Le KYC (Know Your Customer, en français connaissance client) est la première étape du dispositif LCB-FT, et celle dont dépendent toutes les autres. Comprendre qui est le client, vérifier son identité, détecter les incohérences : si cette base est lacunaire, la classification du risque, la surveillance des opérations et les obligations déclaratives qui en découlent le sont aussi.
Le processus KYC est un processus continu, conduit sous contrainte réglementaire permanente. Mal conçu, il produit des alertes ingérables, des doublons et des décisions difficiles à justifier. Bien construit, il protège l’établissement et rend la conformité défendable lors d’un contrôle.
Une précision de vocabulaire, utile d’emblée : la vérification d’identité (IDV) est une brique du KYC, pas son équivalent. Le KYC englobe aussi la compréhension de la relation d’affaires, l’origine des fonds et le profil de risque. Écrire « KYC ou IDV », ou présenter l’un comme l’autre, est une erreur. BeCLM outille la connaissance client de bout en bout ; le produit exploite des données d’identité en entrée, il ne réalise pas lui-même la vérification d’identité.
BeCLM s’inscrit dans cette approche métier : notre rôle est de rendre la conformité intelligible, défendable et praticable pour ceux qui la portent au quotidien.
Pour bâtir un dispositif KYC solide, encore faut-il en comprendre la logique interne : ce qui relève de l’obligation, ce qui dépend du risque, et ce qui, dans la pratique, fait toute la différence entre une conformité de façade et une véritable maîtrise du profil de risque du client.
C’est ce que nous vous proposons d’explorer dans cet article.
Le processus KYC s’appuie sur une chaîne d’étapes interdépendantes de la collecte initiale à la restitution finale de l’analyse.
Ce schéma illustre cette dynamique : un processus circulaire, continu, où chaque maillon conditionne la fiabilité du suivant.
Comprendre le processus KYC : fondements, enjeux et obligations
Le KYC est le socle sur lequel repose toute la conformité LCB-FT.
C’est une exigence légale, inscrite au cœur du dispositif français de lutte contre le blanchiment des capitaux et le financement du terrorisme.
Son principe est simple : avant d’entrer en relation d’affaires, il faut savoir à qui l’on a affaire. Mais sa mise en œuvre, elle, ne l’est jamais.
Connaître un client, ce n’est pas empiler des justificatifs : c’est comprendre qui il est, ce qu’il fait, d’où viennent ses fonds et quel usage il en fera.
C’est être capable, à tout moment, de démontrer à l’ACPR ou à TRACFIN que la relation repose sur des informations exactes, cohérentes et actualisées.
Le processus KYC est donc la porte d’entrée de la conformité : il conditionne l’ensemble du dispositif LCB-FT, du profilage initial jusqu’à la surveillance continue.
Mal défini, il crée des angles morts qui se paient cher : alertes ingérables, doublons, décisions injustifiables.
Bien structuré, il devient un levier de maîtrise du risque, un gain de temps et un gage de crédibilité lors des contrôles.
En France, les obligations découlent du Code monétaire et financier (articles L.561-2 et suivants) et des lignes directrices conjointes ACPR-TRACFIN.
Elles imposent notamment de :
- identifier et vérifier l’identité du client et, le cas échéant, du bénéficiaire effectif,
- comprendre l’objet et la nature de la relation d’affaires,
- adapter le niveau de vigilance au profil de risque,
- assurer une surveillance continue et conserver les preuves des diligences effectuées.
Ces principes s’appliquent à tous les assujettis listés à l’article L.561-2 du Code monétaire et financier : établissements de crédit et de paiement, entreprises d’investissement, organismes d’assurance, mais aussi des professions non financières désignées (agents immobiliers, notaires, experts-comptables, marchands de biens de grande valeur) selon les activités précisément visées par la loi. Le périmètre ne se limite donc pas à la banque et à l’assurance.
Le KYC constitue le socle de la conformité LCB-FT, mais il ne suffit pas à lui seul à garantir la maîtrise du risque. Il en est la première étape : la connaissance du client alimente les analyses de risque, les obligations déclaratives et la surveillance des opérations.
C’est la qualité du KYC qui conditionne l’efficacité du dispositif LCB-FT dans son ensemble.
Ce que cela signifie pour votre entreprise
Votre dispositif KYC devient vulnérable dès que :
– la cohérence des informations collectées n’est pas vérifiée (ex. activité, revenus, origine des fonds) ;
– la conformité se limite à contrôler la présence des pièces sans en analyser le contenu ;
– les mises à jour de profil ne tiennent pas compte des évolutions réelles du client.👉 Dans ces cas, le régulateur considère que le dispositif n’assure pas une connaissance « exacte, cohérente et actualisée » du client, comme l’exige le Code monétaire et financier.
