Le risque légal de l’entreprise dans la grille prudentielle : ce que Bâle mesure, ce que l’Union a choisi d’oublier

Toute entreprise gère son risque légal comme un calcul. Une seule grille officielle l’oblige pourtant à le chiffrer : la réglementation prudentielle des banques. Cette grille traite le droit comme une perte et non comme une faute. Depuis le 1er janvier 2025, dans l’Union européenne, elle a en outre cessé de s’en souvenir. La banque récidiviste n’y paie plus sa récidive, et la banque probe n’y reçoit plus le prix de sa probité.

Une entreprise ne respecte pas la loi comme un particulier. Elle n’a ni conscience à apaiser ni réputation de voisinage à préserver. Elle a des procédures, des marges et des actionnaires. La conformité est pour elle une ligne de coût parmi d’autres, et la non-conformité un pari dont on peut chiffrer l’espérance. Gary Becker l’a formalisé en 1968 : l’auteur rationnel d’une infraction compare son gain à la sanction multipliée par la probabilité d’être pris¹. J’ai montré dans de précédents articles que ce calcul penche structurellement en faveur de l’infraction chez les opérateurs les moins substituables.

Je voudrais ici déplacer la question. Ce calcul, que les entreprises font en silence, il existe un secteur où le droit les oblige à le faire au grand jour et à en tirer une conséquence chiffrée : le secteur bancaire. Les banques doivent détenir des fonds propres en face de leur risque légal. Observer ce que la grille prudentielle fait de ce risque, c’est observer ce que le législateur pense réellement de la faute d’entreprise lorsqu’il est contraint de la mettre en équation.

Le résultat est instructif, et il n’est pas celui qu’on attendrait. La grille ne punit pas le fautif plus qu’elle ne récompense l’honnête : depuis 2025, elle ne fait ni l’un ni l’autre. Je ne plaide pas ici contre l’entreprise. Je plaide pour toutes celles, grandes ou petites, qui respectent la loi et que le droit traite exactement comme celles qui la violent.

Le plan suit quatre mouvements. Le premier montre comment la grille saisit le droit sous la seule forme de la perte. Le deuxième décrit le calcul qui en résulte. Le troisième expose l’effacement européen de la mémoire des pertes. Le quatrième affronte les objections et propose ce que la grille devrait compter.

Sigles et notions employés

Comité de Bâle — Comité de Bâle sur le contrôle bancaire, qui réunit les superviseurs bancaires des principales économies et élabore les standards internationaux de fonds propres. Ses standards n’ont pas force obligatoire par eux-mêmes ; ils doivent être transposés.

Bâle II — deuxième accord de Bâle, publié en juin 2004 et consolidé en juin 2006. Il introduit une exigence de fonds propres au titre du risque opérationnel.

Bâle III — ensemble des réformes adoptées après la crise de 2008, finalisé en décembre 2017. Pour le risque opérationnel, il remplace toutes les méthodes de Bâle II par une méthode standard unique.

Pilier 1 et Pilier 2 — le Pilier 1 fixe, par formule, l’exigence minimale de fonds propres applicable à toutes les banques ; le Pilier 2 permet au superviseur d’exiger, banque par banque, des fonds propres supplémentaires.

CRR et CRR3 — Capital Requirements Regulation : règlement (UE) n° 575/2013, qui transpose les accords de Bâle dans l’Union. CRR3 désigne sa révision par le règlement (UE) 2024/1623, applicable depuis le 1er janvier 2025.

AMA — Advanced Measurement Approach, approche par mesure avancée : méthode de Bâle II permettant aux grandes banques de calculer leur exigence au moyen de leurs propres modèles statistiques de pertes. Supprimée par Bâle III.

BI et BIC — Business Indicator, indicateur d’activité tiré du compte de résultat, et Business Indicator Component, la composante qui en est déduite par application de coefficients réglementaires. Ils mesurent la taille de l’activité.

ILM — Internal Loss Multiplier, multiplicateur de pertes internes : coefficient fondé sur les pertes opérationnelles de la banque au cours des dix dernières années, qui majore ou minore l’exigence issue du BIC.

SREP et P2R — Supervisory Review and Evaluation Process, processus de contrôle et d’évaluation prudentiels, au terme duquel le superviseur fixe le Pillar 2 Requirement, l’exigence de fonds propres au titre du Pilier 2.

