LCB-FT en banque : le dispositif + un modèle Excel de cartographie des risques

Une banque connaît les obligations de son dispositif LCB-FT : elle les a écrites dans ses procédures. Le contrôleur part d’ailleurs. Il dispose du questionnaire que l’établissement remplit chaque année sur son propre dispositif, et des décisions par lesquelles la Commission des sanctions de l’ACPR a qualifié les carences de ses pairs.

Cet article décrit le dispositif LCB-FT bancaire à partir de ces deux sources : ce que la banque déclare elle-même, et ce que la commission a retenu dans cinq décisions rendues entre 2022 et 2025 contre des établissements bancaires, du crédit spécialisé à la banque de réseau mutualiste. Il suppose connues les bases de la LCB-FT. La connaissance client est traitée dans notre article KYC banque.

Ce qu’un dispositif LCB-FT bancaire doit contenir

« Banque » recouvre plusieurs statuts. Les obligations du chapitre Ier du titre VI du livre V du Code monétaire et financier sont communes, mais le périmètre du reporting et certaines mesures varient selon le statut et l’activité. Les briques d’un dispositif LCB-FT, quel que soit le secteur, sont présentées sur notre page dédiée ; cette section en donne la déclinaison bancaire.

Les assujettis bancaires et leurs régimes

L’article L. 561-2 du CMF assujettit les établissements du titre Ier du livre V, y compris les succursales des établissements mentionnés aux articles L. 511-22 et L. 511-23 (1°), les établissements de paiement (1° bis) et les établissements de monnaie électronique (1° ter). Le contrôle LCB-FT de ces assujettis revient à l’ACPR (article L. 561-36, I, 1°).

Les établissements de crédit sont agréés en qualité de banque, de banque mutualiste ou coopérative, d’établissement de crédit spécialisé, d’établissement de crédit et d’investissement ou de caisse de crédit municipal (article L. 511-9). L’établissement de crédit spécialisé est une catégorie d’agrément à part entière. L’une des cinq décisions étudiées ici, la n° 2022-04, vise un établissement de crédit spécialisé, filiale captive d’un constructeur automobile.

Le périmètre du questionnaire annuel est plus étroit que celui de L. 561-2. L’article 1er de l’instruction n° 2022-I-18 vise notamment :

• personnes des 1° et 1° ter de L. 561-2 ;
• établissements de paiement, à l’exception de ceux agréés exclusivement pour les services des 7° et 8° du II de l’article L. 314-1 ;
• personnes des 6° et 6° bis de L. 561-2, à l’exclusion de celles qui relèvent du contrôle de l’AMF ;
• entreprises mères de groupe au sens du 1° de l’article 20 de l’arrêté du 6 janvier 2021.

Les établissements de l’Espace économique européen qui exercent en France par des agents ou des distributeurs relèvent d’un questionnaire distinct (page LCB-FT de l’ACPR).

Les quatre obligations qui structurent le dispositif

1. Classification des risques. L’article L. 561-4-1 impose une classification fondée sur cinq axes : produits et services, conditions de transaction, canaux de distribution, caractéristiques des clients, pays d’origine ou de destination des fonds. L’article 2 de l’arrêté du 6 janvier 2021 ajoute trois exigences : la documenter, évaluer les risques de tout nouveau produit ou canal avant son lancement, et la mettre à jour après tout événement interne ou externe affectant significativement l’activité. La méthode est détaillée dans notre guide classification des risques LCB-FT.

2. Vigilance. Identification et vérification d’identité (L. 561-5), recueil des informations sur l’objet et la nature de la relation et actualisation pendant toute sa durée (L. 561-5-1), vigilance constante (L. 561-6). La Commission des sanctions rappelle que l’établissement doit pouvoir établir, par tout moyen, que les informations dont il dispose sont suffisamment justifiées, les explications orales ne suffisant pas pour un client à risque élevé (décision n° 2021-05, § 11).

3. Détection et déclaration. L’article L. 561-32, I impose un dispositif de gestion des risques capable de détecter les personnes politiquement exposées et les opérations liées aux pays listés par le GAFI ou la Commission européenne (1° et 3° de L. 561-10), celles qui appellent un examen renforcé (L. 561-10-2) et celles qui doivent être déclarées à Tracfin (L. 561-15).

4. Contrôle interne. L’arrêté du 6 janvier 2021 organise deux niveaux. Le responsable du contrôle permanent vérifie que les dispositifs et procédures sont adaptés et effectivement appliqués, et il en rend compte aux dirigeants et à l’organe de surveillance (article 15). Le contrôle périodique vérifie, outre le respect des dispositions de l’article 13, « l’efficacité et le caractère approprié du contrôle permanent » (article 16). Ses programmes sont établis chaque année et doivent couvrir l’ensemble de l’activité sur une période qui ne peut excéder cinq ans.

Le contrôle périodique porte donc sur le contrôle permanent lui-même.

Le QLB, le document par lequel l’ACPR lit votre dispositif

Chaque année, l’établissement décrit son dispositif à l’ACPR dans un format imposé par l’instruction n° 2022-I-18, en vigueur depuis le 1er janvier 2024 et modifiée par l’instruction n° 2025-I-08 pour les modalités de remise. L’ACPR présente ces questionnaires comme « le socle pour l’approche de supervision des risques » qu’elle mène (présentation de l’ACPR).