Étape 1 : Collecter les informations essentielles
Tout commence ici. La qualité du processus KYC dépend d’abord de la qualité des données collectées à l’entrée en relation.
C’est le moment où se joue l’essentiel : si la collecte est lacunaire, l’onboarding kyc et tout le reste du dispositif, vérification, profilage, vigilance, sera bancal.
La connaissance insuffisante de la clientèle est le premier motif de sanction de l’ACPR. L’analyse des 26 dernières décisions de la Commission des sanctions (226 griefs au total) montre que ce manquement concerne 92 % des entreprises sanctionnées, et il prend très souvent racine dans une collecte initiale incomplète ou incohérente.
La réglementation impose de distinguer deux cas de figure.
Personnes physiques et personnes morales : deux logiques distinctes
Pour une personne physique, il s’agit d’identifier l’individu et de comprendre le contexte de la relation : identité, justificatif d’adresse, activité professionnelle, revenus déclarés, origine des fonds, objectif de la relation d’affaires.
Ces éléments permettent d’évaluer si le profil est cohérent avec les opérations envisagées.
Pour une personne morale, la collecte vise à établir l’identité et la structure de contrôle de l’entité : dénomination sociale, numéro SIREN, siège, dirigeants, bénéficiaires effectifs, activité réelle et, le cas échéant, appartenance à un groupe, on parle aussi de Know Your Business.
Le bénéficiaire effectif est la personne physique qui détient en dernier ressort plus de 25 % du capital ou des droits de vote, ou qui exerce un contrôle par d’autres moyens. Le seuil de 25 % est un critère de détection, pas une règle exclusive : une personne peut être bénéficiaire effectif sous ce seuil si elle contrôle effectivement la structure.
Dans les deux cas, la collecte doit permettre de relier les informations entre elles, pas de les empiler.
Une donnée isolée ne prouve rien ; un ensemble cohérent de données, oui.
Les écueils relevés par l’ACPR
Les constats de l’Autorité sont récurrents :
- données recueillies mais non vérifiées,
- formulaires incomplets ou non mis à jour,
- absence d’information sur l’objet de la relation d’affaires,
- bénéficiaires effectifs non identifiés ou mal documentés.
Ces lacunes sont régulièrement retenues comme griefs. Dans la décision AXA Banque (n° 2022-01, blâme et 1 M€), la Commission a sanctionné une connaissance client défaillante et l’absence des revenus et du patrimoine dans les scénarios de surveillance. Dans la décision BRED Banque Populaire (n° 2023-01, blâme et 2,5 M€), c’est une base clients incomplète et l’exemption injustifiée de clients déclarés.
Ces défaillances traduisent un défaut d’organisation plus qu’un manque de vigilance : on ne peut pas contrôler ce qu’on ne collecte pas correctement.
Un dispositif KYC efficace repose donc sur trois principes simples :
Exhaustivité : recueillir toutes les informations exigées par la réglementation.
Fiabilité : s’assurer que ces données proviennent de sources vérifiables.
Cohérence : garantir que les informations collectées forment un ensemble logique et intelligible.
En pratique, c’est souvent à cette étape que la technologie peut aider sans se substituer à la vigilance humaine : formulaires dynamiques, contrôles de cohérence automatisés, intégration directe des registres publics (SIRENE, registre des bénéficiaires effectifs, etc.).
Mais aucun logiciel KYC ne compensera une collecte mal pensée.
Un bon dispositif commence par un bon cahier de collecte : précis, documenté, auditable.
Ce qu’il faut retenir
– Une collecte KYC efficace ne consiste pas à réunir des documents, mais à obtenir un ensemble d’informations exploitables et reliées entre elles.
– Les défaillances relevées par l’ACPR proviennent le plus souvent d’une collecte incomplète ou incohérente, qui rend tout le dispositif inutilisable ensuite.👉 Un bon KYC commence par un bon cahier de collecte : exhaustif, vérifiable et cohérent.
Étape 2 : Vérifier la fiabilité des données
Collecter ne suffit pas.
Encore faut-il s’assurer que ce qui a été recueilli est exact, authentique et cohérent. C’est là que le KYC cesse d’être administratif pour devenir réellement opérationnel.
La réglementation est explicite : les informations collectées doivent être vérifiées sur la base de documents, de données ou d’informations obtenues auprès d’une source fiable et indépendante (article R.561-5 du Code monétaire et financier).
La distinction est réglementaire : identifier le client, c’est recueillir ses éléments déclaratifs ; vérifier son identité, c’est confirmer ces éléments sur une source probante. Les informations collectées doivent être vérifiées sur la base de documents, de données ou d’informations obtenues auprès d’une source fiable et indépendante (article R.561-5 du Code monétaire et financier).