EBA, BCE, ACPR — Autorité bancaire européenne ; Banque centrale européenne, qui supervise directement les grandes banques de la zone euro ; Autorité de contrôle prudentiel et de résolution, superviseur français.

IAS 37 — norme comptable internationale relative aux provisions, passifs éventuels et actifs éventuels.

I. Le droit saisi comme une perte

A. Une définition par le dommage subi

Bâle II définit le risque opérationnel comme le risque de pertes résultant de processus internes, de personnes ou de systèmes inadéquats ou défaillants, ou d’événements extérieurs. La même phrase ajoute que cette définition inclut le risque juridique et exclut le risque stratégique et le risque de réputation². Une note précise ce qu’est le risque juridique : l’exposition, notamment, aux amendes, pénalités ou dommages punitifs résultant d’actions des superviseurs, ainsi qu’aux transactions privées³. Le règlement européen reprend la définition et la place à l’article 4 du CRR⁴.

Le droit n’entre donc dans la grille que par ce qu’il coûte. La règle violée, la victime, la gravité de l’atteinte n’y ont aucune place. Seule compte la somme décaissée : l’amende, la pénalité, le montant de la transaction. Une amende pour manipulation de taux et une indemnité versée à la suite d’une erreur de saisie sont deux lignes de même nature, qui ne diffèrent que par leur montant.

L’exclusion du risque de réputation mérite d’être relevée. Le marché sanctionne parfois la faute d’une entreprise par la défiance de sa clientèle. La grille écarte précisément cette sanction-là de son champ. Elle ne retient que ce que l’autorité ou le juge a chiffré.

B. La violation de la loi devenue « incident »

Interrogée sur la place du risque de non-conformité, l’Autorité bancaire européenne a répondu que le risque né du non-respect par un établissement de ses obligations légales doit être inclus dans le risque opérationnel. Elle a ajouté que ce manquement n’est qu’une catégorie parmi beaucoup d’autres de risque opérationnel⁵. La violation délibérée de la loi est ainsi rangée à côté de la panne informatique, de l’inondation d’une salle de serveurs ou de la fraude d’un tiers.

Le droit français connaît pourtant la distinction. L’arrêté du 3 novembre 2014 relatif au contrôle interne des banques fait rendre compte séparément du risque de non-conformité et du risque opérationnel⁶. Le contrôle interne sépare donc ce que le calcul des fonds propres confond. Le premier sait que la faute n’est pas un accident ; le second ne connaît que la perte.

II. Le calcul : la faute devenue variable

A. Becker institutionnalisé

Bâle II proposait trois méthodes de calcul de complexité croissante. La plus avancée, l’AMA, permettait aux grandes banques de modéliser elles-mêmes leurs pertes opérationnelles, risque juridique compris, sous forme de distributions de probabilité, à charge pour le superviseur de valider le modèle. Pendant près de vingt ans, les amendes et transactions futures ont donc été traitées comme des événements aléatoires dont on estime la fréquence et la gravité.

C’est très exactement le calcul de Becker, à ceci près qu’il n’est plus pratiqué dans l’ombre par l’auteur de l’infraction. Il est imposé, documenté et approuvé par l’autorité publique. Le droit ne demande pas à la banque si elle a l’intention de respecter la loi ; il lui demande combien lui coûtera, statistiquement, de ne pas la respecter.

B. Provision et reprise

La comptabilité prolonge ce calcul. Selon IAS 37, une provision est constituée lorsqu’existe une obligation actuelle résultant d’un événement passé, qu’une sortie de ressources est probable et que son montant peut être estimé de façon fiable. Lorsque cette sortie n’est plus probable, la provision doit être reprise⁷. En comptabilité française, la reprise s’inscrit en produit⁸.

Je l’ai montré à propos de la dette quérable : lorsque les victimes ne réclament pas, la provision pour litiges est reprise et le risque légal non réalisé remonte au résultat. Pour l’entreprise, la provision n’est donc pas un coût certain. C’est une réserve dont l’emploi dépend de l’initiative d’autrui. Plus le droit rend la réclamation difficile, plus la reprise est probable.

