Customer Due Diligence : de la définition réglementaire à la réalité terrain

La Customer Due Diligence (CDD) désigne l’ensemble des obligations de vigilance prévues par le Code monétaire et financier dans le cadre du dispositif de lutte contre le blanchiment des capitaux et le financement du terrorisme.

En droit français, elle porte un nom précis : la vigilance à l’égard de la clientèle. C’est sous cet intitulé que le CMF organise les obligations d’identification (art. L561-5), de connaissance de la relation d’affaires (art. L561-5-1) et de vigilance constante (art. L561-6).

Ces obligations s’imposent aux entités assujetties :

• avant l’entrée en relation d’affaires
• puis pendant toute la durée de cette relation

L’ESSENTIEL EN 30 SECONDES

• La CDD est le terme international (Recommandation 10 du GAFI) de ce que le CMF appelle la vigilance à l’égard de la clientèle.
• Elle qualifie le risque de chaque relation d’affaires et détermine le régime de vigilance applicable : simplifiée (art. L561-9), standard, complémentaire (art. L561-10), renforcée (art. L561-10-1) ou examen renforcé (art. L561-10-2).
• Attention au faux ami : l’Enhanced Due Diligence (EDD) internationale recouvre trois mécanismes distincts en droit français, la vigilance complémentaire (déclenchée par le profil du client), la vigilance renforcée (déclenchée par un risque élevé) et l’examen renforcé (déclenché par une opération).
• Le screening sanctions et PPE fait partie de la CDD : l’AMLR (applicable en juillet 2027) l’intègre dans la définition légale de la vigilance client.
• Chaque décision de vigilance doit être justifiée, documentée et traçable : c’est ce que l’ACPR contrôle, et ce qu’elle sanctionne depuis 2015.

En pratique, la CDD est souvent réduite à une collecte documentaire réalisée à l’onboarding, sans réévaluation structurée du risque ni prise en compte de l’évolution de la relation d’affaires.

C’est précisément ce décalage qui affaiblit l’efficacité du dispositif LCB-FT, en particulier lors des contrôles.

Cet article revient sur la Customer Due Diligence telle qu’elle doit être comprise et mise en œuvre : comme un processus de qualification du risque, structurant les niveaux de vigilance, leur application dans le temps et la capacité de l’entité à justifier ses décisions.

Pour un responsable conformité, la Customer Due Diligence ne se résume pas à un dispositif théorique. Elle constitue un mécanisme d’arbitrage permanent, exercé sous contrainte opérationnelle, qui engage directement sa capacité à expliquer, défendre et assumer les décisions prises en matière d’acceptation, de maintien ou de renforcement des relations d’affaires.

Customer Due Diligence : définition et cadre légal

La CDD consiste à qualifier le risque d’une relation d’affaires et à déterminer les mesures de vigilance applicables. Elle transforme des informations hétérogènes en décisions explicites, cohérentes et traçables. Trois niveaux de texte la structurent : le standard international du GAFI, sa transposition française dans le CMF, et le règlement européen AMLR qui s’appliquera à partir de juillet 2027.

Ce que dit le GAFI : la Recommandation 10

Le GAFI, qui fixe les standards internationaux de lutte anti-blanchiment, définit la Customer Due Diligence dans sa Recommandation 10, autour de quatre composantes : identifier et vérifier l’identité du client ; identifier et vérifier le bénéficiaire effectif ; comprendre l’objet et la nature envisagée de la relation d’affaires ; exercer une surveillance continue sur la relation et ses opérations.

La Recommandation 10 fixe aussi les déclencheurs : la CDD s’applique à toute entrée en relation d’affaires, aux transactions occasionnelles au-delà de 15 000 USD/EUR, aux virements électroniques au-delà de 1 000 USD/EUR (Recommandation 16), et dans tous les cas en présence d’un soupçon de blanchiment ou de financement du terrorisme, quel que soit le montant.

La transposition française : la vigilance à l’égard de la clientèle

Le droit français ne parle ni de CDD ni de due diligence : le chapitre du CMF s’intitule « obligations de vigilance à l’égard de la clientèle ».

