Après les amendes : la boîte noire du contrôle des marchés chez JPMorgan

La première partie de cette enquête a établi la séquence : manipulations reconnues en 2020, lacunes découvertes en 2021, sanctions coordonnées en 2024. Elle a aussi posé une limite essentielle. Les milliards de messages d’ordre absents des systèmes de JPMorgan ne constituent pas des milliards d’abus. Ils constituent des milliards d’objets non testés par les scénarios prévus pour détecter un abus.

La seconde partie commence après l’amende. Les décisions de la Réserve fédérale, de l’Office of the Comptroller of the Currency et de la Commodity Futures Trading Commission prescrivent un examen rétrospectif, un inventaire des plateformes, un contrôle indépendant, un plan correctif, des rapports d’étape et, pour la CFTC, une certification finale. Au 31 juillet 2026, les sources publiques consultées pour cette enquête donnent les obligations, mais pas le contenu de ces travaux.

L’enjeu dépasse un dysfonctionnement informatique. Une banque de marché délègue l’exécution, achète des logiciels, agrège des flux mondiaux et autorise des clients algorithmiques à accéder à des plateformes sous des montages contractuels distincts. Le contrôle reste efficace seulement si chaque message attendu arrive, si chaque plateforme figure dans l’inventaire et si les scénarios couvrent le comportement pertinent. Le risque naît dans les raccords.

L’accès sponsorisé, délégation sans abandon

Sur la plateforme désignée « DCM-1 », JPMorgan attribue l’essentiel des messages manquants à l’activité en accès sponsorisé de trois sociétés algorithmiques importantes. La CFTC reprend cette explication sans nommer la plateforme ni les firmes.

L’accès sponsorisé permet à un client ou à un intermédiaire de transmettre des ordres vers une plateforme grâce à l’accès d’un membre. L’ordre provient économiquement du client, pas du sponsor. Son acheminement, sa compensation, ses contrôles avant transaction et sa surveillance après transaction peuvent relever de plusieurs entités selon le marché et le contrat.

Le droit confirme cette répartition des responsabilités. Pour les marchés de titres relevant de la SEC, la règle 15c3-5 impose au courtier disposant de l’accès au marché des contrôles financiers et réglementaires sous son contrôle direct et exclusif, avec des exceptions limitées. La règle exige aussi un examen régulier de leur efficacité.

Le cadre des contrats à terme n’est pas identique. Dans une lettre d’interprétation de 2013, la CFTC précise qu’un courtier en contrats à terme offrant un accès sponsorisé à une firme d’exécution n’est pas, par ce seul fait, obligé au titre de la règle 1.73(a)(2)(iv) de filtrer les ordres des clients de cette firme. Cette précision interdit un raccourci : « sponsor » ne signifie pas responsabilité universelle pour chaque contrôle.

Elle ne retire rien à la décision de 2024. La CFTC sanctionne J.P. Morgan Securities au titre de la règle 166.3 pour défaut de supervision diligente de ses activités réglementées. Le défaut établi porte sur l’entrée et la surveillance des messages dans le système. L’identité économique du client ne rend pas facultative la donnée nécessaire au dispositif adopté par JPMorgan.

Une alerte dépend d’une chaîne complète

La surveillance d’un marché électronique n’est pas un logiciel isolé. Elle forme une chaîne :

1. la plateforme produit les messages d’ajout, de modification, d’annulation et d’exécution ;
2. des connecteurs transportent et normalisent les flux ;
3. l’inventaire associe chaque plateforme, produit, équipe de marché et client aux contrôles applicables ;
4. un rapprochement compare le volume attendu au volume reçu ;
5. des scénarios recherchent les comportements suspects ;
6. des analystes examinent les alertes et documentent leur classement ;
7. les dossiers les plus sérieux sont transmis à la conformité, aux superviseurs et, si nécessaire, aux autorités.

En 2020, JPMorgan indiquait à la CFTC utiliser trois types principaux d’alertes dans le logiciel SMARTS pour le spoofing et le layering, un empilement d’ordres trompeurs dans le carnet. L’ordonnance 20-69 décrit aussi des contrôles de qualité et des rapports mensuels par trader, équipe, superviseur et région. Ces étapes se situent après l’entrée des données. Un test automatique bien réglé ne voit jamais un message absent.