Son guide méthodologique range le questionnaire parmi les instruments du contrôle permanent de l’ACPR, qui s’appuie sur les réponses pour évaluer le risque de chaque établissement, et précise que « le contrôle sur place vérifie notamment l’exactitude des réponses ». Une réponse qui ne correspond pas au dispositif réel devient ainsi un sujet de contrôle à part entière.

Ce que contient le questionnaire, tableau par tableau

Les tableaux BLANCHIMT figurent à l’annexe I. L’article 2 de l’instruction en fixe la répartition :

C’est au B7-1 que les banques répondent au premier chef. Le guide méthodologique (annexe V) le destine aux établissements de crédit, de paiement et de monnaie électronique, aux succursales européennes et aux prestataires de services d’investissement. Ses rubriques couvrent les comptes de dépôt et de paiement, les chèques, la gestion de fortune, la monnaie électronique, les transferts et la transmission de fonds, les agents et distributeurs, et la correspondance bancaire. La FAQ de l’ACPR en commente certaines questions, comme la 7.040 sur le compte principal. Elle les range par erreur sous l’intitulé « B7-2 ». Les obligations propres aux assureurs, qui répondent au B7-2, sont traitées dans notre article LCB-FT assurance.

Avec le B1, l’établissement décrit sa classification axe par axe, et la question 1.160 l’oblige à justifier tout axe jugé non applicable (guide méthodologique). Une classification lacunaire est donc déclarée par l’établissement avant d’être relevée par le contrôleur. La grille de notation du guide en donne un exemple, noté 3 sur une échelle de 4 : une classification qui omettait les opérations sur l’or et le change manuel, moins de 1 % des flux mais à risque élevé.

Au B3, l’établissement note lui-même quatorze composantes de son dispositif de 1 à 4, en croisant la fréquence des défaillances (5 % des cas ou moins, de 5 à 20 %, plus de 20 %) et leur impact sur l’exposition au risque (guide méthodologique). Les questions 3.040 à 3.190 portent sur l’évaluation par l’ensemble du contrôle interne, permanent et périodique. En l’absence de tout contrôle sur un point, l’établissement répond « 4 » et l’indique en commentaire (FAQ, 2.3.1 et 2.3.2).

Le calendrier, la remise et la conservation

Les données des tableaux B1 à B8 et B10 sont arrêtées au 31 décembre. Le B4 est remis au plus tard le 30 juin, les autres tableaux au plus tard le 31 mars (article 6). En cours d’année, l’établissement actualise le B2-1 à chaque désignation ou cessation de fonctions d’un déclarant, d’un correspondant, du responsable du dispositif ou des responsables du contrôle. Sa remise vaut notification au Secrétariat général de l’ACPR (FAQ, 2.2.2).

La remise incombe aux dirigeants effectifs. L’article 7 de l’instruction prévoit, depuis 2022, quatre délégations :

• établissement affilié à un organe central : remise de l’ensemble des tableaux par le responsable désigné au titre du I de l’article L. 561-32 au niveau du groupe ;
• tout organisme : remise des seuls tableaux B2-1 et B9 par le responsable de l’organisme ou, le cas échéant, du groupe ;
• entreprise mère de groupe : remise du B4 par le responsable du groupe ;
• organismes du 6° bis de l’article L. 561-2 : remise de l’ensemble des tableaux par le dirigeant de l’agent lié auquel ils recourent en France.

L’instruction n° 2025-I-08, en vigueur depuis le 1er juillet 2025, a réécrit cet article sans créer de délégation nouvelle : les tableaux sont désormais remis et non plus signés par les dirigeants, et les modalités techniques renvoient aux nouvelles instructions de l’ACPR sur la signature électronique des documents télétransmis. L’instruction ne prévoit aucune validation préalable par le conseil d’administration (FAQ, 3.1.1).

Les informations collectées et tous les documents ayant servi à leur élaboration sont conservés cinq ans à compter de leur transmission (article 8).

Au plus tard le 31 mai, les succursales françaises d’établissements dont le siège est dans l’EEE remettent en outre un rapport sur leur activité : bilan et compte de résultat, effectifs, organigramme, description de l’activité et indicateurs de la dernière année civile (article 9).

Les régimes allégés

Pour les organismes des 1° à 3° de l’article 1er, l’instruction prévoit deux questionnaires allégés, que la FAQ appelle « allégé banque 1 » et « allégé banque 2 » (1.6.2).

Le premier (annexe III, article 4) concerne les organismes dont l’activité de la dernière année civile a consisté exclusivement en cautionnement, affacturage, ou en réception-transmission, exécution d’ordres et gestion de portefeuille pour des clients institutionnels de l’EEE. Pour les services d’investissement, la clientèle doit être exclusivement institutionnelle, ce qui peut inclure des entités du même groupe (FAQ, 2.1.1).

Quant au second (annexe IV, article 5), il concerne :

• succursales d’établissements de l’EEE qui n’ont exercé aucune des activités notifiées au titre du passeport ;
• organismes agréés au cours de l’année précédente qui n’avaient pas commencé leur activité au 31 décembre ;
• filiales dont l’activité exclusive est de porter des actifs en vue de leur refinancement et qui délèguent leurs obligations LCB-FT à d’autres entités du groupe établies en France. La FAQ y inclut le portage d’actifs destinés au crédit-bail ou à la location avec option d’achat (2.1.2).

