KYC (connaissance client) : définition, obligations et mise en œuvre

Le KYC (Know Your Customer, « connaître son client ») désigne l’ensemble des procédures de connaissance client qui permettent à une entreprise assujettie d’identifier son client, d’évaluer son niveau de risque de blanchiment de capitaux et de financement du terrorisme, puis de surveiller la relation d’affaires dans le temps. En France, cette obligation découle du Code monétaire et financier et constitue l’un des socles du dispositif LCB-FT.

L’ESSENTIEL EN 30 SECONDES

• Le KYC est une obligation légale : identification et vérification d’identité (art. L561-5 CMF), connaissance de la relation d’affaires (art. L561-5-1) et vigilance constante (art. L561-6).
• Il concerne tous les assujettis listés à l’article L561-2 CMF : banques, assureurs, mutuelles, intermédiaires, professions du chiffre et du droit, immobilier, jeux, crypto-actifs.
• Il ne se réduit pas à la vérification d’identité : un client parfaitement identifié peut être sous sanctions, politiquement exposé ou présenter un profil de risque élevé.
• Le niveau de vigilance s’adapte au risque : vigilance simplifiée, standard, mesures complémentaires ou examen renforcé.
• Chaque décision doit être tracée et justifiable : c’est ce que l’ACPR vérifie en priorité lors de ses contrôles.
• Le paquet AML européen adopté en 2024 (règlement AMLR, applicable à partir de juillet 2027) harmonise et durcit ces exigences.

Derrière l’acronyme, un dispositif à la fois technique et réglementaire, étroitement surveillé, souvent mal compris. Le KYC engage une chaîne de décisions, de validations et de responsabilités, appliquée au jour le jour, client par client. Ce guide définit le cadre, détaille les composantes du dispositif et donne les repères opérationnels pour le mettre en œuvre.

Si vous souhaitez approfondir le sujet KYC, de son contexte à la mise en œuvre concrète d’un dispositif dans votre entreprise, nous vous proposons la lecture de ce livre blanc qui fait un tour d’horizon complet de ce sujet.

Qu’est-ce que le KYC et pourquoi est-ce un enjeu pour votre entreprise ?

Le KYC désigne l’ensemble des procédures qui permettent à une entreprise d’identifier un client, d’évaluer son niveau de risque et de surveiller l’évolution de cette relation dans le temps.

Il s’inscrit dans le cadre plus large de la LCB-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme) et des obligations de vigilance définies par le Code monétaire et financier.

Mais au-delà du cadre juridique, le KYC est devenu une fonction critique dans toute organisation exposée au risque de délinquance financière. Il ne s’agit plus seulement de se conformer : il s’agit de prévenir, de documenter, de justifier, de pouvoir démontrer car contrairement à une idée répandue, le KYC ne se limite ni à la collecte de documents ni à une vérification d’identité ponctuelle.

C’est un processus structuré, articulé autour de quatre composantes clés, qui s’étend de l’entrée en relation jusqu’à la fin de la relation d’affaires avec une exigence continue de mise à jour et de réévaluation.

Dans la pratique, la démarche KYC complète comprend :

• La collecte de données : pièces d’identité, justificatifs de domicile, informations juridiques et financières.
• La vérification : contrôle de l’authenticité et cohérence des documents, recoupement avec des bases officielles ou listes de sanctions.
• La mise à jour régulière : un KYC n’est pas figé, il doit être revu à fréquence adaptée pour rester conforme aux évolutions du client et aux exigences réglementaires.

Bien mené, le KYC n’est pas seulement une contrainte administrative : c’est un outil stratégique pour sécuriser l’activité, anticiper les risques et garantir la traçabilité des relations d’affaires.

Que signifie KYC ?

KYC est l’acronyme de Know Your Customer, que les textes et les praticiens français traduisent par « connaissance du client » ou « connaissance client ». Le terme n’est pas défini comme tel dans le Code monétaire et financier : il recouvre, dans l’usage professionnel, les obligations d’identification et de vérification d’identité (art. L561-5 CMF), de connaissance de la relation d’affaires (art. L561-5-1) et d’adaptation des mesures de vigilance au risque (art. L561-4-1).

Dans certains secteurs, l’usage étend le périmètre du KYC au devoir de conseil (assurance vie, services d’investissement) et aux diligences sur les tiers. La connaissance client au sens LCB-FT ne doit pas être confondue avec la connaissance client au sens marketing (CRM, fidélisation) : la première est une obligation de vigilance, la seconde une pratique commerciale.

D’où vient le KYC ?