Quatre articles en forment le socle :

1. L561-5 : identification et vérification de l’identité du client et, le cas échéant, du bénéficiaire effectif, avant l’entrée en relation.
2. L561-5-1 : recueil des informations relatives à l’objet et à la nature de la relation d’affaires, et de tout autre élément d’information pertinent.
3. L561-4-1 : approche fondée sur les risques, qui impose de proportionner les mesures de vigilance au risque identifié.
4. L561-6 : vigilance constante pendant toute la durée de la relation d’affaires, avec examen attentif des opérations.

Les déclencheurs français recoupent le standard GAFI : la relation d’affaires (définie à l’art. L561-2-1) déclenche la vigilance sans condition de montant ; le client occasionnel y est soumis au-delà des seuils de l’art. R561-10 (15 000 euros dans le cas général, sans aucun seuil pour la transmission de fonds).

Ce que change l’AMLR en 2027 : 9 mesures

Le règlement européen AMLR (UE) 2024/1624, applicable aux assujettis le 10 juillet 2027, reformule la CDD en neuf mesures cumulatives (art. 20§1, points a à i).

Trois apports méritent l’attention des équipes conformité :

1. Le criblage devient une composante légale de la CDD : la vérification du client contre les listes de sanctions financières ciblées (point d, y compris la détection des entités détenues ou contrôlées à plus de 50 % par une personne sanctionnée) et la détection des PPE, de leur famille et de leurs proches associés (point g) figurent dans la définition même de la vigilance. Le screening cesse d’être une brique annexe ajoutée par la pratique du marché.
2. Deux mesures souvent absentes des dispositifs sont explicitées : la vérification de l’identité du tiers bénéficiaire d’une opération menée pour son compte (point h) et la vérification du mandat de toute personne agissant pour le compte du client (point i).
3. La mise à jour du dossier client est cadencée (art. 26) : au maximum tous les ans pour les clients à risque élevé soumis à la vigilance renforcée, tous les cinq ans pour les autres, avec réexamen hors cycle en cas de changement de situation, d’obligation légale de contact ou de fait pertinent porté à la connaissance de l’assujetti.

À quel moment la CDD doit-elle être mise en place, et pourquoi est-elle obligatoire ?

La Customer Due Diligence doit être mise en œuvre avant l’entrée en relation d’affaires, lors de certaines opérations occasionnelles (seuils de l’art. R561-10 vus plus haut) et tout au long de la relation, à travers des revues périodiques ou déclenchées par des événements spécifiques.

Son caractère obligatoire découle directement du cadre LCB-FT, en particulier :

• des directives européennes successives,
• et de leur transposition en droit français au sein du Code monétaire et financier.

Une entité assujettie ne peut ni accepter un client, ni maintenir une relation d’affaires, sans avoir qualifié et documenté le risque associé. Concrètement la mise en œuvre de la CDD conditionne l’entrée en relation, son actualisation conditionne la poursuite de la relation, les décisions prises sur cette base doivent être explicables et traçables en cas de contrôle.

Cette exigence d’actualisation n’est pas théorique, elle est sanctionnée. Dès 2015, la Commission des sanctions de l’ACPR posait dans sa décision Generali Vie (n°2014-07, blâme et 5 millions d’euros) que la vigilance constante implique une « connaissance actualisée de la situation patrimoniale et des revenus » du client, jusqu’au terme de la relation d’affaires. Dans les dossiers examinés, 25 dossiers de personnes physiques sur 85 et 26 dossiers de personnes morales sur 32 présentaient des lacunes de connaissance client. Cette doctrine n’a jamais varié depuis.

En pratique, ces décisions sont souvent prises dans des contextes de tension opérationnelle : délais d’entrée en relation, pression commerciale, complexité des structures analysées. C’est précisément dans ces situations que la CDD joue un rôle clé pour le responsable conformité : elle fournit le cadre qui sécurise les arbitrages réalisés.

La CDD ne constitue pas une formalité ponctuelle. Il s’agit d’un processus continu, structuré par l’approche par les risques, qui irrigue l’ensemble du dispositif de vigilance à l’égard de la clientèle.

CDD vs KYC vs LCB-FT : quelles différences ? 

Les termes KYC, CDD et LCB-FT sont fréquemment confondus.

En pratique, ils recouvrent des réalités distinctes et complémentaires, qui ne répondent pas aux mêmes objectifs opérationnels.