III. L’oubli organisé

A. La mémoire prévue par Bâle

La réforme finale de Bâle III, adoptée en décembre 2017, a supprimé l’AMA et toutes les méthodes antérieures. Elle les a remplacées par une méthode standard reposant sur trois éléments : le BI, indicateur d’activité tiré des états financiers ; le BIC, qui en découle ; l’ILM, coefficient fondé sur les pertes historiques moyennes de la banque⁹. L’ILM se calcule sur les pertes internes des dix années précédentes¹⁰.

Ce coefficient joue dans les deux sens. Selon la formule du Comité de Bâle, il vaut 1 lorsque les pertes moyennes de la banque sont proportionnées à sa taille. Il dépasse 1 lorsqu’elles sont lourdes, ce qui augmente l’exigence de fonds propres. Il descend sous 1 lorsqu’elles sont faibles, jusqu’à un plancher d’environ 0,54, ce qui la réduit de près de moitié. La grille de Bâle contenait donc à la fois un malus pour la banque qui accumule les amendes et une prime pour celle qui n’en subit pas. C’était, sous une forme technique, une reconnaissance chiffrée de la probité.

B. La mémoire effacée par l’Union

Le standard de Bâle laissait aux juridictions la faculté de neutraliser ce coefficient. L’Union l’a fait : le régulateur européen a fixé l’ILM à 1 pour toutes les banques de l’UE, de sorte que l’exigence de Pilier 1 repose entièrement sur le BIC¹¹. La Bundesbank l’expose sans détour : le CRR ne prévoit aucun ajustement de l’exigence de fonds propres fondé sur les pertes internes. Les données continuent pourtant d’être collectées, puisque les établissements dont l’indicateur d’activité atteint 750 millions d’euros doivent calculer et déclarer leurs pertes opérationnelles annuelles¹². On compte, mais on ne fait pas payer.

La conséquence se lit sur un exemple. En juillet 2023, la Réserve fédérale américaine a infligé à Deutsche Bank une amende de 186 millions de dollars, notamment pour n’avoir pas suffisamment remédié aux manquements relevés dans ses ordonnances de 2015 et de 2017¹³. La banque était sanctionnée pour n’avoir pas exécuté sa sanction. Dans le Pilier 1 européen, une banque de même taille qui n’aurait subi aucune amende porte depuis 2025 exactement la même exigence en capital.

On pourrait être tenté d’y voir une prime à l’entreprise honnête, puisque la récidiviste n’est plus avantagée. C’est l’inverse. Sous la formule de Bâle, la banque probe pouvait voir son exigence réduite de près de moitié ; la banque récidiviste voyait la sienne augmenter. En fixant l’ILM à 1, l’Union a supprimé les deux à la fois. La récidiviste échappe à la majoration qu’elle aurait subie, et l’honnête perd la réduction qu’elle aurait méritée. Traiter de la même façon deux situations inégales n’est pas de la neutralité : c’est un transfert de l’honnête vers le fautif.

Il reste alors un seul déterminant du capital : la taille. Or la taille est, dans la plupart des marchés, le premier facteur de non-substituabilité. L’exigence prudentielle croît avec ce qui rend l’opérateur indispensable, non avec ce qui le rend dangereux. C’est la traduction prudentielle de la thèse que j’ai défendue ailleurs : l’effectivité de la sanction est inversement proportionnelle à la substituabilité de l’opérateur¹⁴. Les États-Unis semblent s’orienter dans la même direction, sans règle définitive à ce jour¹⁵.

IV. Les objections, et ce que la grille devrait compter

A. Le Pilier 2 garde-t-il la mémoire ?

L’objection la plus immédiate tient au Pilier 2. La méthode de la BCE pour évaluer le risque opérationnel dans le SREP fait entrer les pertes historiques dans la note de risque de chaque banque, et ces notes servent de point de départ à l’exigence de Pilier 2¹⁶. La mémoire n’aurait donc pas disparu ; elle aurait changé d’étage.