Le KYC ne provient pas d’un texte unique. Il s’est construit progressivement dans le cadre de la lutte contre le blanchiment et le financement du terrorisme.

Les premières bases apparaissent aux États-Unis avec le Bank Secrecy Act (1970), qui impose aux institutions financières de conserver certaines informations et de signaler les opérations suspectes. En 1989, la création du GAFI structure les standards internationaux.

L’Union européenne formalise ces obligations avec la première directive anti-blanchiment (1991), qui impose l’identification des clients. Les textes suivants renforcent progressivement le dispositif et introduisent une approche fondée sur le risque.

Depuis les années 2010, le cadre s’est encore étendu : transparence sur les bénéficiaires effectifs, vigilance renforcée sur les personnes politiquement exposées, et adaptation aux nouveaux acteurs et aux actifs numériques.

En 2024, l’Union européenne a adopté un nouveau paquet législatif anti-blanchiment (règlement AMLR, sixième directive, création de l’autorité européenne AMLA) qui remplacera progressivement le cadre des directives (voir plus bas).

Et ce n’est pas une formalité unique : le risque évolue, le client aussi, le KYC est un dispositif vivant.

KYC et CDD : deux termes pour un même socle

Le GAFI, qui fixe les standards internationaux, n’emploie pas le terme KYC mais celui de Customer Due Diligence (CDD). Sa Recommandation 10 en fixe les quatre composantes : identifier et vérifier le client, identifier et vérifier le bénéficiaire effectif, comprendre l’objet et la nature de la relation d’affaires, exercer une surveillance continue.

Dans l’usage opérationnel, une distinction est utile : le KYC produit les données de connaissance client (identification, documents, screening), la CDD exploite ces données pour qualifier le risque et déterminer le régime de vigilance applicable. Cette lecture permet de repérer une pathologie fréquente : des dossiers KYC documentairement exhaustifs, mais déconnectés de toute analyse de risque et de toute logique de vigilance dans le temps. Nous détaillons cette articulation dans notre article sur la Customer Due Diligence.

Les 3 objectifs fondamentaux de KYC

Le KYC vise trois objectifs complémentaires et indissociables :

1. Identifier : assurer l’identification du client, de ses représentants légaux, de ses bénéficiaires effectifs et de toute personne exerçant un contrôle effectif. Cette étape va bien au-delà de la collecte de justificatifs : elle suppose une lecture rigoureuse des structures et une compréhension des rôles exercés.
2. Évaluer : évaluer le niveau de risque de blanchiment ou de financement du terrorisme en s’appuyant sur des critères objectifs (secteur, pays, complexité, historique). Cette évaluation est indispensable pour ajuster les diligences et ne pas appliquer un traitement uniforme à des situations qui ne le sont pas.
3. Adapter la vigilance : le KYC ne s’arrête pas une fois le dossier complété, il se pilote dans la durée, selon le niveau de risque. Le suivi s’adapte : plus la relation est sensible, plus la vigilance doit être active.

Les défis des équipes responsables du KYC

Concrètement, mettre en œuvre un KYC conforme et efficace implique de relever plusieurs défis quotidiens :

• Traduire la réglementation en règles métiers applicables : la loi fixe des principes, ce sont les équipes qui doivent les transformer en workflows, documents attendus, critères de scoring ou règles de clôture.
• Collecter les bonnes données, au bon moment, auprès des bons interlocuteurs : la donnée est au cœur du dispositif mais en pratique, elle est souvent dispersée, hétérogène, ou obsolète. Des informations clés (bénéficiaires effectifs, justificatifs d’adresse, situation juridique ou financière) peuvent manquer ou se contredire, ce qui ralentit l’analyse et fragilise la conformité.

Pourtant, un KYC bien conçu est aussi un puissant levier d’enrichissement de la donnée client. Il permet non seulement de structurer et fiabiliser les informations collectées, mais aussi d’y ajouter des données issues de sources externes via API par exemple l’identification automatique de dirigeants, le statut de personne décédée, ou des indicateurs financiers sur la santé de l’entreprise.

Ce type d’enrichissement passif, sans sollicitation supplémentaire de l’utilisateur, améliore la qualité de la base client, alimente les analyses internes et fait gagner du temps aux équipes.

En ce sens, le KYC dépasse largement sa fonction réglementaire : bien exploité, il devient un socle pour une connaissance client à la fois plus complète, plus dynamique et plus exploitable.

• Maintenir un dispositif fluide et traçable malgré la pression documentaire : chaque justification doit pouvoir être retrouvée et expliquée. Chaque décision arbitrée.
• Gérer le volume sans sacrifier la qualité : la plupart des équipes conformité sont confrontées à une volumétrie croissante, sans gain équivalent de ressources ou de moyens.

