La connaissance client a deux usages sans rapport. En marketing, ce sont les données qui servent à segmenter et fidéliser, en conformité, c’est une obligation de vigilance LCB-FT.
Cet article traite le sens conformité. La valeur d’un dossier de connaissance client tient à ce qu’il permet de comprendre le risque du client et de justifier, en contrôle, les décisions prises.
Le Code monétaire et financier ne définit pas le KYC sous ce nom. Il fixe trois obligations qui le composent : identifier et vérifier le client (L561-5), connaître la relation d’affaires (L561-5-1), exercer une vigilance constante pendant toute la durée de la relation (L561-6). Leur étendue s’ajuste au risque (L561-4-1).
La connaissance de la clientèle est un des manquements que l’ACPR relève le plus souvent. Sur les 26 dernières décisions de sanction analysées par BeCLM, qui retiennent 226 griefs, la connaissance insuffisante de la clientèle arrive en tête avec 55 citations et 92 % des entreprises de ce panel concernées.
À retenir en 30 secondes
- Au sens conformité, la connaissance client est une obligation de vigilance LCB-FT, distincte de la connaissance client au sens marketing (CRM, segmentation).
- Trois obligations du CMF la composent : identification et vérification de l’identité (L561-5), connaissance de la relation d’affaires (L561-5-1), vigilance constante (L561-6).
- Son étendue est proportionnée au risque (L561-4-1).
- La vérification d’identité (IDV) est l’une de ses briques, aux côtés de la connaissance de la relation d’affaires et de la vigilance dans le temps.
- Premier grief de la jurisprudence ACPR récente : la connaissance insuffisante de la clientèle concerne 92 % des entreprises du panel analysé par BeCLM (226 griefs, 26 décisions).
Qu’est-ce que la connaissance client
Deux questions se posent avant tout le reste : ce que recouvre exactement l’obligation, et ce à quoi elle ne se réduit pas. La première réponse tient dans trois articles du Code monétaire et financier et la seconde suppose de séparer la notion de son homonyme marketing, avec lequel les moteurs de recherche la confondent.
La connaissance client au sens de la conformité (KYC)
Pour un assujetti LCB-FT, la connaissance client est l’obligation de connaître son client pendant toute la durée de la relation, et de pouvoir en rendre compte. Elle ne porte pas sur le client en général mais sur ce qui détermine son risque de blanchiment : ce qu’il fait, d’où viennent ses fonds, ce qu’il attend de la relation. Connaissance du client en est une variante courante, et le sigle KYC, pour Know Your Customer, l’équivalent anglais passé dans l’usage professionnel. Les trois articles du Code monétaire et financier qui l’organisent font l’objet de la partie suivante.
La Recommandation 10 du GAFI, Devoir de vigilance relatif à la clientèle, retient le même découpage.
La vérification d’identité (IDV) établit qui est le client. Elle ne renseigne ni l’objet de la relation, ni le profil de risque, ni le suivi dans le temps. Un client correctement identifié peut être sous sanctions ou politiquement exposé, ce que seule la suite des diligences fait apparaître. L’IDV est l’une des briques de la connaissance client, aux côtés de la connaissance de la relation d’affaires et de la vigilance dans le temps.
Connaissance client (conformité) et connaissance client (marketing) : deux notions distinctes
Le marketing et la conformité emploient la même expression pour deux objets différents. En marketing, la connaissance client regroupe les données comportementales et transactionnelles exploitées pour segmenter et fidéliser. En conformité, elle désigne l’obligation de vigilance destinée à prévenir le blanchiment et le financement du terrorisme.
Le tableau ci-dessous récapitule ce qui sépare les deux notions.
Deux notions, une seule expression
| Critère | Connaissance client (conformité) | Connaissance client (marketing) |
|---|---|---|
| Fondement | Obligation légale, art. L561-5 à L561-6 CMF | Pratique commerciale, aucune obligation |
| Finalité | Prévenir le blanchiment et le financement du terrorisme | Segmenter, personnaliser, fidéliser |
| Données recueillies | Identité, bénéficiaire effectif, objet de la relation, activité, revenus, origine des fonds | Comportement d’achat, historique transactionnel, préférences, canaux de contact |
| Sanction du défaut | Sanction disciplinaire et pécuniaire de l’autorité de contrôle | Perte de performance commerciale |
| Preuve attendue | Un dossier documenté, opposable en contrôle | Aucune, l’usage interne suffit |
Source : Code monétaire et financier, art. L561-5, L561-5-1 et L561-6.
