KYC et conformite

Ce que le KYC sert à protéger

Le KYC (know your customer, connaissance du client) constitue le premier étage d'un dispositif plus large : la lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). Un professionnel n'identifie pas ses clients pour le principe, mais parce qu'on ne peut détecter une opération suspecte que si l'on sait à quoi ressemble une opération normale pour ce client-là.

Le blanchiment consiste à donner une apparence licite à des fonds d'origine criminelle. On le décrit classiquement en trois temps : le placement (faire entrer les fonds dans le circuit financier), l'empilement (multiplier les opérations pour brouiller la trace), l'intégration (réinvestir les fonds dans l'économie légale). Ces trois temps ne se succèdent pas toujours, et un même dossier peut n'en montrer qu'un seul.

Le financement du terrorisme obéit à une logique inverse : les fonds sont souvent d'origine licite, c'est leur destination qui est criminelle. Les montants y sont généralement faibles. Un dispositif calibré sur les seuls gros flux ne le voit pas passer. C'est pourquoi la déclaration de soupçon ne comporte, en matière de financement du terrorisme, aucun seuil de montant.

Qui est assujetti

La liste des personnes assujetties est fixée par l'article L. 561-2 du code monétaire et financier. Elle dépasse largement le secteur bancaire : établissements de crédit, de paiement et de monnaie électronique, entreprises d'assurance, sociétés de gestion, changeurs manuels, prestataires de services sur actifs numériques, professionnels de l'immobilier, casinos et opérateurs de jeux, experts-comptables, commissaires aux comptes, avocats, notaires, commissaires de justice, marchands de biens précieux, domiciliataires.

L'assujettissement découle de l'activité exercée, jamais de la taille de la structure. Un professionnel indépendant est soumis aux mêmes obligations de vigilance qu'un grand groupe ; seule l'ampleur des moyens qu'il y consacre diffère, en application de l'approche par les risques.

Certaines professions bénéficient d'aménagements liés au secret professionnel. L'avocat est assujetti lorsqu'il participe à une transaction pour le compte de son client (opération immobilière ou financière, gestion d'actifs, ouverture de comptes, création ou direction de sociétés), ou lorsqu'il donne des conseils en matière fiscale (art. L. 561-3).

Il échappe en revanche à l'obligation déclarative lorsque son activité se rattache à une procédure juridictionnelle, ou lorsqu'il donne une consultation juridique, sauf si celle-ci a été fournie à des fins de blanchiment. L'exception protège le procès et le conseil, pas la profession.

Le circuit diffère également : l'avocat ne déclare pas directement à Tracfin. Il remet sa déclaration au bâtonnier de son ordre (au président de l'ordre pour les avocats aux Conseils), qui la transmet (art. L. 561-17). Cette dérogation cesse lorsque l'avocat agit en qualité de fiduciaire.

L'architecture des textes

Quatre étages, du plus général au plus opérationnel :

1. Le GAFI (Groupe d'action financière) publie 40 recommandations et évalue les États. Ce n'est pas du droit contraignant, mais une mauvaise évaluation a des effets économiques immédiats sur un pays.
2. L'Union européenne transpose ces standards en directives successives, puis, et c'est le changement majeur de 2024, en règlement directement applicable : le règlement (UE) 2024/1624, la directive (UE) 2024/1640, et le règlement (UE) 2024/1620 créant l'autorité européenne AMLA. Le règlement 2024/1624 est applicable à partir du 10 juillet 2027, et à partir du 10 juillet 2029 pour les seuls agents et clubs de football professionnel.
3. Le code monétaire et financier porte le droit français : articles L. 561-1 et suivants pour les obligations, R. 561-x et D. 561-x pour leurs modalités.
4. Les lignes directrices de l'ACPR et de Tracfin précisent l'attendu. Elles ne créent pas d'obligation nouvelle, mais un écart avec elles se défend mal devant un contrôleur.

Le passage de la directive au règlement a une conséquence pratique : la marge de transposition nationale se réduit, et les règles deviennent les mêmes d'un État membre à l'autre.

L'approche par les risques

L'article L. 561-4-1 du code monétaire et financier pose le principe qui gouverne tout le reste : les obligations de vigilance sont modulées selon le risque que présente la relation d'affaires. Le professionnel établit et tient à jour une classification des risques portant au minimum sur les produits et services offerts, les caractéristiques des clients, les canaux de distribution et les zones géographiques concernées.

Ce principe n'allège pas les obligations : il les répartit. Un contrôle ne demande pas « avez-vous appliqué les mêmes mesures à tous ? » mais « vos mesures sont-elles cohérentes avec la classification que vous avez vous-même établie ? ». Un dispositif uniforme est, de ce point de vue, aussi critiquable qu'un dispositif insuffisant : il révèle une classification qui n'est pas utilisée.

