Sur les 26 dernières décisions de sanction LCB-FT prononcées par l’ACPR et analysées par BeCLM (226 griefs recensés), la connaissance insuffisante de la clientèle ressort comme le grief le plus fréquent : il concerne 92 % des entreprises sanctionnées. Et dans ces dossiers, la mise à jour défaillante de la connaissance client revient régulièrement dans les reproches du régulateur : Kbis anciens jamais revérifiés, profils de risque figés depuis l’entrée en relation, revues périodiques non tenues.
Pourtant, la remédiation ne se réduit pas à réclamer une pièce d’identité expirée ou un Kbis à jour, c’est le processus par lequel l’assujetti actualise réellement la connaissance de son client (KYC) : l’assujetti doit mettre à jour les informations détenues, recalculer le profil de risque et réévaluer le niveau de vigilance appliqué. S’arrêter à la collecte documentaire, c’est ne remplir qu’un tiers de cette mission.
Cet article détaille ce que recouvre une remédiation KYC, les cinq étapes qui la composent, les déclencheurs et les défis opérationnels des équipes conformité : volume, taux de réponse, spécificité des personnes morales, pilotage de campagne.
Et si vous souhaitez approfondir le sujet KYC sous toutes ses facettes, Jean-Marc Lafin, CEO de BeCLM en partenariat avec le cabinet Astrée Avocats, a rédigé un livre blanc très complet sur le sujet (KYC, le processus, les coûts, les différents types de logiciel).
Qu’est-ce que la remédiation KYC
Avant de détailler les cinq étapes qui la composent, il faut poser une définition précise de la remédiation KYC : ce qu’elle recouvre réellement, dans quels cas elle doit être déclenchée, et qui elle concerne.
Définition : bien plus que la collecte de documents
La remédiation KYC désigne le processus de mise à jour de la connaissance client existante, pour s’assurer que les informations détenues sont toujours exactes, complètes et conformes à la réglementation. C’est l’étape du processus KYC qui entretient cette connaissance après l’entrée en relation, tout au long de la vie du dossier. Elle comprend cinq étapes : la mise à jour des informations et documents (pièces d’identité, justificatifs de domicile, Kbis), le re-screening PPE, sanctions et médias défavorables, le recalcul du scoring de risque, la réévaluation du niveau de vigilance, et la documentation des décisions prises.
Erreur fréquente
Réduire la remédiation KYC à une campagne de collecte de documents. Un dossier documentairement complet mais dont le scoring n’a pas été recalculé depuis 3 ans n’est pas remédié : le profil de risque du client a pu changer sans que les documents en témoignent.
Une partie des programmes de remédiation est engagée sous l’impulsion directe du régulateur, à la suite d’un contrôle ou d’une sanction : signe que la donnée documentaire seule ne suffit pas à démontrer la conformité d’un dispositif.
Quand déclencher une remédiation ?
Trois types de déclencheurs justifient l’ouverture d’une remédiation.
- La revue périodique planifiée suit une fréquence proportionnée au niveau de risque du client : plus le risque est élevé, plus la revue est rapprochée. Le droit français (article R.561-12 du Code monétaire et financier) ne fixe pas de calendrier chiffré, il impose une actualisation proportionnée au risque, que l’ACPR apprécie au cas par cas. Le règlement européen AMLR (article 26(2)), applicable à partir du 10 juillet 2027, fixera pour la première fois des plafonds chiffrés : au plus un an entre deux mises à jour pour les clients à risque élevé, au plus cinq ans pour les autres clients. Ces plafonds sont un maximum, pas une cible : un portefeuille exposé justifie une revue plus fréquente, et une périodicité trop lâche a déjà été retenue comme manquement par l’ACPR.
- Un événement déclencheur peut également imposer une remédiation immédiate, indépendamment du calendrier de revue : changement de statut PPE d’un client, inscription sur une liste de sanctions, événement GAFI (ajout ou retrait d’un pays de la liste grise), changement de bénéficiaire effectif, ou opération atypique détectée.
- Enfin, une pression réglementaire peut nécessiter la reprise de l’intégralité du stock de clients existants (par exemple lors de l’entrée en application d’un nouveau texte LCB-FT) ou faire suite à une injonction de l’ACPR consécutive à un contrôle.
Qui est concerné ?
