KYC banque : la méthode pour un dispositif solide sans freiner l’activité

Le KYC en banque est la première ligne du dispositif LCB-FT : c’est de la connaissance client que dépendent la classification du risque, la surveillance des opérations et les obligations déclaratives. Mais « faire du KYC » ne suffit pas à être conforme. En 2024, une banque de réseau a été sanctionnée de 2,5 millions d’euros pour avoir, entre autres, désactivé pendant cinq ans la surveillance des clients qu’elle avait elle-même déclarés à Tracfin. Un établissement peut collecter des pièces d’identité, remplir des fiches et cocher des cases tout en présentant un dispositif que l’ACPR jugera défaillant.

Cet article décrit ce que dit la réglementation française, comment se structure le processus Know Your Customer bancaire, et surtout ce que le superviseur vérifie réellement lors d’un contrôle. L’angle est celui du praticien : les articles du Code monétaire et financier qui fondent l’obligation, les diligences attendues à chaque étape, et le panorama des décisions de la Commission des sanctions qui montre, cas par cas, où se situe la barre. Une de ces décisions a été confirmée par le Conseil d’État (5 février 2024, n° 470957) : c’est la référence la plus solide dont dispose aujourd’hui un établissement pour calibrer ses propres exigences.

Une question commande l’ensemble : à quelles conditions un dispositif KYC bancaire devient-il réellement exploitable pour piloter le risque et défendable lors d’un contrôle ACPR ?

À retenir en 30 secondes

• Le KYC bancaire recouvre trois obligations distinctes : identifier le client, connaître la relation d’affaires, exercer une vigilance dans le temps.
• Son socle en droit français tient dans quatre articles du CMF : L561-5, L561-5-1, L561-4-1 et L561-6.
• L’IDV (vérification d’identité) est une brique du KYC ; le KYC est lui-même une composante du dispositif LCB-FT. Ces trois notions s’emboîtent, elles ne sont pas interchangeables.
• Ce que l’ACPR sanctionne le plus souvent : un profil de risque incomplet, une classification inadaptée, des seuils de surveillance mal calibrés, des dossiers non actualisés et des défaillances déclaratives.
• La périodicité d’actualisation qu’un établissement se fixe lui-même lui est opposable. Une caisse régionale qui avait retenu deux, trois et cinq ans selon le niveau de risque a été sanctionnée pour ne pas les avoir tenus, et le Conseil d’État a confirmé.
• Le paramétrage inadapté d’un seul scénario de surveillance suffit à caractériser une insuffisance du dispositif, sans examen d’ensemble.
• À compter du 10 juillet 2027, l’AMLR fixe une périodicité maximale de revue (un an en vigilance renforcée, cinq ans sinon), intègre le criblage sanctions et PPE dans la définition légale de la vigilance, et impose de démontrer à tout moment que le paramétrage retenu est proportionné au risque.

Si vous souhaitez approfondir le sujet KYC, nous l’avons traité en profondeur au sein de ce livre blanc.

Qu’est-ce que le KYC en banque ?

Le terme circule partout, souvent comme simple synonyme de vérification d’identité. Deux précisions s’imposent.

Définition : la connaissance client appliquée au secteur bancaire

Le KYC (Know Your Customer, connaissance client en français) désigne l’ensemble du dispositif qui permet à une banque d’identifier son client, de comprendre sa relation d’affaires, d’évaluer son profil de risque et d’adapter sa vigilance.

Le KYC n’est pas défini comme tel dans le Code monétaire et financier ; sa signification est opérationnelle, il recouvre les obligations des articles L561-5 (identification et vérification), L561-5-1 (connaissance de la relation d’affaires) et L561-4-1 (approche par les risques).

Ce que recouvre concrètement la connaissance de la relation d’affaires est précisé par l’article R561-12, décret d’application de L561-5-1 : l’objet de la relation (pourquoi le client entre en relation), sa nature (produits et services recherchés, fréquence anticipée des opérations, montants prévisionnels), et tout élément permettant de construire le profil de risque initial (activité professionnelle, origine des fonds, situation patrimoniale quand elle est pertinente).

Le même article distingue deux temporalités, le recueil avant l’entrée en relation et l’actualisation continue pendant toute sa durée, et il rend l’étendue de la collecte proportionnée au risque. Cette architecture explique pourquoi un dossier complet à l’ouverture peut devenir non conforme trois ans plus tard sans qu’aucune règle nouvelle ne soit intervenue.

Le secteur bancaire est en première ligne pour des raisons structurelles : volume de clients, diversité des produits, exposition aux flux internationaux, à une échelle qui rend la connaissance client d’autant plus difficile à tenir dans la durée. Cette exigence rejoint le socle international : la Recommandation 10 du GAFI sur la Customer Due Diligence pose les mêmes principes pour l’ensemble des institutions financières.

KYC, IDV, LCB-FT : ce que le KYC recouvre et ce qu’il ne recouvre pas

Deux amalgames fréquents faussent la compréhension du dispositif.

Le premier concerne l’IDV. La vérification d’identité n’est qu’une brique du KYC : elle répond à la question « qui est le client », elle ne dit rien de la relation d’affaires ni du niveau de vigilance à déployer. Un client dont l’identité a été vérifiée sur pièce probante peut relever d’un pays sous sanctions, être une personne politiquement exposée ou présenter un profil de risque élevé au regard de son activité.

Le second concerne le périmètre LCB-FT. Le KYC en est le socle de connaissance, et un dispositif complet ajoute par-dessus le filtrage des sanctions, le monitoring transactionnel, la déclaration de soupçon et la formation des équipes. La bonne représentation est un emboîtement : l’IDV s’inscrit dans le KYC, qui s’inscrit lui-même dans la LCB-FT (IDV => KYC => LCB-FT).

Une précision de calendrier s’ajoute sur le criblage. En droit français, le filtrage des listes de gel et la détection des PPE sont traités comme des obligations distinctes de l’identification. L’article 20§1 du règlement AMLR, applicable au 10 juillet 2027, les fait entrer dans la définition légale des mesures de vigilance elles-mêmes, aux points d) et g).