La LCB-FT constitue le cadre global. Elle regroupe l’ensemble des obligations légales et organisationnelles visant à prévenir le blanchiment de capitaux et le financement du terrorisme. Elle définit les principes, les exigences et les responsabilités des entités assujetties.

Le KYC (Know Your Customer) correspond à une brique opérationnelle de ce dispositif. Il consiste à collecter et vérifier les informations permettant d’identifier un client et, le cas échéant, ses bénéficiaires effectifs. Le KYC répond à une question précise : qui est le client avec lequel l’entité envisage ou entretient une relation d’affaires ?

À ce sujet, nous avons un livre blanc qui traite le sujet dans son entièreté.

La Customer Due Diligence s’inscrit dans le prolongement du KYC.

Elle ne se limite pas à l’identification, mais vise à analyser le risque présenté par la relation d’affaires et à en tirer des conséquences concrètes en matière de vigilance.

Autrement dit :

• le KYC produit des données d’identification ;
• la CDD exploite ces données pour qualifier le risque et définir un régime de vigilance ;
• la LCB-FT encadre l’ensemble du dispositif et en fixe les exigences.

La confusion entre ces notions conduit fréquemment à des dispositifs déséquilibrés : des processus KYC exhaustifs sur le plan documentaire, mais déconnectés de toute analyse de risque et de toute logique de vigilance dans le temps.

La Customer Due Diligence constitue le lien opérationnel entre l’identification du client et l’application des mesures de vigilance.

 Les niveaux de vigilance : correspondance entre terminologie internationale et droit français

C’est le point où la littérature disponible en français est la moins fiable. La plupart des contenus traduisent la CDD par « vigilance raisonnable » ou « diligence raisonnable », et présentent trois niveaux calqués sur l’anglais (SDD, CDD, EDD). Or la correspondance exacte avec le droit français est la suivante :

Le piège du faux ami : l’EDD internationale recouvre trois mécanismes français distincts, aux déclencheurs différents.

1. La vigilance complémentaire est déclenchée par ce qu’est le client ;
2. la vigilance renforcée par le niveau de risque que présente la relation ;
3. l’examen renforcé par ce que fait le client sur une opération donnée

Les confondre conduit soit à sur-traiter des clients (mesures PPE appliquées à des opérations banales), soit à sous-traiter des opérations atypiques de clients au profil ordinaire.

La qualification du niveau de vigilance applicable doit résulter de l’évaluation du risque client. Elle doit être justifiée, documentée et susceptible d’évoluer au cours de la relation.

balise alt – Les dimensions de la vigilance

La vigilance simplifiée (Simplified Due Diligence, SDD)

La vigilance simplifiée peut être appliquée par deux voies alternatives prévues à l’art. L561-9 CMF : soit le risque paraît faible au regard de la classification des risques de l’assujetti (jugement à documenter et à justifier auprès de l’ACPR), soit le client ou le produit figure dans les listes réglementaires de faible risque (art. R561-15 pour les clients, R561-16 pour les produits).

La vigilance simplifiée n’exonère ni de l’identification du client ni de la compréhension de la relation d’affaires. Elle n’exonère pas non plus de la surveillance : un client en vigilance simplifiée reste surveillé, et toute opération suspecte fait remonter le niveau de vigilance. Elle permet en revanche d’adapter l’intensité des diligences et la fréquence des revues.

La décision d’appliquer une vigilance simplifiée doit être fondée sur des critères objectifs et formalisés. Elle ne peut pas résulter d’une automatisation aveugle ou d’un simple rattachement à une catégorie de clients. La simple ancienneté de la relation ne suffit pas.

La vigilance standard (Customer Due Diligence, CDD)

La vigilance standard constitue le régime de droit commun applicable à la majorité des relations d’affaires.

Elle implique notamment : l’identification et la vérification du client et, le cas échéant, du bénéficiaire effectif ; l’évaluation du risque associé à la relation ; la mise en place de mesures de vigilance adaptées à ce risque ; un suivi régulier de la relation d’affaires.

La vigilance standard n’est pas synonyme de vigilance minimale. Elle suppose une compréhension suffisante du client, de son activité et des opérations réalisées, permettant de détecter d’éventuelles anomalies ou évolutions significatives du risque.