L’enjeu n’est pas théorique. Selon le Financial Crime Industry Trends Report 2025 de Fenergo (enquête auprès de 600 décideurs d’institutions financières au Royaume-Uni, aux États-Unis et à Singapour), 70 % des institutions déclarent avoir perdu un client ou un investisseur au cours de l’année écoulée à cause d’un onboarding lent ou inefficace. Une enquête antérieure du même cabinet estimait le coût moyen d’une revue KYC à environ 2 600 dollars par dossier en 2023, en hausse de 17 % sur un an.

Réglementation KYC : quelles obligations légales ?

Le KYC n’est pas une pratique de confort. C’est une exigence légale, imposée par le Code monétaire et financier et issue des textes européens relatifs à la lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT).

Les textes applicables en France

L’obligation repose sur plusieurs articles du Code monétaire et financier, notamment :

• L561-2, qui dresse la liste des entités assujetties,
• L561-5, qui impose l’identification du client et, le cas échéant, du bénéficiaire effectif,
• L561-5-1, qui impose de recueillir les informations relatives à l’objet et à la nature de la relation d’affaires,
• L561-6, qui fixe l’obligation de vigilance tout au long de la relation d’affaires.

Le déclencheur est clair : toute relation d’affaires (définie à l’article L561-2-1 CMF) ou toute opération ponctuelle atteignant un seuil réglementaire (article R561-10 CMF) implique l’application des mesures de vigilance.

Le niveau de ces mesures s’ajuste au risque, selon quatre régimes définis par le CMF : vigilance simplifiée (art. L561-9) lorsque le risque est faible, vigilance standard (art. L561-5 et L561-6), mesures de vigilance complémentaires (art. L561-10, notamment pour les PPE) et examen renforcé (art. L561-10-2) pour les opérations particulièrement complexes ou d’un montant inhabituellement élevé.

Ces exigences s’inscrivent dans un cadre européen harmonisé, construit par les directives anti-blanchiment successives (dont la cinquième directive UE 2018/843, transposée en droit français) et en cours de refonte par le paquet AML de 2024.

Ce qui change avec le paquet AML européen

Adopté en juin 2024, le paquet européen anti-blanchiment transforme le cadre du KYC sur trois plans :

1. Le règlement AMLR (UE) 2024/1624, applicable à partir de juillet 2027, remplace la logique de directive par un règlement d’application directe : les obligations de vigilance seront harmonisées dans toute l’Union, sans transposition nationale.
2. L’article 20 de l’AMLR intègre explicitement le criblage contre les listes de sanctions et l’identification des PPE dans la définition légale de la vigilance client. Le screening cesse d’être une pratique de marché ajoutée au KYC : il devient une composante de l’obligation elle-même, y compris la détection des entités détenues ou contrôlées à plus de 50 % par une personne sanctionnée.
3. L’AMLA, nouvelle autorité européenne de lutte anti-blanchiment, supervisera directement les établissements financiers les plus exposés et harmonisera les pratiques de contrôle nationales.

Pour les équipes conformité, l’échéance de 2027 se prépare dès maintenant : cartographie des écarts entre le dispositif actuel et les exigences AMLR, fiabilisation des données de connaissance client, et industrialisation du screening.

Quels risques en cas de manquement ?

En cas de manquement, les risques sont multiples :

• sanctions administratives et disciplinaires prononcées par les autorités de contrôle (ACPR, AMF), pouvant aller jusqu’à des sanctions pécuniaires publiées,
• sanctions CNIL sur le volet données personnelles du dispositif (le KYC est un traitement de données soumis au RGPD),
• poursuites pénales dans les cas les plus graves,
• failles opérationnelles : détection tardive d’un risque, incapacité à justifier une décision, défaut de traçabilité.

Tracfin, de son côté, ne sanctionne pas, mais peut transmettre un signalement au procureur de la République.

Le KYC est l’un des piliers de la vigilance, il conditionne la conformité, mais aussi la résilience des dispositifs face aux risques financiers et réputationnels.

Quelles sont les différences entre KYC et LCB-FT ?

KYC et LCB-FT sont souvent utilisés de manière interchangeable, pourtant, il ne s’agit pas de synonymes.

Le KYC constitue l’une des composantes du dispositif LCB-FT, mais il ne l’épuise pas, l’un relève d’une mécanique opérationnelle, l’autre d’un cadre réglementaire plus large.

C’est une confusion fréquente dans les discours marketing comme dans certaines implémentations logicielles : croire que “faire du KYC” revient à être conforme à ses obligations LCB-FT, c’est inexact.