Ces régimes s’appliquent strictement : un établissement qui ne remplit pas exactement l’une des conditions des questions filtres du B0 remet le questionnaire général (FAQ, 3.3.1).

Le responsable du dispositif LCB-FT

L’article L. 561-32, I impose de désigner, en tenant compte de la taille et de la nature de l’activité, une personne occupant « une position hiérarchique élevée » et connaissant suffisamment les risques auxquels l’établissement est exposé. Cette fonction se distingue de celles que définit la partie réglementaire du code : le déclarant, habilité à déclarer à Tracfin (article R. 561-23), et le correspondant, chargé de répondre aux demandes de Tracfin et de l’autorité de contrôle (article R. 561-24).

Elle se distingue aussi de la responsabilité du contrôle permanent, que l’article 18 de l’arrêté du 6 janvier 2021 interdit de confier au responsable du dispositif, sauf si la taille, la nature, la complexité ou le volume de l’activité ne le justifient pas. Le cumul avec les fonctions de déclarant ou de correspondant existe, la FAQ de l’ACPR l’envisage pour le responsable qui est aussi principal correspondant ou déclarant (2.2.2), mais le tableau B2-1 demande chaque identité séparément.

Au niveau d’un groupe, les lignes directrices sur le pilotage consolidé prévoient que les fonctions de responsable du dispositif et de responsable du contrôle permanent sont exercées par deux personnes différentes, sauf si la taille du groupe ou ses risques ne le justifient pas (§ 26).

Les orientations EBA/GL/2022/05 détaillent la fonction. L’ACPR a déclaré s’y conformer, en considérant que le cadre français issu de l’arrêté du 6 janvier 2021 l’était déjà (tableau de conformité de l’EBA).

Trois conditions d’indépendance

Le paragraphe 31 des orientations rattache le responsable à la deuxième ligne de défense et pose trois conditions :

• indépendance : il est indépendant des activités qu’il contrôle et ne peut être subordonné à une personne qui dirige l’une d’elles ;
• accès : il dispose « à tout moment d’un accès direct et illimité » aux informations nécessaires à ses missions, et décide seul de celles auxquelles il doit accéder ;
• signalement : en cas d’incident important, il peut saisir directement l’organe de direction dans sa fonction de surveillance.

La désignation n’est écartée que pour un entrepreneur individuel, un établissement aux effectifs extrêmement réduits, ou pour des raisons justifiées et documentées (§ 32). Ces raisons doivent alors viser explicitement la nature de l’activité et des risques, la taille des opérations, et la forme juridique, notamment l’appartenance à un groupe (§ 33). Les tâches sont alors confiées à un membre de l’organe de direction ou au cadre supérieur chargé de la LBC/FT, externalisées, ou réparties entre ces options (§ 34).

Portant sur le contrôle de deuxième niveau, la décision n° 2024-01 éclaire pourtant la condition d’accès. La direction de la conformité du siège d’une filiale française d’un groupe bancaire non européen n’avait pas d’accès direct aux outils de surveillance et de filtrage de ses succursales européennes. Elle ne pouvait vérifier ni leur paramétrage ni la fiabilité des extractions qu’elle recevait, et la commission a jugé le contrôle permanent incomplet (grief 7).

La consultation avant une relation à haut risque

Le responsable doit être consulté avant toute décision définitive d’entrer en relation avec un nouveau client à haut risque ou de maintenir une telle relation. Si la haute direction ne suit pas sa recommandation, elle enregistre sa décision et indique comment elle entend atténuer les risques qu’il a soulevés (§ 43).

Un dossier à haut risque ouvert sans avis du responsable, ou maintenu contre son avis sans décision écrite précisant les mesures d’atténuation, s’écarte donc du § 43. Le § 23 pose la même exigence de traçabilité, plus largement, pour toute préoccupation du responsable que la direction décide de ne pas suivre.

Le responsable produit au moins une fois par an un rapport d’activité, que l’établissement doit pouvoir transmettre à l’autorité (§ 49 et 50). Son contenu minimal compte treize rubriques en trois blocs :

• évaluation des risques : principales constatations de l’évaluation à l’échelle de l’entreprise, modifications de la méthode de profilage, répartition des clients par catégorie de risque avec les revues encore dues, et statistiques d’alertes, de déclarations, de relations rompues et de demandes d’information de la cellule de renseignement financier, des tribunaux et des autorités répressives ;
• ressources : organisation, moyens humains et techniques, processus externalisés et leur contrôle ;
• politiques et procédures : mesures prises, suivi du respect des procédures, formation, plan d’activité, audits, échanges avec l’autorité.

Ce qui ne peut pas être externalisé

Les décisions stratégiques ne sont jamais externalisées (orientations, section 4.2.6). Le texte en cite notamment cinq :

• l’approbation de l’évaluation des risques à l’échelle de l’entreprise ;
• l’organisation interne du dispositif ;
• l’approbation de la méthodologie de profilage des relations d’affaires ;
• l’adoption des politiques et procédures ;
• l’approbation des critères de détection des transactions suspectes ou inhabituelles.