L’Enhanced Due Diligence (EDD) : complémentaire, renforcée, examen renforcé

• La vigilance complémentaire (art. L561-10 CMF) s’ajoute à la vigilance standard lorsque le profil de la relation le justifie : personne politiquement exposée, client établi dans un pays tiers à haut risque, produit favorisant l’anonymat, relation nouée à distance. Elle se traduit par des diligences supplémentaires à l’entrée en relation, une analyse approfondie de l’origine des fonds et, le cas échéant, de l’origine du patrimoine, une décision d’entrée en relation prise à un niveau hiérarchique adéquat, et un suivi renforcé.
• La vigilance renforcée (art. L561-10-1 CMF) s’applique dès que le risque de blanchiment ou de financement du terrorisme présenté par la relation, le produit ou l’opération paraît élevé, quelle qu’en soit la cause : les mesures d’identification, de connaissance de la relation et de vigilance constante (art. L561-5, L561-5-1 et L561-6) sont alors mises en œuvre sous forme renforcée. Elle peut se cumuler avec la vigilance complémentaire : un client PPE dont le profil de risque global est élevé relève des deux régimes.
• L’examen renforcé (art. L561-10-2 CMF) vise les opérations particulièrement complexes ou d’un montant inhabituellement élevé, sans justification économique apparente ou objet licite identifiable. L’assujetti doit alors se renseigner auprès du client sur l’origine et la destination des fonds, l’objet de l’opération et l’identité de la personne qui en bénéficie, et consigner ces éléments par écrit. C’est l’étage qui précède, le cas échéant, la déclaration de soupçon.

L’application d’une vigilance renforcée ne constitue pas, en soi, une interdiction d’entrer en relation. Elle traduit la nécessité de mettre en œuvre des mesures proportionnées au risque identifié et d’en assurer une traçabilité renforcée.

Exemple : un client initialement classé en vigilance standard peut basculer en vigilance complémentaire à la suite de l’identification, en cours de relation, d’un bénéficiaire effectif présentant un statut de personne politiquement exposée.

Les 5 étapes du processus de vigilance à l’égard de la clientèle

La Customer Due Diligence s’inscrit dans un processus structuré, composé de plusieurs étapes successives. Une identification incomplète fragilise l’évaluation du risque, une évaluation imprécise conduit à des mesures de vigilance inadaptées, et une surveillance déconnectée rend l’ensemble du dispositif inefficace.

1 : L’identification du client

L’identification du client constitue le point de départ de toute démarche de vigilance. Elle consiste à recueillir les informations permettant d’identifier de manière fiable le client et, le cas échéant, le ou les bénéficiaires effectifs.

Cette étape vise à comprendre la nature du client, sa forme juridique, son activité et les personnes exerçant un contrôle effectif sur la relation d’affaires. Une identification incomplète ou approximative compromet l’ensemble du processus de CDD.

2 : La vérification de l’identité

La vérification de l’identité vise à s’assurer que les informations collectées sont exactes, cohérentes et fiables. Elle repose sur l’examen de documents, de sources ou de données permettant de confirmer l’identité du client, la réalité de son existence juridique et, le cas échéant, l’identité des bénéficiaires effectifs.

Cette vérification doit être adaptée au niveau de risque identifié. Elle peut nécessiter des diligences supplémentaires lorsque les informations disponibles sont insuffisantes, contradictoires ou difficiles à vérifier. La vérification de l’identité implique une appréciation critique de la cohérence des informations et de leur crédibilité.

3 : Le screening sanctions, PPE et médias défavorables

Le client identifié et ses bénéficiaires effectifs doivent être criblés contre les listes de gel des avoirs et de sanctions, les listes de personnes politiquement exposées, et les médias défavorables. Ce filtrage n’est pas une option ajoutée à la CDD : l’AMLR (art. 20§1, points d et g) l’intègre dans la définition légale de la vigilance client, y compris la détection des entités détenues ou contrôlées à plus de 50 % par une personne sanctionnée.

Le résultat du screening alimente directement la suite du processus : une correspondance sanctions déclenche une obligation immédiate (le gel est une obligation de résultat, sans pondération possible) ; un statut PPE déclenche la vigilance complémentaire ; une exposition médiatique défavorable entre dans l’évaluation du risque.

