ACPR (Autorité de contrôle prudentiel et de résolution)
L'essentiel
L'ACPR est le contrôleur des banques et des assurances en France. C'est elle qui autorise une banque, un assureur ou une fintech à exercer, qui vérifie qu'ils ont assez de fonds propres pour tenir en cas de crise, qu'ils traitent correctement leurs clients et qu'ils luttent effectivement contre le blanchiment. Elle est logée à la Banque de France et peut infliger des sanctions lourdes, jusqu'au retrait de l'autorisation d'exercer.
Détails Techniques
Autorité administrative indépendante sans personnalité morale, adossée à la Banque de France, créée par l'ordonnance n° 2010-76 du 21 janvier 2010 par fusion de la Commission bancaire, de l'ACAM, du CECEI et du CEA, sa compétence de résolution ayant été ajoutée par la loi n° 2013-672 du 26 juillet 2013. Régie par les articles L. 612-1 et suivants du code monétaire et financier, l'ACPR agrée et supervise les établissements de crédit, sociétés de financement, établissements de paiement et de monnaie électronique, entreprises d'assurance, mutuelles et institutions de prévoyance. Elle veille à la stabilité du système financier et à la protection de la clientèle, supervise le dispositif LCB-FT, et exerce ses pouvoirs de sanction via une commission des sanctions distincte du collège de supervision.
#Définition : ACPR (Autorité de contrôle prudentiel et de résolution)
L'ACPR est l'autorité française chargée de la supervision des banques et des organismes d'assurance. Elle a été créée par l'ordonnance n° 2010-76 du 21 janvier 2010, qui a fusionné quatre autorités préexistantes : la Commission bancaire, l'ACAM, le CECEI et le CEA. La compétence de résolution — c'est-à-dire la capacité d'organiser la défaillance ordonnée d'un établissement sans faire supporter le coût au contribuable — lui a été ajoutée par la loi de séparation et de régulation des activités bancaires du 26 juillet 2013.
Juridiquement, c'est une autorité administrative indépendante sans personnalité morale, adossée à la Banque de France, qui lui fournit ses moyens humains et techniques. Ce montage lui donne des capacités d'analyse macroprudentielle rares.
#Qui l'ACPR supervise, et qui elle ne supervise pas
Le périmètre est plus large qu'on ne le croit : établissements de crédit, sociétés de financement, entreprises d'investissement hors sociétés de gestion, établissements de paiement et de monnaie électronique, entreprises d'assurance, mutuelles, institutions de prévoyance, et intermédiaires.
Deux confusions à lever.
L'ACPR n'est pas l'AMF. L'AMF supervise les marchés financiers, les sociétés de gestion et l'information des investisseurs. L'ACPR supervise la solidité des établissements et la protection de leur clientèle. Les deux animent un pôle commun d'information du public.
L'ACPR n'est pas seule sur les grandes banques. Depuis la mise en place du mécanisme de surveillance unique en 2014, la Banque centrale européenne supervise directement les établissements significatifs de la zone euro, l'ACPR gardant la supervision directe des établissements moins significatifs et participant aux équipes de supervision conjointes.
#Agrément, contrôle, sanction, résolution
L'ACPR délivre les agréments : sans son autorisation, pas d'activité bancaire, d'assurance ou de prestation de services de paiement en France. Pour une fintech, c'est le point de passage obligé, y compris pour les statuts d'agent prestataire de services de paiement ou d'établissement de monnaie électronique issus de la DSP2.
Elle exerce un contrôle permanent, sur pièces et sur place, et supervise le dispositif de lutte contre le blanchiment et le financement du terrorisme — l'un des motifs de sanction les plus fréquents.
Sa commission des sanctions est distincte du collège de supervision, séparation exigée par la jurisprudence sur le procès équitable. Les sanctions vont de l'avertissement au retrait d'agrément, avec des sanctions pécuniaires pouvant atteindre 100 millions d'euros au titre du code monétaire et financier.
Le collège de résolution, enfin, prépare les plans préventifs de rétablissement et de résolution des établissements.
#Ce que l'ACPR attend d'un système d'information
C'est le volet qui concerne directement une DSI, et il s'est durci.
L'externalisation est encadrée : recensement des prestations critiques ou importantes, clauses d'audit et de réversibilité, plans de sortie documentés, dans la ligne des orientations de l'Autorité bancaire européenne. Une migration cloud non documentée est un point d'audit garanti.
Le règlement DORA, applicable depuis le 17 janvier 2025, systématise cette exigence pour l'ensemble du secteur financier européen. L'ACPR figure parmi les autorités compétentes pour son application en France : registre d'information des accords contractuels relatifs aux services TIC transmis périodiquement, classification et notification des incidents majeurs, tests de résilience avancés fondés sur la menace pour les entités les plus critiques, et surveillance des prestataires tiers critiques au niveau européen.