« Notamment » : la liste n’est pas fermée. L’externalisation intragroupe est soumise au même cadre que l’externalisation hors groupe. L’établissement reste responsable de la décision de déclarer, même quand l’identification et la déclaration sont externalisées.

Approuver des critères de détection suppose de les connaître. Quand la détection est confiée à un prestataire, le responsable du dispositif doit pouvoir en obtenir la population couverte, les paramètres, leurs modalités de modification et les résultats des contrôles. La décision n° 2022-04, présentée plus bas, montre ce que coûte l’inverse sur le filtrage des mesures de gel.

Les métiers bancaires qui ont leur propre régime de vigilance

Quatre situations bancaires ont un cadrage propre publié par l’ACPR. Les principes d’application sectoriels et les lignes directrices n’ont pas de caractère contraignant en eux-mêmes, mais ils exposent la lecture que le superviseur fait des textes.

La correspondance bancaire

Les principes d’application sectoriels datent de juin 2018. Ils citent le règlement 2015/847, remplacé depuis par le règlement 2023/1113 sur les transferts de fonds.

Le régime se lit en trois strates selon le pays de l’établissement client :

• dans l’Union, l’EEE et les pays tiers équivalents, les mesures de vigilance de droit commun s’appliquent selon l’approche par les risques. Le PAS rappelle que la correspondance transfrontalière est considérée comme à risque plus élevé et que le GAFI et le Comité de Bâle ne recommandent pas de vigilance simplifiée (§ 14) ;
• pour un établissement d’un pays tiers non équivalent, l’article R. 561-21 ajoute des mesures spécifiques : information sur l’activité, la réputation et la supervision du client, évaluation de son dispositif LCB-FT, décision réservée à un membre de l’organe exécutif ou à une personne habilitée par lui, convention écrite fixant les responsabilités respectives et les modalités de transmission d’informations ;
• si l’établissement client relève d’un pays sous liste du GAFI ou de la Commission européenne, s’ajoutent les mesures de l’article R. 561-20-4, dont la définition des modalités de suivi des opérations par le responsable du dispositif (§ 27).

Quel que soit le pays, il est interdit de nouer ou de maintenir une relation avec un établissement sans présence physique effective, non rattaché à un groupe réglementé, ou avec un établissement qui permet à un tel établissement d’utiliser ses comptes (L. 561-10-3).

Deux mécanismes d’accès indirect sont à distinguer (§ 18). Le compte de passage permet aux clients de l’établissement client d’opérer directement sur son compte chez le correspondant. La relation imbriquée permet à d’autres établissements, clients de l’établissement client, d’utiliser le compte de correspondance.

Le paragraphe 41 tranche une question récurrente : la banque correspondante n’a jamais à faire systématiquement de KYCC, pour « know the customer of your customer », c’est-à-dire à recueillir des informations sur les clients de l’établissement client, même en présence d’un compte imbriqué. Le recueil d’informations sur le donneur d’ordre ou le bénéficiaire d’une opération dépend du niveau de risque de cette opération. Si l’examen renforcé ne lève pas le doute, faute notamment d’informations transmises par l’établissement client, la déclaration de soupçon s’impose (§ 42).

Le droit au compte

L’article L. 312-1 ouvre le droit à un compte de dépôt, dans l’établissement de crédit de son choix, à trois catégories de personnes dépourvues d’un tel compte en France : les personnes physiques ou morales domiciliées en France, les personnes physiques résidant légalement dans un autre État membre de l’Union et n’agissant pas pour des besoins professionnels, et les Français résidant hors de France. En cas de refus, la Banque de France désigne un établissement, qui ouvre le compte dans les trois jours ouvrés suivant la réception des pièces nécessaires.

Le PAS de l’ACPR pose la règle centrale : lorsque la procédure du droit au compte est mise en œuvre, le risque de blanchiment de capitaux et de financement du terrorisme « ne constitue pas, en lui-même, un motif légitime de refus » (§ 27). L’article L. 561-8 reste impératif : si l’établissement ne peut identifier le client, y compris le bénéficiaire effectif, ou obtenir les informations sur l’objet et la nature de la relation, la relation n’est pas établie (§ 12). Le refus est alors une obligation.

La résiliation d’un compte assorti des services bancaires de base n’est possible que dans six cas, dont la situation de L. 561-8 (L. 312-1, IV, 6°). Elle est motivée, sauf si la motivation contrevient à la sécurité nationale ou à l’ordre public, et elle respecte un préavis de deux mois. Le préavis ne s’applique pas lorsque le client a utilisé le compte pour des opérations que l’établissement soupçonne illégales, ni lorsqu’il a fourni des informations inexactes. Le PAS en tire deux régimes (§ 41 et 42) :

• sans déclaration de soupçon, clôture au titre de L. 561-8 : courrier motivé, qui peut viser L. 561-8 et le 6° du IV de L. 312-1, et préavis de deux mois ;
• avec une déclaration faite de bonne foi, clôture sans motivation, sa divulgation constituant un délit.

Le PAS chiffre l’exposition en note (notes 12 et 19). Entre 2008 et mi-2015, 1 613 déclarations de soupçon ont porté sur des comptes ouverts au titre du droit au compte. Sur un échantillon de 100 de ces déclarations, plus de la moitié concernaient des personnes morales, dont les quatre cinquièmes relevaient du bâtiment et des travaux publics. Les secteurs signalés comme les plus exposés sont le BTP, le nettoyage, la sécurité et le gardiennage, et le commerce de véhicules d’occasion et de métaux précieux (§ 31).

