généralement classée parmi les banques purement en ligne. En réalité, les prestations s effectuaient également par téléphone et téléfax. La banque a été reprise puis absorbée, en janvier 2003, par Sarasin & Cie SA 4. - Stellax était un projet du groupe Julius Bär. Initialement, un service purement en ligne aurait dû voir le jour, avec des outils électroniques innovatifs dans le domaine du support à la clientèle (Smart Asset Management Services). La banque devait ouvrir durant l été 2001 5 ; en octobre de la même année, le projet a été abandonné. La banque n a jamais été opérationnelle 6. - La Y-O-U Swiss Private Banking AG était un projet de Vontobel Holding AG, dont le lancement a été annoncé en mars 2000 7. La nouvelle banque pour les «Young Urban Professionals» ne voulait pas seulement offrir des prestations bancaires par Internet, mais un véritable service global en matière bancaire 8. Par sa 3 4 5 6 7 8 retirée par la CFB le 6 septembre 2004, cf. Rapport de gestion CFB 2004, p. 42 et NZZ du 22.09.2004, p. 33. Une licence uniquement pour le commerce de valeurs mobilières fut délivrée à Fimatex SA, Paris, succursale de Zurich. La Fimatex reçut l autorisation en mars 2000, elle n est cependant jamais devenue opérationnelle. Comme banque purement en ligne, on peut encore penser à la Skandia Bank en l an 2002, cf. plus bas dans notre texte. NZZ du 05.01.2001, p. 22. L article parle de l obtention de la licence bancaire. Il faut cependant faire la différence entre les deux notions : la CFB délivre d abord une autorisation pour les activités commerciales (in casu : le 30 août 2000), généralement sous conditions. Si celles-ci sont remplies, la CFB délivre l autorisation pour l inscription au registre du commerce. Au sujet de cette procédure à deux phases, cf. Susan EMMENEGGER/Hansueli GEIGER, Bank-Aktiengesellschaften : Statuten und Reglemente mit Mustern, Zurich 2004, n os 42 s. La fusion a eu lieu le 20 août 2003. Cf. NZZ du 26.03.2001, p. 28. FOSC n 198 du 12. 10. 2001, n 26561, accessible en ligne sous www.money house.ch/shab/2001_198/publikationen_s.htm. Cf. NZZ du 29.03.2000, p. 27. Ibidem. 4
Les conditions d exercice pour les activités bancaires en ligne conception et sa technicité, le projet s annonçait très ambitieux. L arrêt du projet fut rendu public en mai 2001, après avoir englouti des coûts estimés à plus de 167 millions de francs 9. La banque n a jamais été opérationnelle 10. - La banque suédoise Skandia annonça le début de ses activités bancaires en ligne en août 2002 11. Les services ont cessé en novembre 2003 et la clientèle a été transférée à Swissquote 12. - Consors Schweiz AG était un projet du groupe allemand Consors. Elle devint opérationnelle en juillet 2001 13. Le 1 er octobre 2002, Swissquote AG reprit Consors Schweiz AG et elle l intégra au sein de ses propres activités à la fin du mois de mars 2003 14. - Redsafe Bank était un projet de la Rentenanstalt/Swiss Life. Les opérations bancaires débutèrent le 13 novembre 2001 15 et cessèrent au cours de l été 2002 16. La Redsafe Bank a été vendue en novembre 2002 17. C est M. Dieter Behring qui se trouvait derrière cette transaction ; afin de contrôler la fiabilité de l actionnaire principal, la CFB suspendit l autorisation 18. Enfin, 9 10 11 12 13 14 15 16 17 18 Cf. NZZ du 28.02.2002, p. 21. A la différence de Stellax, Y-O-U a bien été inscrite au registre du commerce. Cela nonobstant, elle n a jamais été opérationnelle. Elle a perdu son statut de banque le 17 septembre 2003. En tant que «Evesto AG» (le nom utilisé par la Y-O-U dans le cadre de la procédure d autorisation), elle a été radiée le 26 mai 2003 du registre du commerce. Avant cela, elle a activé ses services à l essai pendant trois mois à l attention d une clientèle limitée (Friends & Family), activité pour laquelle elle reçut l autorisation d inscription au registre du commerce le 28 mars 2002. Le 23 juillet, elle reçut l autorisation d exercer pleinement ses activités commerciales. L autorisation ellemême a été délivrée le 3 mars 2001. NZZ du 01.10.2003, p. 27. Cf. NZZ du 26.05.2001, p. 28. www.swissquote.ch, par les liens suivants : la société, présentation, historique, 2002. N.B. : Consors a connu des difficultés et sera rachetée par BNP Paribas, pendant que la filiale suisse de Consors sera rachetée par Swissquote. NZZ du 17.11.2001, p. 28. NZZ du 31.07.2002, p. 23. NZZ du 29.01.2003, p. 25. Cf. à ce sujet le Rapport de gestion 2004 de la CFB, pp. 42 s. 5