Le criblage cesse alors d’être une brique posée à côté du KYC pour devenir une de ses composantes juridiques. Pour une banque, la conséquence pratique se lit dans l’organisation : un dispositif où le screening vit dans un outil séparé, sans retour vers le dossier client, devient plus difficile à défendre.

La réglementation KYC applicable aux banques

La réglementation KYC bancaire se lit sur plusieurs niveaux, du standard international au texte national directement opposable. Elle va du GAFI au CMF, en passant par les directives et le règlement AMLR.

Le socle français : le Code monétaire et financier

Les exigences KYC bancaires s’imposent aux établissements de crédit et de paiement au titre de l’article L561-2 du CMF, qui fixe la liste des personnes assujetties. Le contenu de l’obligation se lit ensuite dans un enchaînement d’articles structurants, qui suivent la logique du dispositif plutôt que l’ordre du code.

Le KYC bancaire découle de l’approche par les risques posée à l’article L561-4-1 : la vigilance est proportionnée au profil, ce qui suppose une méthode documentée, détaillée dans notre guide de la classification des risques LCB-FT.

L’arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne LCB-FT du secteur financier précise les modalités d’organisation attendues. Son article 4, qui exige que le classement sans suite d’une alerte soit dûment motivé, est celui que la Commission des sanctions vise le plus souvent dans les décisions bancaires récentes.

La directive 2018/1673 est la directive de criminalisation du blanchiment, pas une directive anti-blanchiment de la série AMLD. AMLD6 correspond à la directive (UE) 2024/1640. Confondre les deux revient à mal cadrer l’ensemble du dispositif.

Les niveaux de vigilance, du simplifié au renforcé

La vigilance n’est jamais uniforme : à chaque situation correspond un régime, que le dispositif doit pouvoir justifier. Au-dessus du régime de droit commun, le CMF en distingue cinq.

À la différence des autres régimes, l’examen renforcé (L561-10-2) impose une démarche active : se renseigner sur l’origine et la destination des fonds et sur l’objet de l’opération. Classer un portefeuille en risque faible par défaut, comme l’a fait un prestataire de comptes en Banking as a Service sanctionné en 2024, revient à s’exonérer de l’échelon qui était dû.

La vigilance simplifiée mérite un mot de plus, parce que ses conditions d’application sont souvent mal comprises Pour leen banque de détail. L’article L561-9 ouvre deux voies alternatives, et non cumulatives.

La première repose sur le jugement de l’établissement lui-même : le risque lui paraît faible, il documente cette appréciation et doit pouvoir la justifier devant l’ACPR (R561-14-1).

La seconde est mécanique : le client figure sur la liste de R561-15, ou le produit sur celle de R561-16, et aucun soupçon n’existe.

Deux points de méthode en découlent. Un soupçon annule le bénéfice de la voie 2° même si toutes les conditions de liste sont remplies et la liste des produits de R561-16 change de version le 21 novembre 2026, ce qui obligera à reprendre les procédures qui la recopient.

Les fonctions qui confèrent le statut de PPE varient d’un pays à l’autre, notre carte des PPE par pays recense celles retenues État par État.

Le cadre européen et international : GAFI, AMLD, AMLR et AMLA

Au-dessus du droit national, trois niveaux se superposent. Le GAFI fixe le standard international, avec la Recommandation 10 (Customer Due Diligence) au fondement des diligences KYC. Les directives anti-blanchiment structurent le régime européen : la directive (UE) 2015/849 (AMLD4) reste fondatrice, la directive (UE) 2024/1640 (AMLD6) en refond l’architecture.

Le tournant se joue le 10 juillet 2027 avec le règlement (UE) 2024/1624 (AMLR), directement applicable sans transposition, et l’autorité AMLA (siège à Francfort). La supervision directe de l’AMLA ne commencera pas à cette date : la première liste de sélection est attendue autour de janvier 2028, la surveillance effective six mois plus tard, pour un ensemble d’une quarantaine d’entités transfrontières. Pour la quasi-totalité des banques françaises, l’échéance qui compte reste donc celle du 10 juillet 2027 et le superviseur reste l’ACPR.

Six chantiers en découlent pour le KYC d’une banque. Ils n’ont pas le même délai de mise en œuvre, et ce n’est pas leur importance qui commande l’ordre de démarrage, c’est ce dont chacun dépend. Le tableau les classe du plus contraint au moins contraint.

la lecture pratique de ce classement tient en une phrase : les deux premiers chantiers se décident maintenant parce que leur délai ne dépend pas de vous, les deux derniers peuvent attendre sans risque parce qu’ils dépendent de vous seul.

Le processus KYC en banque, étape par étape

Le processus KYC forme une chaîne où chaque maillon conditionne le suivant, selon la logique du CMF plutôt que le modèle américain CIP/CDD/EDD repris par une partie des acteurs anglo-saxons. Chaque étape est détaillée dans notre guide du processus KYC ; ici, on se concentre sur ce qui change en environnement bancaire. La procédure KYC banque se lit en cinq maillons.

Identification et vérification d’identité (IDV).

Collecte puis vérification de l’identité du client et du bénéficiaire effectif des personnes morales, sur pièce officielle, avant l’entrée en relation (L561-5).

En banque, l’entrée en relation à distance se massifie : les établissements peuvent recourir à un prestataire de vérification d’identité répondant aux exigences applicables, notamment au référentiel PVID. L’identification du bénéficiaire effectif, défini à L561-2-2 comme la personne physique qui contrôle en dernier lieu le client, est le point dur : chaînes de détention à plusieurs niveaux, structures étrangères, fiducies. Le registre des bénéficiaires effectifs (L561-46 et suivants) aide à recouper, mais il ne dispense pas de la vérification propre à l’établissement, et son accès public généralisé a été invalidé par l’arrêt de la CJUE du 22 novembre 2022 (aff. jointes C-37/20 et C-601/20). L’identification, déclarative, se distingue de la vérification, qui s’appuie sur une source probante.

Sur le bénéficiaire effectif, une erreur de procédure revient régulièrement en contrôle : s’arrêter au seuil de 25 %.