La gestion de fortune

Les lignes directrices de l’ACPR de mars 2020 définissent le métier par deux critères cumulatifs : la gestion d’un patrimoine supérieur à un seuil fixé par chaque établissement, et une offre de services, de produits et de conseils qui n’est pas proposée à l’ensemble de la clientèle (§ 7). La banque privée est identifiée comme à risque plus élevé par la note interprétative de la recommandation 10 du GAFI, l’annexe III de la quatrième directive, les orientations des autorités européennes et les analyses nationale et sectorielle des risques (§ 15).

Dans ce métier, les mesures de vigilance tiennent compte en particulier de l’origine et de la destination des fonds, avec des justificatifs adaptés au risque, et de l’entremise d’un tiers : avocat, mandataire, courtier, apporteur d’affaires, tiers introducteur, family officer (§ 26). Les informations attendues sont qualifiées d’approfondies : résidences fiscales, avis d’imposition le cas échéant, origine des fonds, montant et origine des revenus, origine et composition du patrimoine, fonctionnement attendu des comptes (§ 30).

Auprès de cette clientèle, les difficultés de collecte ne dispensent de rien : « En aucun cas, ces difficultés ne doivent faire obstacle » aux prescriptions du code (§ 28). Sur la gouvernance de groupe, le texte renvoie aux lignes directrices sur le pilotage consolidé (§ 49).

Le pilotage consolidé d’un groupe

L’article L. 561-33 impose à l’entreprise mère établie en France de définir l’organisation et les procédures LCB-FT au niveau du groupe. L’article 20 de l’arrêté du 6 janvier 2021 range parmi les entreprises mères les organes centraux de l’article L. 511-30 : les réseaux mutualistes et coopératifs sont directement concernés.

Les lignes directrices sur le pilotage consolidé précisent le rôle du responsable LCB-FT du groupe (§ 25 à 29). Il définit le dispositif du groupe, veille à sa mise en œuvre et s’assure de l’exhaustivité du périmètre. Ses moyens peuvent passer par un rattachement hiérarchique ou fonctionnel des responsables locaux. Quand la complexité du groupe rend le rattachement direct impossible, il doit pouvoir tenir informés, par tout moyen approprié, les dirigeants et l’organe de surveillance de chaque entité de la mise en œuvre des procédures du groupe (§ 29). Dans les groupes mutualistes, ces moyens peuvent prendre la forme de comités qui réunissent les responsables des affiliés.

Trois règles méritent l’attention :

• la réception d’éléments relatifs à un examen renforcé ou à une déclaration d’une autre entité « ne doit pas conduire […] à une déclaration systématique ». L’établissement analyse lui-même les opérations du client et déclare le cas échéant (§ 57) ;
• les échanges d’informations hors groupe liés à une déclaration de soupçon sont cloisonnés en quatre catégories d’assujettis. Un établissement de crédit échange avec les organismes des 1° à 6° de L. 561-2, jamais avec un changeur manuel ou un prestataire sur actifs numériques (§ 100 et 101) ;
• quand le droit d’un pays tiers empêche une filiale d’appliquer des mesures équivalentes, l’ACPR et Tracfin sont informés au plus tard dans les 28 jours calendaires suivant l’identification de l’obstacle. Si les mesures spécifiques sont jugées insuffisantes, l’ACPR peut exiger que le groupe cesse ses activités dans le pays concerné (L. 561-33, II, 2°, et § 82).

Refuser ou rompre une relation, ce que le droit impose avant

Le refus est parfois obligatoire : l’article L. 561-8 interdit d’établir ou de poursuivre une relation quand l’établissement ne peut satisfaire à ses obligations d’identification et de connaissance. La décision de refus ou de rupture obéit pour autant à une procédure.

Ce que la procédure interne doit prévoir

Les orientations EBA/GL/2023/04, applicables depuis le 3 novembre 2023, demandent que les procédures fixent les critères de rejet, de résiliation et de refus d’opération, ainsi que les mesures d’atténuation à envisager avant d’en arriver là (§ 11). Elles excluent le refus général d’une catégorie entière de clients (§ 10). Chaque décision est documentée avec sa raison, tenue à la disposition de l’autorité (§ 14), et le client est informé de ses voies de recours (§ 22).

Ces orientations ne tempèrent pas l’article L. 561-8 : quand les diligences légales ne peuvent être accomplies, le refus reste obligatoire. La séquence d’atténuation et les restrictions ciblées qu’elles proposent sont détaillées dans notre article KYC banque.

Rompre sans déclarer

Trois décisions récentes sanctionnent la même séquence : l’établissement repère des opérations anormales, rompt la relation et ne déclare pas. La rupture n’emporte pas à elle seule une obligation de déclarer ; l’analyse des opérations, si. La commission sanctionne la rupture qui dispense de cette analyse.