Susan Emmenegger par décision du 6 septembre 2004, elle ordonna le retrait de la licence et la liquidation de l établissement 19. Seule rescapée de cet engouement initial, la banque Swissquote SA obtint la licence en octobre 2000 20 et débuta ses activités en mai 2001 21. Les actions de la Swissquote Group Holding AG sont cotées à la Swiss Exchange (SWX) 22. La société occupe actuellement 120 collaborateurs et, à en croire ses propres chiffres, est actuellement le leader du marché du trading en ligne avec une clientèle de plus de 41'000 personnes 23. Malgré la présence d instituts financiers jouissant d une grande renommée ainsi que d un certain succès derrière la fondation de banques en ligne, celles-ci n ont à l heure actuelle pas réussi à s imposer sur le marché. Swissquote représente ici un cas spécial, elle n est en effet pas essentiellement active dans les affaires bancaires classiques, mais dans le trading en ligne. Assurément, le dernier mot n a pas été dit dans ce domaine. Il existe beaucoup d indices montrant que le marché n était pas encore prêt pour assurer la réussite de tels projets. Avec la génération Internet, demain, la donnée risque cependant de changer. II. Le contexte de l e-banking : la virtualisation des services financiers Les affaires bancaires modernes témoignent de la «liquéfaction» de points autrefois statiques : les acteurs, les objets des contrats, les lieux et le temps, données autrefois stables, claires et mesurables, se retrouvent de plus en plus souvent relativisés. Ce processus de virtualisation n est cependant pas un phénomène entièrement nouveau ; il ne se limite d ailleurs pas au seul domaine des services financiers. Il s agit bien plus de l expression d une différenciation et d une complexité croissantes des échanges économiques, un processus dont le début se situe bien avant 19 20 21 22 23 Idem, p. 42 ; NZZ du 22.09.2004, p. 33. www.swissquote.ch, par les liens suivants : la société, présentation, historique, 2000. NZZ du 01.11.2000, p. 27. www.swx.com, par les liens suivants : émetteurs, sociétés côtées. www.swissquote.ch, par le lien suivant : la société. 6
Les conditions d exercice pour les activités bancaires en ligne l «invention» d Internet. La modernisation dans les technologies de l information et des télécommunications mène cependant à une nouvelle étape de la virtualisation. En y regardant de plus près, on peut distinguer cinq processus partiels : A. Virtualisation relative à la communication (dépersonnalisation) En tant que premier élément d une «phénoménologie de la virtualisation», on peut considérer la dépersonnalisation. Elle se manifeste par le remplacement croissant de personnes par des machines dans la communication juridique. La cliente qui mandate sa banque d acheter des parts d une entreprise cotée à l Eurex reçoit une confirmation de l ordre et de son exécution sans qu une seule collaboratrice ait été active du côté de la banque. La communication (juridique) avec la banque s effectue par ordinateur. Ce n est cependant pas le seul processus automatisé qui est déclenché par l ordre. Celui-ci n est en effet envoyé directement ou par l intermédiaire d autres serveurs commerciaux à la bourse qu après un examen de sa couverture et de sa plausibilité. La communication et la conclusion de l affaire se déroulent entre machines, la demande et l offre étant comparées par des logiciels spécifiques et, en cas d équivalence, le contrat est conclu de façon entièrement automatique. La standardisation rapide constitue l une des conséquences de cette automatisation croissante dans les relations juridiques. En effet, la liberté d action de l ordinateur est limitée par sa programmation ; des réactions spontanées flexibles ne sont donc envisageables qu en cas d erreur dans le logiciel. B. Virtualisation relative à l identité (désubjectivisation) Le second élément de la virtualisation concerne l identité, ou plus exactement la possibilité de créer des identités virtuelles. Un consommateur peut en effet générer des identités virtuelles à bien plaire 7