Les articles R561-1 et suivants posent trois paliers successifs. Le premier retient toute personne physique détenant, directement ou indirectement, plus de 25 % du capital ou des droits de vote. Le deuxième, si le premier n’aboutit pas, vise la personne qui exerce un contrôle par d’autres moyens (pacte d’actionnaires, pouvoir de nommer ou révoquer les dirigeants, contrôle de fait). Le troisième, en dernier recours, désigne le membre de l’organe de direction.

Une procédure interne qui ne décrit que le premier palier est un manquement en elle-même, indépendamment du nombre de dossiers concernés : la Commission des sanctions l’a retenu dans une décision visant un assureur vie, où dix dossiers sur les trente-quatre personnes morales examinées étaient incomplets.

Sur l’entrée en relation à distance, le rapport thématique de l’ACPR de juillet 2025 sur les comptes rebonds donne la mesure du décrochage entre la procédure et la pratique : dans l’échantillon examiné, le justificatif de domicile n’avait été collecté que dans 26 % des cas, les revenus des personnes physiques dans 68 % des cas mais avec un justificatif dans 15 à 16 % seulement, et un relevé d’imposition dans 11 %. Ces chiffres constituent un point de comparaison utile pour un auto-diagnostic sur un portefeuille récent.

Classification du risque client.

Attribution d’un niveau de risque sur critères multiples (géographie, activité, exposition PPE, produit, canal, montant), qui conditionne l’intensité de la vigilance.

En ce qui concerne le critère sur le secteur d’activité, nous avons un outil qui donne le niveau de risque associé à chaque code NAF.

En banque, la notation d’un portefeuille retail de masse dérape vite quand elle est industrialisée : la doctrine BaaS a montré des acteurs classant la quasi-totalité de leur clientèle en risque faible. Le scoring par pondération et la classification discriminante se combinent dans une approche hybride plutôt que de s’opposer ; de même, le risque brut se distingue du risque net. La méthode fait l’objet de deux guides dédiés : le processus KYC et la classification discriminante et scoring.

Trois défauts de conception reviennent dans les décisions.

1. Le critère peu discriminant : un établissement de paiement sanctionné en 2021 présumait un risque faible pour tout résident français payant par terminal, sans prendre en compte la nationalité, et classait ainsi 98,77 % de sa clientèle particulière en risque faible, y compris deux clients ressortissants d’un pays que l’établissement classait lui-même en risque élevé.
2. La classification incomplète : une classification doit comporter un recensement et une pondération des risques, et non le seul recensement.
3. La rupture entre la notation et la surveillance : traitée plus bas avec la fragmentation du système d’information.

Screening sanctions, PPE et médias défavorables.

En banque, les flux SEPA instantanés déplacent la logique du filtrage : le règlement Instant Payments (UE) 2024/886 impose d’exécuter un virement en dix secondes, ce qui rend impraticable le filtrage transaction par transaction contre les listes de gel.

En contrepartie, l’établissement doit vérifier au moins une fois par jour civil, et immédiatement après chaque mise à jour des listes de l’Union, si ses propres clients y figurent : le filtrage se reporte de l’opération vers la base clients, ce qui renforce l’exigence de fraîcheur des données KYC.

Cette obligation s’applique depuis le 9 janvier 2025 pour les prestataires de la zone euro, et son manquement est assorti d’un plancher de sanction élevé, au moins 10 % du chiffre d’affaires annuel net pour une personne morale (art. 11 modifié). Elle est strictement circonscrite aux sanctions financières ciblées et ne couvre ni les mesures sectorielles ni les embargos, qui appellent une qualification de l’opération et non un criblage nominatif.

En correspondance bancaire transfrontalière, le régime propre de L561-10-3 ajoute l’interdiction des banques-écrans et l’encadrement des comptes de passage. Le screening produit des alertes, que l’analyste doit ensuite qualifier ; le gel des avoirs relève par ailleurs d’un régime distinct de la LCB-FT.

Sur les médias défavorables et les listes de vigilance internes, l’état du droit mérite d’être connu précisément, parce qu’il est instable.

La Commission des sanctions a écarté, dans la décision n°2023-01 visant une banque de réseau, le grief tiré de l’absence d’outil automatisé de filtrage des informations négatives publiques : l’obligation n’était pas « claire et prévisible pour un professionnel avisé », les articles 9 et 10 du RGPD créant une incertitude réelle sur la licéité du traitement des données relatives aux condamnations pénales.

La décision n°2024-02, deux ans plus tard, retient à l’inverse qu’un tel outil est attendu d’un établissement de cette taille, sans que la question des données personnelles y ait été discutée. L’article 76 de l’AMLR tranche pour l’avenir en autorisant explicitement ces traitements à des fins LCB-FT. Un établissement qui ne s’est pas encore doté d’un dispositif d’adverse media a donc une fenêtre courte, et l’argument de l’incertitude juridique s’éteint au 10 juillet 2027.

Vigilance constante et revue périodique.

La connaissance du client se maintient pendant toute la relation (L561-6), par revue cadencée selon le risque et par revues événementielles.

En banque, le défi se joue sur deux fronts.

• Côté stock, la remédiation des portefeuilles anciens bute sur des professions et des numéros SIREN manquants.
• Côté flux, le rapport de l’ACPR de juillet 2025 sur les comptes rebonds (comptes récents utilisés pour recevoir des fonds escroqués puis les transférer rapidement vers l’étranger, ce qui complique la traçabilité) pointe un risque concentré sur les comptes récemment ouverts : 70 % avaient moins d’un an, et 44 % enregistraient leur première opération dans les quinze jours suivant l’ouverture.

La revue périodique KYC et la recertification KYC ne sont pas des options ; le KYC perpétuel, revue continue déclenchée par l’événement, prolonge cette logique. L’AMLR lui donnera un plancher chiffré au 10 juillet 2027, avec une périodicité maximale d’un an pour les clients soumis à vigilance renforcée et de cinq ans pour les autres (art. 26§2), tout déclencheur événementiel primant sur ce calendrier.

Documentation et piste d’audit.

Chaque décision (classification, qualification d’alerte, niveau de vigilance, approbation d’une relation avec une PPE) est tracée et conservée cinq ans (L561-12).

