Dans le cadre des obligations de conformité LCB-FT des entreprises, la vigilance à l’égard de la clientèle est l’un des piliers du dispositif.
Cette vigilance ne se résume pas à une vérification d’identité effectuée à l’entrée en relation, c’est un processus continu calibré en fonction du niveau de risque présenté par chaque client et chaque opération.
Comprendre ses trois niveaux, savoir quand les appliquer et les intégrer dans un processus opérationnel fluide est donc la base de votre conformité LAB. Pas de panique, on vous explique tout !
Vigilance LCB-FT : de quoi parle-t-on exactement ?
La vigilance LCB-FT est une obligation de moyens, et non de résultat. L’objectif n’est pas de garantir qu’aucun blanchiment ne se produira, mais de mettre en place des processus suffisamment robustes pour détecter ce qui est anormal et en rendre compte si nécessaire.
Appliquée correctement, elle protège l’organisation. Le cas échéant, elle engage la responsabilité personnelle du dirigeant et du responsable LCB-FT désigné.
Identification et connaissance client : deux obligations distinctes
Ces deux notions sont souvent confondues dans la pratique, ce qui génère des lacunes dans les dispositifs. Il est donc indispensable de les distinguer clairement.
L’identification consiste à recueillir les éléments déclaratifs permettant d’établir l’identité du client :
- nom et prénom, date et lieu de naissance pour une personne physique ;
- dénomination sociale, forme juridique, numéro d’immatriculation (SIREN/SIRET) et adresse du siège pour une personne morale.
La vérification d’identité consiste à corroborer ces éléments à l’aide de pièces probantes : carte d’identité ou passeport en cours de validité pour une personne physique, extrait K-bis de moins de 3 mois pour une société.
La connaissance client va au-delà. Elle vise à comprendre l’objet et la nature de la relation d’affaires, l’activité professionnelle ou économique du client, l’origine des fonds engagés, et le profil de risque qui en découle. C’est le cœur de ce que l’on appelle le KYC (Know Your Customer ou connaissance du client).
Ces trois niveaux sont imposés par les articles L. 561-5 à L. 561-14-2 du Code monétaire et financier. Leur articulation définit l’intensité de la vigilance à exercer.
Quand l’obligation de vigilance LCB-FT s’applique-t-elle ?
L’obligation de vigilance ne se déclenche pas une seule fois. Elle s’applique à plusieurs moments clés de la relation commerciale :
- à l’entrée en relation d’affaires : c’est le moment d’identification, de vérification et de recueil des informations de connaissance client ;
- lors d’opérations occasionnelles au-delà de certains seuils (par exemple, 15 000 € en espèces ou 10 000 € pour certains secteurs), même en l’absence de relation d’affaires établie ;
- en cours de relation, lorsque survient un événement déclencheur : transaction inhabituelle, changement dans la situation du client (nouvelle activité, nouvelle structure de détention, etc.), alerte émise par un outil de screening ou simple doute de la part d’un collaborateur ;
- lors de la mise à jour périodique des dossiers clients, dont la fréquence doit être précisée dans la procédure interne LCB-FT.
C’est ce caractère continu qui distingue la vigilance LCB-FT d’un simple contrôle à l’entrée. Une vérification effectuée une seule fois, au moment de l’ouverture du dossier, ne suffit donc pas.
Les trois niveaux de vigilance LCB-FT : choisir le bon curseur
Le niveau de vigilance n’est pas défini par hasard. C’est un curseur à positionner en fonction du profil de risque du client et de l’opération. La réglementation définit trois niveaux, chacun correspondant à des diligences précises.
La vigilance LCB-FT standard : le socle applicable à tous
La vigilance standard s’applique par défaut dès lors qu’aucun élément ne justifie un traitement différencié. Elle constitue le niveau de base attendu pour l’ensemble des clients et des opérations.
Elle couvre au minimum :
- l’identification et la vérification d’identité du client (et de son mandataire, le cas échéant) ;
- le recueil d’informations sur l’objet et la nature de la relation d’affaires ;
- l’identification du bénéficiaire effectif pour les personnes morales : toute personne physique qui, en dernier ressort, détient ou contrôle directement ou indirectement plus de 25 % du capital ou des droits de vote ou qui exerce un contrôle sur les organes de direction.
Ce dernier point est fréquemment négligé dans les dossiers. Or, l’identification du bénéficiaire effectif est une obligation légale autonome, distincte de l’identification de la personne morale elle-même. Elle peut nécessiter de remonter plusieurs niveaux dans la chaîne de détention, notamment en présence de holdings ou de structures à l’étranger.
Exemple : Image 1
Extrait des lignes directrices relatives à l’identification, la vérification de l’identité et la connaissance de la clientèle de l’APCR (page 46).
