Dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT), les entreprises assujetties sont soumises à un certain nombre d’obligations.
Car la conformité LCB-FT ne se résume pas à la simple vérification de l’identité des clients, contrairement à ce que beaucoup d’organisations pensent. Ce qui les expose à des manquements réels, et ce sans qu’elles en soient toujours conscientes.
Comme nous allons le voir, le dispositif LCB-FT est un ensemble structuré d’obligations interdépendantes visant à documenter, connaître, surveiller, déclarer, archiver, former et contrôler.
Chaque obligation a sa logique propre, ses exigences documentaires et ses conséquences en cas de défaillance. Ici, nous n’allons pas nous contenter de faire un point sur la loi, nous allons vous en faire une lecture opérationnelle pour que vous soyez en mesure de mettre en application les obligations LCB-FT.
Obligations LCB-FT des entreprises : un dispositif légal encadré
Il est utile de rappeler d’entrée que la conformité LCB-FT n’est pas une démarche volontaire que les organisations vertueuses s’imposeraient en sus de leurs obligations habituelles.
C’est un cadre légal contraignant fondé sur le Code monétaire et financier qui s’impose à toutes les entités assujetties listées à l’article L. 561-2 et dont le non-respect expose à des sanctions réelles.
Les professions concernées sont nombreuses et couvrent des secteurs très différents :
- établissements de crédit et sociétés de financement ;
- entreprises d’assurance ;
- experts-comptables et commissaires aux comptes ;
- avocats et notaires (pour certaines activités ou missions) ;
- agents immobiliers ;
- opérateurs de jeux ;
- prestataires de services sur actifs numériques ;
- marchands de biens de haute valeur ;
- etc.
Quel point commun entre toutes ces professions, pensez-vous ? Leur exposition potentielle aux circuits de blanchiment de capitaux et de financement du terrorisme explique pourquoi le législateur leur confie un rôle actif dans la détection et la prévention.
Qui dit cadre réglementaire, dit également qu’il y a des sanctions en cas de manquement. En effet, en fonction de la nature et de la gravité de l’écart constaté, une entreprise peut faire face à un avertissement ou un blâme de l’autorité de contrôle compétente, ainsi qu’une sanction pécuniaire pouvant atteindre plusieurs millions d’euros pour les établissements financiers, une interdiction temporaire ou définitive d’exercer ou une mise en cause pénale du dirigeant en cas de manquement grave et délibéré. Ça ne plaisante pas, n’est-ce pas ?
Ces sanctions sont prononcées par les autorités sectorielles (autorité compétente en fonction des secteurs d’activité) et les ordres professionnels, comme :
- l’ACPR (Autorité de Contrôle Prudentiel et de Résolution) pour le secteur bancaire et les assurances ;
- l’AMF (Autorité des Marchés Financiers) pour les prestataires de services d’investissement ;
- le CNB (Conseil National des Barreaux) pour les avocats ;
- l’OEC (Ordre des experts-comptables) pour… les experts-comptables, évidemment ;
- le CSN (Conseil Supérieur du notariat) pour les notaires ;
- etc.
Si les autorités de supervision sont multiples afin d’adapter la réglementation LCB-FT aux spécificités de chaque secteur, il n’en demeure pas moins que les critères de contrôle convergent sur les fondamentaux du dispositif.
Enfin, notons un point important que la réglementation souligne explicitement : la responsabilité de la mise en œuvre du dispositif LCB-FT incombe personnellement au dirigeant de l’entreprise.
Il ne peut pas s’en exonérer en invoquant la taille de la structure, le manque de ressources ou la délégation à un prestataire externe. C’est lui qui répond, en première ligne, de l’effectivité du dispositif.
Les deux piliers LCB-FT documentaires : procédure interne et cartographie des risques
Maintenant que nous avons fait un rappel de la loi en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, il est temps de nous intéresser au dispositif LCB-FT précisément. Celui-ci repose sur deux documents fondateurs, obligatoires et complémentaires.
La cartographie des risques LCB-FT analyse les expositions propres à l’activité, à savoir quels clients, quels services, quelles zones géographiques présentent un risque de blanchiment ou de financement du terrorisme et à quel niveau.
Exemple de classification des risques client
La procédure interne LCB-FT traduit cette analyse en modalités concrètes de mise en œuvre, notamment : qui fait quoi, comment, avec quels outils, selon quels critères ?
Ces deux documents ne sont pas interchangeables et l’un ne remplace pas l’autre. Une procédure interne sans cartographie des risques sous-jacente manque de fondement, car elle définit des processus sans savoir précisément quels risques ils sont censés couvrir.
Et une cartographie sans procédure associée reste un exercice d’analyse sans traduction opérationnelle. C’est leur cohérence d’ensemble qui donne de la valeur à chacun.
Deux exigences s’appliquent à ces documents.