La réalité est plus structurée :

Un bon KYC est un prérequis, mais ce n’est qu’un maillon dans la chaîne de vigilance.

Qui est soumis aux obligations KYC en France ?

Longtemps cantonné aux banques et aux assurances, le KYC s’est imposé bien au-delà du secteur financier. D’année en année, la réglementation s’est renforcée, le champ des acteurs concernés s’est étendu, sans retour en arrière.

L’article L.561-2 du Code monétaire et financier fixe la liste des entités assujetties, elle est longue, précise, et ne cesse d’évoluer.

Aujourd’hui, sont notamment concernés :

• les établissements de crédit, de paiement et de monnaie électronique,
• les compagnies d’assurance et mutuelles,
• les entreprises d’investissement et sociétés de gestion,
• les intermédiaires en opérations de banque ou en assurance,
• les avocats, notaires, huissiers, commissaires aux comptes,
• les experts-comptables et conseils fiscaux,
• les agents immobiliers, marchands de biens, syndics,
• les opérateurs de jeux, casinos, paris en ligne,
• les plateformes de financement participatif,
• les prestataires de services sur actifs numériques (PSAN)
• les antiquaires, les commissaires-priseurs, les maisons de vente.

La liste complète est accessible sur Legifrance.

Les 4 composantes du KYC

Le KYC dépasse largement la simple collecte de justificatifs. C’est un dispositif structuré, articulé autour de quatre composantes indissociables : établir la relation d’affaires, identifier les parties, évaluer le risque, et surveiller dans le temps.

Chaque composante joue un rôle précis, leur maîtrise conditionne la robustesse de l’ensemble.

Établir la relation d’affaires

Toute obligation KYC repose sur l’existence d’une relation d’affaires, c’est le point de départ. Elle se caractérise par un lien stable, contractuel ou implicite, entre un client (personne physique ou morale) et une entité assujettie.

C’est l’article L561-2-1 du CMF qui la définit ; en dehors de ce cadre, le client occasionnel déclenche les obligations de vigilance au-delà des seuils fixés par l’article R561-10 (15 000 euros dans le cas général, sans aucun seuil pour la transmission de fonds).

Mais il ne suffit pas d’identifier l’entité contractante, il faut aussi qualifier tous les intervenants de la relation :

• les représentants légaux,
• les bénéficiaires effectifs,
• les tiers impliqués dans l’exécution ou la structuration des opérations.

Si vous avez besoin d’analyser les risques liés à un tiers avant d’établir la relation d’affaires, nous avons développé un outil qui permet de le faire en un clic.

L’analyse doit être globale, c’est elle qui permettra ensuite de déterminer la nature des obligations de vigilance à appliquer.

L’identification et la vérification de l’identité

C’est la première brique opérationnelle. Identifier un client, ce n’est pas recopier une fiche signalétique, c’est vérifier, documenter, archiver.

Pour une personne physique, cela implique :

• la collecte des données de base (nom, date et lieu de naissance, nationalité),
• la vérification des pièces justificatives (CNI, passeport, justificatif de domicile),
• la conservation de ces éléments, dans des conditions qui garantissent leur intégrité et leur accessibilité.

Pour une personne morale (Know Your Business) :

• identification de la structure (raison sociale, forme, SIREN etc),
• vérification de l’identité des représentants,
• collecte et qualification des bénéficiaires effectifs. Identification et vérification sont indissociables : l’une sans l’autre rend le dispositif incomplet.

La vérification d’identité (IDV) est une brique du KYC, elle n’en est pas le synonyme : un client parfaitement identifié peut être sous sanctions, politiquement exposé ou présenter un profil de risque élevé. Réduire le KYC à l’IDV expose à une double impasse : non-conformité sur la connaissance de la relation d’affaires (art. L561-5-1) et sur-contrôle des dossiers à faible risque.

L’évaluation du risque

Chaque relation d’affaires doit être évaluée en fonction de son niveau de risque, c’est le principe de base des obligations de vigilance.

Cette évaluation repose sur des critères objectifs :

• activité du client, zone géographique, complexité de la structure,
• historique de la relation, comportement transactionnel,
• exposition médiatique ou politique.

En pratique, deux logiques se combinent. Des règles discriminantes traitent les cas absolus : sanctions, gel des avoirs, liste noire GAFI. Un seul critère suffit alors à déclencher la décision, sans pondération possible. Pour le reste du portefeuille, un scoring par pondération agrège les critères de risque en un risque brut, applique les mesures d’atténuation mises en place, et produit un risque net. C’est ce risque net qui détermine le niveau de vigilance :

• les diligences à appliquer,
• la fréquence des revues,
• le niveau de documentation requis.