La vigilance renforcée : quand et comment la déclencher
La vigilance renforcée s’impose lorsque le risque de blanchiment ou de financement du terrorisme est évalué comme élevé. Elle n’est pas optionnelle dans ces situations, mais juridiquement obligatoire.
Les principaux cas déclencheurs sont les suivants :
| Situation | Exemple concret |
|---|---|
| Personne politiquement exposée (PPE) | Client exerçant ou ayant exercé une fonction publique importante (chef d’État, dirigeant d’entreprise publique, haut fonctionnaire) |
| Relation transfrontalière avec un pays tiers à risque | Client ou fonds en provenance d’un pays listé par le GAFI comme une juridiction sous surveillance renforcée |
| Opération complexe ou sans justification économique apparente | Transaction d’un montant inhabituellement élevé et sans lien avec l’activité habituelle du client |
| Structure de détention opaque | Personne morale avec de multiples niveaux d’actionnariat ou bénéficiaire effectif difficile à identifier |
| Risque élevé résultant de la classification interne | Client classé en risque élevé lors de l’évaluation initiale ou de la mise à jour du dossier |
Les diligences renforcées comprennent notamment :
- la recherche d’informations supplémentaires sur l’origine des fonds ;
- l’examen approfondi de l’opération envisagée ;
- dans certains cas, la validation par le responsable LCB-FT avant de poursuivre la relation ou d’exécuter l’opération.
La vigilance simplifiée : des cas strictement encadrés
La vigilance simplifiée est souvent mal comprise. En effet, ce n’est pas une simplification à la discrétion de l’organisation, mais une adaptation des modalités de vigilance réservée à des cas limitativement définis par la réglementation, comme certains produits financiers présentant un faible risque intrinsèque, certains clients institutionnels (entités publiques, par exemple) ou des établissements de crédit eux-mêmes assujettis.
Dans ces cas, il reste obligatoire d’exercer une surveillance continue de la relation. La vigilance simplifiée ne signifie pas l’absence de vigilance.
L’erreur la plus courante est d’appliquer ce niveau par défaut pour alléger la charge opérationnelle sans vérifier que les conditions légales sont réunies. C’est un écart qui peut être relevé lors d’un contrôle.
Mettre en œuvre la vigilance client en pratique
Passer du texte réglementaire à un processus opérationnel est souvent le moment où les organisations butent. Ce guide pratique propose une approche concrète avec des repères sectoriels pour les professionnels les plus concernés.
Construire un processus d’entrée en relation solide
L’entrée en relation est le moment le plus structurant du dispositif. C’est ici que se joue la qualité des informations qui alimenteront la vigilance tout au long de la relation.
Étape 1 : recueillir les pièces d’identité et les documents probants
Comme nous l’avons vu, la nature des pièces à collecter dépend du type de client.
Ainsi, pour une personne physique, les pièces d’identité pertinentes sont la carte nationale d’identité ou un passeport en cours de validité. En cas de relation à distance, certains secteurs (banque, assurance) peuvent exiger des modalités de vérification renforcées (vidéo-identification ou recours à un tiers de confiance accrédité).
Dans le cas d’une personne morale, il convient de récupérer un extrait K-bis de moins de 3 mois, les statuts à jour et tous documents permettant d’identifier les représentants légaux et les bénéficiaires effectifs.
Attention, si le Registre national des bénéficiaires effectifs (RBE) constitue un point de départ, il ne dispense pas de vérifications complémentaires dans le cas où les informations semblent incomplètes ou incohérentes.
Étape 2 : compléter le questionnaire de connaissance client
Le questionnaire de connaissance client (principalement utilisé par les établissements financiers) a pour rôle de recueillir l’ensemble des informations et données pertinentes vous permettant de mieux connaître vos clients et la relation d’affaires. Il doit renseigner au minimum :
- la nature et l’objet de la relation d’affaires envisagée ;
- l’activité professionnelle ou économique du client ;
- l’origine des fonds engagés dans la relation (revenus professionnels, cession d’actifs, héritage, etc.) ;
- la situation géographique (résidence et pays d’activité) ;
- le profil de transaction attendu (volumes, fréquence, montants habituels).
La profondeur des informations recueillies doit être proportionnelle au niveau de risque estimé. Un client dont le profil est simple et l’activité connue n’appelle pas le même niveau de détail qu’un client opérant dans plusieurs pays avec une structure de détention complexe.
Étape 3 : identifier le bénéficiaire effectif
Comme nous l’avons vu, l’identification du ou des bénéficiaires effectifs n’est pas une option, c’est une obligation ! Ainsi, pour toute personne morale, il est obligatoire d’identifier les personnes physiques qui la contrôlent en dernier ressort.