Susan Emmenegger sur le réseau : le nom électronique ne doit pas nécessairement correspondre au véritable nom. En outre, une adresse électronique peut être utilisée indépendamment de la personne physique qui l a initialement créée. Du côté de l entreprise, la virtualisation se vérifie avant tout dans la perte du parallèle habituel entre les prestations offertes et l infrastructure visible. Bien qu il existe encore des locaux commerciaux même si l on renonce aux locaux destinés à recevoir les clients ou aux guichets (la banque ne fonctionne pas dans un espace vide, elle a toujours besoin d une infrastructure), du point de vue des clients, la banque troque son existence tangible sous la forme de locaux accessibles au public contre une identité sur le réseau. C. Virtualisation relative aux objets (dématérialisation) La dématérialisation constitue le troisième élément de la virtualisation. Elle désigne la diminution de l importance des choses physiques en tant qu objets du contrat. Dans le domaine des services financiers, cela se vérifie dans les processus d abstraction concernant les produits financiers. Si l action représente une part à une entreprise réellement existante, cette connexion à la réalité se perd en cas de commerce d instruments financiers innovatifs. Bien des droits créés par l autonomie privée «vivent leur vie», sans que l on puisse leur trouver un équivalent tangible dans le monde réel. La dématérialisation est en outre très bien visible dans le passage des papiers-valeurs vers les droits-valeurs. L émission du titre, autrefois garante de la transmissibilité du droit, perd visiblement de plus en plus son importance 25. D. Virtualisation relative aux lieux (délocalisation) Le quatrième élément de la virtualisation concerne la délocalisation. Celle-ci désigne le relâchement croissant des liens géographiques dans les relations commerciales. Les barrières spatiales ont perdu beaucoup d importance grâce au développement des nouvelles possibilités 25 Voir à ce sujet notamment la thèse de Christoph BRUNNER, Wertrechte - nicht verurkundete Rechte mit gleicher Funktion wie Wertpapiere : Ein Beitrag zur rechtlichen Erfassung des Effektengiroverkehrs, Berne 1996. 8
Les conditions d exercice pour les activités bancaires en ligne technologiques, tant en ce qui concerne les relations d affaires que dans les structures d organisation des entreprises. Le premier domaine dans lequel les barrières spatiales sont démolies est celui des relations d affaires. Pour le client d une banque Internet, le fait que celle-ci ait une succursale au coin de la rue ou qu elle se trouve au contraire à des milliers de kilomètres n a aucune importance. Une banque située aux Antilles Hollandaises peut offrir ses services à une clientèle mondiale ; son site Internet ne se présente pas autrement que celui de n importe quel prestataire de services local : pour le client, la distance à l entreprise consiste de toute manière en un seul clic de souris. Il est important de relever que la distance ne coûte dans ce cas plus rien : la connexion au réseau est payante, mais son coût est indépendant de la question de savoir si la communication intervient avec les Antilles Hollandaises ou la banque du coin de la rue. Le second domaine dans lequel les barrières spatiales disparaissent est celui de la structure organisationnelle des entreprises. A travers les possibilités d échange de données avantageuses et rapides, l organisation économique peut être atomisée selon des critères de rationalisation ; on peut rechercher l emplacement optimal pour chaque domaine d activité donné. Que la centrale informatique d une banque se trouve dans le même immeuble ou dans un autre pays est devenu indifférent, s agissant de la structure d organisation de la banque. E. Virtualisation relative au temps (extemporalisation) La virtualisation se manifeste enfin à travers la diminution de l importance des barrières temporelles. Ce critère est quelque peu différent des autres processus de virtualisation, car l élément «temps» n est pas relativisé en tant que point de référence des affaires financières, mais dans sa fonction de barrière à leur réalisation. La disparition des barrières du temps peut être observée dans divers domaines, par exemple dans l accélération des temps de transmission des données. Les informations sont désormais accessibles en quelques secondes et la proximité physique n est plus synonyme d avantage en termes de temps. En parallèle, le facteur temps évolue aussi dans son sens d «heures de 9