Autrement dit, l’établissement doit être en mesure de démontrer que chaque donnée utilisée pour identifier ou qualifier un client repose sur un élément probant.
Les vérifications obligatoires : identité, documents, coordonnées, conformité
La vérification de l’identité du client et, le cas échéant, de ses bénéficiaires effectifs, constitue la première ligne de défense.
Elle repose sur des documents officiels : titre d’identité, extrait Kbis, statuts, justificatif de domicile, registre des bénéficiaires effectifs.
Mais la conformité documentaire ne suffit pas : un justificatif authentique peut contenir une information obsolète, incohérente ou incomplète.
De la même manière, la validation des coordonnées, de l’activité déclarée ou de la réalité économique de la structure doit s’appuyer sur des sources externes :
- consultation de registres publics (SIRENE, Infogreffe, INSEE, RNCS)
- vérification de la validité d’un numéro fiscal ou d’un code LEI
- comparaison entre les informations fournies et les bases de sanctions, PPE, GDA ou les listes internes de l’établissement.
Ce filtrage est une obligation autonome, distincte de la connaissance client : le screening produit des alertes, pas des décisions, et une alerte doit être qualifiée avant toute conclusion.
Garantir la fiabilité plutôt que la simple conformité
Beaucoup d’établissements confondent conformité documentaire et fiabilité des données.
Le premier niveau consiste à vérifier que le dossier est « complet » ; le second exige de s’assurer que les informations sont vraies, cohérentes et exploitables dans la durée.
Une donnée fiable, c’est une donnée :
- vérifiée : sa source est traçable et indépendante ;
- à jour : sa validité est confirmée à la date du contrôle ;
- exploitée : elle alimente effectivement les dispositifs de profilage et de surveillance.
Cette distinction est au cœur des constats de contrôle de l’ACPR. Dans son rapport thématique de juillet 2025 sur les comptes rebonds, l’Autorité relève par exemple qu’un justificatif de domicile n’était formellement collecté que dans 26 % des dossiers d’un échantillon, et la vérification par lettre recommandée appliquée dans 14 % des cas. La plupart des anomalies ne résultent pas d’une absence de vérification, mais d’un contrôle purement formel, limité à la présence d’un document plutôt qu’à l’analyse de son contenu.
L’ACPR souligne régulièrement cette distinction dans ses rapports de contrôle : la plupart des anomalies ne résultent pas d’une absence de vérification, mais d’un contrôle purement formel, limité à la présence d’un document plutôt qu’à l’analyse de son contenu.
Assurer la fiabilité suppose donc un dispositif en trois temps :
- tracer chaque vérification effectuée (date, méthode, source, résultat)
- automatiser les contrôles répétitifs sans jamais déléguer l’interprétation
- documenter les écarts : lorsqu’une incohérence apparaît, la décision de poursuivre ou non la relation d’affaires doit être justifiée et archivée.
C’est à cette condition que le processus KYC devient défendable : non parce qu’il est conforme sur le papier, mais parce qu’il démontre, preuve à l’appui, la maîtrise effective du risque.
Ce qu’il faut retenir
Un document authentique ne garantit pas une donnée fiable.
La plupart des anomalies relevées par l’ACPR tiennent à des vérifications purement formelles, présence d’un justificatif, mais sans analyse de son contenu ou de sa validité.👉 La fiabilité d’une donnée se démontre : source traçable, date de vérification, résultat documenté. Sans cela, le dossier est complet… mais inutilisable.
Étape 3 : Construire les profils de risque
Une fois les données collectées et vérifiées, il faut leur donner du sens.
C’est tout l’enjeu du profil de risque : transformer une somme d’informations en une vision claire et exploitable du client.
Le profil de risque n’est pas une catégorie figée, mais il n’est pas non plus un simple score automatique. C’est une représentation structurée de la connaissance du client, fondée sur des critères objectifs, actualisables et justifiables.
Sa finalité : permettre à l’établissement d’adapter la vigilance au niveau de risque présenté par la relation d’affaires.
De la donnée brute au profil exploitable
Le profil de risque se construit à partir de trois blocs d’information :
- L’identité du client et son environnement: statut juridique, activité, pays d’implantation, bénéficiaires effectifs, contreparties habituelles.
- Les éléments financiers et opérationnels: revenus, patrimoine, volumes d’activité, origine et destination des fonds.
- Les signaux de risque LCB-FT: exposition PPE, liens avec des zones sensibles, historique d’alertes, typologies TRACFIN pertinentes.
L’objectif n’est pas d’empiler des critères, mais de relier les éléments entre eux pour dégager une cohérence globale.