Dans la décision n° 2024-02, visant une banque indépendante spécialisée, la commission reprend sa jurisprudence antérieure : clôturer un compte aux opérations incohérentes sans déclarer est une réaction inappropriée, parce que le client peut alors poursuivre ses opérations dans d’autres établissements sans que cela soit connu. Des directions commerciales clôturaient des comptes pour motif LCB-FT sans que la direction de la sécurité financière en soit systématiquement avisée. Le contrôle mensuel des ruptures, mis en place après une mise en demeure de 2017, ne portait que sur les décisions validées en comité et n’a pas suffi (§ 15 et 18).

La décision n° 2023-01, visant une banque de réseau d’un groupe mutualiste, porte sur 30 dossiers de défaut de déclaration. Dans 12, la banque avait identifié les opérations suspectes et décidé de mettre fin à la relation. Le grief a été retenu pour 25 dossiers (grief 4).

Dans la décision n° 2024-01, la conformité avait demandé la clôture du compte d’un client sans déclarer (grief 6).

La trace que le contrôle vient chercher

Les orientations imposent de documenter chaque décision de refus ou de rupture. Dans les décisions n° 2024-02 et n° 2023-01, le contrôle a rapproché les ruptures pour motif LCB-FT des déclarations à Tracfin. Une procédure de rupture doit donc prévoir, pour chaque décision, l’examen formalisé de l’opportunité d’une déclaration, quelle que soit la direction qui décide. La piste d’audit doit permettre de retrouver, pour une rupture ancienne, qui l’a décidée, sur quel motif, quelles mesures d’atténuation ont été écartées et pourquoi, et quelle suite a été donnée au regard de L. 561-15.

Pour le droit au compte, où le refus est le plus encadré, voir la section consacrée plus haut.

Ce que l’ACPR a réellement sanctionné en banque

Les griefs ci-dessous viennent de décisions publiées de la Commission des sanctions, consultables par leur numéro au recueil des sanctions. Le recours formé contre la décision n° 2021-05 a été rejeté par le Conseil d’État (5 février 2024, n° 470957). L’article KYC banque dresse le panorama des décisions bancaires sous l’angle de la connaissance client. Cette section retient les griefs qui portent sur l’organisation et le pilotage du dispositif.

Les moyens humains, un grief autonome

La décision n° 2022-04 a sanctionné d’un blâme et de 500 000 euros, le 16 mai 2023, un établissement de crédit spécialisé filiale captive d’un constructeur automobile. Au moment du contrôle, deux personnes assuraient l’ensemble du dispositif pour plus de cent mille clients personnes physiques. Leurs tâches allaient de la lutte contre la fraude à la validation des entrées en relation à risque élevé. Elles couvraient aussi l’analyse des alertes (694 sur le seul mois de décembre 2020), les examens renforcés (106 en 2019, 90 en 2020), les déclarations de soupçon (36 en 2020, 73 en 2021) et les réquisitions judiciaires.

Cette insuffisance est reliée par la commission à d’autres défaillances : alertes non traitées, délais excessifs de transmission des déclarations (103 jours en moyenne en 2021), contrôles permanents non réalisés selon le plan. L’équipe n’est passée à cinq personnes qu’en 2022. La commission écarte les difficultés de recrutement invoquées et juge que l’effort de formation ne pouvait « à lui seul » pallier l’insuffisance (§ 4 et 5).

Le fondement est double : une organisation « dotée d’outils, de moyens matériels et humains » permettant la mise en œuvre effective des obligations (article R. 561-38) et un contrôle interne disposant de moyens humains suffisants (article R. 561-38-3). La décision ne se réfère à aucun ratio : la suffisance s’apprécie au regard du volume d’activité et des tâches (§ 3 et 4). Elle se démontre en rapprochant régulièrement les volumes entrants, les effectifs, le stock d’alertes et son ancienneté.

Ce point est aussi une donnée déclarée du QLB. Au tableau B8, l’établissement indique ses effectifs spécialisés en LCB-FT en équivalents temps plein, ainsi que le temps qu’y consacrent les autres collaborateurs, pour que l’ACPR apprécie si ses moyens sont adaptés à sa taille au sens de l’article R. 561-38 (guide méthodologique, questions 8.015 à 8.040).

Les alertes non traitées et les alertes traitées en retard

Ce sont deux griefs distincts, et les décisions récentes les chiffrent.

Dans la décision n° 2022-04, 64 alertes sur 694 ont été traitées en décembre 2020. Les scénarios ne tournaient pas au fil de l’eau mais en début de mois sur les opérations du mois précédent, et le traitement des alertes a été interrompu de février à octobre 2020 (grief 6).

Au 7 février 2023, dans la décision n° 2024-02, le stock d’alertes non traitées ou en cours de traitement sur l’exercice 2022 atteignait 27 056, dont plus d’un quart émises depuis plus de quatre mois. La banque n’analysait qu’un échantillon des alertes d’un client avant de statuer sur toutes. La commission juge que ce risque de classement sans suite « constitue en soi un manquement » au regard de l’article 4 de l’arrêté du 6 janvier 2021 (§ 15 à 17).

La décision n° 2024-01 retient le même manquement sur le stock d’alertes en attente, et un retard de déclaration distinct sur les opérations finalement déclarées pendant le contrôle (griefs 3 et 5).

Dans ces deux décisions, la commission chiffre le stock et son ancienneté. Un stock global ne répond pas au contrôle : il faut l’ancienneté, la cause de l’accumulation et le sort des alertes classées.