- La proportionnalité : une petite structure n’est pas tenue de produire des documents aussi élaborés qu’un établissement bancaire, par exemple, mais elle doit produire des documents qui reflètent fidèlement sa réalité, sous-entendu, pas des modèles génériques copiés-collés non adaptés au secteur ou à la clientèle réelle.
- La mise à jour régulière : toute évolution significative de l’activité (nouveau type de client, nouveau service, nouveau marché géographique, etc.) justifie une révision, tout comme les évolutions réglementaires qui l’imposent également. La date de la dernière mise à jour doit figurer explicitement dans chaque document.
Connaître ses clients : une obligation LCB-FT continue
C’est probablement l’obligation LCB-FT la plus mal comprise dans sa portée réelle. Connaître ses clients en LCB-FT ne se résume pas à recueillir une pièce d’identité à l’entrée en relation. C’est un processus en trois temps distincts qui s’étend sur toute la durée de la relation d’affaires.
L’obligation de vigilance à l’entrée en relation d’affaires
À l’entrée en relation, l’entreprise doit identifier et vérifier l’identité du client, qu’il s’agisse d’une personne physique ou morale. Elle doit également recueillir les informations permettant de comprendre l’objet et la nature de la relation envisagée, identifier le bénéficiaire effectif pour toute personne morale et déterminer le niveau de vigilance applicable en fonction du profil de risque.
C’est également à ce stade que le criblage des listes de sanctions doit être effectué, notamment la liste consolidée de l’Union européenne et le registre national des mesures de gel des avoirs.
L’obligation de vigilance durant la relation d’affaires
L’obligation ne s’arrête pas durant la relation. Le profil client doit être mis à jour régulièrement, à une fréquence proportionnée au niveau de risque et à chaque fois qu’un événement déclencheur survient, comme un changement de bénéficiaire effectif, une nouvelle activité, une ou plusieurs transactions inhabituelles, etc.
La surveillance continue est une obligation LCB-FT pour les entreprises.
Les opérations réalisées par le client doivent être également surveillées pour détecter celles qui sortent du profil habituel. Un client dont le comportement évolue significativement sans explication satisfaisante est un signal d’alerte.
Face aux signaux d’alerte, l’entreprise doit conduire un examen renforcé avant de poursuivre la relation ou d’exécuter l’opération et demander des justificatifs complémentaires, analyser les éléments obtenus puis documenter la conclusion. Si le soupçon ne peut pas être levé, la déclaration à Tracfin s’impose.
Ce triptyque « entrée en relation, suivi continu, réaction aux alertes » est ce qui distingue une vigilance réelle d’une vigilance de façade. Les autorités de contrôle ne vérifient pas seulement si les dossiers ont été constitués à l’ouverture, elles examinent aussi si les profils sont à jour, si les alertes ont été traitées et si les examens renforcés ont été conduits quand ils s’imposaient.
Schéma du processus de vigilance
Déclarer, archiver, former : les obligations LCB-FT souvent sous-estimées
Ces trois obligations LCB-FT partagent un point commun : elles sont les plus fréquemment négligées, soit parce que les entreprises les considèrent comme secondaires par rapport à la vigilance client, soit parce qu’elles en sous-estiment les exigences concrètes.
C’est pourtant sur ces points que les écarts sont les plus facilement détectables lors d’un contrôle.
Déclarer et archiver : deux obligations LCB-FT aux conséquences immédiates
Comme vous avez pu le constater dans le schéma précédent, la déclaration de soupçon à Tracfin est déclenchée dès lors qu’un élément ne trouve pas d’explication économique ou légale satisfaisante. Attention, le seuil est celui du soupçon, pas de la certitude. Autrement dit, n’attendez pas d’être sûr !
La déclaration de soupçon s’effectue via la plateforme sécurisée ERMES par le déclarant Tracfin désigné dans la procédure interne.
Bon à savoir : la déclaration Tracfin est soumise à une confidentialité absolue. Le client ne doit jamais être informé qu’une déclaration a été effectuée ou est envisagée. La violation de cette confidentialité constitue une infraction pénale.
L’archivage des documents de conformité LCB-FT est l’obligation qui transforme un dispositif actif en dispositif prouvable. Sans conservation des pièces d’identité, des questionnaires KYC, des résultats de criblage, des examens renforcés et des preuves de formation, l’organisation ne peut pas démontrer que ses obligations ont été respectées, même si elles l’ont été réellement.
La durée légale d’archivage est de 5 ans à compter de la fin de la relation d’affaires ou de la date de l’opération.
Former : l’obligation qui rend les autres effectives
La formation et la sensibilisation LCB-FT sont souvent réduites à l’envoi de la procédure interne par email ou à la mise à disposition d’une documentation en ligne.
Or, ce n’est pas suffisant. En effet, les autorités de contrôle font explicitement la distinction entre diffusion documentaire et action de formation structurée.
Cette obligation couvre les collaborateurs en contact avec les clients, ceux impliqués dans les opérations et le contrôle interne, ainsi que le responsable LCB-FT lui-même. Elle implique une formation initiale à l’intégration du collaborateur, une mise à jour à chaque évolution réglementaire significative et une traçabilité documentée (feuilles de présence, programme, nom du formateur) conservée pendant 5 ans.