L’objection est exacte et doit être concédée. Mais elle déplace la question plus qu’elle ne la résout. Le Pilier 1 est une règle : une formule publiée, identique pour tous, qui s’impose au superviseur comme à la banque. Le Pilier 2 est une appréciation : il résulte d’un dialogue entre la banque et son superviseur, d’une notation et d’une décision individuelle. La prime à la probité y devient négociée au lieu d’être calculée, et le malus du récidiviste dépend d’une évaluation au cas par cas. Ce que la formule de Bâle garantissait à tous, le Pilier 2 ne l’accorde qu’à l’appréciation de chacun.

B. L’argument de l’erratisme

La justification la plus sérieuse de l’ILM à 1 est statistique. Les banques faisaient valoir que les pertes passées prédisent mal les pertes futures, et qu’une amende très lourde sortant de la fenêtre de dix ans ferait varier brutalement l’exigence de capital¹⁷. L’argument est fort pour les pertes accidentelles : une fraude externe exceptionnelle ou une catastrophe ne disent rien de l’année suivante.

On pourrait lui opposer que l’amende d’un récidiviste tend à augmenter. Prise au pied de la lettre, l’affirmation ne tient pas. Les quatre amendes antitrust majeures infligées à Google par la Commission s’élèvent à 2,42 milliards d’euros en 2017, 4,34 milliards en 2018, 1,49 milliard en 2019 et 2,95 milliards en 2025¹⁸. Celles de Meta décroissent : 1,2 milliard en 2023 au titre du RGPD, 797,72 millions en 2024 pour Marketplace, 200 millions en 2025 au titre du DMA¹⁹. La majoration pour récidive prévue par les lignes directrices de la Commission, qui peut atteindre 100 % par infraction antérieure, ne joue que pour des infractions de même nature²⁰. Les montants varient avec le fondement, l’objet et parfois l’orientation politique de l’autorité.

Ce qui augmente n’est pas le montant de chaque amende, c’est la probabilité d’être sanctionné. La première sanction fait de l’entreprise une délinquante ; la deuxième en fait une récidiviste. Dès lors, elle entre sur une liste, officielle ou non, d’opérateurs placés sous surveillance. Le droit européen en tient désormais une officielle : le 6 septembre 2023, la Commission a désigné six contrôleurs d’accès au titre du DMA (Digital Markets Act), parmi lesquels Alphabet et Meta²¹. Dans le calcul de Becker, ce n’est plus la sanction qui grandit, c’est la probabilité qui la multiplie.

L’opérateur surveillé s’adapte. Le droit, pénal comme concurrentiel, distingue la récidive spéciale, qui suppose une nouvelle infraction de même nature, de la récidive générale ; le Code pénal opère cette distinction dès ses articles 132-8 et suivants. Un groupe qui exploite des dizaines de produits n’a pas besoin de réitérer là où il a été condamné : il détient un portefeuille d’infractions, comme on détient un portefeuille de titres. Chez Google, les pratiques sanctionnées sur la recherche commencent en 2008, celles d’AdSense courent de 2006 à 2016, celles d’Android commencent en 2011, celles de la publicité en ligne vont de 2014 à 2025, et les pratiques trompeuses de localisation remontent au moins à 2014²². Les infractions sont simultanées ; seules les sanctions se succèdent.

Car le régulateur, lui aussi, saucissonne. Chaque abus de position dominante exige de définir un marché et d’y prouver la domination : trois produits, trois dossiers, trois décisions étalées sur plusieurs années. Ce découpage est en partie imposé par le droit, mais il ne pèse que sur la preuve de l’infraction. Rien n’interdit, au moment de fixer l’amende, de regarder le portefeuille entier : c’est précisément l’office de la majoration pour récidive. Le découpage de la preuve est une nécessité ; celui de la sanction est un choix. Simultanéité chez l’entreprise, succession chez le régulateur : les deux découpages se répondent, et la récidive disparaît dans l’intervalle.

Cette hypothèse se vérifie. J’ai relevé, pour dix opérateurs, toutes les sanctions d’au moins 100 millions d’euros ou de dollars prononcées entre 2015 et 2025 par une autorité publique de l’Union ou des États-Unis : cinq groupes du numérique (Alphabet, Meta, Apple, Amazon, Microsoft) et cinq banques (BNP Paribas, Deutsche Bank, HSBC, Société Générale, UBS avec Credit Suisse). Les actions privées et les récupérations d’aides d’État sont exclues ; plusieurs autorités sanctionnant le même dossier la même année comptent pour une seule sanction ; chaque sanction est datée de sa décision et comptée même si elle a été réduite ensuite. La série complète figure en annexe²³.