L’évaluation doit être traçable, justifiée, révisable, toute approximation expose à un défaut de vigilance.

La surveillance continue

Le KYC ne s’arrête pas une fois le client identifié, il se prolonge dans le temps. La surveillance continue vise à détecter, sans rupture, tout changement significatif dans la situation du client ou dans la relation.

Il peut s’agir :

• d’une modification d’actionnariat,
• d’un changement de dirigeant ou de bénéficiaire effectif,
• d’un signalement dans les médias,
• d’une transaction atypique ou inhabituelle.

Cette surveillance repose sur trois piliers :

• des données à jour,
• un profil de risque initial précis,
• des règles de déclenchement claires et maîtrisées.

Sans ce suivi dans la durée, le KYC devient obsolète et l’entreprise, aveugle face à ses propres risques.

Quelles sont les grandes étapes pour structurer son processus KYC ?

Mettre en œuvre un processus KYC conforme ne se résume pas à un empilement de procédures ou de solutions logicielles. C’est un enchaînement logique, structuré, séquencé et chaque étape repose sur la précédente pour préparer la suivante.

Le dispositif s’organise de la collecte initiale des données jusqu’à la surveillance continue et la gestion des alertes, en passant par la vérification des documents, la constitution du profil client et l’évaluation du risque. Chaque bloc doit être formalisé, traçable et aligné sur les obligations légales : qui a collecté quoi, qui a vérifié, sur quelle base le risque a été évalué, quelle décision a été prise et par qui.

Nous détaillons chaque étape, les points de contrôle attendus par l’ACPR et les pièges classiques dans notre article dédié : bâtir un processus KYC opérationnel.

KYC fiabilisé : quels avantages pour les entreprises ?

Ce n’est ni un concept réglementaire, ni une obligation en soi, pourtant, c’est ce qui fait la différence entre un KYC défendable, et un KYC vulnérable.

Un KYC fiabilisé, c’est un dispositif :

• complet (toutes les étapes sont couvertes),
• exact (les données sont justes, vérifiées, à jour),
• traçable (chaque décision peut être expliquée),
• maîtrisé (aucune dépendance à un acteur ou à un outil sans contrôle),
• durable (capable de résister dans le temps, à charge et sous contrainte).

C’est l’opposé d’un KYC bricolé, dispersé entre plusieurs outils, non documenté, ou figé dans des procédures manuelles opaques. Et les bénéfices sont concrets.

Prévenir les activités illicites

Un KYC fiabilisé permet de repérer plus tôt les signaux faibles, de détecter les incohérences dans les déclarations, de croiser efficacement les informations. Il devient un outil de défense actif contre le blanchiment, le financement du terrorisme, la fraude.

Protéger la réputation de l’entreprise

En cas de contrôle, ce qui est demandé, c’est la capacité à prouver, justifier une clôture d’alerte, expliquer une absence de déclaration, produire une piste d’audit complète retraçant chaque étape de la revue.

Un KYC maîtrisé renforce la crédibilité de l’entreprise auprès des régulateurs, partenaires et clients.

Réduire le risque de sanction

L’ACPR, l’AMF ou les juridictions pénales peuvent prononcer des sanctions administratives, disciplinaires ou pénales en cas de manquement. La CNIL peut sanctionner le volet données personnelles du dispositif. Tracfin, de son côté, ne sanctionne pas, mais peut transmettre un signalement au procureur de la République. Le simple fait de ne pas pouvoir justifier une décision, clôture d’alerte, absence de revue, incohérence documentaire, peut suffire.

Fiabiliser son KYC, c’est réduire cette exposition à la source.

Gagner en efficacité opérationnelle

Un dispositif bien structuré réduit le bruit, moins de fausses alertes, de ressaisies, d’arbitrages non tracés. Cela permet aux équipes de se concentrer sur les dossiers à enjeu, et de sécuriser les points de contrôle clés.

Renforcer la confiance client

Dans certains secteurs, le KYC est vécu comme une contrainte mais quand il est bien mené, fluide, transparent, il devient un facteur de confiance. Le client voit que l’entreprise maîtrise son process et cela peut faire la différence.

KYC : la collecte des documents

Le KYC repose sur des données fiables et ces données s’appuient sur des documents précis, justifiés, exploitables.

Encore faut-il savoir quelles pièces demander, à quel profil de client, et dans quel contexte de vigilance. Personne physique ou morale, structure simple ou complexe, niveau de vigilance standard ou renforcé : les documents requis varient.