Susan Emmenegger bureau» : cette notion devient en effet obsolète dans le cadre des relations juridiques virtuelles, dans la mesure où le site web d une banque peut être consulté 24 heures sur 24. Lorsqu une prestation bancaire est effectuée automatiquement, on peut en bénéficier à toute heure et avec effet immédiat. III. La régulation de l activité bancaire en général Les phénomènes de virtualisation que nous venons de décrire ont-ils une influence sur la régulation et, si oui, laquelle? Afin de pouvoir répondre à une telle question, nous devons d abord rappeler les conditions nécessaires pour obtenir l autorisation d exercer une activité bancaire. A. Obligation de requérir une autorisation L exercice d une activité bancaire est soumis à l autorisation de la Commission fédérale des banques (art. 3 al. 1 LB). Ne peuvent employer les mots de «banque» ou de «banquier» dans leur raison sociale ou dans la désignation du but social ou encore s en servir à des fins de publicité que les établissements disposant d une autorisation de la CFB (art. 1 al. 4 LB). L exercice non autorisé d une activité bancaire est punissable (art. 46 al. 1 let. a LB). La loi sur les banques 26 ne contient pas de définition de la banque. Il faut pour cela consulter l ordonnance sur les banques 27. Sont ainsi soumises à autorisation les entreprises actives principalement dans le secteur financier et qui en particulier «acceptent des dépôts du public à titre professionnel ou font appel au public pour les obtenir dans le but de financer pour leur propre compte, de quelque manière que ce soit, un nombre indéterminé de personnes ou d entreprises avec lesquelles elles ne forment pas une entité économique» (art. 2a let. a OB). Cette description n est pas complète, car elle ne comprend pas les banquiers privés 26 27 Loi fédérale du 8 novembre 1934 sur les banques et les caisses d épargne (LB), RS 952.0. Ordonnance du 17 mai 1972 sur les banques et les caisses d épargne (OB), RS 952.02. 10
Les conditions d exercice pour les activités bancaires en ligne essentiellement actifs dans la gestion de fortune. Toutefois, la loi sur les banques évoque explicitement les banquiers privés, il ne peut donc y avoir de doute quant à leur obligation d obtenir une autorisation pour exercer leur activité (art. 1 al. 1 LB), même s il est vrai qu ils profitent de nombreux privilèges dans le cadre de la réglementation. Ont besoin d une autorisation les banques organisées selon le droit suisse. «Si la direction effective de la banque étrangère se situe en Suisse ou si la banque étrangère exerce son activité exclusivement ou de manière prépondérante en Suisse ou depuis la Suisse, elle doit être organisée selon le droit suisse et est soumise aux dispositions légales applicables aux banques suisses» (art. 1 al. 2 OBE). Elle sera donc soumise à l obligation de demander l autorisation de la CFB. Si une banque est organisée à juste titre sous un droit étranger, elle a néanmoins besoin d une autorisation de la CFB si elle possède en Suisse une succursale, une agence ou une représentation (art. 2 OBE). B. Conditions de l autorisation La disposition clé concernant la procédure d autorisation en matière bancaire est l art. 3 LB. Cet article contient les conditions préalables essentielles pour obtenir l autorisation. Les conditions doivent être respectées en tout temps, il s agit donc en même temps de conditions pour l exercice de l activité commerciale. On peut distinguer trois niveaux dans les conditions préalables à l autorisation : le niveau financier, le niveau organisationnel et le niveau personnel. Au niveau financier, la loi sur les banques exige une capitalisation minimale dont la hauteur est déterminée par voie d ordonnance (art. 3 al. 2 let. b LB). La capitalisation minimale se monte actuellement à 10 millions de francs (art. 4 al. 1 OB). Au stade de l exercice effectif des activités commerciales, les ressources financières doivent correspondre aux activités de la banque (cf. art. 7 al. 3 OB). Au niveau de l organisation, la banque doit disposer d une organisation administrative appropriée. Contrairement au droit de la société anonyme, la loi sur les banques consacre le système dualiste : les membres du conseil d administration ne peuvent faire partie de la direction (art. 3 al. 2 let. a LB, art. 8 al. 2 OB). Enfin, la loi sur les banques exige, au niveau 11
Susan Emmenegger personnel, l intégrité des membres de la direction (art. 3 al. 2 let. c LB) 28, ainsi que l intégrité des actionnaires qualifiés (art. 3 al. 2 let. c bis LB). Les personnes chargées de la direction doivent en outre avoir leur domicile en un lieu qui leur permet d exercer la gestion effective des affaires et d en assumer la responsabilité (art. 3 al. 2 let. d LB). IV. Défis posés à la surveillance dans le domaine de l e-banking Si l on considère les tendances à la virtualisation en matière bancaire d une part et les conditions préalables à l autorisation d autre part, on peut reconnaître trois principaux défis qui attendent les autorités de régulation : en relation avec la virtualisation relative aux lieux (délocalisation), il s agit des affaires bancaires transfrontalières et de l externalisation de prestations autrefois internes à la