Le 13 octobre 2026, le Financial Crimes Enforcement Network (FinCEN) du Trésor américain a annoncé une sanction civile d'1,2 milliard de dollars contre Bank of America — la troisième plus importante de l'histoire de FinCEN, après l'accord de 4,3 milliards de dollars avec Binance en 2023 et la sanction de 1,3 milliard contre TD Bank en 2024. L'Office of the Comptroller of the Currency (OCC) a imposé simultanément une évaluation de 750 millions — la plus élevée de son histoire — venant s'imputer partiellement sur le total FinCEN. Un accord distinct avec l'OFAC de 11,6 millions de dollars couvre des violations apparentes de plusieurs programmes de sanctions, dont l'Iran, la Russie, les réseaux de narcotrafic et le terrorisme international.

Le chiffre est considérable. Ce qui l'est davantage pour les équipes de conformité dans le monde entier, c'est le fondement juridique qui l'a produit : Bank of America a admis avoir délibérément violé le Bank Secrecy Act (BSA). Cette admission — rare dans les grandes actions réglementaires contre des établissements financiers majeurs — modifie le prisme à travers lequel toute équipe de conformité homologue doit lire ce cas.

Les chiffres : ce que FinCEN a réellement constaté

L'action réglementaire de FinCEN repose sur des défaillances documentées à grande échelle, non sur des lacunes marginales de programme.

Indicateur	Valeur
Sanction civile FinCEN	1,2 milliard $
Sanction civile OCC	750 millions $ (imputés au total FinCEN)
Accord OFAC	11,6 millions $
Transactions suspectes non déclarées	Plus de 5 milliards $
Programmes de sanctions impliqués	Iran, Russie, narcotrafic, terrorisme mondial

Les 5 milliards de dollars en transactions suspectes non déclarées n'ont pas échappé au contrôle parce que la banque ne disposait pas d'un programme de conformité. Bank of America gère l'un des plus grands dispositifs de lutte contre les crimes financiers des États-Unis. Ce programme a échoué, sur une période prolongée, à produire les sorties obligatoires — déclarations d'activités suspectes (SAR) — qu'exige le BSA.

Ce que signifie l'admission de « violation délibérée »

En droit américain, la qualification de violation intentionnelle du BSA a un poids juridique et opérationnel matériellement différent d'une constatation de négligence ou de contrôles insuffisants.

Le critère d'intentionnalité du BSA ne requiert pas de prouver que l'équipe de conformité a consciemment décidé de permettre des transactions illicites. Il exige de démontrer que l'établissement connaissait ses obligations BSA, avait connaissance de la lacune de conformité et a omis d'y remédier. Dans le cas de Bank of America, cette base était déjà établie : l'enquête de FinCEN découle en partie d'un Consent Order de 2024, ce qui signifie que la banque avait été formellement notifiée par son régulateur de l'existence de déficiences matérielles dans son programme AML.

Un consent order met la banque en situation de notification formelle. Continuer à opérer avec ces lacunes après cette notification réglementaire est précisément ce qui établit l'intentionnalité. La progression — consent order en 2024, sanction d'1,2 milliard en 2026 — décrit une fenêtre de deux ans pendant laquelle des contrôles déficients ont persisté après que le régulateur les eut signalés par écrit.

Cette chronologie pose une question inconfortable à tout établissement opérant actuellement sous un consent order, une MRA ou un constat superviseur : comment votre programme se comporterait-il sous le même prisme d'intentionnalité ?

Trois actions réglementaires majeures en cinq semaines

Le cas Bank of America n'arrive pas isolément. Trois grandes actions BSA/AML ont été annoncées en l'espace de cinq semaines à l'automne 2026 :

Date	Établissement	Régulateur	Sanction
17 juin 2026	Ikano Bank	Finansinspektionen	SEK 140M (~€13M)
8 octobre 2026	American Express	OCC + Réserve fédérale	350 M$
13 octobre 2026	Bank of America	FinCEN + OCC + OFAC	~1,2 Md$

L'action réglementaire contre Ikano Bank a documenté quatre déficiences structurelles : évaluation des risques produits incomplète, typologies de blanchiment obsolètes, diligence renforcée insuffisante et renseignement réglementaire exclu du modèle de risque. Un schéma de défaillances structurellement comparable a produit l'amende de 350 millions de dollars infligée à American Express une semaine avant l'annonce contre Bank of America.

La sanction Bank of America est d'un ordre de grandeur supérieur à celle d'American Express. Ce que les trois cas partagent est un archétype commun : un programme de conformité qui existait dans la documentation mais s'est dégradé dans la pratique, dans le temps et à l'échelle. Des régulateurs dans trois établissements différents, sur deux continents, ont trouvé la même lacune structurelle.

