Salesforce pour les banques : ACPR, LCB-FT et la couche de conformité qui marche

Les banques et assurances achètent le même Sales Cloud que tout le monde, puis découvrent au jour 30 qu'elles ne peuvent pas le déployer comme tout le monde. ACPR (France), BaFin (Allemagne), FINMA (Suisse), CSSF (Luxembourg), FCA (UK) ont chacune des attentes précises pour le CRM en services financiers. La plateforme Salesforce peut y répondre. La plupart des implémentations standards non. Voici la couche de conformité qui marche.

Le paysage réglementaire (rapide)

• ACPR (France) : notification d'externalisation, résidence des données, résilience opérationnelle DORA.
• BaFin (Allemagne) : circulaire BAIT sur la gouvernance IT, MaRisk sur la gestion des risques.
• FINMA (Suisse) : circulaire d'externalisation, secret bancaire strict.
• CSSF (Luxembourg) : circulaire 22/806 sur l'externalisation cloud.
• PSD2, RGPD, AI Act (UE) : s'appliquent en plus des règles sectorielles.

La couche de configuration Salesforce

1. Région Hyperforce UE, obligatoire pour la plupart des banques UE. Francfort ou Paris.
2. Shield Platform Encryption sur les champs sensibles, secret bancaire, PII.
3. Field Audit Trail rétention étendue (10 ans typique).
4. Event Monitoring streamé vers votre SIEM.
5. Scopes « Full Access » restreints sur chaque Connected App.
6. Objets de consentement bancaires capturant la base légale par traitement.
7. Séparation des tâches dans les profils, personne n'approuve son propre changement.

Intégration LCB-FT et fraude

Salesforce n'est pas un outil LCB-FT. C'est la couche où les équipes client voient les flags de risque remontés depuis votre plateforme LCB-FT (Fenergo, Actimize, Napier, home-grown). Pattern d'intégration :

• Statut KYC poussé depuis la plateforme LCB-FT → objets Account et Individual.
• Flag sanctions ou PEP visible avec bannière.
• Reason codes visibles au relationship manager, pas aux non-autorisés.
• Chaque revue KYC déclenche un Case Salesforce avec SLA.

Suitability client et MiFID II

Sous MiFID II, chaque interaction pouvant constituer un conseil doit être enregistrée, horodatée et archivée. Salesforce le fait nativement avec Field Audit Trail + Chatter. Ce qu'il ne sait pas faire out of the box : l'enregistrement d'appels sur 5 ans, plateforme conformité (Nice, Verint) intégrée.

Documentation d'externalisation

Chaque régulateur attend maintenant : registre d'externalisation, DPA avec Salesforce, liste des sous-traitants, plan de sortie, évaluation de continuité. Salesforce fournit DPA et sous-traitants ; le plan de sortie et la continuité sont à vous. À faire avant le go-live.

Notes régionales

• France : notification ACPR pour l'externalisation cloud est un vrai livrable. Voir France.
• Allemagne : BAIT est spécifique IT et appliqué. Voir Allemagne.
• Suisse : secret bancaire toujours contraignant sous nLPD. Voir Suisse.
• Luxembourg : pré-notification CSSF pour l'externalisation cloud standard. Voir Luxembourg.
• États-Unis & Canada : OCC et OSFI B-13 miroir des attentes UE. Voir États-Unis, Canada.

Questions fréquentes

Salesforce accepté par ACPR / BaFin / FINMA ?

Oui, si configuré correctement et documenté. Utilisé par de grandes banques dans chaque juridiction.

Durée d'une implémentation banque ?

Typiquement 9-18 mois pour un rollout front-office complet avec intégration LCB-FT et validation conformité.

Shield nécessaire ?

Presque toujours. Encryption, rétention audit et event monitoring souvent obligatoires.

Remplacer le core banking ?

Non. Salesforce = front office et orchestration. Le core reste sur Temenos, T24, Sopra, etc.

Évaluation d'implémentation banque

Notre package banque inclut cartographie de conformité, support notification ACPR/BaFin/CSSF et rollout par phases. Réservez un appel de 30 minutes.