Un client n’est pas risqué parce qu’il coche une case ; il l’est lorsque l’ensemble de son profil soulève un doute raisonnable.
Deux méthodes complémentaires : classification discriminante et scoring par pondération
La construction d’un profil de risque combine deux logiques, la classification discriminante et le scoring, qui ne s’opposent pas, mais se complètent. C’est la position de BeCLM : une approche hybride.
La classification discriminante repose sur des règles binaires (si tel critère est présent, alors telle décision s’impose). Elle est indispensable pour les cas absolus, non négociables : une personne ou une entité sous sanctions, un pays inscrit sur la liste noire du GAFI, un embargo. Ici, un seul critère déclenche la décision, sans pondération possible.
Le scoring par pondération attribue des points de risque à plusieurs critères (géographie, activité, produit, canal, statut PPE), agrège un risque brut, applique les mesures d’atténuation dont dispose l’établissement, et produit un risque net. C’est ce risque net qui détermine le niveau de vigilance. Cette méthode contextualise le risque sur l’ensemble du portefeuille, réduit les faux positifs et satisfait l’exigence d’approche par les risques de l’article L.561-4-1.
La distinction entre risque brut (avant atténuation) et risque net (après prise en compte des mesures de contrôle) doit apparaître clairement : deux clients au même risque brut peuvent relever de niveaux de vigilance différents selon les mesures d’atténuation applicables. Présenter la classification discriminante comme la seule méthode, ou le scoring comme une alternative à rejeter, est une erreur : les deux se combinent.
Une construction encadrée par la réglementation
Le Code monétaire et financier (article L.561-4-1) impose aux assujettis de mettre en place des procédures internes permettant d’évaluer le risque de blanchiment et de financement du terrorisme.
Les lignes directrices ACPR-TRACFIN rappellent que cette évaluation doit reposer sur des critères objectifs, proportionnés et documentés.
Chaque établissement doit donc être en mesure de démontrer, lors d’un contrôle, la méthode utilisée pour construire et maintenir les profils de risque :
- une grille d’évaluation claire et homogène, appliquée à toutes les relations d’affaires
- une documentation explicite de chaque critère retenu et de son niveau de pondération
- un mécanisme de mise à jour, automatique ou manuelle, dès qu’une information significative évolue.
Une approche défendable, pas décorative
Le profil de risque est souvent perçu comme un exercice de conformité. En réalité, il conditionne toute la chaîne de vigilance.
S’il est mal défini, il conduit à des calibrages erronés : vigilance allégée sur un client sensible, vigilance renforcée inutile sur un client sans enjeu.
S’il est bien conçu, il devient un outil d’aide à la décision, capable de justifier chaque choix en cas de contrôle.
Le risque d’une classification figée n’est pas théorique. Dans la décision AXA France Vie (n° 2015-08, blâme et 2,5 M€), la Commission des sanctions a retenu une classification reposant sur des seuils fixes, inadaptée au profil de risque, et des profils clients devenus obsolètes. Dans la décision Treezor (blâme et 1 M€), c’est une notation classant 99,8 % des clients en risque faible, manifestement déconnectée du profil réel de l’activité.
Un profil de risque fiable repose sur trois exigences :
- Traçabilité: chaque critère retenu doit pouvoir être justifié par une donnée vérifiée.
- Cohérence: des profils similaires doivent conduire à des niveaux de vigilance comparables.
- Actualisation : le profil doit vivre avec la relation d’affaires, non rester figé au jour de l’entrée en relation.
C’est à ce stade que la qualité des données prend tout son sens : sans données exactes, à jour et reliées, le profil de risque devient une fiction et avec lui, toute la chaîne de vigilance.
Ce qu’il faut retenir
– Un profil de risque n’est pas une étiquette, c’est une démonstration.
– L’ACPR sanctionne surtout les dispositifs où les niveaux de vigilance reposent sur des catégories figées ou des critères non justifiables.👉 Un profil de risque solide repose sur trois éléments : des données vérifiées, une méthode documentée et une actualisation continue. Sans cela, le calibrage de la vigilance devient indéfendable.
Étape 4 : Évaluer les risques et calibrer la vigilance
Un profil de risque n’a de sens que s’il permet d’ajuster le niveau de vigilance.
C’est ici que le processus KYC rejoint le cœur du dispositif LCB-FT : savoir quel degré d’attention appliquer à chaque client, sur quelle base et selon quelle méthode.
Méthodes d’évaluation : de la règle au calcul
La réglementation ne fixe pas de formule unique d’évaluation : elle impose une logique. Le niveau de vigilance doit être proportionné au risque identifié.
Chaque établissement doit donc définir sa propre méthode, fondée sur des critères pertinents et objectivables.