Les populations illicites que le programme n'a pas détectées

L'annonce du Trésor a identifié deux populations spécifiques de financement illicite que le programme de surveillance de Bank of America n'a pas détectées ni déclarées :

Réseaux de blanchiment d'argent chinois. FinCEN a cité des opérations de blanchiment liées à des réseaux criminels chinois comme une catégorie où l'activité suspecte n'a pas été identifiée ni déclarée de manière systématique. Ce vecteur de menace est escaladé par les régulateurs américains depuis plusieurs années, avec des orientations typologiques spécifiques sur les schémas de transactions associés aux opérateurs de change non agréés utilisés par ces réseaux. Les orientations existaient ; la calibration contre elles était absente ou inadéquate.

Financement illicite à la frontière sud-ouest. La seconde population implique les produits du trafic de drogues et les flux illicites connexes à la frontière États-Unis-Mexique. Cette catégorie d'exposition n'est pas nouvelle pour les grandes banques de détail et commerciales américaines. Elle figure dans les rapports typologiques du GAFI, les avis de FinCEN et les actions réglementaires antérieures contre des banques régionales et nationales. Sa présence dans une action contre un établissement d'une telle dimension indique une défaillance de surveillance systémique plutôt qu'incidentelle.

Aucune de ces deux populations n'est nouvellement identifiée. Toutes deux ont fait l'objet d'orientations réglementaires spécifiques publiées ces dernières années. La défaillance de conformité n'est pas l'absence d'orientations disponibles — c'est l'absence de calibration opérationnelle contre elles.

Le problème de la détection agrégée

Les 5 milliards de dollars nécessitent un contexte pour comprendre ce qu'ils révèlent sur l'architecture de surveillance.

Lorsqu'un programme de surveillance passe à côté de 5 milliards de transactions suspectes, le mode de défaillance n'est que rarement le fait que cette somme a transité par un seul compte qu'une règle d'alerte simple aurait dû détecter. Le schéma le plus fréquent — cohérent avec ce que FinCEN a documenté — est que l'activité suspecte s'accumule sur une population de comptes, dont chacun, pris individuellement, génère des volumes ou des schémas de transactions inférieurs à tout seuil d'alerte individuel. L'agrégat au niveau de la population est détectable ; aucun compte individuel ne déclenche une règle.

C'est la limitation structurelle des programmes de surveillance construits sur des ensembles de règles statiques appliqués au niveau du compte individuel. Les règles calibrées pour les schémas de transactions individuelles ne peuvent pas détecter systématiquement les réseaux distribués qui opèrent consciemment en dessous de ces seuils en agrégé.

La surveillance continue et le KYC perpétuel traitent ce problème au niveau du portefeuille plutôt qu'au niveau du compte. La reconnaissance de schémas appliquée aux segments de clientèle, aux corridors géographiques et aux fenêtres temporelles — pas seulement aux montants de transactions individuelles — est la réponse architecturale au mode de défaillance que FinCEN a documenté ici.

Ce que l'IA change dans les enquêtes AML

La sanction Bank of America est arrivée la même semaine que l'annonce par FIS et Anthropic du lancement commercial de leur Agent d'Investigations AML pour les banques américaines. La coïncidence temporelle est circonstancielle, mais le contexte ne l'est pas.

Les établissements financiers américains dépensent environ 35 à 40 milliards de dollars par an en conformité AML. Cet investissement n'a pas empêché des actions réglementaires de cette ampleur. Ce qu'il a majoritairement financé est un très grand nombre d'analystes effectuant un triage manuel face à des volumes d'alertes qui dépassent structurellement toute capacité réaliste de revue manuelle exhaustive.

Les agents d'IA dans la conformité financière reçoivent une validation réglementaire formelle précisément parce que le modèle manuel n'a pas comblé l'écart de couverture. Un système agentique qui examine chaque alerte de niveau 1, enquête sur chaque cas escaladé et prépare des narratifs SAR avec une documentation liée ne remplace pas la supervision humaine — il change ce que cette supervision humaine examine réellement. Les analystes traitent des anomalies confirmées, pas des files d'alertes.

Les agents de conformité autonomes de Joinble opèrent sur ce modèle architectural : surveillance continue contre les typologies réglementaires mises à jour, scoring de risque qui s'ajuste au fur et à mesure que de nouvelles orientations FinCEN sont publiées, et pistes d'audit construites en temps réel plutôt que reconstituées sous pression réglementaire.

Ce que les équipes de conformité doivent faire maintenant

Cinq questions correspondent directement aux défaillances documentées :

Sur l'exposition aux consent orders et MRA. Votre établissement opère-t-il actuellement sous un consent order, une MRA ou un constat superviseur écrit identifiant des lacunes AML ? Si oui, la chronologie de Bank of America est directement applicable. Les régulateurs ont déjà établi la connaissance formelle. L'horloge de l'intentionnalité commence à partir de cette notification, pas du prochain contrôle.

Sur la calibration typologique. Quand vos règles de surveillance des transactions ont-elles intégré pour la dernière fois les orientations typologiques spécifiques publiées par FinCEN sur les réseaux chinois de blanchiment, les flux frontaliers sud-ouest et les autres populations de menace les plus pertinentes pour votre clientèle ? La date de publication d'une orientation et la date de son implémentation dans les règles de surveillance en production ne sont souvent pas la même.