La source dorée, erreur de modèle opérationnel

JPMorgan appliquait un rapprochement trimestriel à certaines données, mais pas aux flux reçus directement des plateformes. La firme partait de l’hypothèse qu’une donnée issue d’une bourse constituait une golden source et ne nécessitait pas le même test.

Cette hypothèse confond deux propriétés :

• l’exactitude de la donnée produite par la plateforme ;
• l’exhaustivité de la donnée arrivée dans l’outil de JPMorgan.

La première peut être excellente tandis que la seconde tombe à zéro. Une mauvaise configuration, un identifiant de produit non associé, un connecteur incomplet ou une transformation rejetée suffisent. La CFTC identifie des problèmes de configuration des flux comme cause des lacunes. Elle ne publie pas la répartition entre chaque type d’erreur.

Le dispositif dépend alors d’un contrôle de sa propre entrée. Il suppose que les données sont complètes. Sans vérification indépendante de cette hypothèse, un tableau d’alertes vide paraît rassurant. Il peut aussi signaler une absence de données.

Cinq documents et étapes imposés par la CFTC

L’ordonnance CFTC du 23 mai 2024 ne se limite pas à une pénalité. Elle impose une séquence documentaire précise :

1. un rapport de JPMorgan sur chaque plateforme et activité touchée, la période, le volume non surveillé et tout cas associé de mauvaise conduite sur le marché ;
2. un rapport du consultant indépendant sur les politiques, l’inventaire des plateformes, les rapprochements, les scénarios, les tests et le traitement des activités non surveillées ;
3. un plan de remédiation répondant aux constatations et recommandations du consultant ;
4. des rapports trimestriels détaillant les mesures prises, l’état d’avancement et le calendrier ;
5. une certification d’achèvement signée par le responsable de la conformité et un autre dirigeant senior.

La Commission permet des prolongations pour motif valable. Les rapports trimestriels prennent fin seulement après remise et acceptation de la certification par la Division of Enforcement.

La Fed impose une architecture proche : rapport interne, tiers indépendant, rapport au conseil d’administration et à la Federal Reserve Bank of New York, plan approuvé, puis rapports d’étape trimestriels. Son examen doit inclure la surveillance des activités propres et clientes, le contrôle exercé par le conseil, l’inventaire des plateformes, les rapprochements automatisés, le réglage des tests de détection et leur vérification périodique.

L’OCC exige en plus un retour en arrière, appelé lookback, destiné à rechercher dans les activités non surveillées d’éventuels abus jusque-là non identifiés. Son ordre de pénalité réserve expressément la possibilité d’une sanction supplémentaire fondée sur les résultats de cet examen.

Une conclusion de JPMorgan, pas un audit public

Dans son Form 10-Q du deuxième trimestre 2024, JPMorgan déclare avoir achevé des améliorations de l’inventaire des plateformes et des contrôles d’exhaustivité. D’autres travaux restaient en cours. La firme indiquait avoir engagé le consultant indépendant prescrit et payé environ 450 millions de dollars de pénalités coordonnées.

Le même document affirme que l’examen des données auparavant non surveillées n’a identifié aucune faute d’employé, aucun préjudice pour les clients et aucun dommage au marché. Cette formulation est importante et doit rester entière. Elle constitue la conclusion publiée par JPMorgan.

Elle ne remplace pas la publication du rapport rétrospectif ni celle du rapport indépendant. Au 31 juillet 2026, notre recherche dans les pages publiques de la CFTC, de la Fed, de l’OCC et dans les rapports SEC de JPMorgan n’a pas trouvé le contenu de ces documents. Le public ne peut donc pas comparer :

• la méthode de recherche appliquée aux milliards de messages ;
• les plateformes, produits et périodes détaillés ;
• les seuils et scénarios utilisés pour reconstruire les alertes ;
• les recommandations du consultant ;
• les exceptions, limites et tests de validation ;
• le statut d’une éventuelle certification finale acceptée par la CFTC.

L’absence de publication ne signifie pas absence de remise aux autorités. Les ordres imposent leur transmission. Elle signifie une impossibilité de reproduire publiquement la conclusion de la banque.