Historiquement, cette évaluation reposait sur des approches qualitatives : grilles internes, jugements d’experts, appréciation manuelle des critères.
Ces méthodes conservent leur valeur, mais elles doivent aujourd’hui s’appuyer sur des éléments mesurables, traçables et comparables.
C’est pourquoi de nombreux établissements adoptent une approche mixte, combinant :
- des facteurs intrinsèques au client (statut, activité, pays, produits utilisés)
- des facteurs contextuels (zone géographique, volume d’opérations, typologie de clientèle)
- et des facteurs dynamiques, issus de la surveillance continue (anomalies, alertes, événements déclencheurs).
Le passage “de la règle au calcul” ne consiste pas à tout automatiser, mais à objectiver les critères pour rendre chaque décision défendable.
Un modèle de notation n’a de valeur que s’il reste compréhensible, justifiable et proportionné.
Six critères pour une méthode défendable devant le régulateur
L’ACPR, dans ses lignes directrices et constats de contrôle, rappelle qu’une méthode d’évaluation du risque LCB-FT doit répondre à six exigences :
Exhaustivité : couvrir l’ensemble des typologies de clients et de produits.
Pertinence : fonder les critères sur la réalité de l’activité et du marché.
Pondération : hiérarchiser les facteurs de risque selon leur impact réel.
Traçabilité : conserver l’historique de chaque évaluation et de ses ajustements.
Actualisation : revoir périodiquement la méthode et les résultats produits.
Justifiabilité : être capable d’expliquer chaque résultat à l’autorité de contrôle.
Ces six critères ne relèvent pas de la théorie : ils constituent le socle de tout dispositif défendable lors d’un contrôle ACPR ou d’une inspection TRACFIN.
Les niveaux de vigilance : un calibrage à démontrer
Le Code monétaire et financier ne distingue pas trois niveaux, mais plusieurs régimes de vigilance qu’il ne faut pas confondre :
- la vigilance simplifiée (article L.561-9), lorsque le risque est faible et que ce faible risque est documenté : les mesures peuvent être allégées ou différées, jamais supprimées ;
- la vigilance constante, dite aussi normale ou standard (articles L.561-5-1 et L.561-6), régime de droit commun applicable à toute relation d’affaires ;
- la vigilance complémentaire (article L.561-10), déclenchée par des situations précises : personne politiquement exposée, entrée en relation à distance, opération avec un pays tiers à haut risque ;
- l’examen renforcé (article L.561-10-2), qui porte sur une opération particulièrement complexe, d’un montant inhabituellement élevé ou sans justification économique apparente, et dont le résultat doit être consigné par écrit.
Confondre ces régimes, ou employer « vigilance renforcée » comme terme générique, est une imprécision que l’ACPR relève. La vigilance complémentaire (liée au statut, par exemple PPE) et l’examen renforcé (lié à l’atypicité d’une opération) ne se déclenchent pas pour les mêmes raisons.
Ce calibrage doit être documenté et motivé. Accorder une vigilance allégée sans justification constitue une non-conformité.
À l’inverse, appliquer systématiquement une vigilance renforcée revient à neutraliser le principe de proportionnalité et donc à affaiblir le dispositif.
Le bon niveau de vigilance est celui que l’établissement peut expliquer, preuves à l’appui, sur la base de données fiables et d’une méthode stable dans le temps.
La vigilance n’est pas une catégorie : c’est le produit d’une démonstration. Et cette démonstration repose sur la qualité du profilage, la cohérence de la méthode et la rigueur de sa mise à jour.
Ce que cela change pour votre entreprise
– La vigilance ne se décrète pas, elle se justifie.
– Un calibrage “renforcé” ou “allégé” n’a de valeur que s’il repose sur une méthode claire, documentée et stable dans le temps.
– C’est ce que vérifie l’ACPR : la proportionnalité entre le risque identifié et la vigilance appliquée.👉 En pratique, cela suppose de pouvoir expliquer chaque niveau de vigilance, preuves à l’appui – pas seulement de l’avoir choisi.
Étape 5 : Assurer la surveillance continue et maîtriser la gestion des alertes
Le KYC ne s’arrête pas à l’entrée en relation. La connaissance du client est un processus vivant, qui doit évoluer avec la relation d’affaires.
La surveillance continue est une obligation : elle incarne la vigilance dans le temps.
Un principe fondamental du dispositif LCB-FT
L’article L.561-6 du Code monétaire et financier impose aux assujettis de mettre en œuvre une vigilance constante sur la relation d’affaires, en veillant à ce que les opérations réalisées soient cohérentes avec la connaissance actualisée du client.
Concrètement, cela signifie :
- détecter les anomalies entre le profil connu et les opérations effectuées
- mettre à jour les informations lorsque la situation du client change
- reconsidérer le niveau de risque dès qu’un événement significatif survient.