4 : L’évaluation et le scoring du risque client

L’évaluation du risque client constitue le cœur décisionnel de la Customer Due Diligence. Elle consiste à analyser, sur la base de critères définis, le niveau de risque présenté par la relation d’affaires, en tenant compte du profil du client, de son activité, de son environnement géographique et de la nature des opérations envisagées ou réalisées.

Parmi les critères utilisés en pratique : la nature juridique et la structure de détention, l’activité et son exposition intrinsèque au risque LCB-FT (notre outil d’évaluation par secteur d’activité permet de l’objectiver), la géographie (notre carte des pays à risques recense les listes applicables), les produits, services et canaux utilisés, et les flux envisagés.

Le recours à un scoring permet de structurer cette analyse et d’assurer une application homogène des critères. Il ne se substitue pas à l’analyse, mais en constitue un support. Le scoring agrège les critères en un risque brut, applique les mesures d’atténuation en place et produit un risque net : c’est ce risque net qui détermine le régime de vigilance. Les cas absolus (sanctions, gel des avoirs) échappent à cette pondération, un seul critère y déclenche la décision.

Le résultat de cette évaluation conduit à la qualification du niveau de risque, la détermination du régime de vigilance applicable et la justification des décisions prises.

Exemple : deux sociétés de conseil immatriculées en France peuvent relever de niveaux de vigilance différents selon que leur capital est détenu par des personnes physiques identifiées ou par une chaîne de holdings étrangères sans justification économique.

5 : La surveillance continue

La surveillance continue vise à vérifier que la relation d’affaires demeure cohérente avec l’évaluation du risque retenue. Elle repose notamment sur la mise à jour régulière des informations client, la revue périodique du niveau de risque, l’analyse des opérations réalisées et la prise en compte des événements susceptibles d’affecter le profil de risque.

L’AMLR cadence désormais cette mise à jour (art. 26) : au maximum tous les ans pour les clients à risque élevé, tous les cinq ans pour les autres, et sans délai en cas d’événement pertinent. Les anomalies détectées par la surveillance des opérations sont un déclencheur de revue, et la connaissance mise à jour recalibre en retour les scénarios de détection : la boucle entre connaissance client et surveillance devient explicite en droit européen.

La surveillance continue n’a de valeur que si elle est directement reliée à la CDD initiale. Pour le responsable conformité, cette articulation conditionne la capacité à démontrer, plusieurs mois ou années après, que l’évolution du niveau de risque résulte d’éléments identifiés, analysés et documentés.

Exemple : une évolution significative des flux financiers, sans modification déclarée de l’activité du client, doit conduire à une réévaluation du risque et à une adaptation des mesures de vigilance.

Quels sont les signes d’une Customer Due Diligence défaillante ?

Une Customer Due Diligence défaillante ne se repère pas uniquement à l’absence de documents. Elle se manifeste le plus souvent par des incohérences, des lacunes ou des automatismes qui affaiblissent la capacité de l’entité à maîtriser le risque client. Les décisions de la Commission des sanctions de l’ACPR en donnent une typologie précise et constante.

Informations client incomplètes, obsolètes ou incohérentes

Les dossiers clients présentent des informations partielles, non mises à jour depuis l’entrée en relation, ou incohérentes avec la réalité observée. Les données sont collectées à l’onboarding, puis rarement réexaminées. Les évolutions de la structure juridique, de l’activité ou des bénéficiaires effectifs ne sont pas systématiquement intégrées.

C’est le manquement le plus régulièrement sanctionné : l’absence de situation financière actualisée (revenus et patrimoine des personnes physiques, chiffre d’affaires des personnes morales) prive l’ensemble du dispositif de vigilance de son référentiel de cohérence. La position de l’ACPR est constante depuis 2015 : la difficulté de collecte n’est pas une circonstance atténuante.

Évaluation du risque client peu fiable ou inexistante

L’évaluation du risque client n’est pas formalisée ou repose sur des pratiques fragiles : absence de critères clairement définis, scoring identique pour l’ensemble des clients, appréciation fondée sur l’intuition ou l’habitude, absence de justification des niveaux de risque attribués.

Dans ces conditions, le classement des clients ne permet ni de prioriser les efforts de vigilance, ni de démontrer la pertinence des décisions prises.

