La veille du mois / Octobre 2026
Veille d'octobre 2026 : ce que ça change pour vous
Chaque mois, l'essentiel pour nos métiers, avec ce que chaque sujet change pour vous. Chaque information a été vérifiée sur sa source.
Vérifié le 1er novembre 2026.
Lutte contre le blanchiment
30 octobre
La liste grise du GAFI rétrécit
Le Groupe d'action financière (GAFI) retire la Bulgarie, la Côte d'Ivoire, Monaco et la République démocratique du Congo de sa liste des pays sous surveillance renforcée. Aucun pays n'y entre : il en reste 18. La liste des pays appelant des contre-mesures reste la même : Corée du Nord, Iran et Myanmar.
Pour vous : mettez à jour votre liste de pays à risque. La liste européenne des pays à haut risque suit son propre calendrier : vérifiez-la avant de changer vos mesures de vigilance.
23 octobre
Le superviseur belge publie ses constats
L'Autorité des services et marchés financiers belge (FSMA) a publié les constats de ses contrôles 2024-2025 chez les courtiers en services bancaires et d'investissement. Elle demande aux entités non contrôlées de s'en servir pour évaluer leur propre dispositif.
Pour vous : même hors de Belgique, ce type de rapport sert de grille d'autodiagnostic.
7 octobre
L'AMLA consulte sur sa base de données centrale
L'Autorité européenne de lutte contre le blanchiment (AMLA) consulte sur la future base qui centralisera les informations de supervision. Elle doit aussi servir de point d'entrée unique pour des déclarations standardisées. La consultation et l'audition publique en ligne se tiennent le 3 novembre.
Pour vous : surtout utile si vous suivez les échanges avec votre superviseur ou les reportings réglementaires.
Fin septembre
Fuite de données chez un prestataire de Tracfin
Un sous-traitant chargé de l'assistance du portail de déclaration de Tracfin, le service de renseignement financier, a été compromis entre fin juin et mi-juillet. Les coordonnées de 136 déclarants (nom, fonction, adresse mail, téléphone) et le contenu de 213 demandes d'assistance ont fuité. Selon les informations disponibles, aucune déclaration de soupçon n'est concernée.
Pour vous : méfiez-vous des messages inattendus qui se présentent comme venant de Tracfin ou de son support.
Anticorruption
6 octobre
L'AFA change sa façon de contrôler
L'AFA, qui vérifie les dispositifs des grandes entreprises et des administrations, va publier une nouvelle charte de ses contrôles. Elle crée des contrôles « flash » : courts, ciblés sur un thème, à visée préventive, sans avertissement ni sanction possibles. Elle en publiera une synthèse anonymisée.
Pour vous : ces synthèses donneront des repères concrets sur ce que l'AFA (Agence française anticorruption) attend.
6 octobre
Deux secteurs dans le viseur
L'AFA annonce des vagues de contrôles dans l'immobilier et dans le secteur aéroportuaire, ce dernier en lien avec le risque de criminalité organisée.
Pour vous : si vous travaillez dans l'un de ces secteurs, relisez votre cartographie des risques de corruption dès maintenant.
16 octobre
Une note pour préparer la directive européenne
Eurojust, l'agence européenne de coopération judiciaire, publie une note sur la directive anticorruption 2026/1021. Les États ont jusqu'au 1er juin 2028 pour la transposer, et jusqu'au 1er juin 2029 pour les évaluations sectorielles des risques et les stratégies nationales.
Pour vous : une lecture utile pour anticiper les évolutions de la loi Sapin 2.
Protection des données
22 octobre
7 millions d'euros d'amende pour des cookies
La Commission nationale de l'informatique et des libertés (CNIL) sanctionne deux sociétés du groupe Fnac Darty pour un traceur de leur application mobile qui suivait la navigation des utilisateurs sans leur consentement, et même après leur refus. Elle rappelle que sa position sur les traceurs publicitaires est constante.