Les deux coexistent dans une entreprise assujettie sans se recouvrir. Une base CRM riche ne constitue pas un dispositif de connaissance client conforme : ses données sont collectées à des fins commerciales, elles ne documentent ni le profil de risque ni sa mise à jour pour un contrôle.
Les trois obligations qui composent la connaissance client
Ces trois obligations, qui se retrouvent dans les étapes du processus KYC, ont chacune leur déclencheur, leur contenu et leur temporalité. Un dossier peut être complet sur l’identité et rester muet sur l’objet de la relation.
Identifier et vérifier l’identité du client (L561-5)
Avant d’entrer en relation, l’assujetti identifie le client et, pour une personne morale, son bénéficiaire effectif, puis vérifie ces éléments sur un document écrit à caractère probant (L561-5). L’identification recueille les éléments déclarés, nom, date et lieu de naissance pour une personne physique, forme juridique, dénomination, immatriculation et siège pour une personne morale (R561-5). La vérification les confronte à une pièce probante.
Le détail des pièces attendues, pour une personne physique comme pour une société, est traité dans notre article sur les documents KYC.
Connaître la relation d’affaires (L561-5-1)
Avant l’entrée en relation, l’assujetti recueille l’objet et la nature de la relation d’affaires, et les actualise pendant toute sa durée (L561-5-1). L’étendue du recueil est adaptée au risque (R561-12). C’est ici que se construit le profil du client, au-delà de son identité.
Ce que recouvre la connaissance de la relation d’affaires
| Élément | Ce qui est attendu |
|---|---|
| Profession ou activité | La nature de l’activité et le statut : salarié, indépendant, profession libérale, sans activité |
| Revenus ou chiffre d’affaires | Un ordre de grandeur suffisant pour calibrer le profil transactionnel attendu |
| Patrimoine | Le patrimoine global, quand la nature de la relation le justifie : assurance-vie à prime importante, gestion de fortune |
| Origine des fonds | La provenance et la destination des fonds dans le cadre du produit souscrit |
Sources : Code monétaire et financier, art. L561-5-1 et R561-12 ; ACPR, lignes directrices relatives à l’identification, la vérification de l’identité et la connaissance de la clientèle.
L’étendue du recueil et le niveau de justification attendu suivent le risque (R561-12) : plus le risque est élevé, plus une information déclarée doit pouvoir être corroborée lorsque sa fiabilité est déterminante pour l’évaluation du risque, par un bulletin de salaire, un avis d’imposition ou des comptes annuels selon le cas.
Exercer une vigilance constante (L561-6)
La connaissance client se maintient dans le temps. L’assujetti exerce une vigilance constante et examine les opérations au regard de la connaissance actualisée qu’il a de la relation (L561-6). Une connaissance figée à l’entrée en relation cesse d’être opérante.
La vigilance constante se distingue de trois régimes déclenchés par un facteur de risque : la vigilance renforcée en cas de risque élevé (L561-10-1), les mesures de vigilance complémentaires, notamment pour les personnes politiquement exposées (L561-10), l’examen renforcé d’une opération particulièrement complexe ou d’un montant inhabituellement élevé (L561-10-2).
Ce qui ne suffit pas comme élément de connaissance client
Devant un dossier, le chargé de conformité se demande surtout si ce qu’il détient suffit. La jurisprudence ACPR et les lignes directrices y répondent par des exemples précis.
Les justificatifs que le régulateur écarte
- L’extrait K-bis seul, pour une personne morale. Dans la décision n° 2019-07, l’ACPR a relevé qu’un établissement qui se contentait d’un K-bis n’avait pas, dans onze dossiers de personnes morales, recueilli les statuts nécessaires pour disposer d’informations suffisantes sur la société.