Le prestataire et son contrôle

L’établissement de la décision n° 2022-04 externalisait le filtrage PPE et gel des avoirs. La base clients était filtrée quotidiennement, mais l’analyse des alertes par le prestataire pouvait être différée de plusieurs jours, voire de plusieurs semaines, ce qui était incompatible avec une mise en œuvre immédiate du gel (grief 5).

Le contrat de 2018 ne mentionnait pas que le prestataire était chargé de la détection des personnes soumises à une mesure de gel, et l’établissement n’avait pas su présenter, de surcroît, les caractéristiques de l’algorithme de filtrage (grief 9). Le plan de contrôle de second niveau prévoyait 8 alertes par trimestre, soit 32 par an, pour 73 095 alertes traitées par le prestataire en 2020 (grief 10).

Une alerte de filtrage n’est pas une décision de gel : sa qualification précède l’exécution de la mesure. Ici, c’est la qualification par le prestataire qui retardait une mesure qui s’exécute sans délai, et la convention n’en fixait pas le délai de traitement (grief 9). Le contrat doit fixer le délai de chaque étape et l’établissement doit le contrôler.

Le paramétrage des scénarios, une responsabilité locale

La décision n° 2021-05 a sanctionné d’un blâme et de 1,5 million d’euros, le 1er décembre 2022, une caisse régionale d’un groupe bancaire mutualiste, forte d’environ un million de clients dont plus de 90 % de particuliers.

Son scénario de détection des versements d’espèces retenait les dépôts hebdomadaires de particuliers supérieurs à 14 000 euros et à cinq fois la moyenne des trois mois précédents, quel que soit le niveau de ressources, alors que le montant moyen des dépôts se situait entre 400 et 700 euros. Il venait du groupe et avait été appliqué « sans adaptation aux caractéristiques propres » de la caisse (§ 20 et 23).

Dix-huit autres scénarios invoqués en défense n’ont pas comblé la carence : ils portaient sur des retraits, étaient trop généraux, ne couvraient qu’une partie de la clientèle ou comportaient eux aussi des seuils élevés. Pour fixer la sanction, la commission retient comme circonstance aggravante les moyens importants dont la caisse disposait, par sa taille et son appartenance à un groupe (§ 41).

Un scénario reçu d’un organe central ou d’une maison mère reste un paramétrage dont l’entité répond. Ses seuils doivent être confrontés à la distribution réelle des opérations de sa clientèle, et l’entité doit pouvoir dire ce qu’il détecte, ce qu’il laisse hors champ et pourquoi.

La couverture compte autant que le calibrage. Dans la décision n° 2023-01, une banque de réseau désactivait pendant cinq ans une partie de ses scénarios pour les clients qu’elle avait déclarés à Tracfin ; la commission rappelle que le dispositif « doit couvrir la totalité des activités et des opérations de la clientèle » (§ 10 et 11). Ce cas est analysé dans notre article sur la connaissance client en banque, cité plus haut.

Construire une classification des risques qui pilote le dispositif

La classification commande le reste du dispositif : l’article L. 561-4-1 impose d’appliquer les mesures de vigilance en fonction de l’évaluation des risques, et l’établissement la décrit lui-même au tableau B1 du questionnaire. Une note de risque ne vaut pourtant que par ce qu’elle change dans la surveillance d’un client, et les décisions de sanction montrent à quels endroits ce lien se rompt.

Des critères de risque concrets pour un établissement de crédit spécialisé

La décision n° 2022-04 fournit des critères concrets pour un financeur de véhicules :

• clientèle : les revenus du client n’étaient pas un critère d’alerte. Ils n’intervenaient qu’au stade de l’analyse, et pour un seul scénario. Un remboursement anticipé total de neuf fois les revenus mensuels n’a pas été détecté. Le scénario PPE sur les remboursements anticipés ne s’appliquait pas non plus aux clients devenus PPE en cours de relation, soit 110 clients couverts sur 257 PPE en décembre 2020 ;
• produits : aucun scénario ne visait le financement de véhicules haut de gamme, que l’analyse sectorielle de l’ACPR de décembre 2019 identifie comme plus risqué. Aucun n’était dédié au financement du terrorisme, alors que la même analyse cite le crédit-bail comme vecteur ;
• conditions de transaction : apport de 65 000 euros sur un véhicule de 75 474 euros pour un client déclarant un peu plus de 55 000 euros de revenus annuels, réglé par chèque de banque d’un autre établissement. Dans un second dossier, un client avait souscrit une location avec option d’achat sur un véhicule de 87 000 euros, et un tiers a racheté ce contrat neuf mois plus tard pour 85 650 euros, par chèque de banque. Les deux dossiers appelaient un examen renforcé (grief 7).

Pour une banque de détail, la décision n° 2021-05 ajoute un critère : rapprocher les revenus connus du client des flux créditeurs de son compte. Des décalages sont fréquents, mais des écarts significatifs et récurrents constituent des anomalies que le dispositif doit détecter (§ 26).

Du risque brut au risque net

La note de risque d’un client se construit en deux temps. Le risque brut mesure l’exposition avant toute mesure de maîtrise, à partir des axes de la classification. Les mesures d’atténuation, à condition d’être documentées et vérifiables (justificatifs recueillis, restrictions de fonctionnement du compte, garanties), le ramènent à un risque net, qui fixe le niveau de vigilance. L’ACPR raisonne de la même façon au tableau B4 du questionnaire, où le risque global de chaque entité étrangère est un risque résiduel, obtenu en croisant le risque inhérent et les vulnérabilités du dispositif (guide méthodologique).