Pour vous : un bandeau de consentement ne suffit pas, encore faut-il que le refus soit respecté. Vérifiez ce que font vraiment les outils de suivi de vos applications quand l'utilisateur dit non.
21 octobre
Les États européens arrêtent leur position sur la simplification du RGPD
Le Conseil de l'Union adopte son mandat de négociation sur l'« omnibus numérique », qui simplifie le règlement général sur la protection des données (RGPD), les règles sur les cookies et la déclaration des incidents. Il garde la définition des données personnelles, allonge le délai de notification des violations et dispense certains cookies de consentement, comme la mesure d'audience.
Pour vous : rien ne change encore. Le texte doit être négocié avec le Parlement européen.
13 octobre
Les lunettes connectées
Le Comité européen de la protection des données publie une première déclaration sur les lunettes connectées. Celle ou celui qui les utilise dans un cadre professionnel devient responsable du traitement. L'enjeu principal est la transparence : les personnes filmées doivent pouvoir le savoir.
Pour vous : si ces outils arrivent dans votre entreprise, c'est un sujet pour la protection des données et les ressources humaines.
Source : Comité européen de la protection des données (nouvel onglet)
Audit interne
12 octobre
Préparer le plan d'audit 2027
L'IFACI, l'association française des auditeurs internes, propose un « plan d'assurance combinée » : pour chaque risque majeur, les contrôles clés, les mesures d'atténuation et les travaux d'audit associés.
Pour vous : une méthode simple pour repérer les trous et les doublons.
Octobre
La cybersécurité pour le comité d'audit
La lettre « Tone at the Top » de l'Institut des auditeurs internes (IIA) porte sur la supervision de la cybersécurité par les conseils et les comités d'audit.
Pour vous : un document court, en anglais, à transmettre à votre comité d'audit.
Risques
29 octobre
Ce que l'AMF a vu sur les SCPI
L'Autorité des marchés financiers (AMF) publie la synthèse de contrôles courts sur la commercialisation des sociétés civiles de placement immobilier (SCPI) chez quatre prestataires. Les établissements ont vu la dégradation du marché dès juillet 2023, mais n'ont pas tous adapté leur dispositif : faute d'adaptation, les carences ont perduré, y compris dans l'implication de la conformité.
Pour vous : voir un risque ne suffit pas, il faut montrer ce qu'on a changé ensuite.
15 octobre
La dépendance au cloud, un risque à part entière
Denis Beau, premier sous-gouverneur de la Banque de France et président désigné de l'Autorité de contrôle prudentiel et de résolution (ACPR), présente la dépendance aux grands fournisseurs de cloud comme un risque nouveau, coûteux et dangereux sur le plan opérationnel.
Pour vous : si ce risque n'apparaît pas dans votre cartographie, c'est un sujet à porter en comité des risques.
26 octobre
Corriger après coup
L'AMF met en ligne les vidéos du colloque de sa commission des sanctions, tenu le 5 octobre. Une table ronde porte sur la remédiation et son articulation avec la sanction.
Pour vous : une heure utile si vous préparez un plan de remédiation.
27 octobre
Quand la gouvernance de l'intelligence artificielle est contournée
Selon un rapport d'EY aux États-Unis, 47 % des décideurs interrogés savent que leur organisation a contourné ses propres règles de gouvernance pour déployer l'intelligence artificielle plus vite.
Pour vous : une politique écrite ne suffit pas, il faut contrôler son application.
À surveiller
- 3 novembre : audition publique de l'AMLA sur sa base de données centrale.
- Novembre : l'IIA publie son exigence thématique sur l'anticorruption, qui fixe ce que l'audit interne doit couvrir quand il évalue un programme anticorruption.
- 15 décembre : entrée en vigueur de l'exigence thématique de l'IIA sur le comportement organisationnel.
- Dans les prochaines semaines : nouvelle charte des contrôles de l'AFA.