banque. En relation avec la virtualisation relative à l organisation (désubjectivisation), il s agit de la question de l ouverture de comptes par Internet. A. Le trafic bancaire transfrontalier (délocalisation) La délocalisation désigne l aspect de la virtualisation qui consiste en un relâchement des liens géographiques dans la vie commerciale. En matière bancaire, elle se manifeste avant tout par l accès de la banque à une clientèle globale. Du point de vue de l autorité de surveillance en revanche, deux questions principales se posent à ce sujet : existe-t-il un besoin de réglementation lorsqu une banque suisse offre ses services à une clientèle étrangère à travers Internet? Et inversément, existe-t-il un besoin de réglementation lorsqu une banque ayant son siège à l étranger offre ses services par Internet à des clients se trouvant en Suisse? 28 Littéralement : «[l autorisation est accordée lorsque] les personnes chargées d administrer et de gérer la banque jouissent d une bonne réputation et présentent toutes garanties d une activité irréprochable». 12
Les conditions d exercice pour les activités bancaires en ligne 1. Outgoing Services : prestations bancaires de la Suisse vers l étranger Une banque suisse offrant ses services à une clientèle se trouvant à l étranger n a pas besoin pour cela d une autorisation supplémentaire. Du point de vue de la Commission fédérale des banques, un tel service est réputé rendu en Suisse et il est par conséquent soumis à la surveillance comme n importe quel autre service sur territoire helvétique 29. Cette activité n est en outre pas soumise à une obligation d informer la CFB car une telle obligation suppose une présence physique à l étranger (art. 3 al. 7 LB). Il existe une exception à ce principe lorsque la banque procède à une modification substantielle de son domaine d activité géographique, non couverte par ses statuts. La loi sur les banques prescrit en effet que la banque définit «de façon précise le champ et le rayon géographique de ses activités dans ses statuts, ses contrats de société ou ses règlements» (art. 3 al. 2 let. a LB en relation avec l art. 7 al. 1 OB). La raison de cette exigence est de s assurer l existence d un point d orientation pour le régime de surveillance individuel de chaque banque. L autorité de surveillance se base sur ces documents pour contrôler que les conditions à l obtention de l autorisation, et en particulier l exigence d une organisation appropriée (art. 3 al. 2 let. a LB), sont remplies. L ordonnance sur les banques dispose explicitement que le rayon géographique d activité doit correspondre aux ressources financières et à l organisation administrative de la banque (art. 7 al. 3 OB). Selon la pratique de la CFB, le rayon géographique d activité doit même figurer dans la disposition statutaire qui fixe le but de la banque 30. Les statuts doivent par conséquent être modifiés si le rayon géographique d activité est étendu par la suite. A noter qu une telle modification est soumise à l approbation de la Commission fédérale des banques (art. 3 al. 3 LB). 29 30 Cf. la page d informations de la CFB, http://www.ebk.admin.ch, par les liens suivants : FAQ, services financiers électroniques, prestations de services transfrontalières. Concernant le principe et les exceptions (UBS, CS), voir EMMENEGGER/GEIGER (n. 3), n os 68 s. 13
Susan Emmenegger 2. Incoming Services : prestations bancaires de l étranger vers la Suisse A l inverse, la question se pose s il existe un besoin de réglementation lorsqu une banque dont le siège se trouve à l étranger offre ses services à des personnes se trouvant en Suisse. Ici, les conséquences de la délocalisation deviennent particulièrement visibles. En effet, tant qu une personne domiciliée en Suisse se rendait en Angleterre par exemple pour y procéder à des transactions bancaires, la question de la réglementation de la banque anglaise par les autorités suisses ne se posait pas. A l inverse, il n y avait aucun doute non plus sur l obligation de la banque anglaise de se soumettre à l autorité de surveillance suisse lorsqu elle était présente en Suisse, à travers une filiale, une succursale, une agence ou une représentation (art. 1 et 2 OBE). C est justement dans le cas de succursales et de représentations que l obligation de requérir une autorisation était liée à la présence physique de personnes employées par la banque étrangère, actives en Suisse ou depuis la Suisse pour son compte (art. 2 al. 1 OBE) 31. Lors d opérations bancaires par Internet, la présence d employés de la banque étrangère en Suisse