Cette note n’a de valeur que si elle modifie quelque chose de concret, comme le seuil d’alerte appliqué au client, la fréquence d’actualisation de son dossier ou la profondeur des vérifications. Dans la décision n° 2022-04, le score de risque n’était pas renseigné pour 98 % des contrats dans l’outil de surveillance (grief 6) : une note absente ne différencie aucune vigilance.

Deux méthodes se combinent pour la construire. Une règle binaire traite les cas absolus, comme une personne visée par une mesure de gel ou un pays sous embargo, où un seul critère emporte la décision sans pondération possible. La pondération de plusieurs critères contextualise ensuite le reste du portefeuille et limite les faux positifs ; notre page consacrée au scoring des personnes détaille cette seconde méthode.

Les événements qui déclenchent une réévaluation

L’article 2 de l’arrêté du 6 janvier 2021 impose de mettre à jour la classification après tout événement affectant significativement l’activité. Au niveau du client, les lignes directrices gestion de fortune demandent la mise à jour des dossiers « régulièrement ou à l’occasion de tout événement significatif » (§ 29).

Dans la décision n° 2022-04, le score de risque n’était modifié ni après une déclaration de soupçon, ni après une réquisition judiciaire. Une cliente visée par une réquisition le 22 décembre 2020 puis déclarée le 31 mars 2021 pour une escroquerie impliquant une personne fichée S n’a pas été réévaluée. Un autre client déclaré pour escroquerie en bande organisée est resté en risque standard. Des courriers d’actualisation partaient automatiquement depuis 2016, mais les réponses des clients ne faisaient l’objet d’aucun suivi (grief 3).

La règle d’actualisation existait dans les procédures. Ce qui manquait, c’est le raccordement de l’événement au score : qui le déclenche, dans quel délai, et comment on prouve qu’il a fonctionné.

S’y ajoute la périodicité de revue que l’établissement s’est fixée, qui lui devient opposable, même pour une relation inactive (décision n° 2021-05, § 12 et 14).

Ce que ces décisions ont en commun

Les cinq établissements disposaient de procédures, d’outils et de contrôles. La commission a sanctionné leur fonctionnement : scénarios mal calibrés, alertes non traitées, surveillance interrompue, prestataires non contrôlés, ruptures sans analyse. Pour une banque, l’enjeu est de pouvoir démontrer que son dispositif couvre les risques auxquels elle est exposée. Les pratiques qui permettent de le démontrer sont rassemblées dans notre guide des meilleures pratiques LCB-FT.

FAQ

Ces questions portent sur des cas que le corps de l’article ne traite pas.

Le QLB de l’ACPR et le questionnaire LCB-FT de l’AMF sont-ils le même document ?

Non. Le QLB de l’ACPR exclut les entreprises d’investissement qui relèvent du contrôle de l’AMF (instruction n° 2022-I-18, article 1er). L’AMF collecte ses propres questionnaires annuels LCB-FT auprès des sociétés de gestion de portefeuille, et des fiches de renseignements annuels auprès des conseillers en investissements financiers. Dans un groupe bancaire qui détient une société de gestion, chaque entité répond au questionnaire de son superviseur.

Un établissement agréé en cours d’année remet-il le questionnaire de l’exercice ?

Oui, dès lors qu’il est autorisé à exercer au 31 décembre (FAQ de l’ACPR, 1.10.1). S’il a commencé son activité avant cette date, il remet le questionnaire général, quelle que soit la durée d’activité ; le régime allégé ne vaut que pour l’établissement qui n’avait pas encore commencé.

Le rapport de contrôle interne LCB-FT fait-il double emploi avec le QLB ?

Non, les deux se répondent. Le rapport n’est pas normé comme le questionnaire, mais il suit strictement le canevas annexé à l’arrêté du 21 décembre 2018 (FAQ, 3.5.1). Le guide méthodologique répartit la matière : au B3, seules comptent les défaillances non corrigées au 31 décembre, celles corrigées en cours d’année relevant du rapport. Plusieurs réponses du questionnaire renvoient au rapport pour le détail, comme les contrôles périodiques par thème ou la méthode de contrôle de la liste d’exception du filtrage.

Le salaire versé sur le compte suffit-il à justifier les revenus d’un client à risque élevé ?

Le questionnaire distingue deux usages. Pour qualifier un compte principal, la FAQ admet la récurrence mensuelle d’un paiement combinée à l’analyse de sa source, comme l’IBAN d’un employeur ou un libellé de salaire (2.5.1). Pour les clients à risque élevé, la question 8.240 mesure la part de dossiers comportant un justificatif de revenus, de ressources ou de situation financière de moins de deux ans, sans exiger 100 %. La décision n° 2021-05 cite l’avis d’imposition comme exemple de justification suffisante des revenus (§ 11).

Quand l’AMLR modifiera-t-il ces obligations ?

Le règlement (UE) 2024/1624 est applicable au 10 juillet 2027 (page LCB-FT de l’ACPR). Jusqu’à cette date, les obligations décrites ici restent celles du Code monétaire et financier et de ses textes d’application.