En banque, la documentation figure parmi les premiers points qu’un contrôle examine : un dispositif non documenté est traité comme inexistant. L’exigence se durcit au 10 juillet 2027 : l’article 20§4 de l‘AMLR impose de pouvoir démontrer à tout moment au superviseur que les mesures de vigilance appliquées sont appropriées au risque. Un paramétrage de scoring dont personne ne sait justifier l’origine des pondérations ne satisfait pas cette obligation, même s’il produit des résultats jugés satisfaisants en interne.

Un établissement peut confier à un tiers, lui-même assujetti, la mise en œuvre de l’identification, de la vérification et de la connaissance de la relation d’affaires (L561-7). Cette faculté ne transfère pas la charge : « la personne assujettie qui se repose sur les diligences effectuées par un tiers demeure responsable du respect de ses obligations ».

C’est le nœud de la décision n°2022-07 dans les modèles de Banking as a Service, où l’établissement teneur de compte reste comptable de la conformité alors que l’entrée en relation est opérée par un distributeur en marque blanche. La tierce introduction se distingue par ailleurs de l’externalisation de prestations, qui obéit à son propre régime de contrôle (arrêté du 6 janvier 2021).

Les articles 48 à 50 de l’AMLR reprennent le mécanisme en le formalisant : accord écrit avec le tiers, remplaçable par une procédure interne dans un groupe, transmission des informations recueillies sous cinq jours ouvrables, et interdiction de recourir à une entité établie dans un pays tiers à haut risque. Pour un établissement qui distribue par des partenaires, ces trois exigences sont à porter dans les conventions dès maintenant, la renégociation d’un parc de contrats de distribution ne se faisant pas en quelques mois.

Ce que l’ACPR contrôle vraiment : les manquements KYC sanctionnés

Un fil relie les décisions de la Commission des sanctions : entre ce que la banque sait de son client et ce que sa surveillance en fait, le lien se rompt. C’est ce maillon que l’ACPR éprouve en contrôle.

Les décisions ci-dessous, dans le secteur bancaire, se lisent comme des enseignements opérationnels plutôt que recopiées dans leurs attendus.

Les cinq manquements KYC récurrents relevés par l’ACPR

À travers les décisions bancaires récentes, cinq manquements reviennent, indépendamment de la taille de l’établissement.

1. Un profil de risque incomplet ou mal alimenté. Revenus, patrimoine, bénéficiaire effectif, statut de PPE : quand ces éléments manquent ou n’irriguent pas les scénarios de surveillance, la connaissance client est réputée lacunaire, même si l’entrée en relation a été formellement réalisée. Pour un client classé en risque élevé, les explications orales du chargé de clientèle ne suffisent pas : l’établissement doit pouvoir établir par tout moyen que les informations dont il dispose sont justifiées, l’avis d’imposition étant cité en exemple pour les revenus, et des documents comptables étant attendus pour les personnes morales, y compris les associations.
2. Une classification inadaptée au profil réel. Une notation industrialisée qui range la quasi-totalité d’un portefeuille en risque faible ne reflète pas l’exposition réelle et vide la vigilance de son sens. Les ordres de grandeur relevés en décision figurent dans le tableau de repères ci-dessous.
3. Des seuils de surveillance mal calibrés. Des scénarios trop lâches, ou une analyse par échantillon là où le dispositif devrait être exhaustif, laissent passer des flux qui auraient dû être examinés. L’absence de déclenchement d’alertes du fait de seuils trop élevés caractérise en soi leur défaut de pertinence.
4. Des dossiers non actualisés. Le stock de dossiers anciens, jamais revu, produit des profils obsolètes qui ne recoupent plus la réalité de la relation d’affaires.
5. Des défaillances déclaratives et de traçabilité. Délai excessif de déclaration de soupçon, décision non tracée, ou clôture de compte substituée à la déclaration : la sortie de la relation ne dispense jamais de l’obligation déclarative.

Panorama des décisions de la Commission des sanctions (secteur bancaire)

Le tableau ci-dessous restitue les décisions bancaires marquantes, avec pour chacune le grief réellement retenu par la Commission. La lecture reste précise sur le périmètre : toutes les décisions citées ne portent pas exclusivement sur le KYC, et un grief peut avoir été écarté en cours de procédure.

la lecture transversale de ces décisions donne la mesure de ce que le superviseur attend concrètement : des scénarios de surveillance alimentés par les données du profil, une classification qui reflète le risque réel, des dossiers tenus à jour et des décisions tracées.

La décision n° 2023-01 y ajoute un enseignement contre-intuitif : un client déjà déclaré à Tracfin appelle une surveillance renforcée, non allégée ; désactiver des scénarios sur ces comptes pour réduire le bruit d’alertes constitue une défaillance en soi.

Dix repères chiffrés pour se situer

Les décisions ci-dessus produisent des ordres de grandeur qu’un responsable conformité peut opposer à ses propres chiffres. Aucun de ces repères n’est un seuil réglementaire, à l’exception du deuxième, que la Commission des sanctions formule comme une règle. Les autres sont des niveaux à partir desquels le superviseur a estimé qu’une explication était due.

Deux précautions d’usage. Un taux élevé de clientèle en risque faible n’est pas un manquement en soi, c’est une anomalie que l’établissement doit pouvoir expliquer par la nature de son activité, et la décision n° 2022-04 montre qu’une explication tenant à la spécificité du portefeuille est admise. Et les deux derniers indicateurs de la liste se mesurent sur un échantillon : la manière dont cet échantillon est constitué est elle-même un enjeu, comme le montre la section suivante.

Carence du dispositif ou défaillance ponctuelle : ce que la poursuite doit prouver

La distinction est peu commentée et elle décide pourtant du quantum d’une sanction. La Commission ne traite pas de la même façon un dispositif dont une composante est défaillante et une série de dossiers mal traités.

La décision n° 2021-05, celle de la caisse régionale, en donne l’illustration la plus nette, et c’est celle qui a été soumise au Conseil d’État. Sur la connaissance client, le grief portait au départ sur plusieurs branches : dossiers en risque élevé sans justificatif de revenus, dossiers non actualisés, clientèle de banque privée, taux global de mise à jour.

