Dans le cadre du KYC (Know Your Customer), l’articulation entre KYC et LCB-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme) est une question qui revient régulièrement et la confusion entre ces deux notions n’est pas anodine.
LCB-FT, KYC, AML, CDD, LAB, ces termes coexistent dans les textes réglementaires, les guides métier et les décisions de sanction et sont souvent utilisés comme synonymes alors qu’ils ne désignent pas la même chose.
Cette approximation produit des dispositifs incomplets, comme un KYC en place, mais une LCB-FT incomplète ou des procédures écrites, mais sans déploiement réel. Comprendre ce que recouvre précisément chaque notion et comment elles s’emboîtent est la condition sine qua non pour construire un dispositif qui tient lors d’un contrôle.
LCB-FT, AML, LAB : le cadre global
Avant d’expliquer la différence entre LCB-FT et KYC, il faut préciser les termes eux-mêmes, car plusieurs acronymes désignent le même concept selon la langue ou le contexte géographique et leur coexistence est l’une des premières sources de confusion, y compris au sein des équipes conformité.
Trois acronymes, un seul dispositif
LCB-FT est l’acronyme français pour la Lutte Contre le Blanchiment de capitaux et le Financement du Terrorisme. C’est le terme utilisé dans les textes législatifs français, notamment le Code monétaire et financier (CMF, articles L561-1 à L561-50) et par les autorités nationales (ACPR, AMF, TRACFIN, etc.).
AML (Anti-Money Laundering, en français : lutte contre le blanchiment d’argent) est son équivalent anglais utilisé dans les textes européens (directives AMLD) et dans les recommandations du GAFI.
Dans l’usage courant, AML désigne souvent la lutte contre le blanchiment seule, tandis que CTF (Counter-Terrorist Financing) couvre le financement du terrorisme. Mais dans la pratique réglementaire, AML/CFT ou AML seul recouvre les deux dimensions.
LAB est une ancienne abréviation pour Lutte Anti-Blanchiment encore présente dans certains documents internes ou logiciels. Elle est à éviter dans les documents officiels, car elle omet la composante financement du terrorisme, ce qui peut créer une lacune réglementaire dans la rédaction même des procédures.
En bref, LCB-FT, AML/CFT et LAB (dans sa version élargie) désignent le cadre réglementaire global. Ils nomment le dispositif, mais pas une procédure opérationnelle en soi.
LCB-FT : les obligations des entreprises assujetties
La LCB-FT est un ensemble d’obligations légales dont l’objet est de prévenir l’utilisation du système économique et financier à des fins criminelles. Pour une entité assujettie, elle se traduit par sept familles d’obligations distinctes.
- Cartographie des risques : évaluer et documenter les risques de blanchiment et de financement du terrorisme propres à son activité, à ses clients, à ses produits et à ses zones géographiques d’exposition.
- Vigilance à l’égard des clients : procéder à l’identification, la vérification et l’évaluation du risque à l’entrée en relation et tout au long de la relation d’affaires.
- Surveillance continue des opérations : détecter les transactions incohérentes avec le profil connu du client.
- Déclaration de soupçon à Tracfin : obligation légale dès qu’une opération paraît susceptible de procéder d’une infraction.
- Formation des collaborateurs : obligation documentée avec preuve de réalisation.
- Contrôle interne : vérification périodique que le dispositif est effectivement appliqué et pas seulement formalisé
- Désignation d’un responsable conformité LCB-FT : nominalement identifié avec un accès direct à la direction et le temps nécessaire pour gérer le dispositif (obligation d’effectivité).
Ce sont ces sept piliers qui constituent le dispositif LCB-FT. Le KYC (Know Your Customer ou, littéralement ‘connaissez votre client’) en est l’un d’entre eux : la vigilance à l’égard des clients.
Obligation de mise en place d’un système d’évaluation et de gestion des risques
Le KYC dans la LCB-FT : un sous-ensemble et non un synonyme
Si la LCB-FT est l’architecture, le KYC en est la fondation opérationnelle. C’est précisément là que réside la confusion la plus fréquente et la plus coûteuse en cas de contrôle.
Ce que le KYC couvre (et ce qu’il ne couvre pas)
Le KYC (Know Your Customer ou ‘connaître son client’) désigne, comme nous l’avons vu, les procédures de collecte, de vérification et d’évaluation des informations sur les clients dans le cadre de la relation d’affaires. Son rôle est de produire un profil de risque client fiable qui alimente ensuite l’ensemble du dispositif LCB-FT.
Ce que le KYC couvre :
- identification et vérification de l’identité du client, personne physique ou morale ;
- identification des bénéficiaires effectifs, personnes physiques ou morales détenant plus de 25 % du capital ou des droits de vote ;
- évaluation initiale du niveau de risque associé à la relation d’affaires ;
- mise à jour périodique du dossier tout au long de la relation.
Ce que le KYC ne couvre pas seul :
- la surveillance des transactions : c’est une composante distincte, souvent appelée KYT (Know Your Transaction) ou monitoring transactionnel, même si, en pratique, cette surveillance est intégrée dans le KYC ;
- la déclaration de soupçon à Tracfin : obligation LCB-FT indépendante et déclenchée par un faisceau d’indices, pas par le seul profil client ;
- la cartographie des risques de l’entité : obligation organisationnelle qui précède et encadre le KYC ;
- la formation des équipes et le contrôle interne : obligations LCB-FT transversales.