Les trois obligations qui structurent le métier

• Identifier et vérifier le client et son bénéficiaire effectif, avant d'entrer en relation d'affaires ;
• connaître l'objet et la nature de la relation, et recueillir les informations qui la rendent compréhensible ;
• exercer une vigilance constante tout au long de la relation, et déclarer ce qui reste inexpliqué.

Ces trois obligations ne sont pas séquentielles : la deuxième nourrit la troisième. Une entrée en relation correctement documentée est ce qui rend une anomalie visible trois ans plus tard.

Qui contrôle, qui sanctionne

Tracfin est la cellule de renseignement financier française, service à compétence nationale rattaché au ministère chargé de l'économie. Il reçoit les déclarations de soupçon, les enrichit, et transmet le cas échéant à l'autorité judiciaire. Tracfin ne prononce aucune sanction : il n'est ni un juge, ni un superviseur.

La supervision relève, elle, de chaque autorité sectorielle (art. L. 561-36) : l'ACPR pour la banque et l'assurance, l'AMF pour la gestion d'actifs, et les ordres professionnels pour les avocats, les notaires, les experts-comptables et les commissaires de justice.

Les professions non financières relèvent d'un contrôle administratif : les agents de la répression des fraudes (DGCCRF) inspectent les professionnels de l'immobilier et les domiciliataires, et l'Autorité nationale des jeux contrôle les opérateurs de jeux en ligne (art. L. 561-36-2). Pour elles, la sanction n'appartient pas à l'autorité qui a contrôlé : la procédure d'inspection est transmise à un organe dédié, la Commission nationale des sanctions (art. L. 561-38).

Le manquement aux obligations LCB-FT expose à une sanction disciplinaire, distincte de la sanction pénale encourue pour blanchiment.

Ce que le KYC n'est pas

• Ce n'est pas le RGPD. La LCB-FT impose de collecter et de conserver des données personnelles ; le RGPD encadre cette collecte sans l'empêcher. Le fondement du traitement est le respect d'une obligation légale.
• Ce n'est pas le gel des avoirs. Les sanctions financières ciblées constituent un dispositif distinct, à effet immédiat et sans appréciation : on ne « soupçonne » pas une personne désignée sur une liste, on gèle.
• Ce n'est pas la lutte contre la fraude. La fraude vise un préjudice pour l'établissement ou son client ; la LCB-FT vise l'origine et la destination des fonds. Les dispositifs se croisent, ils ne se confondent pas.

Identifier n'est pas vérifier

Deux gestes distincts, que la pratique confond souvent et qu'un contrôle sépare toujours :

• identifier, c'est recueillir les éléments d'identité : nom, prénoms, date et lieu de naissance pour une personne physique ; forme juridique, dénomination, siège et immatriculation pour une personne morale ;
• vérifier, c'est confronter ces éléments à un document probant dont on conserve une copie ou les références.

Un dossier qui contient une identité déclarée mais aucun justificatif n'est pas un dossier incomplet : c'est une obligation non remplie. L'article L. 561-5 du code monétaire et financier impose les deux gestes, pour le client et pour le bénéficiaire effectif.

Avant l'entrée en relation, et les exceptions

Le principe est l'antériorité : identification et vérification avant d'entrer en relation d'affaires. L'article L. 561-5 admet toutefois une exception étroite : la vérification peut être achevée pendant l'établissement de la relation, lorsque le risque est faible et qu'attendre interromprait l'exercice normal de l'activité.

Cette exception se lit strictement. Elle autorise un décalage de quelques jours dans un dossier à faible risque, pas une entrée en relation dont la vérification n'arriverait jamais.

Le bénéficiaire effectif

Le bénéficiaire effectif est la personne physique qui contrôle en dernier lieu le client, ou pour le compte de laquelle une opération est réalisée. Pour une société, il s'agit de la personne physique qui détient, directement ou indirectement, plus de 25 % du capital ou des droits de vote, ou qui exerce un pouvoir de contrôle par d'autres moyens.

À défaut de pouvoir identifier une telle personne (actionnariat dispersé, structure cotée, faisceau de détentions inférieures au seuil), le bénéficiaire effectif est le représentant légal. Cette règle n'est pas une facilité mais une solution de dernier recours, et le dossier doit montrer les recherches qui y ont conduit.

La chaîne de détention se remonte jusqu'à une personne physique. Une société mère n'est jamais un bénéficiaire effectif : elle est une étape.

Ce qu'il faut savoir de la relation, pas seulement du client

L'article L. 561-5-1 ajoute une obligation que le seul contrôle d'identité ne couvre pas : recueillir les informations relatives à l'objet et à la nature de la relation d'affaires, ainsi que tout élément d'information pertinent.