Si aucune personne ne détient plus de 25 % du capital, le représentant légal est considéré comme bénéficiaire effectif par défaut. La procédure interne doit préciser la méthode retenue pour cette identification et les documents conservés en preuve.
Étape 4 : consulter les listes de sanctions
Avant toute entrée en relation, il faut vérifier si le client (et son bénéficiaire effectif) est ciblé par les listes de sanctions financières en vigueur :
- listes européennes (règlements UE) ;
- liste OFAC américaine si l’activité y est exposée ;
- listes nationales.
Exemple : Image 2
Appliquer la vigilance LCB-FT selon le secteur d’activité
La nature des risques varie d’une entité assujettie à l’autre. En outre, le périmètre d’assujettissement dépend du secteur d’activité. Aussi, l’application de la vigilance LCB-FT n’est pas la même pour tous les professionnels.
Par exemple, dans le cas des experts-comptables et des commissaires aux comptes, la vigilance s’applique dès la prise de mission. Le questionnaire de connaissance client est souvent intégré dans la lettre de mission ou les documents d’acceptation de dossier. L’identification du bénéficiaire effectif est particulièrement importante pour les clients personnes morales, notamment les PME avec des structures de détention familiales parfois peu formalisées.
A contrario, pour les avocats et professions juridiques, la vigilance LCB-FT s’applique dans le cadre des activités listées par la réglementation (transactions immobilières, gestion de fonds, création de sociétés, etc.) et pas à l’ensemble de l’activité juridique. Il est donc nécessaire de disposer d’une procédure qui précise le périmètre exact des missions concernées. Le Conseil national des barreaux (CNB) a réalisé un guide pratique de la LCB-FT pour les avocats que nous ne pouvons que vous recommander de consulter.
Dans le cas du notaire, celui-ci dispose d’un accès direct au fichier des bénéficiaires effectifs et à certaines bases de données officielles. La vigilance s’exerce à l’occasion des actes (immobilier, successions, création de sociétés) et pour les flux en espèces qui font l’objet d’une attention particulière.
Autre exemple, celui du secteur bancaire et financier. Les établissements bancaires et financiers disposent généralement d’outils de KYC automatisés et de processus d’onboarding structurés. La vigilance renforcée y est particulièrement développée pour les PPE et les relations transfrontalières.
Enfin, pour les agents immobiliers, la vigilance s’applique à partir de 10 000 € en espèces ou pour toute transaction présentant des caractéristiques de risque. L’identification du bénéficiaire effectif de la société acheteuse ou vendeuse est un point de contrôle fréquent.
Cette liste des métiers est non exhaustive, les entités assujetties sont nombreuses.
Assurer la mise à jour et la surveillance continue
Comme nous le disions précédemment, la vigilance LCB-FT est un processus continu. L’exercer une seule fois à l’entrée en relation ne suffit donc pas. La réglementation impose un suivi continu de la relation d’affaires, dont les modalités doivent être formalisées dans la procédure interne.
En pratique, cela implique trois niveaux d’action :
1- La mise à jour périodique des dossiers clients, dont la fréquence varie selon le niveau de risque :
- clients à risque faible : mise à jour tous les 3 à 5 ans ;
- clients à risque standard : mise à jour tous les 2 à 3 ans ;
- clients à risque élevé : mise à jour annuelle, voire plus fréquente si l’activité évolue rapidement.
Ces fréquences ne sont pas fixées par la loi, elles relèvent de l’appréciation de l’organisation. Mais elles doivent être documentées et justifiées dans la procédure interne.
2- La détection des événements déclencheurs qui imposent une mise à jour immédiate indépendamment du calendrier prévu :
- changement de dirigeant ou de structure de détention ;
- nouvelle activité ou nouveau marché géographique ;
- transaction inhabituellement élevée ou sans justification économique claire ;
- alerte générée par l’outil de screening (nouvelle inscription sur une liste de sanctions, par exemple).
3- La traçabilité des actions de surveillance qui permet de prouver, en cas de contrôle par l’autorité compétente (différentes selon le secteur d’activité), que le dispositif fonctionne réellement.
Un simple registre interne contenant la date de mise à jour, le collaborateur concerné, les éléments vérifiés et la décision prise suffit dans les petites structures. Les organisations de taille plus importante s’appuient généralement sur des outils de gestion de la conformité LCB-FT qui automatisent cette traçabilité.
La vigilance LCB-FT peut être perçue comme une contrainte administrative. Pourtant, bien calibrée, elle permet à l’organisation de mieux connaître ses clients, d’anticiper les risques et de construire des relations commerciales plus solides. Le vrai défi opérationnel est de trouver l’équilibre entre une vigilance suffisante pour être conforme et une expérience client qui ne soit pas alourdie inutilement. C’est précisément ce qu’un dispositif structuré, proportionné et maintenu à jour permet d’atteindre.