On résume :
| KYC | LCB-FT | |
|---|---|---|
| Nature | Procédure opérationnelle | Cadre réglementaire global |
| Objet | Connaissance et vérification du client | Prévention du blanchiment et du financement du terrorisme |
| Périmètre | Entrée en relation + mises à jour | Ensemble du dispositif de conformité |
| Résultat produit | Profil de risque client | Dispositif documenté, auditable et contrôlé |
| Textes de référence | CMF art. L561-5 à L561-14 | CMF art. L561-1 à L561-50 (ensemble) |
CDD, EDD, SDD : les trois niveaux de vigilance KYC dans le cadre LCB-FT
À l’intérieur même du KYC, la LCB-FT distingue trois niveaux de vigilance selon le profil de risque du client. Ces termes, d’origine anglaise et issus des textes européens, circulent fréquemment sans être toujours bien compris.
- SDD (Simplified Due Diligence ou vigilance simplifiée) s’applique aux profils à faible risque clairement identifiés. La collecte documentaire est allégée, mais le choix de ce régime doit être documenté et justifié. Ce n’est pas une option par défaut, l’entité doit pouvoir démontrer pourquoi elle a retenu ce niveau pour tel client.
- CDD (Customer Due Diligence ou vigilance standard) correspond au régime de droit commun. Il couvre l’identification complète du client, la vérification documentaire, l’identification des bénéficiaires effectifs et l’évaluation initiale du risque. C’est ce niveau qui s’applique en l’absence d’éléments justifiant un traitement différencié.
- EDD (Enhanced Due Diligence ou vigilance renforcée) est obligatoire pour les PPE (Personnes Politiquement Exposées), les clients établis dans des pays à risque élevé figurant sur les listes GAFI ou la liste consolidée de l’UE et les opérations complexes ou d’un montant inhabituellement élevé. Elle exige une collecte étendue, un examen de l’origine des fonds et une décision d’entrée en relation validée à un niveau hiérarchique supérieur avec trace écrite de cette validation.
Ces trois niveaux ne sont pas interchangeables et ne relèvent pas d’un choix discrétionnaire : l’entité assujettie doit être en mesure de justifier, pour chaque client, pourquoi elle a appliqué tel niveau de vigilance.
Les erreurs liées à la confusion entre KYC et LCB-FT
La distinction entre KYC et LCB-FT n’est pas qu’une question de vocabulaire. En pratique, la confusion entre ces deux notions produit deux types d’erreurs symétriques et toutes deux exposent l’entité assujettie à des sanctions, indépendamment de ses intentions.
Erreur 1 : avoir un KYC sans dispositif LCB-FT complet
C’est le scénario le plus fréquent, particulièrement dans les structures qui se sont dotées d’un processus d’identification des clients (vérification d’identité, collecte de documents, voire scoring de risque) et qui considèrent leur obligation LCB-FT comme remplie.
Or, nous l’avons vu, le KYC ne représente qu’une partie du dispositif attendu. Sont alors absents :
- la cartographie des risques propres à l’activité de l’entité ;
- la procédure formalisée de surveillance des transactions ;
- le circuit de déclaration de soupçon à Tracfin documenté ;
- la formation des équipes traçable ;
- la désignation d’un responsable conformité LCB-FT.
Lors d’un contrôle par une autorité de supervision, la présence d’un KYC, aussi rigoureux soit-il, ne compense pas l’absence des autres composantes. La sanction vise le dispositif dans son ensemble. Ce point est explicitement rappelé dans plusieurs décisions de la Commission des sanctions de l’ACPR : un dossier client complet ne saurait tenir lieu de programme de conformité.
Erreur 2 : avoir une politique LCB-FT sans KYC opérationnel
Le cas inverse existe aussi, plus souvent dans les structures qui ont investi dans la rédaction de procédures conformité sans les avoir réellement déployées sur le terrain. La politique LCB-FT existe sur le papier (cartographie des risques, circuit de déclaration, procédure de formation), mais les dossiers clients sont incomplets, les documents justificatifs expirés ou les bénéficiaires effectifs jamais identifiés.
Le KYC est précisément la brique la plus vérifiée lors des contrôles de conformité, car c’est celle qui laisse le plus de traces vérifiables ou d’absences de traces. Un contrôleur peut demander à consulter n’importe quel dossier client en cours et si le dossier est incomplet, le fait d’avoir une procédure interne n’est pas recevable.
La checklist d’autodiagnostic en 5 questions pour évaluer la cohérence de votre dispositif :
- Avez-vous une cartographie des risques LCB-FT formalisée, datée et mise à jour dans les 12 derniers mois ?
- Vos dossiers clients contiennent-ils les bénéficiaires effectifs identifiés, vérifiés et actualisés ?
- Avez-vous un circuit formel et documenté de déclaration de soupçon à Tracfin ?
- Vos équipes ont-elles été formées à la LCB-FT au cours des 12 derniers mois, avec preuve de réalisation ?
- Un responsable conformité LCB-FT est-il désigné nominativement, avec accès direct à la direction ?
Si l’une de ces réponses est non ou « je ne sais pas », alors, le dispositif présente une lacune réelle, quelle que soit la qualité du KYC mis en place par ailleurs.
Vous l’aurez donc compris, KYC et LCB-FT ne sont pas deux façons de dire la même chose. L’un est une procédure et l’autre est un cadre global. Confondre les deux, c’est risquer de construire un dispositif solide sur une partie du périmètre et invisible sur le reste. Dans un environnement réglementaire qui se renforce avec l’entrée en application progressive du règlement AMLR à partir de 2027, cette clarté n’est plus optionnelle, elle conditionne la capacité à tenir lors d’un contrôle, mais surtout, la capacité à protéger l’entreprise d’un risque.