Le piège était le suivant : entre 2015 et 2025, le législateur a créé de nouvelles pièces, avec les amendes du RGPD à partir de 2018 et celles du DMA, dont les premières datent de 2025. Une hausse des sanctions pourrait ne refléter que cette multiplication des lois. J’ai donc compté deux fois : tous régimes confondus, puis à périmètre constant, en écartant les sanctions fondées sur des pouvoirs créés après 2015.

Pour les cinq groupes du numérique, la fréquence passe de 8 sanctions en 2015-2019 à 29 en 2020-2025, soit de 1,6 à 4,8 par an. À périmètre constant, elle passe encore de 1,6 à 2,7 par an. La hausse de la fréquence survit au contrôle : elle n’est pas seulement l’effet des lois nouvelles. Le coût cumulé annuel, converti en dollars, passe de 2,9 à 3,7 milliards ; à périmètre constant, il reste en revanche stable, autour de 2,8 milliards. Ce qui augmente, chez ces opérateurs, c’est d’abord le nombre de fois où ils sont pris ; l’augmentation du coût total tient, elle, aux nouveaux régimes.

Alphabet en donne l’illustration la plus nette. De 2015 à 2019, ses sanctions viennent pour l’essentiel de la Commission, auxquelles s’ajoutent la FTC et l’Autorité de la concurrence. De 2020 à 2025, à périmètre constant, il est sanctionné huit fois au lieu de cinq, et par un éventail d’autorités qui s’élargit : l’Autorité de la concurrence à trois reprises (droits voisins deux fois, publicité en ligne), l’autorité italienne de la concurrence, les procureurs généraux des États américains sur la localisation puis sur le magasin d’applications, le Texas sur la biométrie, la Commission à nouveau sur la publicité en ligne²⁴. La souris change de pièce, et le nombre de chats augmente.

Le cas de Meta, souvent cité, appelle en revanche une correction. Sa hausse tient entièrement aux régimes créés depuis 2018 : six décisions RGPD de l’autorité irlandaise et une décision DMA. À périmètre constant, ses sanctions passent de trois à deux. Chez Meta, ce n’est pas la souris qui change de pièce, c’est le législateur qui construit des pièces nouvelles autour d’elle. Microsoft, enfin, ne compte qu’une sanction sur onze ans, infligée à sa filiale LinkedIn en 2024 : il tient lieu de témoin.

Les banques donnent l’image inverse. Elles passent de 24 sanctions en 2015-2019 à 13 en 2020-2025, soit de 4,8 à 2,2 par an, et le coût annuel s’effondre, de 5,4 à 0,8 milliard de dollars. La raison est connue : les années 2015-2019 ont soldé les dossiers de la crise, titres hypothécaires toxiques, manipulation du LIBOR et du marché des changes, pour des faits souvent antérieurs à 2012. Pour les banques, cette chronologie donne raison à l’argument de l’erratisme : une vague de règlements ponctuelle qui sort de la fenêtre fait mécaniquement baisser la moyenne. Mais la même série montre aussi une concentration très nette : Deutsche Bank, HSBC et UBS avec Credit Suisse comptent chacune sept sanctions sur 2015-2019, BNP Paribas une seule, Société Générale deux, prononcées la même année. Un compteur sur dix ans distinguerait les premières des secondes ; la formule européenne les traite à l’identique.

La récidive la plus visible n’est d’ailleurs pas celle qui change de produit, mais celle qui revient devant la même autorité, dans le même domaine. L’Autorité de la concurrence a sanctionné Google de 500 millions d’euros en juillet 2021 pour la méconnaissance de ses injonctions sur les droits voisins, puis de 250 millions en 2024 pour la méconnaissance de ses engagements de 2022 sur le même sujet : la seconde amende est deux fois plus faible que la première²⁵. Les cinq milliards de dollars infligés à Meta par la FTC en 2019 sanctionnaient la violation d’une ordonnance de 2012²⁶. L’autorité irlandaise a rendu six décisions RGPD contre Meta entre 2021 et 2024, alors que le règlement fait des violations antérieures un facteur aggravant²⁷. La Réserve fédérale a sanctionné Deutsche Bank en 2023 pour l’inexécution de ses ordonnances de 2015 et 2017²⁸.