devient superflue : les clients suisses peuvent bénéficier directement des prestations. La question se pose donc s il existe dans de tels cas une obligation de requérir l autorisation de la CFB. Certaines autorités de surveillance, notamment la Financial Services Agency anglaise, répondent par l affirmative à cette question 32. La CFB a adopté une position plus libérale. D après elle, une obligation de requérir l autorisation n existe que dans les cas réglés par l ordonnance sur les banques étrangères (OBE). Cette ordonnance prévoit une telle obligation uniquement lorsque la banque étrangère est physiquement présente en Suisse (succursale, agence) et/ou si elle emploie des personnes en Suisse (représentation). La CFB en déduit que l offre purement en ligne d une 31 32 Cf. aussi ATF 130 II 352, c. 5, p. 362 (n. t.). Cf. à ce sujet KUNZ (n. 1), p. 64. Cf. pour le droit anglais : Treatment of material on overseas Internet World Wide Web sites accessible in the UK but not intended for investors in the UK, FSA Guidance Release 2/98 of May 1998, disponible à l adresse www.fsa.gov.uk/pubs/guidance/gr02_1998.pdf. 14
Les conditions d exercice pour les activités bancaires en ligne banque étrangère n est pas soumise à autorisation ; que l offre cible ou non explicitement une clientèle suisse n y change rien 33. Le domaine des fonds de placement est régi par une règle différente. Ici, la publicité par Internet en faveur d un fonds étranger, qui viserait des investisseurs en Suisse (ce que l on appelle «targeting»), entraîne une obligation de requérir une autorisation 34. B. L externalisation de services bancaires La disparition progressive des barrières spatiales due à la virtualisation (délocalisation) se retrouve également dans l organisation économique de la banque. C est précisément dans le domaine des activités bancaires par Internet que l on rencontre le plus fréquemment des cas d externalisation de certaines prestations. Cette atomisation est généralement désignée par l anglicisme «outsourcing». Le service clientèle d une banque dont le siège est à Zurich se trouvera alors en Irlande, les transactions et les données (back-office) transiteront par la France, la gestion de fortune et les activités de conseil par voie électronique auront lieu à Lucerne, le fonctionnement et la surveillance du centre informatique s effectueront depuis les Pays-Bas, la connexion aux services bancaires par Internet se fera à travers une entreprise à Baden et la société responsable pour l utilisation et la surveillance d un logiciel commercial développé au Japon se trouvera en Allemagne. Dans ce cas précis de la délocalisation, la prestation de services est basée sur la coopération, parfois transfrontalière, entre unités localement distinctes. 1. Développement L outsourcing ne constitue en réalité pas une nouveauté dans le domaine bancaire. Le déplacement de certaines fonctions s est inscrit dans le développement régulier d une société basée sur la division du travail, développement longtemps passé inaperçu devant les autorités de 33 34 Cf. la page d information de la CFB, http://www.ebk.admin.ch, par les liens suivants : FAQ, services financiers électroniques, prestations de services transfrontalières. Cf. art. 19 et 120 LPCC et circ.-cfb 03/1 du 28 mai 2003 (dernière modification : 25/26 janvier 2006), Appel au public au sens de la législation sur les fonds de placement, n os 20 ss. 15
Susan Emmenegger surveillance. C est en 1974 que l outsourcing s est trouvé pour la première fois dans la ligne de mire de la Commission fédérale des banques, lorsqu elle refusa la requête d une banque étrangère souhaitant déplacer sa comptabilité à l étranger. La CFB motiva son refus essentiellement par le fait que le secret bancaire suisse ne serait pas assuré à l étranger 35. La Commission fédérale des banques ne pouvait cependant plus ignorer la réalité économique de l outsourcing dans le courant des années 90. Elle commença donc à autoriser, dans des cas individuels et sous une série de conditions, le traitement de données à l étranger 36. L outsourcing acquit cependant une dimension nouvelle avec l avènement de l e-banking. D une part, les requêtes d autoriser un outsourcing augmentèrent de façon exponentielle, d autre part, elles concernaient de plus en plus des parties essentielles de l activité bancaire. La CFB a donc édicté une circulaire, posant des conditions générales à l outsourcing (circ.-cfb 99/2) 37. La circulaire entra en vigueur le 1 er novembre 1999 et sa version révisée le 1 er novembre 2002. La circulaire constitue la réponse des régulateurs aux défis de l activité bancaire liés à la virtualisation. 