Un point de doctrine à connaître : le niveau de risque attribué au client est sans effet sur sa qualification en relation d’affaires ou en client occasionnel. La Commission des sanctions le rappelle de façon constante (décision MoneyGram n°2024-06) : le niveau de risque détermine l’étendue des mesures de vigilance, jamais l’existence de l’obligation elle-même.

Absence de lien entre CDD, mesures de vigilance et surveillance

La CDD est traitée comme une étape isolée, sans articulation avec les mesures de vigilance mises en œuvre, le suivi des relations d’affaires et les éventuelles mesures de vigilance renforcée. Les alertes issues du monitoring ne conduisent pas à une réévaluation du risque client. Les changements significatifs ne déclenchent ni revue ni adaptation des mesures de vigilance.

Exemple : des alertes transactionnelles récurrentes traitées isolément, sans remise en cause du niveau de risque du client, traduisent une rupture entre surveillance et Customer Due Diligence.

Procédures CDD mal comprises ou mal appliquées

Les procédures existent, mais elles sont trop théoriques ou trop complexes, interprétées différemment selon les équipes, ou insuffisamment expliquées et appropriées. Cette situation conduit à des pratiques hétérogènes et à une dépendance excessive à des traitements manuels, sources d’erreurs et de contournements.

Manque de traçabilité et de documentation

Les décisions prises en matière de CDD ne sont pas suffisamment documentées : absence d’historique des contrôles réalisés, impossibilité de retracer les évolutions du niveau de risque, justification insuffisante des choix de vigilance appliqués.

En cas de contrôle, l’entité se trouve dans l’incapacité de démontrer de manière claire et structurée la cohérence de son dispositif. La conservation des documents et informations relatifs à la vigilance est une obligation légale à part entière (art. L561-12 CMF, cinq ans à compter de la clôture ou de la fin de la relation).

Des exemples de points d’attention en Customer Due Diligence

La détection de points d’attention en CDD ne repose ni sur un signal isolé ni sur un automatisme. Elle suppose une lecture croisée des informations client, des opérations réalisées et des comportements observés.

La présence d’un point d’attention ne conduit pas mécaniquement à un refus d’entrée en relation. Elle doit, en revanche, déclencher une analyse approfondie et, le cas échéant, une adaptation des mesures de vigilance.

Les points d’attention liés au client

Certains éléments relatifs au profil du client peuvent fragiliser l’évaluation du risque : informations d’identification incomplètes, incohérentes ou difficiles à vérifier ; structure juridique complexe ou inutilement opaque ; bénéficiaires effectifs difficiles à identifier ou fréquemment modifiés ; exposition géographique à des pays à risque ou sous sanctions ; statut de personne politiquement exposée ; activité économique peu cohérente avec la taille, l’historique ou les moyens de la structure ; recours fréquent à des intermédiaires sans rôle clairement justifié.

Ces éléments ne sont pas problématiques en soi. Ils le deviennent lorsqu’ils ne peuvent pas être expliqués de manière claire et documentée.

Les points d’attention liés aux transactions

L’analyse des opérations permet souvent de révéler des incohérences entre le profil du client et la réalité de la relation d’affaires : transactions sans lien apparent avec l’activité déclarée ; volumes financiers inhabituels ou évolution brutale des flux ; fractionnement d’opérations visant à contourner des seuils ; flux impliquant des juridictions à risque ; utilisation excessive d’espèces ou de moyens de paiement peu traçables ; changements fréquents de comptes, de contreparties ou de circuits financiers ; absence de justification économique des opérations réalisées.

Ces signaux doivent être analysés dans leur contexte. Ils prennent tout leur sens lorsqu’ils s’inscrivent dans une trajectoire globale de risque.

Les points d’attention liés aux comportements

Le comportement du client constitue également un indicateur utile dans l’appréciation du risque : réticence à fournir les informations ou documents demandés ; délais répétés ou réponses partielles ; pression exercée pour accélérer l’entrée en relation ; tentatives de contournement des procédures internes ; incohérences dans les explications fournies au fil du temps ; refus de dialogue avec les équipes conformité.

Ces comportements ne constituent pas, à eux seuls, une preuve de risque élevé. Ils peuvent en revanche révéler une volonté d’opacité incompatible avec une relation d’affaires maîtrisée.

Un point d’attention isolé ne suffit pas à caractériser un risque élevé. En revanche, l’accumulation de signaux, leur persistance ou leur absence de justification crédible doivent conduire à une réévaluation du risque et à la mise en œuvre de mesures de vigilance renforcée.