- Les explications orales. L’établissement doit pouvoir établir par tout moyen que les informations dont il dispose sont justifiées. Pour le revenu, la décision n° 2021-05 cite l’avis d’imposition comme justificatif.
- L’attestation sur l’honneur et l’auto-certification. En l’absence d’éléments corroborants, elles ne constituent pas un justificatif probant (lignes directrices conjointes ACPR/Tracfin, § 57).
- L’attestation d’un expert-comptable ou d’un conseiller en gestion de patrimoine, quand elle ne donne aucune information précise sur l’origine des fonds (mêmes lignes directrices, § 57 et 58).
- Le relevé bancaire. Il établit la provenance des fonds, pas leur origine économique, un héritage, une cession, une vente immobilière (mêmes lignes directrices).
- Le dispositif de surveillance renforcé, invoqué pour compenser l’absence de justificatif. Dans cette même décision n° 2021-05, l’établissement mettait en avant un KYC renforcé, une actualisation régulière des dossiers et un passage en comité. Ces éléments ont été jugés utiles mais insuffisants, faute de justificatif de revenus, sur des clients qu’il avait lui-même classés en risque élevé.
- Pour une personne morale, l’absence de documents comptables. La Commission les a jugés nécessaires pour établir des renseignements suffisants, y compris pour des associations placées en risque élevé.
Le vide de connaissance et le choix documenté
Ne rien recueillir se sanctionne. Dans la décision n° 2016-10, un établissement de paiement n’avait réuni aucun justificatif de domicile ni de patrimoine sur 520 clients ayant effectué au moins dix-huit opérations entre janvier 2014 et juin 2015.
Il invoquait sa marge d’appréciation sur la nature et le nombre des documents, et des seuils internes en dessous desquels il ne collectait rien.
La Commission a jugé ces seuils manifestement trop élevés pour être pertinents, la plupart des opérations étant d’un montant faible (plus de la moitié sous 200 euros, environ 1 % au-dessus de 3 000 euros), et a rappelé que le domicile et le patrimoine faisaient partie des éléments que l’établissement aurait dû réunir.
Écarter une donnée précise en documentant pourquoi se discute. Dans la décision n° 2019-07, la poursuite n’a pas établi le caractère indispensable, dans une approche par les risques, du recueil systématique des revenus et du patrimoine par un établissement de paiement qui n’est pas un établissement de crédit, pour un produit de micro-paiement.
La ligne de partage tient en une phrase. La marge d’appréciation porte sur le choix des éléments recueillis, pas sur l’absence de tout élément, et elle ne se défend que si le raisonnement est écrit. Le corollaire engage l’établissement : une qualification ou un seuil qu’il fixe dans ses propres procédures lui devient opposable. Un assujetti qui classe ses clients en relation d’affaires doit recueillir pour ces clients, et ne peut pas s’exonérer au motif de seuils qu’il a lui-même définis.
La décision ne dispense donc pas du recueil d’une catégorie d’information par principe. Elle confirme que sa nécessité s’apprécie au regard du produit, des risques et des informations effectivement nécessaires au dispositif de vigilance. Le choix doit pouvoir être expliqué et documenté.
Actualiser la connaissance client : à quelle fréquence et sur quels déclencheurs
Un client change d’activité, de patrimoine, de structure de détention, et le dossier constitué à l’entrée en relation cesse progressivement de le décrire. Deux mécanismes entretiennent la connaissance, la revue programmée et la mise à jour déclenchée par un événement. Un dispositif qui ne tient que le premier laisse passer les changements qui comptent.
Les périodicités de revue
Le droit français ne fixe pas de périodicité chiffrée. L’article R561-12 impose une actualisation dont la fréquence est adaptée au risque, sans calendrier.
Deux repères encadrent la question. Le règlement AMLR (UE 2024/1624), applicable au 10 juillet 2027, fixe à son article 26 un intervalle maximal entre deux mises à jour : un an pour les relations à risque élevé, cinq ans pour les autres. Ces échéances ne sont pas encore applicables ; elles donnent dès à présent un horizon de conformité.