Cette exigence s’applique à toutes les relations, sans distinction de catégorie de vigilance. Seule son intensité varie selon le niveau de risque attribué au client.
De la détection à la gestion des alertes
Une surveillance efficace repose sur deux piliers : la détection automatisée et l’analyse humaine.
Les outils techniques, filtres de sanctions, scoring d’anomalies, contrôles transactionnels, permettent d’identifier les signaux d’alerte mais la détection ne vaut rien sans une analyse rigoureuse de la pertinence des alertes générées.
Sur ce point, la jurisprudence est nette. Dans la décision BRED Banque Populaire (n° 2023-01), la Commission a sanctionné des scénarios de surveillance insuffisants, où le nombre d’alertes ne garantissait pas leur pertinence. Dans la décision Treezor (n° 2022-07), la surveillance était calibrée sur des seuils inadaptés au profil des clients. Les dispositifs les plus défaillants sont ceux où les alertes s’accumulent sans tri, sans justification, sans suivi.
Chaque alerte doit donc être qualifiée, analysée et tracée :
- qualifiée, pour distinguer les faux positifs des alertes pertinentes
- analysée, pour comprendre la nature du risque sous-jacent
- tracée, pour démontrer la décision prise et les actions engagées.
Faux positif, vrai positif et alerte légitime sont des notions distinctes : être précis sur ce que l’on mesure conditionne la qualité du traitement. Un dispositif maîtrisé n’est pas celui qui génère le plus d’alertes, mais celui qui sait les traiter avec discernement et cohérence.
Une organisation à la fois technique et humaine
Assurer la surveillance continue, c’est maintenir un équilibre entre automatisation et supervision humaine. La technologie permet de réduire le volume d’anomalies à faible valeur ajoutée et d’assurer la traçabilité des contrôles.
Mais la responsabilité reste humaine : c’est à l’établissement d’interpréter les alertes, d’en apprécier la criticité et de documenter la décision.
L’organisation doit donc garantir :
- une répartition claire des rôles entre les équipes de première ligne, de conformité et de contrôle permanent
- une documentation systématique de chaque étape du traitement
- un retour d’expérience permettant d’ajuster les seuils, les scénarios et les règles de détection.
La mise à jour du KYC : une obligation, pas une option
Chaque alerte pertinente, chaque changement de situation du client ou chaque évolution réglementaire doit déclencher une revue du dossier KYC.
Cette mise à jour ne se limite pas à un rafraîchissement des documents : elle consiste à vérifier que le profil de risque reste cohérent et que les mesures de vigilance demeurent adaptées. Menée à l’échelle d’un stock de dossiers existants, cette opération porte un nom, la remédiation KYC, qui recalcule le profil de risque et réévalue la vigilance bien au-delà de la recollecte de pièces.
Un KYC non actualisé devient rapidement un KYC faux. Et un KYC faux, c’est un dispositif entier fragilisé car toute la logique de vigilance repose sur la qualité des informations de base.
La surveillance continue constitue la boucle de rétroaction du dispositif : elle referme la boucle du KYC. Sans elle, la conformité s’arrête là où le risque commence.
Ce que cela signifie pour votre entreprise
– Un dispositif de surveillance continue ne se résume pas à détecter des anomalies.
– L’ACPR constate régulièrement que les alertes sont trop nombreuses, mal qualifiées ou sans suivi documenté.
– Une alerte non analysée ou non tracée vaut défaut de vigilance.👉 La performance d’un dispositif ne se mesure pas au volume d’alertes générées, mais à la capacité de les traiter, de les justifier et d’en tirer des ajustements.
Etape 6 : Gouverner et piloter le dispositif KYC
Un dispositif KYC, aussi bien conçu soit-il, ne tient que par sa gouvernance.
C’est elle qui garantit que les procédures sont appliquées, que les décisions sont tracées et que la responsabilité reste maîtrisée.
La réglementation ne laisse d’ailleurs aucun doute : l’assujetti demeure responsable, en toutes circonstances, du respect des obligations de vigilance. Ni la technologie, ni les prestataires, ni les lignes métiers ne peuvent s’y substituer.
Un KYC performant n’est donc pas seulement un ensemble d’étapes techniques : c’est une organisation pilotée, documentée et contrôlée, où chacun connaît son rôle et ses limites.
Rôles et responsabilités : une architecture à trois lignes
Le pilotage d’un dispositif KYC s’inscrit dans le cadre des trois lignes de défense :
- Les métiers : première ligne de défense.
Ce sont eux qui connaissent le client et initient la relation. Leur responsabilité est d’appliquer les procédures KYC, d’assurer la collecte et la mise à jour des informations, et de signaler toute incohérence. - La conformité : deuxième ligne.