D’où la nécessité d’une checklist formalisée, adaptée aux typologies de clients et aux obligations applicables (articles L.561-5 et L.561-6 du Code monétaire et financier).

Elle permet :

• d’unifier les pratiques entre équipes,
• de fiabiliser la collecte dès l’entrée en relation,
• de limiter les oublis ou écarts de traitement,
• et de justifier les diligences appliquées en cas de contrôle ou d’audit.
• Ces exigences doivent ensuite se traduire, concrètement, dans une collecte de données adaptée à chaque type de client.

À titre illustratif, les tableaux suivants présentent les cas les plus fréquents : personnes physiques et personnes morales à structure simple.

• les informations à recueillir,
• les documents justificatifs attendus,
• les adaptations éventuelles selon le niveau de vigilance.

Pour centraliser cette collecte, limiter les erreurs et accélérer les délais, le plus efficace reste le recours à un formulaire digital structuré. Il permet d’aligner les exigences réglementaires avec l’expérience utilisateur sans compromis sur la conformité, la traçabilité ou l’auditabilité.

Exemple – les documents à recueillir pour une personne physique :

• Identité : CNI ou passerport en cours de validité.
• Adresse : justificatif de moins de trois mois.
• Revenu ou patrimoine estimé : bulletin de salaire ou avis d’imposition.
• Mandat ou délégation (si tiers intervenant) : mandat signé, procuration, attestation de représentation.
• Evénement significatif ou changement de situation : justificatif ou, à défaut, commentaire de requalification documentée (expliquant l’absence de la pièce attendue)

Autre exemple : les documents à recueillir pour un cas standard de personne morale :

• Identité de la structure : extrait Kbis (ou équivalent) de moins de trois mois, statuts à jour, numéro SIREN ou équivalent.
• Adresse du siège : justificatif d’adresse de la société (facture, contrat de bail, etc.)
• Situation financière ou activité : derniers comptes annuels, bilan, justificatif d’ouverture de compte bancaire, attestation fiscale ou autre preuve d’activité.
• Mandat ou délégation (si tiers intervenant) : mandat signé ou procuration, attestation de représentation (si le signataire n’est pas le représentant légal).
• Bénéficiaires effectifs : liste des bénéficiaires effectifs (avec % de détention ou contrôle), pièce d’identité pour chaque bénéficiaire effectif.
• Evénement significatif ou changement de situation : document mis à jour (nouveau Kbis, statuts modifiés etc). À défaut, commentaire formalisé expliquant l’absence de pièce (non requis si la mise à jour n’impacte pas le risque).

KYC : top 5 des erreurs à éviter

Plusieurs manquements récurrents sont régulièrement pointés par l’ACPR dans ses rapports, lettres de suite ou décisions de sanction.

Notre analyse croisée, menée à partir de ces sources et de retours d’expérience terrain, permet d’identifier les failles les plus fréquemment observées, celles qui affaiblissent les dispositifs et exposent directement les entreprises à un risque de non-conformité.

Ne pas formaliser l’évaluation du risque

Qualifier un client comme “standard” sans méthode définie, sans critères objectifs, ni grille validée : c’est l’un des manquements les plus répétés dans les contrôles. Toute évaluation doit être traçable, justifiée, reproductible, à défaut, le traitement devient arbitraire et le dispositif, non opposable.

Laisser le profil client devenir obsolète

Un profil de risque figé est un point mort dans la vigilance, sans revue périodique ni mise à jour en cas d’événement significatif, l’entreprise perd la maîtrise du risque réel. L’ACPR sanctionne régulièrement l’absence de revue formalisée ou le non-respect des échéances.

Omettre de déclencher les diligences renforcées

Un client classé à risque élevé doit faire l’objet de mesures spécifiques : examen renforcé, documentation accrue, revue plus fréquente. Ne pas appliquer ces mesures revient à neutraliser le principe même de vigilance différenciée.

Ne pas pouvoir justifier ses arbitrages

Le refus d’une diligence, la clôture d’une alerte, la qualification d’un client en “faible risque” : chaque décision doit être tracée, argumentée, et disponible à tout moment. Ce n’est pas qu’une exigence documentaire, c’est aussi une condition de défense en cas de contrôle.