Comment un logiciel LCB-FT et l’IA soutiennent la mise en œuvre de la Customer Due Diligence

La Customer Due Diligence repose sur des analyses, des décisions et un suivi dans le temps. À ce titre, elle ne peut pas être réduite à une suite de traitements manuels ou à des contrôles ponctuels.

Un logiciel LCB-FT n’a pas vocation à « faire la CDD à la place » des équipes. Il sert à structurer, sécuriser et tracer les décisions prises dans le cadre de la vigilance client, et à alléger par l’automatisation la charge de travail des équipes conformité.

Structurer l’évaluation du risque client

Un outil LCB-FT permet de formaliser l’approche par les risques en intégrant des critères d’évaluation homogènes, en appliquant ces critères de manière cohérente à l’ensemble des clients, et en conservant l’historique des évaluations et de leurs évolutions.

L’objectif est d’éviter les évaluations intuitives, les pratiques hétérogènes selon les équipes et les classements de risque impossibles à justifier a posteriori. À titre d’ordre de grandeur, une enquête Fenergo estimait le coût moyen d’une revue KYC à environ 2 600 dollars par dossier en 2023 : l’homogénéité et l’automatisation du scoring sont aussi un enjeu de coût.

Assurer la cohérence entre CDD, vigilance et suivi

Un dispositif outillé permet de relier concrètement l’évaluation du risque client, le niveau de vigilance appliqué, les mesures mises en œuvre et la surveillance continue de la relation d’affaires.

Les évolutions significatives du profil client, des opérations ou de l’environnement peuvent ainsi déclencher une réévaluation du risque, conduire à une adaptation des mesures de vigilance et être documentées de manière traçable. Cette articulation conditionne la capacité à justifier les décisions prises en cas de contrôle.

Renforcer la fiabilité des analyses grâce à l’IA

L’intelligence artificielle peut soutenir la CDD sur des tâches ciblées et encadrées, notamment pour détecter des incohérences dans les données collectées, identifier des schémas atypiques ou des évolutions de comportement, et faciliter l’exploitation de volumes importants d’informations.

L’IA ne décide pas du niveau de vigilance à appliquer. Elle contribue à fiabiliser les données, à mettre en évidence des signaux faibles et à prioriser les analyses. Le cadre est posé par le CMF : l’art. L561-32 exige que l’assujetti comprenne et puisse expliquer les causes d’une alerte, y compris lorsque l’outil embarque du machine learning. La décision reste une décision de conformité, qui doit être comprise, assumée et documentée.

Sécuriser la traçabilité et la démonstration de conformité

Enfin, un logiciel LCB-FT permet de centraliser les informations client, de conserver l’historique des contrôles et des décisions, et de démontrer, de manière claire, la logique suivie dans l’application des mesures de vigilance.

Elle permet à un responsable conformité, ou à toute personne amenée à reprendre un portefeuille ou un dossier, de comprendre les décisions prises, leur logique et leur évolution dans le temps, y compris lorsque les équipes ou les interlocuteurs ont changé.

Une CDD bien structurée ne protège pas uniquement l’institution. Elle protège aussi les fonctions conformité, en rendant les décisions compréhensibles, transmissibles et défendables, indépendamment des personnes qui les ont initialement prises.

Conclusion

La Customer Due Diligence est un mécanisme de décision continu, fondé sur l’évaluation du risque : identifier, vérifier, cribler, évaluer, surveiller, et pouvoir justifier chaque arbitrage à chaque étape. Les dispositifs les plus fragiles ne sont pas ceux qui manquent d’outils ou de données, mais ceux qui échouent à relier ces éléments entre eux et à documenter les décisions qui en découlent.

L’échéance de l’AMLR en juillet 2027 renforce cette exigence : screening intégré à la définition légale de la vigilance, mise à jour cadencée des dossiers, traçabilité des décisions automatisées. Les équipes qui structurent dès maintenant la boucle connaissance client, évaluation du risque, vigilance et surveillance aborderont ce cadre sans refonte d’urgence.

FAQ : les questions opérationnelles que se posent les équipes conformité

Le seuil de 25 % suffit-il pour identifier les bénéficiaires effectifs ?