Le cas le plus net est celui d’Android. En juillet 2018, un an après la décision Shopping, la Commission a sanctionné Google pour un nouvel abus de position dominante au titre du même article 102, et n’a retenu aucune circonstance aggravante²⁹. On objectera que l’essentiel des faits d’Android était antérieur à la décision Shopping. Mais les lignes directrices visent aussi l’entreprise qui poursuit une infraction semblable après qu’une autorité l’a constatée³⁰, et les pratiques d’Android se sont poursuivies après juin 2017. Les clauses d’aggravation existent ; elles ne sont pas lues dans leur rigueur. Ni la règle ni la sanction ne manquent : c’est la lecture complaisante des textes sanctionnateurs qui fabrique l’apparence d’un droit en retard.

Cette lecture a un coût de temps. Dans l’affaire Shopping, les pratiques commencent en 2008, la Commission décide en 2017, le Tribunal confirme en 2021 et la Cour de justice en septembre 2024³¹ : seize ans entre le début des faits et la sanction définitive. Les manipulations du LIBOR, engagées au milieu des années 2000, ont été sanctionnées de 2012 à 2017. Entre-temps, les groupes sanctionnés sont passés à d’autres marchés : le mobile, le cloud, aujourd’hui l’intelligence artificielle. La sanction solde une position acquise sur un marché déjà dépassé. Les autorités le savent : lors de la décision de 2025 sur la publicité en ligne, des responsables européens ont envisagé une cession forcée, au motif que les amendes et injonctions antérieures n’avaient pas empêché la poursuite du comportement sous une autre forme³². Le règlement sur les marchés numériques de 2022, qui impose des obligations a priori aux contrôleurs d’accès, en est l’aveu législatif³³.

Cette observation retourne l’argument de l’erratisme. Le droit sectoriel ne voit pas la récidive générale, puisque chaque autorité ne connaît que son propre domaine. L’ILM, au contraire, est aveugle au domaine : il additionne toutes les pertes juridiques de la banque, quel que soit le régime ou l’autorité qui les a infligées. Il était donc précisément l’instrument capable de saisir la récidive que les qualifications juridiques laissent échapper. En le neutralisant, l’Union a renoncé au seul compteur qui voyait la souris dans toutes les pièces.

Le décalage de temps lui donne une seconde vertu. Une sanction de marché reste attachée au marché sanctionné : quand elle tombe, l’entreprise est déjà ailleurs. Un multiplicateur de mémoire est attaché à l’entreprise. Il la suit sur ses nouveaux marchés, intelligence artificielle comprise, sans attendre qu’un dossier y soit ouvert. Le passé devient une contrainte présente, ce qui est la seule manière d’aller à la vitesse de l’innovation.

Il faut enfin distinguer deux formes d’irrégularité. La vague de règlements qui solde une crise, comme chez les banques, produit bien l’effet de falaise que redoutaient les opposants de l’ILM. La sanction répétée d’un même opérateur, comme chez Alphabet, ne le produit pas : chaque amende qui sort de la fenêtre de dix ans est remplacée par une autre qui y entre, et la moyenne reste stable. Dans la faute sérielle, c’est l’occurrence qui est prévisible, non le montant, et c’est l’occurrence qu’un multiplicateur de mémoire doit saisir.

C. Rendre la mémoire, et la prime

La proposition découle de ce qui précède. Il suffit de séparer, parmi les pertes opérationnelles, les pertes accidentelles et les pertes juridiques au sens de la note de Bâle : amendes, pénalités, dommages punitifs, transactions. Les premières peuvent légitimement rester neutralisées, l’argument de l’erratisme y étant fondé. Les secondes devraient alimenter un multiplicateur propre, sur dix ans, jouant dans les deux sens comme celui de Bâle : majoration pour la banque dont les pertes juridiques se répètent, réduction pour celle qui n’en subit aucune.

Ce multiplicateur ne demanderait aucune preuve d’intention. La répétition invariable des sanctions suffit à établir ce que la théorie du dol ex serie appelle l’intention par le motif : un opérateur sanctionné année après année n’a pas besoin d’être sondé sur ses mobiles. Il ne demanderait pas non plus de données nouvelles, puisque les grandes banques déclarent déjà leurs pertes.

