Fraude démystifiée : Une dure leçon sur l’importance du contrôle diligent pour JP Morgan

Présentation de l’étude de cas

Le fondateur et les dirigeants d’une entreprise en démarrage du secteur des technologies financières, Frank, ont été accusés d’avoir escroqué JPMorgan Chase & Co (« JP Morgan ») d’une somme de 175 millions de dollars américains dans le cadre de l’acquisition de leur entreprise émergente.

À la suite de la conclusion de la transaction, JP Morgan a accusé Frank d’avoir falsifié sa liste de clients, actif clé de l’acquisition. La banque a entamé une poursuite civile contre les anciens dirigeants, dont la fondatrice, Charlie Javice, et le chef de la croissance, Olivier Amar, et une enquête criminelle distincte est en cours. Ces allégations n’ont pas encore été démontrées devant un tribunal.

Détails sur la fraude

Frank était une plateforme de planification financière universitaire en pleine croissance que les étudiants pouvaient utiliser pour s’y retrouver dans l’écosystème des prêts.

La jeune entreprise proposait à ses clients de faciliter le processus complexe de demande d’aide financière et leur donnait accès à son catalogue de cours universitaires en ligne.

En août 2021, JP Morgan a acquis Frank pour la somme de 175 millions de dollars américains. Cette transaction était motivée par le désir de la banque d’accéder aux quatre millions de comptes de clients présumés de Frank.

JP Morgan a par la suite affirmé que Frank avait largement exagéré le nombre de ses clients et de ses comptes.

Comment les fraudeurs ont-ils commis leur crime?

Dans le cadre de son contrôle diligent, JP Morgan a demandé à Frank de lui fournir des détails sur ses 4,265 millions de comptes clients. La banque a insisté sur le fait que cette demande était essentielle à son processus de contrôle diligent.  Les dirigeants de Frank hésitaient à lui transmettre ces données, sous prétexte de préoccupations relatives à la protection des renseignements personnels. JP Morgan a accepté qu’un fournisseur tiers de gestion de données valide la liste de comptes clients plutôt que de la recevoir directement de Frank et d’en examiner les données originales.

M^me Javice et M. Amar auraient prétendument fait créer une liste de clients fictifs contenant quatre millions de comptes, qui a été fournie au tiers agissant au nom de JP Morgan. Elle comportait noms, adresses, dates de naissance et autres renseignements personnels, tous forgés. La liste de clients n’a jamais été fournie directement à JP Morgan. Le tiers a plutôt fourni un rapport de validation à JP Morgan et à Frank, puis a supprimé les données à la demande de ce dernier.

Au même moment, Frank a acheté une liste de 4,5 millions de noms d’étudiants d’une entreprise de marketing. Cette liste a été utilisée, puis fournie à JP Morgan après la conclusion de l’acquisition. Plus important encore, seule la moitié des personnes figurant sur cette dernière liste avait une adresse électronique associée à son nom. Par la suite, Frank a retenu les services d’une entreprise de technologie des données pour trouver les adresses électroniques potentielles des personnes dont les données étaient incomplètes et qui se trouvaient sur la liste fournie à JP Morgan.

Quel en a été le résultat?

En janvier 2022, JP Morgan a voulu lancer une campagne de marketing par courriel afin de tester la liste de clients. Celle-ci a été demandée à Frank, qui a mis trois semaines à la produire. La liste fournie était principalement un sous-ensemble de la liste d’étudiants que Frank avait achetée auprès de l’entreprise de marketing.

La campagne de marketing a relevé des irrégularités dans la liste de Frank lorsque JP Morgan a envoyé un courriel à 400 000 clients uniques. Les résultats ont révélé un taux d’acheminement de courriels de 28 %, alors que le seuil de JP Morgan est de 99 % (ce qui signale une proportion élevée d’adresses électroniques invalides), et un taux d’ouverture de courriels de 1,1 %, comparativement à son seuil de 30 % (ce qui démontre un taux d’engagement plus faible que celui attendu de la part des clients actifs).  

Par la suite :

• en juin 2022, JP Morgan a lancé une enquête approfondie sur l’acquisition de Frank et sur la fusion; 
• en octobre et novembre 2022, JP Morgan a licencié M. Amar et M^me Javice à la suite d’une enquête interne;
• en décembre 2022, JP Morgan a déposé une plainte auprès de la SEC et intenté une action en justice devant la U.S. District Court;
• en janvier 2023, JP Morgan a fermé le site Web de Frank;
• en avril 2023, M^me Javice a été arrêtée et fait maintenant l’objet d’accusations de fraude de la part de la SEC et du ministère de la Justice, notamment pour complot en vue de commettre une fraude bancaire et une fraude électronique, de fraude électronique visant une institution financière, de fraude bancaire et de fraude en valeurs mobilières;
• en juillet 2023, M. Amar a également été inculpé de fraude électronique, de fraude bancaire, de fraude en valeurs mobilières et de complot.

Comment cela aurait-il pu être évité ?

En faisant appel à un tiers pour valider la liste de clients, JP Morgan a ouvert la porte à la fraude. Un contrôle diligent suffisant de la liste de clients aurait grandement contribué à l’éviter. De plus, la réticence de Frank à fournir les données réelles aurait dû être un signal d’alarme. 

JP Morgan aurait dû s’assurer que des mesures supplémentaires avaient été prises pour atténuer ce risque et assurer l’existence, la validité, l’exactitude et la possession de la liste et des données des comptes clients. 

Il convenait notamment de veiller à ce que tout tiers validant l’ensemble de données ait été engagé par JP Morgan et ait reçu un mandat adapté à ses besoins. Plus précisément, il aurait fallu :

• envoyer des courriels à un échantillon de la liste des clients pour déterminer s’ils étaient exacts et actifs;
• faire des tests pour s’assurer que les clients de la liste étaient de vrais clients de Frank configurés dans son système et examiner les registres d’audit des activités de ces comptes clients;
• que JP Morgan obtienne directement la liste validée par le tiers à la conclusion de l’acquisition.