La Commission en écarte une partie, faute pour la poursuite d’avoir précisé quelles informations manquaient dossier par dossier, et refuse de voir une carence du dispositif de connaissance lui-même parce que la poursuite n’expliquait pas comment les échantillons avaient été constitués. Quinze dossiers retenus sur une clientèle à risque élevé d’environ douze mille clients ne suffisent pas à qualifier une défaillance systémique.

Le grief sur la surveillance des opérations connaît le sort inverse. Un seul scénario mal calibré, celui des versements d’espèces, est qualifié de défaillance significative d’une composante du dispositif, et c’est lui qui emporte la sanction. Le fait qu’un nouvel outil fondé sur l’intelligence artificielle soit annoncé n’a aucune incidence sur la caractérisation du manquement.

Pour une direction de la conformité, cette asymétrie a des effets très concrets. En préparation de contrôle, demander sur quelle base un échantillon a été constitué est une question légitime, et parfois décisive dans la contradiction.

Dans l’allocation des moyens, elle plaide pour porter l’effort de revue sur les règles de détection avant le stock documentaire, un scénario mal réglé pesant plus lourd à lui seul que plusieurs dizaines de dossiers incomplets.

Reste une limite à ne pas perdre de vue : un manquement individuel à l’examen renforcé ou à la déclaration de soupçon peut être retenu sans qu’aucune défaillance générale du dispositif ait été caractérisée au préalable. Un dispositif globalement sain ne protège donc pas d’une sanction sur dossiers.

Les conditions d’un dispositif KYC exploitable et défendable

Un dispositif KYC n’est exploitable que si la connaissance client irrigue la surveillance, et défendable que si chaque décision résiste à un examen extérieur. Six points en décident au quotidien.

Faire parler la donnée : du profil à la surveillance

La valeur d’une information KYC ne tient pas à sa collecte, mais à ce qu’elle déclenche en aval. Un revenu, une profession, un statut de PPE ou un bénéficiaire effectif n’ont d’utilité que s’ils modifient la classification du risque, le calibrage des seuils, le choix des scénarios, la fréquence de revue et, au bout de la chaîne, la décision d’alerte. Trois décisions bancaires sanctionnent chacune une rupture de ce lien, n° 2022-01, n° 2023-01 et n° 2022-07.7.

Pour un responsable conformité, la question utile n’est donc pas « avons-nous recueilli l’information », mais « cette information change-t-elle quelque chose ». Les deux façons dont le lien se rompt, l’absence de branchement et la divergence entre systèmes, relèvent de l’architecture du système d’information et sont traitées plus bas.

Une nuance s’impose avant de généraliser le principe, parce qu’elle a été plaidée et rejetée. Un émetteur de monnaie électronique sanctionné en 2022 soutenait qu’une information inutile à ses scénarios de surveillance n’avait pas à être collectée. L’obligation de connaissance client vaut par elle-même, et l’insuffisance de ses propres scénarios ne dispense pas de recueillir l’information, faute de quoi un établissement réduirait ses obligations en appauvrissant son dispositif.

Sur les portefeuilles d’entreprises, il existe une méthode pour faire parler cette donnée, et elle est plus accessible qu’elle n’en a l’air.

Dans son rapport de septembre 2026, le GAFI encourage les banques à analyser plus finement leurs clients micro-entreprises et PME opérant dans des secteurs sensibles, en construisant des ratios d’exploitation et des référentiels sectoriels à partir de leurs propres données clients, pour repérer plus tôt les anomalies financières et de gestion. Les secteurs qu’il cite sont la construction, la sécurité privée, la restauration et le petit commerce de détail.

Deux précisions font la différence entre cette recommandation et l’exigence générale de cohérence économique.

La source du référentiel est le portefeuille de l’établissement lui-même, pas une norme sectorielle publiée ni une base de données achetée : ce que l’on cherche est un écart à la distribution réelle des clients comparables que la banque connaît déjà.

Et l’indicateur est un rapport entre postes économiques plutôt qu’un seuil de montant, ce qui le rend beaucoup moins sensible à la taille du client. Un rapport entre encaissements en espèces et chiffre d’affaires déclaré, entre flux sortants et charges de personnel attendues, ou entre volume de virements internationaux et zone de chalandise déclarée, dit quelque chose qu’un plafond en euros ne dit pas.

Cette recommandation confirme au niveau international deux constats que l’ACPR avait déjà posés dans sa revue thématique de 2022 sur les dispositifs automatisés de détection.

Le superviseur y relevait que les données client sont le plus souvent prises en compte via le score de risque et rarement intégrées directement dans les scénarios, alors que comparer les opérations aux ressources réelles du client est plus pertinent qu’une simple modulation de seuils.

Il y relevait aussi que les typologies fondées sur la comparaison avec des groupes de pairs affichent un taux de transformation en déclaration de soupçon de 10 %, sensiblement supérieur aux scénarios à seuil fixe, tout en restant peu déployées. Un établissement qui construit ces référentiels travaille donc les deux lacunes à la fois.

L’intérêt n’est pas seulement défensif. Un référentiel sectoriel construit sur ses propres données permet de justifier qu’un client atypique en apparence est en réalité conforme à ses pairs, ce qui est exactement ce qui manque quand un dossier remonte en comité pour une décision de sortie. C’est le versant opérationnel de l’arbitrage décrit plus haut : mieux cibler coûte moins cher que contrôler plus.

Réduire les faux positifs sans dégrader la vigilance

Régler le filtrage suppose un arbitrage permanent, et ce que le contrôle vérifie est la capacité à justifier le calibrage retenu.

Les leviers de maîtrise se situent en amont et dans le paramétrage : qualité de la donnée d’identité collectée, réglage du fuzzy matching, critères multicritères (date de naissance, nationalité), scoring de confiance sur les correspondances.

La jurisprudence récente illustre le point : un calibrage trop laxiste est sanctionné, comme l’ont montré les seuils de filtrage relevés dans la décision n° 2024-02 et le calibrage de surveillance dans la décision n° 2022-07. Un faux positif, un vrai positif et une alerte légitime en attente de qualification sont trois statuts distincts, à traiter différemment.