2. Principe fondamental de la réglementation de l outsourcing : l équivalence de contrôle Par la création de la circulaire sur l outsourcing, la CFB a reconnu la légalité de principe d une forme d organisation des banques dans laquelle des fonctions et prestations essentielles ne sont plus fournies par la banque elle-même. En effet, la circulaire formule des conditions permettant une délocalisation de domaines d activités sans l autorisation de la CFB. Ces conditions sont résumées en neuf principes de l outsourcing. L article définissant le but de la circulaire définit trois objectifs : une organisation appropriée (art. 3 al. 2 let. a LB), la garantie du secret bancaire (art. 47 LB) et le respect de la protection des données. Une importance particulière est attribuée à la condition d une organisation appropriée ; la 35 36 37 Bulletin CFB 21 (1991), p. 27. Cf. Rapport de gestion 1990 de la CFB, pp. 27 s. et 1991, p. 39 ; Bulletin CFB 21 (1991), pp. 26 s. Circ.-CFB 99/2 du 26 août 1999, Externalisation d activités (Outsourcing), www.ebk.admin.ch, par les liens suivants : réglementation, circulaires de la CFB. 16
Les conditions d exercice pour les activités bancaires en ligne CFB n est en effet ni une autorité pénale, ni une autorité chargée de la protection des données. La compétence de la CFB pour la protection de l intégrité des données de clients passe par le chemin de l organisation appropriée, respectivement par des dispositifs visant à éviter une panne dans l organisation. Il n est pas étonnant que la réglementation de l outsourcing soit étroitement liée à cette condition préalable à l autorisation qu est l organisation appropriée. Le respect de cette exigence par la banque, ainsi que sa surveillance par l autorité compétente, sont exposés à des risques considérables dans le cas de la délocalisation de certains services précis. Du côté de la banque, il existe un risque de perdre le contrôle sur l unité délocalisée. Du côté de l autorité de surveillance, le risque consiste en un affaiblissement du régime de la surveillance. Ce risque est encore augmenté lorsque le prestataire de services externe n est pas lui-même une banque et n est donc pas soumis à la surveillance de la CFB. La réglementation de l outsourcing a pour objectif la diminution de ces facteurs de risque. Le but consiste en la création d un effet de contrôle comparable. Il faut s assurer qu après la délocalisation, les domaines délocalisés soient soumis au même contrôle, tant en ce qui concerne son intensité que sa qualité, comme si les prestations étaient effectuées par l institut lui-même 38. On peut citer à titre d exemple le principe 7 de la circulaire. Dans le contrat d outsourcing, le prestataire de services externe doit s obliger à garantir un droit de contrôle intégral aux organes de révision de la banque mandante. Un prestataire qui ne serait pas assujetti à la surveillance de la CFB doit s engager par contrat envers la banque mandante à fournir à la 38 Cf. à ce sujet aussi Kurt HAURI, Der Einfluss des öffentlichen Rechts auf das private Bankrecht, in : Wolfgang Wiegand (édit.), Die Banken im Spannungsfeld zwischen öffentlichem Recht und Privatrecht, Berner Bankrechtstag 1999, pp. 1 à 15 (pp. 13 s). Des standards de qualité et de performance fixes ne doivent en revanche pas être impérativement respectés : le seul «test» important est celui de l organisation appropriée. A l intérieur de cette exigence, une diminution de performance liée à un «outsourcing» doit être traitée de la même façon qu une décroissance à l intérieur de la même entreprise. Contra Beat KLEINER, Art. 3 LB, in : Beat Kleiner et al. (édit.), Kommentar zum Bundesgesetz über die Banken und Sparkassen vom 8. November 1934 sowie zur Verordnung vom 17. Mai 1972 (V) und der Vollziehungsverordnung (VV) vom 30. August 1961, Zurich, Loseblattsammlung (1999), n 81. 17