Tous les assujettis mentionnés à l’article L.561-2 du Code monétaire et financier sont concernés : banques, assureurs, mutuelles, institutions de prévoyance, conseillers en gestion de patrimoine, agents immobiliers, notaires, avocats, prestataires de services sur crypto-actifs (PSCA, qui remplacent les PSAN depuis l’entrée en application du règlement MiCA en 2024) et opérateurs de jeux.
La remédiation s’applique aux personnes physiques comme aux personnes morales. Pour ces dernières, la complexité est plus élevée : structure capitalistique, bénéficiaires effectifs, Kbis, statuts, PV d’assemblées viennent s’ajouter aux pièces classiques d’identité.
Les 5 étapes d’une remédiation KYC complète
Voici les cinq étapes qui, mises bout à bout, constituent une remédiation réellement complète.
Étape 1 : Mise à jour des informations et documents
C’est l’étape que tout le monde connaît : vérifier que les pièces d’identité, justificatifs, Kbis et statuts sont à jour et valides, puis collecter les pièces manquantes via une campagne de relance multicanal (email, SMS, courrier). L’OCR et l’IA permettent d’automatiser le contrôle de complétude et de conformité des documents.
Cette étape reste indispensable. Mais un dossier documentairement complet ne dit rien, à lui seul, du niveau de risque réel du client.
Étape 2 : Re-screening PPE, sanctions et médias défavorables
C’est l’étape invisible de la remédiation. Le client doit être passé au crible des listes actualisées : un client « clean » à l’entrée en relation a pu, depuis, devenir PPE, être inscrit sur une liste de sanctions, ou faire l’objet de médias défavorables. Ce re-screening doit être réalisé avec les données mises à jour, en boucle avec l’étape 1.
Exemple
Un client personne physique, résident français, classé à risque faible à l’entrée en relation en 2019. La campagne de remédiation 2026 lui envoie un formulaire de mise à jour. Le client ne répond pas. Avec une remédiation limitée à la collecte documentaire, le dossier reste en l’état, classé « risque faible ». Avec un re-screening automatique mené en parallèle, le dispositif détecte que ce client a été nommé secrétaire d’État en 2024 : il est désormais PPE. Les mesures de vigilance complémentaires prévues pour les PPE sont déclenchées immédiatement, sans attendre le retour du formulaire.
Le re-screening complète la collecte et fonctionne sans la coopération du client : c’est le filet de sécurité du dispositif.
La jurisprudence confirme l’enjeu : dans sa décision Abeille Vie (12 octobre 2023, blâme et 3,5 M€), l’ACPR a retenu, aux côtés de défaillances de détection des PPE, une mise à jour insuffisante des informations client dans 35 dossiers sur 38 examinés.
Étape 3 : Recalcul du scoring de risque
Avec les données actualisées (documents et résultats du screening), le scoring du client est recalculé. Le profil de risque a pu changer sans qu’aucune liste ne se déclenche : un client initialement à faible risque peut être reclassé en risque élevé après un changement de pays de résidence, une évolution de son activité professionnelle, ou une opération inhabituelle au regard de son profil.
L’inverse est également possible : un client à risque élevé peut être reclassé à la baisse une fois le facteur de risque disparu, comme lors du déclin d’influence d’une ancienne PPE (la qualité de PPE persiste au moins un an après la fin des fonctions, puis l’influence résiduelle s’apprécie au cas par cas).
Un scoring construit sur une logique de pondération (risque brut, puis atténuation, pour aboutir à un risque net) permet cette mise à jour dynamique. Les règles discriminantes gardent leur rôle pour les cas absolus (gel des avoirs, liste noire GAFI), mais elles ne suffisent pas à faire vivre un profil de risque dans le temps : les deux méthodes se combinent.
Étape 4 : Réévaluation du niveau de vigilance
Sur la base du nouveau scoring, le niveau de vigilance est réévalué.
- Si le client est passé de risque faible à risque élevé, la vigilance renforcée doit être déclenchée sans délai.
- S’il est devenu PPE, ce sont les mesures de vigilance complémentaires qui s’ajoutent (article R.561-20-2) : autorisation d’un membre de l’organe exécutif pour poursuivre la relation, recherche de l’origine du patrimoine et des fonds, surveillance renforcée de la relation d’affaires.
- À l’inverse, si le client est passé de risque élevé à risque modéré, à la suite d’un déclin d’influence PPE, les mesures peuvent être allégées.