Concrètement : à quoi ce compte va-t-il servir, quels flux sont attendus, de quelle origine, vers quelles destinations. Cette connaissance est ce qui rendra détectable, plus tard, l'opération qui ne lui ressemble pas. Un dossier d'entrée en relation parfaitement documenté sur l'identité et muet sur l'usage attendu ne protège de rien.

Client occasionnel

Le client occasionnel est celui qui sollicite une opération ponctuelle, sans relation d'affaires établie, que l'opération soit unique ou fractionnée en plusieurs opérations apparaissant comme liées entre elles.

L'identification est due avant l'opération, et l'article R. 561-10 distingue deux régimes.

Sans aucun seuil, quel que soit le montant :

• dès qu'il y a soupçon ;
• pour une opération de transmission de fonds ;
• pour un service de location de coffre-fort.

Au-delà d'un seuil, dans les autres cas :

• 1 000 € pour le change manuel, et à tout montant si le client n'est pas physiquement présent ;
• 2 000 € pour les mises ou gains de jeu, par séance ;
• 10 000 € pour un règlement en espèces ou en monnaie électronique ;
• 15 000 € pour toute autre opération.

Le piège, ici, n'est pas d'oublier un montant : c'est de croire que la transmission de fonds obéit à un seuil. Elle n'en a pas.

Le fractionnement d'une opération en plusieurs opérations inférieures au seuil ne fait pas disparaître l'obligation : il constitue au contraire un indice.

Vigilance allégée, vigilance renforcée

L'approche par les risques se traduit ici par trois régimes.

La vigilance simplifiée (art. L. 561-9) est possible lorsque le risque est faible. Elle n'autorise jamais à ne rien faire : elle permet d'adapter l'intensité et le calendrier des mesures, et elle doit être justifiée par la classification des risques.

La vigilance renforcée (art. L. 561-10) s'impose notamment lorsque :

• le client ou son représentant n'est pas physiquement présent lors de l'identification ;
• le client est une personne politiquement exposée (PPE), un membre de sa famille ou une personne connue pour lui être étroitement associée ;
• l'opération est en lien avec un pays tiers à haut risque figurant sur la liste établie par la Commission européenne ;
• le produit ou l'opération favorise l'anonymat.

Les personnes politiquement exposées

Une PPE est une personne exposée à des risques particuliers du fait des fonctions publiques importantes qu'elle exerce ou a exercées. La catégorie s'étend aux membres directs de la famille et aux personnes étroitement associées.

Trois exigences s'ajoutent alors : la décision d'entrer en relation, ou de la poursuivre, est prise par un membre de l'organe exécutif ou une personne habilitée à cet effet ; l'origine du patrimoine et des fonds est recherchée ; la relation fait l'objet d'une surveillance renforcée.

La qualité de PPE n'est pas un motif de refus. Refuser par principe toute PPE est un manquement, pas une prudence : la loi impose des mesures renforcées, pas une exclusion.

Elle n'est pas non plus définitive, et la nuance tient à la rédaction même du texte : est une PPE la personne qui exerce ou a cessé d'exercer depuis moins d'un an l'une des fonctions énumérées par l'article R. 561-18. Il n'existe donc pas de durée de conservation du statut posée à part : le délai est dans la définition, et au-delà d'un an la personne sort de la catégorie.

Quand l'identification est impossible

Si le professionnel n'est pas en mesure d'identifier son client, de vérifier son identité ou d'obtenir des informations sur l'objet de la relation, il n'exécute aucune opération et n'établit ni ne poursuit aucune relation d'affaires (art. L. 561-8).

Deux conséquences que l'on oublie souvent :

1. la règle vaut aussi en cours de relation, et impose alors d'y mettre fin ;
2. l'impossibilité d'identifier n'éteint pas l'obligation déclarative. S'il y a soupçon, la déclaration est due, y compris lorsque la relation n'a jamais été nouée.

La vigilance ne s'arrête pas à l'entrée en relation

L'article L. 561-6 du code monétaire et financier impose une vigilance constante pendant toute la durée de la relation d'affaires, et une actualisation des éléments de connaissance du client.

Cette obligation a deux faces. La première est documentaire : les informations vieillissent, un justificatif de domicile de 2019 ne dit plus rien en 2026. La seconde est analytique : chaque opération doit rester cohérente avec la connaissance que l'on a du client. Il n'existe pas d'autre étalon : il n'y a pas d'opération suspecte dans l'absolu, il y a des opérations qui ne ressemblent pas à leur titulaire.

L'examen renforcé

Certaines opérations déclenchent une obligation particulière, distincte de la déclaration : l'examen renforcé de l'article L. 561-10-2. Il s'impose lorsqu'une opération est particulièrement complexe, d'un montant inhabituellement élevé, ou sans justification économique ni objet licite apparent.