Le repère le plus opérationnel vient d’ailleurs : la périodicité qu’un établissement se fixe dans ses propres procédures lui devient opposable.
Dans la décision n° 2021-05, une caisse régionale d’un groupe bancaire mutualiste avait retenu deux ans pour le risque très élevé, trois ans pour le risque élevé et cinq ans pour le risque standard. La Commission a jugé qu’ayant défini cette périodicité, elle devait la respecter sauf justification particulière, et que ni l’ancienneté de la relation, ni la faible activité du compte, ni son inactivité ne justifiaient un défaut d’actualisation. Une procédure qui annonce une revue annuelle sans les moyens de la tenir crée donc un manquement que la loi seule n’aurait pas créé.
La même décision borne l’exercice dans l’autre sens. Sur 41 dossiers non actualisés relevés parmi 379, 14 ont été ramenés à néant en défense et le grief n’a finalement porté que sur 15 dossiers. Un pourcentage global de dossiers périmés ne caractérise pas à lui seul une carence du dispositif : la poursuite doit démontrer le manquement dossier par dossier.
La revue vaut par sa trace car un dossier revu sans trace de la revue ne s’oppose pas en contrôle.
Quand le stock de dossiers périmés dépasse ce qu’une revue courante peut absorber, le rattrapage passe par une campagne de remédiation, avec son propre pilotage et sa propre trace.
Les événements qui déclenchent une mise à jour
La revue périodique ne suffit pas. Certains événements imposent une mise à jour immédiate. L’article R561-12 vise les changements affectant la relation d’affaires ou la situation du client, y compris ceux constatés lors du réexamen des bénéficiaires effectifs ou d’un échange d’informations en matière fiscale.
Un déclencheur est souvent absent des dispositifs, la réquisition judiciaire. La décision n° 2020-11 illustre le manquement : l’établissement ne tenait pas compte des réquisitions judiciaires reçues pour adapter ses mesures de vigilance. Une réquisition reçue doit être prise en compte pour adapter, le cas échéant, les mesures de vigilance applicables au client, et pas seulement pour répondre à la demande.
Le règlement AMLR posera trois déclencheurs légaux de mise à jour (article 26, § 3), distincts de ces catégories opérationnelles : un changement des éléments pertinents de la situation du client ; l’obligation légale de le recontacter dans l’année pour réexaminer les informations sur les bénéficiaires effectifs ou au titre de la coopération fiscale (directive 2011/16/UE) ; la connaissance d’un fait pertinent le concernant.
Concrètement
- Les événements qui doivent produire une mise à jour immédiate du dossier :
- un changement de profession, de patrimoine ou de structure de détention
- une opération atypique, révélant un profil différent de celui enregistré
- l’entrée du client ou de son bénéficiaire effectif dans une catégorie à risque, personne politiquement exposée ou mesure de gel
- la réception d’une réquisition judiciaire concernant le client
Un dispositif qui ne produit que des revues calendaires n’a pas de déclencheur événementiel.
La connaissance client en banque et en assurance
Les obligations sont les mêmes pour tous les assujettis. Deux secteurs concentrent les questions : la banque par son volume, l’assurance par ses spécificités de périmètre.
Banque : jusqu’où va l’obligation de collecte ?
Quand un établissement réclame un avis d’imposition, un justificatif de domicile ou l’actualisation d’un dossier, il exécute une obligation légale, indépendante de tout objectif commercial. Le dispositif attendu d’un établissement bancaire, de l’entrée en relation à la revue périodique des dossiers, est traité dans notre article sur le KYC en banque.
La connaissance de la relation d’affaires (L561-5-1 et R561-12) impose de recueillir les informations pertinentes au regard de la relation et du risque. Selon les cas, elles portent notamment sur l’activité, les revenus ou la situation financière et la provenance ou la destination des fonds.
Ce que l’établissement peut demander est borné par cette finalité. Le dispositif KYC est un traitement de données personnelles : la collecte se justifie par l’obligation LCB-FT, et le RGPD la limite aux données nécessaires à cette finalité, proportionnées au risque du client. Une demande de justificatifs qui excède ce périmètre est sans fondement, une collecte qui reste en deçà expose au grief.