Un point de doctrine à connaître : les critères que l’assujetti fixe dans ses propres procédures lui sont opposables au même titre que les critères légaux. Dans sa décision n°2024-01 (Banque Chaabi du Maroc), la Commission des sanctions de l’ACPR a retenu que l’établissement n’appliquait pas son propre seuil interne de requalification des clients occasionnels en relation d’affaires : 38 % des 528 dossiers examinés par son contrôle interne présentaient ce défaut. La même jurisprudence rappelle que le niveau de risque d’un client (faible ou élevé) est indifférent pour la qualification en relation d’affaires : il détermine l’étendue des mesures de vigilance, pas la qualification elle-même

Externaliser sans encadrement clair

La délégation de tâches (collecte, filtrage LCB-FT, scoring) n’exonère en rien la responsabilité de l’entreprise. Sans gouvernance formalisée, sans supervision active, l’externalisation devient un facteur de non-conformité, pas un levier d’efficacité.

Quelles solutions digitales pour gérer le KYC et le transformer en avantage concurrentiel ?

Digitaliser le KYC ne consiste pas à automatiser pour automatiser, il s’agit de structurer un dispositif capable de tenir dans la durée, de s’adapter aux exigences réglementaires, et de soutenir les équipes dans les moments critiques : entrée en relation, alerte, audit, remédiation.

Une solution bien pensée ne se limite pas à alléger la charge.

Elle :

• facilite l’enrichissement automatique des profils (registre du commerce, listes de sanctions, données externes fiables),
• améliore la qualification des alertes,
• structure une traçabilité robuste, alignée sur les attentes des régulateurs.

Deux familles d’architecture coexistent sur le marché. Les solutions best of breed assemblent des briques spécialisées (screening, scoring, surveillance, archivage) intégrées via API : la personnalisation est poussée, au prix d’une DSI impliquée et d’une interopérabilité à piloter dans le temps. Les solutions tout-en-un regroupent l’ensemble des fonctionnalités dans un environnement unique : le dispositif est lisible et le pilotage centralisé, avec en contrepartie une dépendance plus forte à l’éditeur.

Le choix dépend de la volumétrie, de la maturité de l’organisation et des moyens techniques disponibles. À titre d’ordre de grandeur, la gestion des alertes représente le poste de coût le plus élevé sur la durée de vie d’un dispositif, autour de 2 euros par mois et par relation d’affaires surveillée (estimation issue de notre livre blanc KYC).

Nous détaillons les critères de choix, les architectures et la couverture fonctionnelle attendue sur notre page dédiée aux solutions KYC.

Passer du cadre à la pratique

Le KYC structure la relation d’affaires du premier contact jusqu’à sa clôture : identification, évaluation du risque, vigilance proportionnée, traçabilité des décisions. Les exigences se durcissent, le périmètre des assujettis s’étend, et l’échéance AMLR de 2027 va harmoniser les pratiques au niveau européen.

La solidité d’un dispositif se mesure à sa capacité à justifier chaque décision en contrôle, à absorber la volumétrie sans dégrader la qualité, et à maintenir la connaissance client à jour dans la durée. C’est sur ces trois points que se joue la différence entre un KYC défendable et un KYC vulnérable. Pour aller plus loin, notre livre blanc détaille la mise en œuvre complète d’un dispositif de connaissance client.

FAQ : les questions que se posent les professionnels du KYC

Le KYC est-il toujours déclenché par une relation d’affaires ?

Oui, en règle générale. La création d’une relation d’affaires au sens de l’article L561-2-1 du Code monétaire et financier déclenche les obligations de vigilance. Toutefois, le client occasionnel y est également soumis pour les opérations dépassant les seuils de l’article R561-10 (15 000 euros dans le cas général) et, sans aucun seuil, pour certaines opérations comme la transmission de fonds.

Une vigilance simplifiée est-elle possible pour un client déjà connu ?

Pas automatiquement. La vigilance simplifiée est encadrée par l’article L561-9 du Code monétaire et financier, qui prévoit deux voies alternatives : soit le risque paraît faible au regard de la classification des risques de l’assujetti (jugement à documenter et à justifier auprès de l’ACPR), soit le client ou le produit figure dans les listes réglementaires de faible risque (articles R561-15 et R561-16). Les modalités d’application sont fixées par les articles R561-14 à R561-14-2. La simple ancienneté ou régularité de la relation ne suffit pas.

Une vigilance simplifiée est-elle possible pour un client déjà connu ?

Un questionnaire KYC recueille les informations d’identification (état civil ou raison sociale), la situation professionnelle et financière, l’origine des fonds et, pour une personne morale, la structure de détention et les bénéficiaires effectifs. Pour le remplir efficacement, préparez les pièces justificatives correspondantes (pièce d’identité, justificatif de domicile, Kbis, statuts, liste des bénéficiaires effectifs) et veillez à la cohérence entre les informations déclarées et les documents fournis : toute divergence déclenche une demande complémentaire. Côté assujetti, un questionnaire structuré adapté à la typologie de client fiabilise la collecte et limite les allers-retours.