Le professionnel se renseigne alors auprès du client sur l'origine des fonds et la destination des sommes, ainsi que sur l'objet de l'opération et l'identité du bénéficiaire. Il consigne le résultat dans un rapport écrit, conservé cinq ans.

Deux confusions à écarter :

• l'examen renforcé n'est pas une déclaration de soupçon. C'est une enquête interne, qui peut lever le doute comme le confirmer ;
• une réponse satisfaisante du client clôt l'examen. Une réponse absente, incohérente ou invérifiable ne le clôt pas et nourrit le soupçon.

Le soupçon, et son seuil

La déclaration de soupçon est due à Tracfin (art. L. 561-15) lorsque le professionnel sait, soupçonne ou a de bonnes raisons de soupçonner que les sommes ou opérations proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an, ou participent au financement du terrorisme.

Trois points décident de presque tous les cas pratiques :

1. Le soupçon n'est pas la preuve. Il n'est pas exigé d'identifier l'infraction sous-jacente, ni d'en réunir les éléments. Attendre la certitude revient à ne jamais déclarer.
2. Il n'y a pas de seuil de montant. Un virement de 400 € peut être déclarable ; un virement d'un million peut ne pas l'être.
3. La déclaration porte sur des faits, décrits factuellement, avec les éléments d'analyse qui ont conduit au soupçon.

La fraude fiscale relève d'un régime particulier : la déclaration n'est due que si au moins un critère parmi les seize fixés par l'article D. 561-32-1 est réuni. Ces critères décrivent des montages et des comportements : société écran, interposition de personnes n'intervenant qu'en apparence, comptes de passage aux soldes proches de zéro, refus de justifier l'origine des fonds, transaction immobilière manifestement sous-évaluée.

Ce qu'il faut en retenir n'est pas la liste, mais le mécanisme : en matière de fraude fiscale, le soupçon ne suffit pas. Il doit s'accompagner d'au moins un critère objectif. C'est la seule matière où la déclaration obéit à cette double condition.

Avant, ou après l'exécution

Le principe posé par l'article L. 561-16 est que la déclaration est faite avant l'exécution de l'opération, le professionnel s'abstenant de l'exécuter le temps nécessaire. Le report d'exécution est la règle, non une option de confort.

L'exécution avant déclaration reste possible dans des cas limités : lorsqu'il est impossible de surseoir, ou lorsque l'abstention risquerait d'entraver l'enquête. Le soupçon né après l'exécution donne lieu à une déclaration sans délai.

Ce qu'il est interdit de dire

L'interdiction de divulgation (le tipping off) est d'application stricte : le professionnel ne porte ni à la connaissance du client, ni à celle d'un tiers l'existence d'une déclaration de soupçon, ni les suites qui lui sont données.

Cette interdiction survit à la relation. Elle interdit aussi bien l'annonce explicite que l'allusion, la lettre de clôture qui en donne le motif, ou le conseil amical de « régulariser avant que cela ne remonte ».

En contrepartie, l'article L. 561-22 protège le déclarant de bonne foi : aucune poursuite civile, pénale ou disciplinaire ne peut être engagée contre lui au titre de la déclaration.

Les communications systématiques

À côté de la déclaration de soupçon, qui repose sur une appréciation, existent des communications systématiques d'informations (COSI) : elles sont dues sur un critère purement objectif, sans aucun soupçon requis (art. L. 561-15-1).

Deux cas, et leurs seuils :

• transmission de fonds à partir d'espèces ou de monnaie électronique : 1 000 € par opération, ou 2 000 € cumulés par client sur un mois civil (art. R. 561-31-1) ;
• versements et retraits d'espèces sur un compte de dépôt ou de paiement : 10 000 € cumulés sur un mois civil (art. R. 561-31-2).

Une COSI n'est pas une déclaration de soupçon : elle n'emporte ni analyse, ni abstention, ni les protections attachées à la seconde.

Conserver, et pouvoir retrouver

Les documents relatifs à l'identité des clients sont conservés cinq ans à compter de la clôture de la relation d'affaires ; ceux relatifs aux opérations, cinq ans à compter de leur exécution (art. L. 561-12).

Cette durée n'est pas une commodité d'archivage : elle est la condition pour qu'une réquisition judiciaire trois ans plus tard trouve encore quelque chose. Un dispositif qui conserve sans pouvoir retrouver n'a rien conservé.

L'organisation interne

Le dispositif ne repose pas sur la vigilance individuelle. L'article L. 561-32 impose des procédures internes, un contrôle de leur application, et la désignation de personnes identifiées : le déclarant, qui signe les déclarations, et le correspondant Tracfin, interlocuteur du service.

Ces deux fonctions peuvent être portées par la même personne, mais elles sont distinctes, et leur désignation est notifiée à Tracfin.