DCM-1 reste sans nom

La CFTC emploie « DCM-1 », son code pour une plateforme américaine réglementée de contrats à terme. Aucun nom de plateforme n’apparaît dans l’ordonnance. Toute attribution à une bourse précise serait donc spéculative.

Cette anonymisation empêche plusieurs contrôles externes. Sans la plateforme, impossible de rapprocher la période avec les règles du marché, les avis techniques, les incidents de flux ou les données disciplinaires de l’opérateur. Sans les produits, impossible de mesurer la concentration par classe d’actifs. Sans les firmes algorithmiques, impossible de vérifier leurs propres historiques réglementaires.

Le silence peut protéger des informations commerciales, des clients ou des investigations. Aucune explication publique précise n’est donnée dans l’ordonnance. L’enquête conserve donc l’identifiant DCM-1 et refuse toute devinette.

Trois firmes algorithmiques sans identité

JPMorgan décrit trois sociétés algorithmiques « significatives » derrière l’essentiel de l’activité en accès sponsorisé sur DCM-1. L’adjectif ne donne ni volume, ni part de marché, ni risque.

La concentration auprès de trois clients présente toutefois un mécanisme de risque clair. Un flux mal configuré pour un petit nombre de producteurs très actifs peut générer des milliards de messages absents. La taille brute vient de l’automatisation. Elle ne démontre ni fraude ni perte, mais elle augmente le coût d’une reconstruction rétrospective et la sensibilité aux erreurs de périmètre.

Une surveillance conçue autour des employés de la banque peut aussi différer d’une surveillance destinée aux clients à haute fréquence. Les tests, identifiants, seuils de bruit et méthodes de transmission ne sont pas nécessairement identiques. Le rapport indépendant devait précisément évaluer la couverture des activités propres et clientes ainsi que le réglage des seuils de détection. Son absence du dossier public empêche de savoir comment cette distinction a été traitée.

Aucun signal ne prouve l’absence d’abus

Le raisonnement pédagogique tient en trois propositions :

1. un système complet peut générer zéro alerte parce qu’aucun comportement suspect n’existe ;
2. un système incomplet peut aussi générer zéro alerte parce que les messages nécessaires manquent ;
3. le nombre d’alertes ne devient interprétable qu’après preuve de l’exhaustivité des données.

Cette conclusion ne transforme pas l’inconnu en soupçon. Elle fixe l’ordre des preuves. L’exhaustivité vient avant le réglage des seuils, puis l’examen humain, puis l’attribution d’une intention.

Une revue thématique de l’Organisation internationale des commissions de valeurs, publiée en 2025, rappelle le principe au niveau des autorités de marché : l’accès aux ordres, transactions et annulations est indispensable à une surveillance efficace et à la reconstruction du marché. L’étude ne porte pas sur JPMorgan. Elle confirme la logique générale du contrôle.

Les travaux académiques aboutissent au même besoin de données fines. Bao Linh Do et Tālis Putniņš identifient, dans leur étude sur la détection du spoofing, les déséquilibres du carnet, l’activité d’ordre, les annulations anormales et leurs cycles parmi les variables utiles. Leur papier propose une méthode empirique, pas une conclusion sur DCM-1. Sans messages d’ordre complets, ces variables ne peuvent pas être reconstruites correctement.

Le risque en quatre étages

Le dossier présente quatre risques distincts. Les mélanger produit soit une accusation excessive, soit une lecture trop rassurante.

Risque de conduite. Un comportement manipulateur peut échapper à la détection lorsque les messages correspondants n’entrent pas dans le système. Le dossier public ne prouve pas sa réalisation dans les flux manquants.

Risque réglementaire. La CFTC, la Fed et l’OCC ont déjà sanctionné les lacunes. L’ordre OCC permet une pénalité supplémentaire fondée sur l’examen rétrospectif. Une nouvelle sanction dépendrait de faits nouveaux ou d’une correction insuffisante, inconnus à ce stade.

Risque opérationnel. Une erreur d’inventaire, de connecteur ou de rapprochement peut neutraliser des outils sophistiqués. Le problème concerne le chemin suivi par les données, pas seulement le logiciel de détection.