Il faut enfin raisonner a fortiori. La banque est la seule entreprise que le droit oblige à mettre son risque légal en équation, et même chez elle la grille a choisi d’oublier. Les autres entreprises n’ont ni grille ni mémoire : une entreprise industrielle ou numérique sanctionnée dix fois n’immobilise pas un euro de plus qu’une entreprise jamais condamnée. Si la seule mesure officielle du risque légal ne distingue pas l’honnête du récidiviste, aucune autre ne le fait.

Rien n’empêche pourtant les autres entreprises de chiffrer leur risque légal, et elles y ont tout intérêt. L’entreprise qui viole la loi y verrait ce que le pari lui coûte réellement : non pas l’amende isolée, mais la somme de toutes ses sanctions, tous domaines confondus, et leur fréquence croissante sous surveillance. L’entreprise honnête y gagnerait davantage encore. Une série de dix années sans perte juridique, mesurée selon une méthode publique, est une information que ses prêteurs, ses assureurs et ses partenaires n’ont aujourd’hui aucun moyen de lire. La mesure volontaire lui permettrait de faire valoir auprès du marché la prime que le régulateur lui a refusée.

Conclusion

La grille prudentielle était le seul endroit où le droit avait accepté de chiffrer la faute d’entreprise et d’en tirer une conséquence automatique. Le Comité de Bâle y avait inscrit un mécanisme simple : celui qui accumule les sanctions immobilise davantage de capital, celui qui n’en subit pas en immobilise moins. L’Union européenne a choisi de le neutraliser.

Ce choix est présenté comme une simplification et comme une protection contre l’erratisme des chiffres. Il a pourtant un effet que personne ne nomme : il prive l’entreprise honnête du seul avantage chiffré que le droit lui ait jamais promis. Becker enseignait que le délinquant compare son gain à la sanction espérée. Il n’a jamais demandé ce que gagne celui qui respecte la loi. La grille de Bâle donnait une réponse. L’Union l’a effacée.

Le défaut n’est ni dans la règle ni dans la sanction prises isolément. Il est dans l’organisation de l’ensemble : un gruyère dont chaque trou, la récidive découpée par produit, la sanction découpée par marché, la mémoire prudentielle neutralisée, l’aggravation lue avec indulgence, procède d’un choix plus que d’une lacune. Lina Khan, alors présidente de la FTC, rappelait en avril 2023, à propos de l’intelligence artificielle, que les technologies nouvelles sont couvertes par les lois existantes et qu’il n’existe à leur profit aucune exemption³⁴. Il ne s’agit pas de voter des textes nouveaux, mais d’organiser ceux qui existent pour qu’ils cessent de laisser passer ce qu’ils interdisent. Le multiplicateur de mémoire n’invente aucune infraction : il relie des sanctions déjà prononcées.

Auteur

                                   Vidal Bravo-Jandia Miguel 

— Ingénieur · Maîtrise droit (Paris II Panthéon-Assas) · Master II droit (UFR Montpellier I) — 

Notes et Références

1G. S. Becker, « Crime and Punishment: An Economic Approach », Journal of Political Economy, 1968.

Annexe — Sanctions d’au moins 100 millions, 2015-2025

Autorités publiques de l’Union et des États-Unis. Les montants sont donnés dans la devise de la décision, en millions. La mention « régime nouveau » signale une sanction fondée sur un pouvoir créé après 2015 (RGPD, DMA), écartée du comptage à périmètre constant.