Sur le criblage PPE, une décision de 2021 apporte un point de principe directement transposable dans un paramétrage. L’établissement, dont le taux de concordance était fixé à 99 %, faisait valoir que les neuf PPE non détectées ne représentaient que 0,2 % des PPE identifiées. L’argument a été rejeté : un taux de concordance élevé ne démontre pas à lui seul la conformité du dispositif, indépendamment du volume de non-détections constatées. Autrement dit, la mesure de performance à produire en contrôle porte sur les cas manqués, pas sur le ratio de correspondances réussies.

Le calibrage se pilote par deux indicateurs symétriques, chacun adossé à un repère de jurisprudence figurant dans le tableau plus haut. En excès, le taux d’alertes non traitées à quatre mois, seul seuil chiffré que la Commission des sanctions formule comme une règle. En défaut, le nombre de règles de surveillance qui ne déclenchent rien, un dispositif silencieux étant aussi exposé qu’un dispositif saturé.

Le réglage du fuzzy matching, les critères de rapprochement et la mesure des cas manqués sont détaillés dans notre livre blanc sur le name screening.

Ce que le sur-contrôle coûte à l’activité

L’approche par les risques de l’article L561-4-1 se lit dans les deux sens. Le sous-calibrage est sanctionné, la jurisprudence l’établit abondamment. Le sur-calibrage ne l’est presque jamais, ce qui le fait passer pour une position sans risque. Il ne l’est pas, pour trois raisons dont deux sont juridiques.

La vigilance simplifiée est un régime à appliquer, pas une prudence à s’autoriser. Le GAFI l’a réaffirmé dans la mise à jour de sa Recommandation 1 en février 2025 : maintenir une vigilance standard partout par excès de prudence constitue un écart à l’approche par les risques, au même titre qu’un sous-calibrage.

En banque, la question est très concrète. La liste de R561-15 vise les autres assujettis établis dans l’Espace économique européen, les sociétés cotées sur un marché réglementé et les autorités et organismes publics qui répondent à trois critères de transparence. Pour ces mêmes sociétés cotées, l’article R561-8 dispense en plus d’identifier le bénéficiaire effectif.

Sur un portefeuille d’entreprises, cette part n’est pas marginale, et les moyens qu’un établissement y consacre inutilement sont des moyens qui manquent sur les dossiers à risque élevé, là où les décisions relèvent des justificatifs manquants.

Le refus n’est pas la seule réponse disponible. La section précédente a détaillé la séquence imposée par les orientations EBA/GL/2023/04 et sa liste fermée de huit restrictions ciblées. La lecture commerciale de ce texte mérite d’être faite explicitement : une restriction documentée conserve la relation là où un refus y met fin, et c’est de surcroît ce que le superviseur attend. Le même geste protège le compte d’exploitation et le dossier de contrôle.

Le chiffrage existe, avec sa réserve. Selon le Financial Crime Industry Trends Report 2025 de Fenergo, mené auprès de 600 décideurs d’institutions financières au Royaume-Uni, aux États-Unis et à Singapour, 70 % des institutions déclarent avoir perdu un client ou un investisseur au cours de l’année écoulée à cause d’un parcours d’entrée en relation lent ou inefficace, contre 63 % en 2024 et 48 % en 2023.

Une enquête distincte du même éditeur auprès de 1 164 dirigeants conformité, risques et opérations situait le coût moyen d’une revue KYC à 2 598 dollars en 2023, en hausse de 17 % sur un an. Ce sont des statistiques d’éditeur, déclaratives, à lire comme un ordre de grandeur et non comme une mesure.

Le biais d’arbitrage à nommer. Le coût d’une non-conformité est immédiat, visible et sanctionné. Le coût d’une décision de refus non fondée en droit est diffus, rarement mesuré et presque jamais reproché à court terme. Ce déséquilibre pousse mécaniquement à l’excès, et il conduit certains établissements à appliquer des exigences auxquelles ils ne sont pas juridiquement tenus, jusqu’à des normes étrangères sans portée directe sur eux. Nommer ce biais est la première façon de le contrôler.

Le test tient en une question, symétrique de celle posée plus haut sur la donnée : pour chaque contrôle ajouté, l’établissement sait-il dire quel risque il réduit et quelle décision il change ? Un contrôle qui ne change aucune décision est un coût sans contrepartie de conformité.

Le de-risking en bloc n’est pas une réponse conforme

Le de-risking consiste à exclure des catégories entières de clients pour éviter le coût ou la complexité du KYC, plutôt que d’ajuster la vigilance au cas par cas. Cette pratique se heurte à l’approche par les risques. L’EBA le rappelle : refuser ou rompre une relation déterminée après examen peut être conforme, mais exclure des catégories entières de clients sans tenir compte des profils individuels relève du de-risking injustifié. La réponse attendue est une vigilance proportionnée, pas un refus en bloc.

Le sujet est utile aux banques confrontées à des clientèles jugées « à risque » (associations, résidents étrangers, certains corridors) : écarter d’office ces profils expose l’établissement à un reproche d’exclusion bancaire sans démontrer une meilleure maîtrise du risque. Le rapport du CCSF de 2025 documente précisément les segments concernés en France : les personnes politiquement exposées et leurs proches, les associations, les personnes résidant à l’étranger, les personnes sous protection juridique et les prestataires de services de paiement.

Un argument est plus fort que celui de l’inclusion, et il est rarement avancé. Dans son avis de janvier 2022, l’EBA documente les solutions de repli des clients écartés : transport d’espèces vers des zones de conflit, usage de comptes personnels pour faire transiter les flux d’une organisation, recours à des entreprises de transmission de fonds, ouverture de comptes dans un pays tiers. Le client ne disparaît pas, il sort du champ de la surveillance.

L’EBA en tire une qualification que tout responsable conformité devrait connaître : le de-risking de catégories entières, sans considération des profils individuels, est le signe d’une gestion inefficace du risque BC-FT. Le reproche n’est pas seulement social, il porte sur la qualité du dispositif.

Cet argument a changé de statut en septembre 2026. L’avis de l’EBA était un document de doctrine, sans portée contraignante pour les assujettis.

Le GAFI vient de documenter le même mécanisme dans un rapport consacré au blanchiment professionnel via les circuits financiers informels, à partir des réponses de 46 juridictions dont la France, et il en fait un facteur de vulnérabilité et non une simple conséquence regrettable du de-risking.