Elle conçoit, formalise et met à jour le dispositif KYC : procédures, grilles d’évaluation du risque, seuils de vigilance, règles de détection. Elle supervise les contrôles réalisés par les métiers et veille à la cohérence du dispositif dans le temps. - Le contrôle permanent et l’audit interne : troisième ligne.
Ils évaluent la robustesse du dispositif, la qualité des contrôles et la conformité des pratiques. Leurs constats alimentent la revue annuelle du dispositif et les plans d’action correctifs.
Cette répartition n’a de sens que si les rôles sont clairement formalisés et documentés, notamment dans la cartographie des risques et les politiques internes de vigilance.
L’ACPR le rappelle fréquemment : un défaut de gouvernance est souvent à l’origine d’un défaut de vigilance.
Gouvernance documentaire et preuve de maîtrise
La gouvernance se démontre. Un établissement ne peut pas se contenter de déclarer qu’il applique les règles : il doit en prouver la mise en œuvre.
Cela suppose une documentation vivante :
- une politique KYC validée par la direction, mise à jour au moins annuellement ;
- des procédures internes alignées sur cette politique
- un registre des décisions et arbitrages : critères de vigilance, ajustements méthodologiques, évolutions d’outils
- une traçabilité complète des contrôles et des revues : qui a fait quoi, quand et sur quelle base.
Cette “preuve de gouvernance” est l’un des premiers éléments examinés lors d’un contrôle ACPR. Elle témoigne non seulement de la conformité du dispositif, mais aussi de la capacité de l’établissement à le piloter et à en rendre compte.
Le lien entre gouvernance et vigilance est direct : dans la décision Banque Delubac (n° 2024-02, blâme et 600 k€), la Commission a relevé l’absence de plans de contrôle dans cinq des six directions concernées, illustrant qu’un défaut de gouvernance se traduit en défaut de vigilance.
Pilotage, réévaluation et amélioration continue
Un dispositif KYC n’est jamais figé. Les typologies de risque, les seuils de vigilance et les pratiques clients évoluent : le pilotage doit suivre.
Une gouvernance efficace repose donc sur trois mécanismes permanents :
- La réévaluation périodique: analyse annuelle du dispositif LCB-FT, revue des scénarios d’alerte, mise à jour des critères de risque.
- Le retour d’expérience: exploitation des constats de contrôle, des incidents et des recommandations ACPR pour ajuster les procédures.
- Le pilotage par la donnée: utilisation de mesures qualitatives de suivi (taux de dossiers incomplets, volume d’alertes traitées, écarts de vigilance) pour évaluer l’efficacité réelle du dispositif.
L’objectif n’est pas de produire des tableaux de bord, mais de piloter la conformité comme un processus vivant, capable de s’adapter et de démontrer sa maîtrise à tout moment.
Ce qu’il faut retenir
La gouvernance du KYC n’est pas une surcouche administrative : c’est le garant de la responsabilité de l’établissement.
Elle repose sur trois piliers :
– Une organisation claire entre métiers, conformité et contrôle permanent.
– Une documentation traçable qui prouve la mise en œuvre effective du dispositif.
– Un pilotage dynamique fondé sur la réévaluation et l’amélioration continue.👉 Un dispositif KYC maîtrisé n’est pas seulement conforme : il est gouverné, prouvé et piloté, à chaque instant.
Etape 7 : Automatiser sans déléguer : le bon usage des solutions KYC
L’automatisation a profondément transformé la manière dont les établissements gèrent le KYC. Elle permet de gagner en rapidité, en homogénéité et en traçabilité.
Mais mal maîtrisée, elle peut aussi créer une illusion de conformité : celle d’un dispositif qui fonctionne… tant qu’on ne le regarde pas de trop près.
La technologie comme levier, pas comme substitut
Les outils KYC sont conçus pour assister les équipes, non pour s’y substituer. Aucune solution, aussi performante soit-elle, ne remplace l’analyse humaine, la compréhension du contexte ou la capacité de jugement.
L’enjeu n’est donc pas de remplacer la vigilance, mais de l’augmenter.
L’automatisation trouve tout son sens lorsqu’elle s’inscrit dans une logique de maîtrise :
- formulaires intelligents et contrôles de cohérence intégrés dès la collecte ;
- interconnexion avec les registres publics (SIRENE, registre des bénéficiaires effectifs, listes de sanctions, bases PPE) ;
- surveillance transactionnelle et alertes paramétrées selon le profil de risque.
Chaque automatisme doit être documenté, testé et justifié. Le principe reste le même que pour tout contrôle interne : ce qui n’est pas expliqué ne vaut pas preuve.
L’intelligence artificielle : accélérateur ou angle mort ?