#ACPR et intelligence artificielle
L'ACPR a publié plusieurs travaux de référence sur l'usage de l'IA dans la finance, portant sur la gouvernance des algorithmes, leur explicabilité et les méthodes d'évaluation applicables par un superviseur. La doctrine à retenir tient en une phrase : un modèle utilisé pour l'octroi de crédit, la tarification, la détection de fraude ou le scoring de conformité doit être explicable, traçable et testable — la performance ne dispense jamais de la justification. Son pôle Fintech-Innovation sert de point d'entrée aux acteurs innovants. Notre accompagnement conformité intègre cette contrainte dès la conception des modèles.
#Termes associés
Applications Concrètes
« Un candidat au statut d'établissement de paiement ou de monnaie électronique dépose un dossier d'agrément auprès de l'ACPR : gouvernance, fonds propres, dispositif LCB-FT, plan d'affaires et architecture technique sont instruits avant toute mise en marché. »
« L'externalisation d'une prestation critique impose un recensement contractuel, des clauses d'audit et de réversibilité, un plan de sortie testé et une information du superviseur, conformément aux attentes prudentielles sur l'externalisation. »
« Depuis le 17 janvier 2025, l'entité tient un registre d'information des accords contractuels relatifs aux services TIC, classe et notifie les incidents majeurs, et documente ses tests de résilience opérationnelle numérique. »
« Les travaux de l'ACPR sur la gouvernance des algorithmes imposent en pratique explicabilité, traçabilité des versions et procédures de test permettant à un superviseur de reconstituer une décision individuelle. »
Questions fréquentes sur l'ACPR
L'ACPR supervise la solidité des établissements bancaires, des assureurs et des prestataires de services de paiement, ainsi que leurs pratiques commerciales envers la clientèle. L'AMF supervise les marchés financiers, les sociétés de gestion de portefeuille, les produits d'épargne collective et l'information délivrée aux investisseurs. Un même groupe peut relever des deux : la banque de détail côté ACPR, la filiale de gestion d'actifs côté AMF. Les deux autorités animent un pôle commun destiné à orienter le public et à coordonner leur action sur la commercialisation des produits financiers.
Pas directement. Depuis l'entrée en vigueur du mécanisme de surveillance unique en 2014, la Banque centrale européenne supervise directement les établissements dits significatifs de la zone euro, ce qui inclut les grands groupes bancaires français. L'ACPR conserve la supervision directe des établissements moins significatifs et participe aux équipes de supervision conjointes pilotées par la BCE pour les grands groupes. Sur l'assurance, en revanche, l'ACPR reste le superviseur national de référence dans le cadre de Solvabilité II.
L'échelle va de l'avertissement au retrait total d'agrément, en passant par le blâme, l'interdiction d'effectuer certaines opérations, la suspension de dirigeants et la démission d'office. Le code monétaire et financier permet des sanctions pécuniaires pouvant atteindre 100 millions d'euros, ou un pourcentage du chiffre d'affaires annuel selon les cas. Les décisions sont prononcées par une commission des sanctions indépendante du collège de supervision, et sont en principe publiées. Les manquements au dispositif de lutte contre le blanchiment et le financement du terrorisme figurent parmi les motifs les plus fréquents.
Oui dès lors que la prestation externalisée est critique ou importante. Les attentes prudentielles, alignées sur les orientations de l'Autorité bancaire européenne puis renforcées par DORA, imposent un recensement contractuel, une analyse de risque préalable, des clauses garantissant les droits d'audit et d'accès du superviseur, la réversibilité et un plan de sortie effectivement testé. Le sujet ne se limite pas à la localisation des données : c'est la capacité à reprendre la main sur le service en cas de défaillance du prestataire qui est examinée.
La résolution consiste à organiser la défaillance d'un établissement sans déstabiliser le système financier ni faire appel aux finances publiques. Confiée à l'ACPR par la loi du 26 juillet 2013, elle s'exerce via un collège de résolution distinct du collège de supervision. En pratique, les établissements préparent des plans préventifs de rétablissement, l'autorité élabore des plans de résolution et évalue la résolvabilité, avec la possibilité de mobiliser des outils comme la cession d'activité ou le renflouement interne. Pour les groupes bancaires les plus importants, ce travail s'articule avec le Conseil de résolution unique européen.
L'ACPR a publié plusieurs travaux consacrés à la gouvernance des algorithmes d'intelligence artificielle dans le secteur financier, à leur explicabilité et aux méthodes permettant à un superviseur de les évaluer. Le message opérationnel est constant : un modèle utilisé pour l'octroi de crédit, la tarification, la détection de fraude ou le filtrage LCB-FT doit rester explicable, traçable dans ses versions et ses jeux de données, et testable de manière indépendante. Une performance statistique supérieure ne justifie jamais l'absence de justification d'une décision individuelle. Ces attentes s'articulent désormais avec l'AI Act, qui classe plusieurs de ces usages parmi les systèmes à haut risque.