Affaire Fossati : Safra, Monaco et la nouvelle frontière de la compliance bancaire européenne

L’affaire qui entoure l’ancien banquier Adriano Fossati dépasse désormais le registre du fait divers financier. Elle pose une question devenue centrale dans l’économie européenne : lorsqu’un collaborateur est soupçonné d’avoir accédé à des données sensibles sans justification professionnelle, jusqu’où peut-on séparer sa responsabilité personnelle de celle de l’institution qui lui a donné accès à ses systèmes ? À Monaco, cette interrogation touche directement à la gouvernance bancaire, à la protection des données et à la réputation internationale d’une place financière en pleine transformation réglementaire.

Les grandes affaires bancaires ne commencent pas toujours par des milliards disparus ou des montages financiers sophistiqués. Elles peuvent naître d’un geste beaucoup plus banal : l’ouverture d’un dossier informatique auquel un salarié n’aurait peut-être jamais dû accéder. C’est précisément ce qui donne à l’affaire Adriano Fossati sa portée particulière. Plusieurs publications ont rapporté des accusations selon lesquelles cet ancien cadre de Banque J. Safra Sarasin à Monaco aurait accédé à des informations financières concernant un homme d’affaires engagé dans une procédure de divorce. Fossati conteste ces accusations et a notamment affirmé ne pas avoir eu accès aux informations bancaires de l’intéressé. Il convient donc de distinguer strictement les faits allégués des responsabilités qui pourraient éventuellement être établies par la justice.

Mais l’intérêt du dossier réside justement ailleurs. Il tient à la question institutionnelle qu’il fait émerger : que vaut aujourd’hui le secret bancaire si sa protection dépend uniquement de la loyauté individuelle des personnes autorisées à consulter les systèmes d’une banque ? Depuis une quinzaine d’années, la régulation financière européenne et internationale répond de plus en plus clairement : la confiance ne peut plus reposer seulement sur les hommes. Elle doit être incorporée dans l’organisation elle-même.

La banque n’est plus seulement responsable de ce qu’elle fait, mais de ce qu’elle permet

La compliance bancaire contemporaine fonctionne selon une logique préventive. Il ne suffit plus qu’une institution dispose d’un règlement intérieur interdisant l’accès injustifié aux données. Elle doit organiser techniquement et humainement l’impossibilité, ou du moins l’extrême difficulté, de tels comportements. Les habilitations doivent être proportionnées aux fonctions, les consultations enregistrées, les accès atypiques identifiables et les alertes effectivement traitées.

C’est en cela que l’affaire Fossati peut devenir une affaire de gouvernance. Si les accusations étaient établies, la question ne serait pas seulement de déterminer ce qu’aurait fait un ancien salarié. Il faudrait comprendre comment l’accès aux informations était organisé, quels contrôles existaient, à quel moment une anomalie pouvait être détectée et quelle capacité l’établissement avait à reconstruire l’historique des consultations.

Cette interrogation est d’autant plus importante que Banque J. Safra Sarasin Monaco n’est pas un acteur marginal. Le groupe la présente lui-même comme l’une des plus grandes banques de la Principauté et inscrit son implantation monégasque dans un réseau international de banque privée.

Le sujet dépasse donc largement une querelle individuelle. Il rejoint une question européenne plus vaste : dans une économie devenue massivement informationnelle, la banque n’est plus seulement gardienne de capitaux. Elle est gardienne de données.

Monaco, laboratoire d’une régulation à plusieurs étages

La situation monégasque est particulièrement intéressante parce que la supervision y est elle-même transnationale. La Commission de contrôle des activités financières contrôle les activités financières exercées en Principauté, tandis que les opérations strictement bancaires des établissements de crédit sont supervisées par l’Autorité de contrôle prudentiel et de résolution française. À cela s’ajoute désormais l’Autorité de protection des données personnelles créée par la loi monégasque du 3 décembre 2024.

Cette architecture dit beaucoup de la transformation contemporaine de la souveraineté financière. Une affaire portant sur des données bancaires peut désormais mobiliser simultanément le droit bancaire, le droit financier, le droit de la protection des données et, éventuellement, le droit civil ou pénal. La conformité n’est plus une spécialité périphérique : elle devient le point de rencontre entre toutes ces disciplines.

Le contexte international ajoute encore à la sensibilité du sujet. Monaco demeure en 2026 sous surveillance renforcée du GAFI, même si celui-ci a estimé en juin que la Principauté avait substantiellement achevé son plan d’action et justifiait désormais une évaluation sur place en vue de vérifier la pérennité des réformes engagées.

De la confidentialité à la souveraineté économique

C’est ici que l’affaire prend une dimension politique. La réputation financière d’une juridiction n’est pas un concept abstrait. Elle agit directement sur l’attractivité des capitaux, sur les relations entre banques correspondantes, sur les décisions des investisseurs et sur la confiance des grandes fortunes internationales.

La compliance est donc devenue un élément de compétitivité économique. Une banque dont les systèmes démontrent qu’ils savent prévenir, détecter et documenter un comportement anormal protège son capital réputationnel. À l’inverse, lorsqu’une interrogation apparaît sur la circulation d’informations sensibles, le risque dépasse rapidement l’auteur supposé du manquement.

L’affaire Fossati pose finalement une question d’une grande simplicité : une banque peut-elle considérer qu’un comportement individuel ne concerne que son auteur lorsque ce comportement a été rendu possible par les droits d’accès que l’institution elle-même administre ?

C’est probablement là que se situe la nouvelle frontière de la compliance européenne. Au siècle dernier, protéger le secret bancaire signifiait essentiellement ne pas divulguer une information. Aujourd’hui, protéger le secret signifie savoir en permanence qui regarde quoi, pour quelle raison, pendant combien de temps et avec quelle trace.

L’argent reste au cœur de la banque. Mais son nouvel actif stratégique est peut-être désormais l’information.

Emma Ray