Risque de gouvernance. En 2020, le conseil et les autorités ont reçu une description détaillée des améliorations. En 2021, la firme découvre un périmètre massif absent. Le test de gouvernance porte donc sur la validation indépendante des déclarations de couverture, pas sur le nombre de procédures écrites.

Ce risque ne se lit pas dans le bénéfice trimestriel comme une provision de crédit. Il ressemble davantage aux risques de plomberie décrits dans notre analyse du repo et du collatéral : une infrastructure paraît secondaire jusqu’au jour où une rupture révèle le rôle de chaque raccord. Pour une lecture plus générale du contrôle bancaire, notre grille des résultats bancaires et du risque distingue également performance comptable, conduite et exposition opérationnelle.

Cinq marqueurs à surveiller

Une enquête au long cours doit produire une liste réfutable. Cinq événements permettraient de mettre à jour le diagnostic :

1. une levée publique des restrictions d’intégration de nouvelles plateformes par la Fed ou l’OCC ;
2. une certification d’achèvement acceptée par la CFTC, si l’autorité la rend publique ;
3. une nouvelle action fondée sur l’examen rétrospectif, éventualité expressément préservée par l’OCC ;
4. une publication plus détaillée de JPMorgan sur la méthode de reconstruction, le consultant ou le statut de remédiation ;
5. une décision de justice ou une procédure réglementaire reliant un comportement précis aux périodes et plateformes non surveillées.

Sans l’un de ces éléments, trois phrases restent les seules conclusions solides : la faille était massive, JPMorgan affirme n’avoir identifié aucun dommage, et le public ne dispose pas des rapports permettant une vérification indépendante.

Les limites du dossier public

Cette enquête ne nomme pas DCM-1 et ne cherche pas à déduire son identité. Elle ne nomme aucune des trois firmes algorithmiques. Elle n’interprète pas chaque annulation comme une fraude. Elle ne transforme pas un défaut de surveillance en manipulation.

Elle n’additionne pas non plus les sanctions coordonnées comme des paiements indépendants. Les 448,168 millions de dollars effectifs de 2024 sont distincts du règlement coordonné de 920,204 millions en 2020, mais chaque ensemble contient ses propres mécanismes de crédit entre autorités.

Enfin, les rapports imposés aux consultants et à JPMorgan peuvent contenir des informations confidentielles. Leur non-publication ne viole pas nécessairement les ordres. Elle limite la capacité d’un lecteur, d’un investisseur ou d’un chercheur à auditer la conclusion publiée.

Sources primaires

1. CFTC, ordonnance 24-07 sur les lacunes de surveillance, 23 mai 2024.
2. Réserve fédérale, ordonnance 24-007-B-HC et 24-007-CMP-HC, 14 mars 2024.
3. OCC, ordonnance AA-EC-2023-50, 14 mars 2024.
4. OCC, ordonnance de pénalité AA-EC-2023-49, 14 mars 2024.
5. JPMorgan Chase, Form 10-Q au 30 juin 2024, note « Trading Venues Investigations ».
6. CFTC, ordonnance 20-69 sur la surveillance et le spoofing, 29 septembre 2020.
7. SEC, règle 15c3-5 sur l’accès au marché, 3 novembre 2010.
8. CFTC, lettre d’interprétation 13-27 sur l’accès sponsorisé et la règle 1.73, 29 avril 2013.
9. IOSCO, Thematic Review on Technological Challenges to Effective Market Surveillance, 2025.

Recherche académique complémentaire : Bao Linh Do et Tālis J. Putniņš, « Detecting Layering and Spoofing in Markets », version du 3 novembre 2023. Le papier sert uniquement à expliquer les données nécessaires à la détection ; il n’étudie pas JPMorgan. Le layering désigne ici l’empilement de plusieurs ordres trompeurs dans le carnet.

Méthode et limite : recherche arrêtée au 31 juillet 2026 dans les ordres, communiqués et bases publiques de la CFTC, de la Fed, de l’OCC et de la SEC, puis dans les rapports réglementaires de JPMorgan. La mention « non trouvé » décrit le périmètre documentaire consulté. Elle ne prouve ni l’inexistence d’un rapport transmis confidentiellement, ni un manquement à l’ordre.