Sur la surveillance spécifique par population. Votre programme SAR applique-t-il une logique de surveillance différenciée aux populations de clients distinctes — par géographie, type de produit et segment de risque — ou applique-t-il un modèle de risque généralisé sur l'ensemble du portefeuille ? Les défaillances de surveillance spécifiques par population sont précisément ce que FinCEN a documenté.

Sur la détection de schémas agrégés. Vos systèmes de surveillance produisent-ils des sorties sur les schémas au niveau du portefeuille — comportement des transactions agrégé par segments de clients, fenêtres temporelles et géographies — ou seulement des alertes au niveau du compte individuel ? Le mode de défaillance dans ce cas était populationnel, pas individuel.

Sur la qualité des sorties SAR. Quel pourcentage des comptes dans le niveau de risque le plus élevé de votre portefeuille a généré au moins une revue SAR au cours des 12 derniers mois ? Un programme qui examine systématiquement la tranche médiane de la distribution des risques sans produire de sorties sur la tranche la plus élevée n'échoue pas à détecter — il échoue à regarder.

Pour un cadre complet de ce qu'un programme KYC et AML aux standards actuels doit fournir, notre guide KYC 2026 couvre les bases réglementaires de l'onboarding jusqu'à la surveillance continue.

FAQ

Quelle est l'ampleur de la sanction AML contre Bank of America, et comment se classe-t-elle historiquement ?

FinCEN a imposé une sanction civile d'1,2 milliard de dollars — la troisième plus élevée de l'histoire du Trésor américain, après les 4,3 milliards de Binance en 2023 et les 1,3 milliard de TD Bank en 2024. L'OCC a simultanément imposé une évaluation de 750 millions, la plus élevée de son histoire, imputée partiellement sur le total FinCEN. Un accord OFAC distinct de 11,6 millions couvre des violations de sanctions dans plusieurs programmes.

Que signifie l'admission par Bank of America de violations intentionnelles du BSA ?

Le critère d'intentionnalité du BSA exige de démontrer que l'établissement connaissait ses obligations, savait qu'il ne les remplissait pas et a omis d'y remédier — pas qu'il a intentionnellement permis le blanchiment. Le Consent Order de 2024 avait déjà formellement notifié Bank of America des déficiences AML. Continuer à opérer avec ces lacunes connues après cette notification établit l'intentionnalité. Admettre le constat élimine les contestations sur les faits et signale aux établissements comparables que la défense « nous ne savions pas » n'est plus disponible une fois que les régulateurs ont formellement documenté une lacune.

Quels réseaux illicites spécifiques Bank of America n'a-t-il pas détectés ?

FinCEN a cité deux populations spécifiques : les réseaux de blanchiment chinois, y compris les activités associées aux opérateurs de change non agréés ; et les flux financiers illicites à la frontière sud-ouest États-Unis-Mexique, y compris les produits du trafic de drogues. Les deux ont fait l'objet d'orientations et d'avis spécifiques de FinCEN publiés ces dernières années. La défaillance était de calibration, non d'absence d'orientations disponibles.

Pourquoi 5 milliards en transactions suspectes n'ont-ils généré aucune SAR ?

Le constat pointe vers une architecture de surveillance où l'activité suspecte s'est accumulée en dessous du seuil des règles d'alerte au niveau du compte individuel. Lorsque les programmes reposent sur des règles statiques appliquées aux comptes individuels, les réseaux de financement illicite distribués qui opèrent en dessous de ces seuils individuellement peuvent accumuler une exposition agrégée significative sans déclencher d'escalade. La détection de schémas agrégés au niveau du portefeuille est la réponse architecturale à ce mode de défaillance.

Cette action réglementaire affecte-t-elle les établissements régulés dans l'UE ?

Indirectement, oui. Les normes techniques CDD d'AMLA, publiées en octobre 2026, exigent des entités obligées de l'UE qu'elles mettent en œuvre une surveillance basée sur les risques avec une calibration documentée contre les orientations typologiques en vigueur. Le mode de défaillance de Bank of America — surveillance non calibrée contre des populations de menace identifiées spécifiquement — correspond directement à l'obligation de calibration qu'AMLA est en train de codifier. Les établissements de l'UE dans la période transitoire de l'AMLR doivent considérer cette action comme une indication du standard superviseur qu'AMLA entend appliquer à partir de 2027.

Que doivent prioriser les équipes de conformité immédiatement ?

Trois priorités découlent directement des défaillances documentées : premièrement, vérifier si les consent orders, MRA ou constats superviseurs existants sur l'AML ont été intégralement remédiés — si non, l'exposition à l'intentionnalité est active ; deuxièmement, confirmer que les règles de surveillance SAR sont calibrées contre les orientations typologiques actuelles de FinCEN pour les corridors géographiques et les populations de clients les plus pertinents pour votre activité ; troisièmement, évaluer si votre surveillance produit des sorties au niveau du portefeuille sur les schémas suspects agrégés, et pas seulement des alertes individuelles par compte.

Emily Carter