Non. La détention de plus de 25 % du capital ou des droits de vote n’est que le premier palier de l’identification. À défaut, il faut rechercher toute personne exerçant un contrôle par d’autres moyens et, en dernier recours, retenir le dirigeant. Une procédure limitée au seul critère des 25 % est un manquement en soi : la Commission des sanctions l’a retenu contre Generali Vie, dont la procédure ne couvrait pas les autres paliers, avec 10 dossiers incomplets sur les 34 personnes morales examinées.

Peut-on s’appuyer sur les diligences déjà réalisées par un autre établissement ?

Oui, dans le cadre de la tierce introduction (art. L561-7 CMF) : un assujetti peut confier l’identification (art. L561-5) et la connaissance de la relation (art. L561-5-1) à un tiers lui-même assujetti. Trois limites structurent ce mécanisme : la responsabilité du respect des obligations reste intégralement portée par celui qui se repose sur le tiers, la déclaration de soupçon n’est jamais délégable, et la tierce introduction ne doit pas être confondue avec l’externalisation (un prestataire agissant pour le compte de l’assujetti), dont le référentiel de contrôle et les conventions sont différents. Une mauvaise qualification contractuelle entre les deux crée une lacune de responsabilité.

Que faire quand le client ne fournit pas les informations demandées ?

Le CMF est direct (art. L561-8) : si l’assujetti ne parvient pas à satisfaire ses obligations de vigilance, il n’exécute aucune opération et n’établit ni ne poursuit la relation d’affaires. Deux réflexes complètent cette règle. D’abord, examiner si une déclaration de soupçon s’impose : la rupture ne remplace jamais la DS, et lorsque la fin de relation est motivée par un soupçon, la DS se fait avant la rupture ou au plus tard en même temps. Ensuite, documenter la chronologie : demandes adressées, relances, délais laissés au client, décision finale.

Que peut-on dire au client qui demande pourquoi on lui réclame de nouveaux justificatifs ?

L’obligation d’actualisation de la connaissance client est invocable sans réserve : elle découle de la loi (art. L561-5-1 et L561-6 CMF) et l’expliquer au client fait partie d’un parcours bien conçu. En revanche, il est interdit de révéler l’existence d’une déclaration de soupçon, de son traitement ou d’un examen en cours (obligation de non-divulgation, art. L561-19 CMF). En pratique : motiver les demandes par le cadre réglementaire général, jamais par l’état d’une analyse en cours.

Un ancien client demande l’effacement de son dossier au titre du RGPD : faut-il s’exécuter ?

Non. La conservation des documents de vigilance pendant cinq ans après la fin de la relation (art. L561-12 CMF) est une obligation légale qui prime le droit à l’effacement : l’assujetti peut refuser la demande en l’invoquant. Autre particularité peu connue : pour les données traitées aux seules fins LCB-FT, le droit d’accès ne s’exerce pas auprès de l’établissement, il s’exerce de façon indirecte auprès de la CNIL (art. L561-45 CMF), ce qui protège la confidentialité d’une éventuelle déclaration de soupçon.

Peut-on automatiser entièrement les décisions de vigilance ?

Pas entièrement, et l’AMLR fixe précisément la frontière à compter de juillet 2027 (art. 76§5). Les décisions automatisées sont autorisées sous trois conditions cumulatives : les données utilisées se limitent à ce qui est nécessaire à la vigilance, une intervention humaine significative reste garantie sur les décisions clés (nouer, refuser ou moduler la vigilance d’une relation), et le client dispose d’un droit à l’explication et à la contestation, sauf pour ce qui touche à la déclaration de soupçon. Le calcul du score peut être automatique, l’arbitrage qui en découle reste supervisé.

Le client est déjà en relation avec une autre entité du groupe : faut-il refaire toute la CDD ?

Chaque entité assujettie reste tenue de la vigilance sur sa propre relation. En revanche, les informations détenues par les autres entités du groupe sur le même client doivent être prises en compte dans la surveillance : l’AMLR le codifie (art. 26§1), y compris lorsque l’autre entité n’est pas elle-même assujettie, et le CMF encadre le partage d’informations intra-groupe (art. L561-20) sous conditions de protection des données. C’est un point de contrôle classique : un client peut présenter un profil de risque très différent selon qu’on le regarde relation par relation ou de façon consolidée.