Alphabet

2017 Commission — concurrence — 2 420 M€

2018 Commission — concurrence — 4 340 M€

2019 Commission — concurrence — 1 490 M€

2019 FTC/NY-AG — vie privée (COPPA) — 170 M$

2019 AdlC — concurrence — 150 M€

2020 CNIL — données (cookies) — 100 M€ — régime nouveau

2021 AdlC — concurrence (droits voisins) — 500 M€

2021 AdlC — concurrence (adtech) — 220 M€

2021 AGCM — concurrence — 102 M€

2022 CNIL — données (cookies) — 150 M€ — régime nouveau

2022 40 AG — vie privée (localisation) — 391,5 M$

2023 AG multi-États — concurrence (Play Store) — 700 M$

2024 AdlC — concurrence (droits voisins) — 250 M€

2025 Commission — concurrence (adtech) — 2 950 M€

2025 TX-AG — vie privée (biométrie) — 1 375 M$

2025 CNIL — données (cookies) — 325 M€ — régime nouveau

Meta

2017 Commission — concentrations (info trompeuse) — 110 M€

2019 FTC — vie privée (ordonnance 2012) — 5 000 M$

2019 SEC — information des investisseurs — 100 M$

2021 DPC — RGPD — 225 M€ — régime nouveau

2022 DPC — RGPD — 265 M€ — régime nouveau

2022 DPC — RGPD — 405 M€ — régime nouveau

2023 DPC — RGPD — 390 M€ — régime nouveau

2023 DPC — RGPD — 1 200 M€ — régime nouveau

2024 TX-AG — vie privée (biométrie) — 1 400 M$

2024 Commission — concurrence — 797,7 M€

2024 DPC — RGPD — 251 M€ — régime nouveau

2025 Commission — DMA — 200 M€ — régime nouveau

Apple

2020 AdlC — concurrence — 1 100 M€

2020 AG multi-États — consommation — 113 M$

2024 Commission — concurrence — 1 840 M€

2025 Commission — DMA — 500 M€ — régime nouveau

2025 AdlC — concurrence — 150 M€

Amazon

2021 CNPD — RGPD — 746 M€ — régime nouveau

2021 AGCM — concurrence — 1 128 M€

2025 FTC — consommation — 2 500 M$

Microsoft

2024 DPC — RGPD (LinkedIn) — 310 M€ — régime nouveau

BNP Paribas

2017 Fed/NY-DFS — marchés (change) — 596 M$

Deutsche Bank

2015 DOJ/CFTC/NY-DFS — marchés (LIBOR) — 2 175 M$

2015 NY-DFS — sanctions économiques — 200 M$

2017 DOJ — titres toxiques (RMBS) — 7 200 M$

2017 NY-DFS — blanchiment — 425 M$

2017 AG multi-États — marchés (LIBOR) — 220 M$

2017 Fed — marchés (change) — 156,6 M$

2018 NY-DFS — marchés (change) — 205 M$

2020 NY-DFS — conformité (Epstein) — 150 M$

2022 SEC — tenue des registres — 125 M$

2023 Fed — blanchiment — 186 M$

HSBC

2016 DOJ — crédit hypothécaire — 470 M$

2016 Fed — crédit hypothécaire — 131 M$

2017 Fed — marchés (change) — 175 M$

2017 PNF (CJIP) — fraude fiscale — 300 M€

2018 USAO — titres toxiques (RMBS) — 765 M$

2018 DOJ — marchés (change) — 100 M$

2019 USAO — fraude fiscale — 192,35 M$

2021 Commission — concurrence (change) — 174,3 M€

Société Générale

2018 DOJ/CFTC/PNF — corruption et LIBOR — 1 335 M$

2018 USAO/NY-DFS/NY-MANDA — sanctions économiques — 1 300 M$

UBS/CS

2015 Fed/DOJ — marchés (change, LIBOR) — 545 M$

2016 Parquet de Milan — fraude fiscale — 109,5 M€

2017 DOJ — titres toxiques (RMBS) — 5 280 M$

2017 NCUA — titres toxiques (RMBS) — 445 M$

2017 NY-DFS — marchés (change) — 135 M$

2018 NY-AG — titres toxiques (RMBS) — 230 M$

2019 Tribunal correctionnel de Paris — fraude fiscale — 3 700 M€

2021 DOJ — fraude (Mozambique) — 175,5 M$

2022 NJ-AG — information des investisseurs — 495 M$

2022 SEC — tenue des registres — 125 M$

2022 SEC — tenue des registres (CS) — 125 M$

2023 DOJ — titres toxiques (RMBS) — 1 435 M$

2023 Fed — gestion des risques (CS) — 268,5 M$

2025 DOJ — titres toxiques (RMBS) — 300 M$

2025 DOJ — fraude fiscale (CS) — 510,6 M$

2025 France (accord) — fraude fiscale — 835 M€