L’intelligence artificielle s’est diffusée rapidement dans le KYC, où elle classe, compare, vérifie et aide à prioriser. Elle promet de traiter plus vite et plus de volume, parfois sans que la logique de décision soit immédiatement lisible, c’est précisément le point de vigilance.
Pour être utile, l’IA doit rester gouvernée. Un modèle ne vaut que s’il est explicable, paramétré et supervisé.
L’article L.561-32 du Code monétaire et financier impose d’ailleurs que les dispositifs de détection restent compréhensibles et contrôlables.
Cela suppose de documenter son périmètre d’usage, de tracer ses résultats et d’en vérifier périodiquement la pertinence.
Chez BeCLM, la ligne est claire : l’IA assiste la vigilance, elle ne la remplace pas.
Les dérives à éviter
Les constats de l’ACPR le montrent régulièrement : les dispositifs les plus industrialisés sont parfois ceux qui maîtrisent le moins leur risque.
Les causes sont connues :
- règles mal paramétrées ou non mises à jour
- dépendance excessive à un prestataire externe
- absence de revue manuelle des alertes bloquées par le système.
Automatiser ne dispense pas de gouverner, et externaliser ne dispense pas de contrôler.
L’établissement reste responsable, en toutes circonstances, du respect des obligations de vigilance. Confier une partie du KYC à un prestataire externe ne transfère jamais la responsabilité de la vigilance.
Cette responsabilité non transférable a une portée concrète : dans la décision AXA Banque (n° 2022-01), la défaillance d’un fournisseur externe de données PPE n’a pas exonéré l’établissement de son obligation de détecter les personnes politiquement exposées.
L’assujetti demeure seul responsable de la conformité du dispositif, de la qualité des données traitées et du suivi des contrôles délégués.
Toute externalisation doit donc être encadrée par des conventions claires, des audits réguliers et une traçabilité complète des prestations.
L’automatisation maîtrisée : un atout stratégique
Un dispositif KYC bien automatisé, c’est avant tout un dispositif auditable. Chaque donnée a une source, chaque vérification une trace, chaque décision un motif.
L’automatisation permet alors :
- d’améliorer la qualité et la fiabilité des données
- de réduire la charge opérationnelle des équipes
- d’accroître la cohérence des décisions de vigilance
- et de démontrer, en cas de contrôle, une maîtrise réelle du processus de bout en bout.
Cette performance n’est possible que si la technologie reste au service d’une gouvernance claire, d’une politique de risque documentée et d’une supervision active.
L’automatisation est donc un moyen au service de la vigilance, pas un substitut à la responsabilité de l’assujetti.
Ce que cela signifie pour votre entreprise
– L’automatisation du KYC ne transfère pas la responsabilité de la vigilance.
– Les défaillances les plus graves constatées par l’ACPR concernent des dispositifs industrialisés mais mal
gouvernés : règles obsolètes, effet boite noire de l’algorithme, dépendance à un prestataire, absence de revue manuelle.👉 Automatiser, c’est documenter, tester et superviser. Ce qui n’est pas expliqué ne vaut pas preuve.
8. Ce qu’il faut retenir pour un dispositif KYC maîtrisé et défendable
Un dispositif KYC efficace ne se résume pas à une succession d’étapes. C’est un enchaînement logique, où chaque maillon dépend du précédent et conditionne le suivant.
La solidité du processus repose sur quatre principes cardinaux :
- La qualité des données : ce qui n’est pas correctement collecté ou vérifié est de fait inexploitable.
- La cohérence des méthodes : chaque critère, chaque décision doit pouvoir être justifié.
- La traçabilité : un bon KYC est celui dont on peut démontrer le fonctionnement, preuves à l’appui.
- L’actualisation : la connaissance du client n’est jamais acquise ; elle doit être entretenue en continu.
Un KYC mal conçu produit des contrôles vides, des alertes ingérables et des risques mal compris.
Un KYC bien construit devient au contraire un outil de maîtrise et de crédibilité : il protège l’établissement, rassure le régulateur et simplifie le travail des équipes.
Le véritable enjeu du KYC n’est donc pas la conformité pour elle-même, mais la compréhension fine du risque client.
C’est ce qui distingue un dispositif défensif d’un dispositif intelligent : le premier cherche à éviter les sanctions, le second vise à maîtriser le risque.
Dans un dispositif métier performant, cette compétence s’appuie sur la donnée et sur la technologie, non pour déléguer la vigilance, mais pour en prouver la rigueur, la cohérence et alléger la charge opérationnelle.
En somme : le KYC n’est pas un contrôle à un instant T, c’est une compétence continue – celle de comprendre les situations, d’en apprécier les risques et d’en rendre compte.