La formation LCB-FT est souvent négligée et pourtant, c’est elle qui permet de rendre la procédure interne comprise de tous, applicable et donc efficiente.
Le contrôle interne : l’évolution permanente de la procédure LCB-FT
Vous avez formalisé une procédure interne, constitué des dossiers clients, effectué des déclarations Tracfin… Mais pour autant, êtes-vous sûr que votre dispositif fonctionne réellement ?
C’est là le rôle du contrôle interne :
- vérifier que les obligations sont effectivement appliquées ;
- identifier les écarts ;
- corriger ce qui ne fonctionne pas.
Sans cette boucle de vérification, le dispositif est statique. Il existe sur le papier, mais personne ne peut garantir qu’il tient dans la pratique.
Le contrôle interne LCB-FT repose sur deux niveaux complémentaires.
Les contrôles de premier niveau sont intégrés aux processus opérationnels quotidiens : vérifier qu’un dossier est complet avant d’entrer en relation, s’assurer qu’une alerte de screening a bien été traitée avant d’exécuter une opération, etc.
Ils sont continus et, dans les organisations dotées d’outils de conformité, largement automatisés.
Les contrôles de second niveau sont des revues formelles, conduites à intervalle défini sur un échantillon de dossiers ou de processus, par une personne distincte des opérationnels concernés. C’est ce principe de séparation des fonctions qui donne au contrôle sa valeur réelle.
N’ayez crainte si vous identifiez qu’un dossier est incomplet ou qu’une alerte n’a pas été traitée dans les délais, c’est précisément ce que le contrôle est censé révéler. En revanche, ce qui serait problématique est l’absence de réaction (pas de mesure corrective, pas de documentation ou d’information de la direction pour les écarts significatifs).
Les conclusions des contrôles doivent être formalisées dans un rapport périodique. C’est ce document que les autorités de contrôle examinent systématiquement pour évaluer la maturité du dispositif.
Obligation de conformité LCB-FT : le contrôle LAB
Connaître les obligations LCB-FT est une chose. Savoir comment elles sont évaluées lors d’un contrôle LAB par les autorités compétentes en est une autre, et c’est souvent là que les entreprises découvrent leurs lacunes.
Pour rester serein en cas de contrôle et, surtout, pour être en conformité, il nous semble indispensable de faire un point sur ce que les autorités de contrôle examinent en priorité. Pour plus de clarté, nous vous avons fait un tableau récapitulatif offrant une lecture transversale des 9 composantes du dispositif les plus surveillées ainsi que les erreurs les plus fréquemment relevées.
Ce référentiel est applicable, quelle que soit la profession assujettie, car si les autorités sectorielles diffèrent (ACPR, AMF, ordres professionnels, etc.), leurs critères d’évaluation convergent sur les mêmes fondamentaux.
| Obligation | Points de contrôle par les autorités compétentes | Erreur fréquente |
|---|---|---|
| Procédure interne | Existence, date de mise à jour, adéquation à l’activité réelle | Document générique non adapté au secteur |
| Cartographie des risques | Cohérence avec l’activité, mise à jour récente | Cartographie figée depuis plusieurs années |
| Vigilance client | Complétude des dossiers, identification du bénéficiaire effectif | Pièces d’identité expirées, bénéficiaire effectif absent |
| Listes de sanctions | Criblage effectué et tracé, à l’entrée et en continu | Vérification ponctuelle sans suivi continu |
| Surveillance continue | Revues périodiques réalisées, alertes traitées | Aucune trace de mise à jour des dossiers en cours de relation |
| Déclaration Tracfin | Registre à jour, délais respectés, documentation complète | Absence de registre ou déclarations non formalisées |
| Archivage | Documents conservés 5 ans, accessibles rapidement | Documents introuvables ou dépassant le délai légal sans purge |
| Formation | Preuves conservées, contenu adapté au métier | Envoi d’email assimilé à une formation |
| Contrôle interne | Plan de contrôle défini, écarts documentés, mesures correctives suivies | Contrôle inexistant ou non tracé |
N’hésitez pas à vous servir de ce tableau comme outil d’auto-diagnostic afin de voir si votre entreprise dispose des éléments attendus.
Les obligations LCB-FT peuvent représenter une contrainte, surtout si elles sont considérées de manière indépendante. Mais il faut bien comprendre qu’elles forment un système dont la solidité dépend de chaque maillon, comme un cercle vertueux. Une organisation qui cartographie bien ses risques, mais ne forme pas ses équipes, ou qui déclare ses soupçons, mais n’archive pas les preuves, n’est pas réellement conforme. C’est la cohérence d’ensemble, entretenue dans le temps, qui constitue un dispositif LCB-FT robuste qui protège réellement l’entreprise face aux contrôles comme face aux risques.