Étape 5 : Documentation et piste d’audit
Chaque remédiation doit être tracée : date de la revue, documents mis à jour, résultats du screening, score de risque avant et après, niveau de vigilance avant et après, décision prise et par qui.
Ces cinq étapes forment une chaîne, et peu d’outils la couvrent en entier : beaucoup s’arrêtent à la collecte documentaire. Un comparatif des logiciels KYC aide à repérer ceux qui gèrent le cycle complet, re-screening, re-scoring et réévaluation de la vigilance compris.
Les défis opérationnels de la remédiation
Au-delà de la méthode, la remédiation KYC pose des problèmes bien concrets aux équipes conformité : le volume à traiter, la coopération des clients, la complexité propre aux personnes morales, et le pilotage d’ensemble de la campagne.
Le volume : remédier un portefeuille de milliers de clients
Dans un réseau de taille significative, une campagne porte sur des dizaines, voire des centaines de milliers de dossiers. Le défi est de prioriser : par niveau de risque, en traitant les clients à risque élevé en premier, par ancienneté de la dernière revue, ou par événement déclencheur. Sans cette priorisation, la campagne de remédiation devient un exercice industriel qui sature les équipes conformité, au détriment des dossiers à enjeu.
Dans un cas documenté par Tessi, un grand groupe bancaire français, sur un portefeuille de 6,7 millions de clients, a choisi une stratégie 80/20 : 80 % du portefeuille traité en masse avec un maximum d’automatisation, et une task force dédiée mobilisée sur les 20 % restants. Sur une seule campagne, 700 000 documents ont été récupérés en trois mois, dont 80 000 jugés utiles d’un point de vue KYC.
Le taux de réponse : obtenir la coopération du client
Le client ne comprend pas toujours pourquoi on lui redemande des pièces déjà fournies, et rien ne l’oblige à répondre vite : contrairement au prospect en onboarding, qui attend l’ouverture de son compte, le client existant n’a aucun service à débloquer.
Plusieurs leviers permettent d’améliorer la coopération :
- Expliquer le motif de la demande. Un message qui rappelle l’obligation légale de mise à jour et l’intérêt du client (sécurité, continuité de la relation) obtient de meilleurs retours qu’une injonction à envoyer des documents.
- Relancer sur plusieurs canaux, de façon séquencée : email en premier, puis SMS, puis courrier, avec le contact téléphonique en dernier recours. Concentrix observe 95 % d’acceptation après un appel argumenté par un conseiller ; le coût du canal le réserve aux segments prioritaires et aux non-répondants après plusieurs relances.
- Proposer un parcours de mise à jour en selfcare : formulaire en ligne pré-rempli avec les données déjà connues, compatible mobile, dépôt des pièces par photo. Réduire l’effort demandé au client augmente le taux de complétion.
- Adapter le message et le canal au segment (particulier ou professionnel, niveau de risque) plutôt que d’appliquer une relance uniforme.
- Cadencer les relances sur une séquence planifiée, pour éviter la sur-sollicitation, qui dégrade le taux de réponse.
- Découpler la conformité de la coopération : la non-réponse ne doit pas laisser un dossier figé en risque faible par défaut. Le re-screening, décrit à l’étape 2, sécurise le dispositif lorsque le client ne répond pas.
La spécificité des personnes morales
Les dossiers de personnes morales sont structurellement plus complexes : Kbis, statuts, PV d’assemblées, liasses fiscales, et remontée de la chaîne de détention jusqu’au bénéficiaire effectif.
La remédiation des personnes morales relève du KYB (Know Your Business) : remonter la chaîne de détention, vérifier que le bénéficiaire effectif est toujours le même, s’assurer que la structure capitalistique n’a pas changé (cession de parts, nouvel actionnaire, changement de dirigeant). Un changement de bénéficiaire effectif peut modifier le profil de risque, sans qu’aucun document « classique » (CNI, justificatif de domicile) ne change. C’est pourquoi la remédiation des personnes morales nécessite une brique KYB intégrée au dispositif.
Piloter une campagne de remédiation : segmentation et indicateurs clés
Avant de lancer une campagne de remédiation, le portefeuille doit être segmenté. La stratégie 80/20 décrite plus haut suppose cette segmentation : traitement de masse automatisé (selfcare, collecte digitale, achat de données pour les personnes morales) pour les clients à risque faible et modéré, task force sur les clients à risque élevé, dossiers complexes et structures capitalistiques opaques.