Comment automatiser les diligences KYC ?

Quatre briques se prêtent bien à l’automatisation : l’extraction des données documentaires (OCR sur pièces d’identité, Kbis, justificatifs), l’enrichissement par connecteurs vers les registres officiels (INPI, BODACC, registre des bénéficiaires effectifs), le screening continu contre les listes de sanctions, de PPE et de médias négatifs, et le calcul du score de risque selon la grille validée. L’automatisation ne supprime pas la supervision humaine : les alertes ambiguës, les signaux faibles et les décisions d’arbitrage restent de la responsabilité de l’équipe conformité, avec des règles de clôture formalisées.

C’est quoi le KYC en banque ?

En banque, le KYC s’applique dès l’ouverture de compte et tout au long de la relation : identification du titulaire et des mandataires, évaluation du profil de risque, surveillance des opérations. Les obligations sont les mêmes que pour les autres assujettis, mais la volumétrie, la diversité des produits et l’intensité des contrôles ACPR en font le secteur le plus exposé. C’est aussi pour cela que les demandes de mise à jour de dossier adressées aux clients (justificatifs, origine des fonds) se sont multipliées ces dernières années : une banque qui ne peut pas démontrer la connaissance de son client s’expose à une sanction, même sans blanchiment avéré.

Faut-il filtrer uniquement les représentants légaux d’une personne morale ?

Non. Le filtrage doit porter sur toutes les personnes physiques qui exercent un contrôle effectif ou bénéficient de la structure : représentants légaux, bénéficiaires effectifs, mandataires… Se limiter aux dirigeants est insuffisant et constitue un manquement aux exigences de vigilance.

Peut-on s’appuyer sur des bases externes pour enrichir un KYC ?

Oui, à condition que les sources soient fiables, pertinentes et licites. Les registres du commerce, les listes de sanctions, les bases de données PEP ou les médias négatifs bien sourcés permettent d’améliorer la qualité des informations, sans solliciter directement le client. Cela facilite l’identification des risques tout en allégeant la charge opérationnelle.

Comment évaluer le risque d’un client dans le cadre du KYC ?

Chaque relation d’affaires doit faire l’objet d’une évaluation du risque de blanchiment de capitaux et de financement du terrorisme. Cette évaluation repose sur des critères objectifs tels que l’activité exercée, la zone géographique, la complexité de la structure, l’exposition politique ou médiatique, ou encore l’historique de la relation.

Pour la structurer et garantir sa traçabilité, les entités assujetties s’appuient généralement sur une grille de risques. Cet outil permet d’objectiver le niveau de vigilance à appliquer (simplifiée, standard, complémentaire ou renforcée) et de justifier les arbitrages en cas de contrôle. La grille doit être formalisée, documentée et appliquée de façon homogène à l’ensemble du portefeuille.

Pour affiner le calibrage au-delà d’un scoring standardisé, les praticiens ajoutent des indicateurs métiers : complexité capitalistique, rotation des dirigeants, part d’activité à l’international, antécédents de remédiation. Un bon indicateur est pertinent au regard des risques LCB-FT, mesurable de manière objective et actionnable pour orienter les mesures de vigilance.

Les maires sont-ils des PPE et doit-on les filtrer ?

Non, les maires ne sont pas officiellement classés comme Personnes Politiquement Exposées (PPE) en France. Cependant, ils exercent une fonction publique locale impliquant la gestion de fonds publics, ce qui les expose aux risques de corruption et de blanchiment.

Bien que la réglementation française ne les qualifie pas formellement de PPE, une approche fondée sur les risques peut conduire à les filtrer. Le filtrage permet d’identifier d’éventuelles sanctions, condamnations ou expositions médiatiques défavorables, contribuant ainsi à une évaluation précise du risque client.

Des bases de données publiques, telles que le Répertoire national des élus, facilitent l’intégration de ces informations dans les outils de filtrage.

Une alerte peut-elle être clôturée automatiquement ?

Oui, à condition que les règles de clôture soient formalisées, documentées et validées en amont. Une clôture automatique ne peut reposer que sur des scénarios strictement encadrés. En cas de doute, de signal faible ou de comportement atypique, une supervision humaine reste obligatoire.

L’externalisation du KYC transfère-t-elle la responsabilité ?

Non. Même en cas d’externalisation (collecte, filtrage, scoring), l’entité assujettie reste seule responsable de la conformité du dispositif. Elle doit encadrer cette délégation, superviser les actions du prestataire et être en mesure de justifier chaque décision prise.