Le rapport ajoute surtout ce que l’avis de 2022 ne disait pas. Ce ne sont pas seulement les clients qui basculent, ce sont aussi les opérateurs de transmission de fonds régulés : fermetures de comptes, difficulté à établir ou maintenir une relation bancaire, accès réduit à la correspondance bancaire.

Le GAFI relie directement ces conditions à la croissance d’alternatives non licenciées, et note que la fin de relations de correspondance bancaire avec des juridictions à risque élevé a fait migrer des transactions vers des canaux de transfert à la fois licenciés et non licenciés.

L’établissement qui sort d’un segment peut croire en transférer le risque à un concurrent régulé ; en pratique, il alimente aussi une infrastructure qui ne l’est pas.

Ce sont les enquêteurs qui ont le mot de la fin, et le rapport les cite comme tels : les services répressifs jugent cette migration critiquement, parce qu’un transfert non licencié est extrêmement difficile à tracer et peut faire échouer une enquête.

Pour un responsable conformité, c’est l’argument le plus solide à opposer en comité des risques à une proposition de sortie catégorielle. La question n’est pas de savoir si l’établissement veut porter ce risque, mais où ce risque ira une fois qu’il aura cessé de le voir.

La chaîne réglementaire s’est resserrée en quatre étapes. Les orientations EBA/GL/2021/02 (Or. 4, §4.9 à §4.11) exigent que toute limite posée à une clientèle soit proportionnée et ne restreigne pas inutilement l’accès aux produits financiers ; les orientations EBA/GL/2021/16 (§126b) demandent aux superviseurs de ne pas tolérer l’exclusion catégorielle.

Les lignes directrices de l’ACPR sur les PPE (§8 et §14) rappellent que les mesures de vigilance ne sauraient entraver les opérations financières normales d’un client lorsqu’elles correspondent à son profil. Les orientations EBA/GL/2023/04, applicables depuis le 3 novembre 2023, donnent le mode d’emploi qui manquait.

Et l’article 53 de l’AMLR interdira, à compter du 10 juillet 2027, de refuser un service financier à une organisation de la société civile ou à une organisation humanitaire au seul motif d’un risque perçu, sans évaluation individuelle. Une politique de refus par catégorie visant les associations devient alors un manquement caractérisé, et non plus une question d’appréciation.

Ce que le texte de 2023 impose concrètement mérite d’être détaillé, parce qu’il transforme le refus en étape procédurale contrôlable. L’établissement doit définir par écrit ses critères de rejet, de résiliation et de refus d’opération, et surtout les options d’atténuation envisagées avant tout refus. Il doit s’être assuré d’avoir envisagé et écarté toutes les mesures raisonnablement applicables avant de rejeter une relation. Chaque décision de refus est documentée avec sa motivation et tenue à la disposition de l’autorité compétente. Le client est informé de son droit de saisir l’autorité compétente ou l’organisme de règlement extrajudiciaire des litiges.

Le texte fournit enfin une liste fermée de huit restrictions ciblées à examiner comme alternative au refus :

1. absence de découvert,
2. plafond de chiffre d’affaires mensuel,
3. limites sur le montant,
4. le type ou le nombre de virements,
5. limites sur les opérations vers ou depuis des pays tiers,
6. plafond de dépôt,
7. limites aux paiements de tiers,
8. limites aux paiements reçus de tiers non vérifiés,
9. interdiction des retraits d’espèces depuis des pays tiers.

En contrôle, la question ne sera donc pas de savoir si le refus était fondé, mais si ces huit options ont été examinées et pourquoi elles ont été écartées.

Pour la clientèle associative, une grille d’analyse dédiée existe depuis mars 2023, dans l’annexe que les orientations EBA/GL/2023/03 ont ajoutée aux orientations facteurs de risque. Elle liste six éléments de compréhension à recueillir, douze facteurs de risque et huit facteurs d’atténuation.

Un point y contredit une pratique courante : le texte vise les catégories de bénéficiaires de l’organisation, jamais les bénéficiaires nommément, l’EBA l’ayant précisé après consultation au double motif du droit international humanitaire et de la protection des données. Exiger d’une organisation humanitaire la liste nominative de ses bénéficiaires n’est pas une diligence renforcée, c’est une demande que le texte écarte.

Maintenir les dossiers à jour : revue périodique et événements déclencheurs

La connaissance client se maintient à deux rythmes : une revue cadencée selon le niveau de risque, et une revue hors calendrier déclenchée par un événement (changement d’activité, opération atypique, évolution de l’actionnariat). La règle est simple ; le point dur, c’est le stock.

Réactualiser un portefeuille ancien coûte plus cher que qualifier un nouveau client à l’onboarding, parce que les dossiers anciens présentent souvent des données manquantes (profession, numéro SIREN).

Un point de droit est souvent mal anticipé : la loi ne fixe pas de fréquence d’actualisation, mais la fréquence que l’établissement se donne lui devient opposable. La caisse régionale de la décision n° 2021-05 avait retenu deux ans pour le risque très élevé, trois ans pour le risque élevé et cinq ans pour le risque standard. Ayant défini cette périodicité, elle devait la respecter, sauf justification particulière. Ni l’ancienneté de la relation, ni la faible activité du compte, ni son inactivité n’ont été admises comme motif de dérogation, et le Conseil d’État a confirmé la décision.

La conséquence, contre-intuitive, mérite d’être posée franchement : une procédure ambitieuse mal tenue expose davantage qu’une procédure modeste et respectée. Avant de raccourcir les cycles de revue dans un document interne, il faut vérifier que le stock de dossiers permet de tenir l’engagement. La marge se réduit toutefois au 10 juillet 2027, l’article 26§2 de l’AMLR fixant un plafond d’un an en vigilance renforcée et de cinq ans pour les autres clients : une périodicité auto-déclarée plus longue cessera d’être défendable.

Cette logique prolonge l’étape de vigilance constante décrite plus haut, et anticipe les orientations de l’AMLA sur la surveillance continue de la relation d’affaires.