Les indicateurs de pilotage doivent être définis en amont : taux de collecte (part des dossiers avec documents à jour), taux de re-classification (part des clients dont le niveau de risque a changé après re-scoring), nombre de dossiers escaladés en vigilance renforcée, temps moyen de traitement par dossier, et taux de réponse client par canal. Ces indicateurs permettent de suivre la progression en temps réel, d’ajuster la pression sur les clients non-répondants, et de rendre compte à la direction comme au régulateur.
Comment BeCLM transforme la remédiation KYC
La plateforme BeCLM enchaîne les cinq étapes automatiquement, au fil de l’eau, plutôt que de les rejouer manuellement à chaque campagne. Quatre mécanismes portent cette approche.
- Re-screening continu intégré : BeCLM filtre en continu le portefeuille client contre les listes de sanctions, PPE et médias défavorables. Le re-screening n’attend pas la revue périodique : il détecte les changements en temps réel et déclenche les alertes.
- Re-scoring automatique : quand un événement est détecté (nouveau statut PPE, inscription sur une liste de sanctions, changement de bénéficiaire effectif), le scoring du client est automatiquement recalculé selon la logique risque brut → atténuation → risque net.
- Réévaluation de la vigilance : le niveau de vigilance est ajusté automatiquement en fonction du nouveau scoring. Les cas nécessitant une approbation hiérarchique sont escaladés.
- Piste d’audit complète : chaque remédiation est tracée (score avant/après, résultats du screening, décision de vigilance) et directement exploitable en cas de contrôle ACPR.
FAQ
Quelle est la différence entre remédiation KYC et onboarding ?
L’onboarding KYC concerne l’entrée en relation avec un nouveau client. La remédiation concerne la mise à jour d’un dossier client existant, dans le cadre de la vigilance constante exigée par la réglementation. Les deux exercices ne mobilisent pas les mêmes leviers : à l’onboarding, le client est demandeur et coopère ; en remédiation, il faut aller le chercher.
Quelle différence entre remédiation KYC et KYC continu ?
La remédiation est une opération de rattrapage : une campagne, ponctuelle ou récurrente, qui remet à niveau un stock de dossiers existants. Le KYC continu (perpetual KYC) est une organisation cible : le portefeuille est surveillé en permanence par re-screening et alertes événementielles, et les dossiers se mettent à jour au fil de l’eau. Plus un dispositif s’approche du KYC continu, plus les campagnes de remédiation massives deviennent rares et courtes.
Que faire si un client refuse de fournir les informations demandées ?
Le refus caractérisé ne se traite pas comme une simple non-réponse. Si l’assujetti ne peut plus satisfaire son obligation de connaissance de la relation d’affaires, l’article L.561-8 du Code monétaire et financier lui impose de n’exécuter aucune opération et de mettre fin à la relation, et il doit examiner l’opportunité d’une déclaration de soupçon à Tracfin avant la rupture. En assurance vie, la résiliation immédiate est exclue : une mise en garde préalable du souscripteur, avec un délai d’au moins trois mois, est obligatoire.
Peut-on externaliser une campagne de remédiation ?
Oui, le recours à un prestataire est courant pour absorber les pics de charge, comme dans le cas bancaire cité plus haut. Mais l’externalisation ne transfère pas la responsabilité : la jurisprudence ACPR rappelle que les défaillances d’un prestataire ou d’un réseau d’agents dans la collecte KYC ne constituent pas une circonstance atténuante pour l’assujetti. Les travaux externalisés doivent être encadrés, contrôlés, et leurs résultats intégrés à la piste d’audit de l’établissement.
Quelles sanctions en cas de remédiation KYC défaillante ?
Les manquements à l’actualisation de la connaissance client traversent la jurisprudence récente de la Commission des sanctions. Au-delà d’Abeille Vie, citée plus haut, l’ACPR a sanctionné AXA France Vie (2016, blâme et 2,5 M€) notamment pour des Kbis anciens jamais revérifiés lors d’opérations significatives, et MoneyGram (2026, blâme et 1,3 M€) pour une connaissance de la clientèle limitée à des déclarations invérifiées. La sanction combine blâme, amende et publication nominative de la décision.