Quand le refus du client, ou une incohérence qu’il ne lève pas, empêche l’établissement de satisfaire ses obligations d’identification et de connaissance de la relation d’affaires, l’article L561-8 lui impose de n’exécuter aucune opération, de ne pas établir la relation, et d’y mettre un terme si elle est déjà engagée.
La rupture ne clôt pas le sujet pour autant. L’impossibilité de satisfaire aux obligations de connaissance n’emporte pas, à elle seule, obligation de déclarer à Tracfin, mais une déclaration reste due dès lors que les conditions de l’article L561-15 sont réunies.
Les spécificités de l’assurance
En assurance-vie, le périmètre de la connaissance client dépasse le souscripteur. L’établissement identifie le client et son bénéficiaire effectif (L561-5 I, qui renvoie à L561-2-2), puis le bénéficiaire du contrat et, le cas échéant, le bénéficiaire effectif de ce bénéficiaire (L561-5 III). Il vérifie en outre si ces bénéficiaires sont des personnes politiquement exposées (R561-20-3).
Le recueil passe par le questionnaire de connaissance client, qui sert aussi le devoir de conseil du distributeur (L522-5 du Code des assurances). Les deux obligations relèvent de régimes distincts, la vigilance LCB-FT et la distribution d’assurance, et s’appuient sur des données en partie communes.
Le secteur présente des configurations que les autres n’ont pas : un bénéficiaire distinct du souscripteur, des chaînes de tierce-introduction, des contrats de capitalisation, une multiplicité d’intervenants.
Concrètement
Passez votre questionnaire d’assurance-vie au crible de cinq points de vigilance :
- le souscripteur est identifié et vérifié (L561-5 I)
- son bénéficiaire effectif l’est aussi, quand le souscripteur est une personne morale (L561-5 I, renvoyant à L561-2-2)
- le bénéficiaire du contrat est identifié (L561-5 III)
- le bénéficiaire effectif de ce bénéficiaire l’est également, le cas échéant (L561-5 III)
- ces bénéficiaires font l’objet d’un dépistage des personnes politiquement exposées (R561-20-3)
Un questionnaire qui s’arrête au souscripteur laisse quatre de ces cinq points hors du champ de la vigilance.
Connaissance client et approche par les risques
La profondeur du recueil suit la classification des risques de l’assujetti (L561-4-1), établie selon la nature des produits et services, les conditions de transaction, les canaux de distribution, les caractéristiques des clients et les pays concernés. Le même principe commande le niveau de vigilance, de la vigilance simplifiée à la vigilance renforcée.
Cette connaissance est ensuite la matière première du reste du dispositif. Elle alimente la classification du risque, le screening des personnes politiquement exposées et des listes de sanctions, et la surveillance des opérations dans le temps. Une connaissance incomplète dégrade toute la chaîne : classification erronée, alertes mal calibrées, surveillance inadaptée.
La décision n° 2022-04, à l’égard d’un établissement de crédit spécialisé, illustre cette dépendance : le score de risque, qui synthétise la connaissance de la relation d’affaires, n’était pas renseigné pour 98 % des contrats, ce qui privait de base les scénarios de surveillance.
Ce que révèlent les sanctions ACPR sur la connaissance client
BeCLM a analysé 226 griefs retenus par l’ACPR sur un échantillon de 26 décisions de sanction, remontant jusqu’à 2017, classés en 8 thèmes réglementaires. La connaissance insuffisante de la clientèle apparaît dans 92 % des entreprises de ce panel, avec 55 citations, ce qui en fait le manquement KYC le plus fréquent de l’échantillon.
Un pourcentage global ne dit pas au lecteur ce qu’il doit corriger. Trois constats issus de décisions datées sont plus utiles, parce que chacun se mesure dans son propre système.