Susan Emmenegger CFB tous les renseignements et documents relatifs au domaine d activités transféré dont la CFB a besoin pour remplir ses tâches de surveillance. Il s agit en réalité d une stipulation pour autrui. L obligation d information à l égard de la CFB qui, pour les banques, est expréssement prévue à l art. 23 bis al. 2 LB, est ainsi étendue aux prestataires de services autres que des banques. Le pouvoir de contrôle de la CFB qui - en dehors du domaine bancaire - fait défaut, est remplacé par des instruments du droit privé. En résumé on peut affirmer ce qui suit : le phénomène de la délocalisation est visible dans le domaine bancaire, en particulier lors de la délocalisation massive de domaines d activités. Cela remet en question l organisation appropriée, condition préalable à l autorisation d exercer une activité bancaire, car il existe un risque de perte de contrôle. L autorité de surveillance a réagi de façon créative à ce défi : le droit des contrats a été employé à des fins de surveillance. C. L ouverture de comptes en ligne Autre élément de la virtualisation, la désubjectivisation possède une grande importance pour l autorité de surveillance des banques. Lorsque les banques renoncent aux guichets «physiques», la question se pose si l ouverture d un nouveau compte par Internet est licite. Cette question est réellement devenue d actualité lorsque les premières banques Internet («pures») ont demandé une autorisation auprès de la CFB. 1. CDB 98 Au moment du dépôt des premières requêtes de banques Internet, la Convention relative à l obligation de diligence des banques de 1998 (CDB 98) était encore en vigueur. Bien qu elle ait prévu la possibilité de l ouverture d un compte par correspondance, elle présumait tout de même que tôt ou tard le client allait se présenter personnellement à sa banque et qu à ce moment-là on contrôlerait son identité 39. La présomption d une identification subséquente ne pouvait cependant être maintenue dans le cas de banques Internet, car faute de locaux destinés à cet effet, une telle 39 Concernant la procédure sous la CDB 98 en détail, KUNZ (n. 1), pp. 31 ss. 18
Les conditions d exercice pour les activités bancaires en ligne rencontre personnelle ne pouvait avoir lieu. La CFB a donc édicté des standards minimaux pour l ouverture de comptes auprès de banques purement en ligne 40. Ceux-ci permettaient une ouverture de comptes par correspondance, en exigeant, en même temps, une rencontre personnelle en cas d ouverture d un compte par un client important. On considérait comme «clients importants» notamment les personnes déposant une somme dont la valeur était égale ou supérieure à Fr. 500'000.- au début de la relation bancaire. 2. CDB 03 Les standards minimaux de la CFB étaient considérés comme une solution provisoire ; ils furent abrogés avec l entrée en vigueur de la nouvelle CDB le 1 er juillet 2003 41. Dans la CDB 03, les ouvertures de comptes par Internet sont expressément évoquées. Une telle opération reste cependant prohibée s il s agit d une «ouverture de compte purement en ligne», lors de laquelle la banque et son client potentiel communiquent exclusivement par voie électronique. Ce sont les règles sur l ouverture de compte par correspondance qui sont applicables. Ainsi, la banque est tenue de vérifier l identité de son client sur la base d un document d identification dûment authentifié 42. A noter que la CDB 03 apporte un allègement substantiel : l exigence d une rencontre personnelle avec le client «important» a été abandonnée. 40 41 42 Pour les standards minimaux, cf. KUNZ (n. 1), pp. 89 ss. Les standards minimaux ont été expliqués par M. Daniel ZUBERBÜHLER, Directeur de la CFB, à l occasion de la conférence annuelle de 2001 de la Commission (Conférence de presse de la Commission fédérale des banques du 26 avril 2001). La version écrite est accessible à l adresse www.ebk.admin.ch/f/archiv/2001/pdf/neu4-01.pdf. Convention relative à l obligation de diligence des banques (CDB 03), disponible à l adresse www.swissbanking.org/1116_f.pdf. CDB 03, ch. 10 s. A noter le ch. 11 al. 2 : «La vérification de l identité peut également valablement être effectuée par le biais de la présentation d une pièce de légitimation officielle lors d envois par la poste, s il est ainsi garanti que l envoi parvient au destinataire et à lui seul». 19
Susan Emmenegger V. Perspectives «Banking is essential, banks are not» - il s agit d une phrase célèbre de Bill Gates. Après le tournant du millénaire qui a obligé les autorités de surveillance à s occuper de plus près des banques en ligne, la situation s est aujourd hui notablement consolidée, tant sur le plan des faits que sur celui du droit. A l heure actuelle, aucune nouvelle banque purement en ligne n a encore osé s avancer à la conquête du marché. Les banques traditionnelles ont bien défendu leurs positions. D autre part, les dispositifs de réglementation ont été rendus compatibles avec les nouvelles conditions de l e-banking, notamment par la circulaire sur l outsourcing et la nouvelle CDB. Les développements techniques ne s arrêteront cependant pas là et gageons que ce domaine sera encore riche de questions concernant la réglementation. 20