Tracer ne suffit pas : la qualité de la décision

La traçabilité est nécessaire, elle n’est pas suffisante. Une décision peut être conservée cinq ans et rester indéfendable si elle n’expose pas les diligences accomplies. L’article 4 de l’arrêté du 6 janvier 2021 impose que le classement sans suite d’une alerte soit « dûment motivé ».

La Commission des sanctions a précisé ce que cela exclut : dans la décision n° 2023-01, des alertes clôturées d’un « Ok », « RAS » ou « VIRT », ou par un simple menu déroulant, ont été jugées non motivées. Détail qui pèse : le rapport d’audit interne de l’établissement avait lui-même identifié le problème avant le contrôle, ce qui n’a pas atténué le grief.

Une décision KYC, comme une décision de qualification d’alerte, est suffisamment motivée quand elle est intelligible par un tiers, fondée sur des éléments pertinents et reproductible : un contrôleur qui reprend le dossier doit comprendre le raisonnement suivi et pouvoir en apprécier la cohérence. C’est à cette aune que se juge la piste d’audit, non au seul fait qu’une trace existe.

Un test de relecture utile, applicable en revue de second niveau : reprendre dix classements sans suite au hasard et vérifier qu’un lecteur extérieur au dossier peut répondre à trois questions sans consulter personne. Quel élément a déclenché l’alerte, quelles vérifications ont été conduites, pourquoi ces vérifications lèvent le doute. Un commentaire qui laisse une de ces trois questions ouverte relève de la même catégorie que le « RAS » sanctionné.

Outils et automatisation du KYC en banque

Un dispositif KYC tient rarement sans outillage dédié, encore faut-il qu’il réponde aux exigences d’auditabilité du superviseur.

La fragmentation du système d’information, angle mort du KYC bancaire

Le débat sur l’outillage KYC est souvent posé en termes d’équipement, alors qu’aucune banque ne tient son dispositif sous tableur. Le vrai sujet bancaire est ailleurs : l’établissement est équipé, souvent bien équipé, mais ses outils ne se parlent pas. Les décisions de la Commission des sanctions le montrent mieux qu’un argumentaire d’éditeur.

Premier cas, la donnée existe et n’est pas lue.

Chez un établissement de paiement sanctionné en 2021, le score de risque client était calculé, documenté, et l’outil de surveillance ne l’exploitait pas. La classification tournait à vide. Ce défaut est le plus fréquent, et c’est aussi le plus facile à détecter en audit interne : il suffit de vérifier qu’un changement de score produit un changement de comportement du moteur d’alertes.

Second cas, plus difficile, la divergence.

Dans une décision de 2021 visant une succursale de banque en ligne, deux outils coexistaient, l’un attribuant le profil de risque à l’entrée en relation, l’autre déclenchant les alertes de surveillance. Ils pondéraient différemment des facteurs comme la qualité de personne politiquement exposée ou la catégorie socio-professionnelle, et produisaient donc pour un même client deux profils incohérents. Le grief a été retenu, et l’incohérence entre les deux scores a également été jugée à l’origine du mauvais paramétrage des seuils d’alerte. Un audit qui ne cherche que le premier défaut passe à côté de celui-ci, parce que chaque système, examiné isolément, fonctionne correctement.

Ce que ces deux cas imposent en pratique : une source de référence identifiée pour chaque donnée du profil, une responsabilité attribuée sur cette source, un traitement documenté des divergences entre systèmes, et un test de bout en bout qui vérifie qu’une modification du dossier client se propage jusqu’à la règle de détection. La couverture fonctionnelle de chaque outil ne dit rien de cette continuité, qui est pourtant ce que le contrôle éprouve.

Trois substituts ont par ailleurs été écartés par la Commission, et il est utile de les connaître avant de les invoquer. Dans une banque de la taille d’une caisse régionale, la vigilance humaine complète les alertes d’un dispositif automatisé sans pouvoir s’y substituer : la connaissance qu’un chargé de clientèle a de ses clients est un apport réel, elle ne constitue pas un dispositif de surveillance au sens de l’article L561-32. Un dispositif anti-fraude documentaire ne tient pas lieu de dispositif LCB-FT et le plafonnement des montants d’opérations ne dispense pas de les surveiller.

Les exigences d’auditabilité qui pèsent sur l’outillage sont développées dans notre comparatif des solutions KYC.

Les critères de choix d’une solution KYC bancaire

Le choix d’une solution KYC bancaire se juge sur un faisceau de critères concrets : la couverture des cinq briques du processus (identification, classification, screening, vigilance, audit), la qualité et la fraîcheur des listes, la finesse du paramétrage du scoring, l’auditabilité de bout en bout, l’intégration par API au système d’information bancaire, et l’hébergement souverain des données.

Les décisions de sanction suggèrent une série de questions à poser en consultation, plus discriminantes qu’une grille de fonctionnalités.

• Le score de risque du client est-il lu par le moteur de surveillance, et par quel mécanisme ? La rupture entre les deux est le manquement le plus fréquemment relevé.
• La solution sait-elle rejouer un calibrage à une date passée, avec la version des listes et le paramétrage alors en vigueur ? C’est ce qui permet de répondre à un contrôle portant sur un exercice antérieur.
• Le paramétrage des seuils est-il documenté avec sa justification, et pas seulement avec sa valeur ? L’article 20§4 de l’AMLR en fera une obligation permanente au 10 juillet 2027.
• Le système produit-il un indicateur de règles dormantes et un indicateur d’ancienneté des alertes non traitées ? Ce sont les deux chiffres que le superviseur reconstitue lui-même s’il ne les trouve pas.
• La motivation d’un classement sans suite est-elle contrainte par un champ libre exploitable, ou réduite à une liste déroulante ? Le second cas a été explicitement sanctionné.
• Le criblage PPE et sanctions restitue-t-il les cas manqués sur un jeu de test, et pas seulement un taux de concordance ?

Le choix entre une solution tout-en-un et une approche best of breed dépend de la taille et de l’architecture existante ; il ne se tranche pas dogmatiquement. Sur la classification, la solution retenue doit permettre de combiner classification discriminante et scoring dans une approche hybride auditable, plutôt que de les opposer.

Ces critères de choix sont développés dans notre livre blanc KYC.