Le premier est le taux de complétude de la base, l’indicateur direct de la connaissance client. Dans la décision n° 2023-01, le chiffre d’affaires ou les revenus n’étaient pas renseignés pour 58 à 71 % des clients personnes morales. L’établissement rangeait par défaut les clients dont il ignorait les revenus dans la tranche la plus basse. La Commission a refusé d’y voir un palliatif acceptable : ce classement artificiel déplace la lacune en aval, en multipliant les alertes sans objet, et dégrade l’efficacité même de la surveillance.
Un champ vide à cette échelle prive la classification du risque de sa donnée d’entrée, c’est le point de bascule entre un dossier rempli et une donnée exploitable, que traite notre article sur la qualité des données KYC.
Le deuxième porte sur la qualité du justificatif autant que sur sa présence au dossier. Dans la décision n° 2021-05, sur des clients que l’établissement avait lui-même classés en risque élevé, des explications orales et un dispositif de surveillance renforcé n’ont pas suffi, faute de justificatif de revenus au dossier.
Le troisième est le faisceau, qui pèse plus qu’un fait isolé. La même décision restitue le dossier de deux retraités dont le compte n’enregistrait que des pensions. Il reçoit 9 201 euros de chèques et d’espèces en 2018, puis 14 225 euros en 2019, pendant que la société dirigée par leur fils, titulaire d’une procuration, est en redressement judiciaire, et que les revenus déclarés passent de 30 000 à 80 000 euros. Aucun de ces éléments n’aurait suffi seul.
Un contrôle de complétude ne détecte pas ce dossier : chaque information pouvait être présente et exacte. Ce qui alerte, c’est l’écart entre le profil enregistré, deux retraités percevant des pensions, et l’activité constatée, des flux d’espèces croissants et des revenus déclarés qui doublent. Suivre cet écart dans le temps est l’objet de la vigilance constante.
La connaissance client est aussi un actif de défense en contrôle. Dans cette même décision, la Commission a écarté un reproche portant sur 44 clients de la banque privée, au motif que la poursuite se bornait à renvoyer à un document interne sans préciser, pour chaque dossier, quelles informations manquaient au regard d’une approche par les risques. La charge de la preuve pèse sur la poursuite, dossier par dossier. Un dispositif documenté résiste mieux qu’un dispositif riche mais muet sur ses raisons.
Cinq questions à passer sur son propre dispositif :
- Quel pourcentage de mes clients personnes morales a un chiffre d’affaires renseigné, et de mes clients personnes physiques des revenus renseignés ?
- Pour mes clients en risque élevé, ai-je un justificatif au dossier, ou seulement une déclaration ?
- Ma procédure fixe-t-elle une périodicité de revue, et suis-je capable de prouver que je la tiens ?
- Combien de dossiers ont été mis à jour l’an dernier à la suite d’un événement, et non d’une échéance de calendrier ?
- Si un contrôleur me demandait pourquoi je ne collecte pas telle information sur tel segment, aurais-je une réponse écrite ?
Outiller la connaissance client
Un logiciel de connaissance client structure le recueil et son actualisation, alimente la classification du risque, exécute le screening des personnes politiquement exposées et des listes de sanctions, et contribue à la surveillance des opérations dans le temps. Il exploite des données d’identité en entrée. Il ne réalise pas la vérification d’identité, qui relève d’outils dédiés.
Son apport se mesure sur les points que les sections précédentes ont fait apparaître :
- Le taux de complétude par champ et par segment. Sans cette mesure, la première question de l’auto-diagnostic reste sans réponse, et un champ vide comme le chiffre d’affaires passe inaperçu jusqu’au contrôle.
- La date et l’auteur de chaque mise à jour, sans quoi une revue effectuée ne se prouve pas.
- Le déclenchement d’une revue sur événement, pas seulement sur échéance de calendrier.
- Le motif écrit d’un arbitrage de collecte, seule façon de défendre le choix de ne pas recueillir une donnée sur un segment.
Le recueil peut être confié à un tiers dans le cadre de la tierce introduction (L561-7), mais l’assujetti qui se repose sur les diligences effectuées par un tiers demeure responsable du respect de ses obligations. Déléguer la collecte ne délègue pas la responsabilité. L’outil doit donc conserver l’accès aux informations et la traçabilité des décisions, quel que soit l’auteur de la collecte.
