Sanctions OFAC : ce qu’un assujetti français doit faire face à une alerte

Une correspondance remonte sur la SDN List de l’OFAC, pour un client en portefeuille ou pour un prospect en cours d’entrée en relation. L’équipe conformité doit décider, et le réflexe consiste à couper. C’est juridiquement la position la plus fragile des trois qui s’offrent à elle.

Les sanctions OFAC sont des mesures américaines qui n’ont pas été transposées en droit français. Une inscription sur l’une de leurs listes ne crée par elle-même aucune obligation de gel pour un assujetti français. Ce qu’elle crée, en revanche, est une exposition très réelle, qui passe par le dollar et par les correspondants bancaires américains.

Trois questions commandent la décision.

1. Un rattachement à la juridiction des États-Unis existe-t-il pour cette opération ?
2. La personne détectée est-elle aussi désignée par l’ONU, l’Union européenne ou la France, seuls régimes qui emportent gel ?
3. Et quel est le risque réel de la relation, apprécié individuellement ?

Cet article donne l’ordre dans lequel les poser, la règle des 50 % qui rend le criblage nominatif insuffisant, et les limites que le droit européen oppose à l’application des sanctions internationales d’un pays tiers.

À retenir en 30 secondes

• Une inscription sur une liste de l’OFAC n’emporte pas, en droit français, d’obligation de gel des avoirs. Son effet est d’abord opérationnel, par l’exposition au dollar et aux correspondants bancaires américains.
• Elle peut constituer un facteur de risque pertinent, à intégrer dans une évaluation individualisée du client, sans classement automatique en risque élevé ni refus réflexe (CJUE, 11 juin 2026, C‑81/24, à propos d’un compte de paiement de base).
• Appliquer une liste américaine comme si elle était contraignante en France relève de la surconformité et peut se heurter au règlement de blocage européen (2271/96).
• La décision d’intégrer ou non une liste étrangère se prend en amont, dans la cartographie des risques puis la politique de l’établissement, avant la première alerte.
• L’absence d’obligation américaine ne referme pas le sujet côté européen : le contournement des mesures restrictives de l’Union est une infraction pénale et peut nourrir une déclaration de soupçon à Tracfin.
• L’ACPR et la DG Trésor attendent un dispositif cohérent et traçable, dans lequel chaque décision peut être justifiée par écrit.

Ce que recouvrent les sanctions OFAC

Avant d’entrer dans la mécanique juridique, un rappel de ce que l’OFAC administre et de la façon dont ses listes s’articulent.

L’OFAC, ses programmes et la SDN List

L’Office of Foreign Assets Control est l’organe du Trésor américain chargé d’administrer et d’appliquer les sanctions économiques et financières des États-Unis. Il fonctionne par programmes, construits autour d’un pays ou d’une thématique comme le terrorisme, la prolifération ou le narcotrafic, et par listes.

La plus connue est la Specially Designated Nationals and Blocked Persons List, la SDN List. Les personnes et entités qui y figurent voient leurs biens sous juridiction américaine bloqués, et toute transaction avec elles est interdite pour les acteurs soumis au droit américain. Les listes non-SDN visent, elles, des restrictions sectorielles ciblées, sans blocage complet des fonds. La liste consolidée regroupe les désignations non-SDN.

L’OFAC met à jour ces listes sans calendrier prédéfini, au gré des désignations. Ce rythme irrégulier a une conséquence directe sur un dispositif de filtrage de sanctions : la fréquence de re-criblage d’un portefeuille ne peut pas se caler sur une périodicité fixe, elle suit les mises à jour.

Le nexus américain : ce qui déclenche votre exposition

Les sanctions primaires de l’OFAC s’appliquent aux personnes américaines et aux opérations relevant de la juridiction américaine. Dans certains programmes, les sanctions secondaires peuvent viser des acteurs non américains en raison de certaines transactions ou activités avec des personnes bloquées, y compris sans nexus juridictionnel classique.

L’exposition aux sanctions primaires au-delà du territoire américain tient notamment à la structure du système financier : un flux en dollars peut transiter par une banque de compensation établie aux États-Unis, elle-même soumise au droit OFAC. Le correspondant américain peut alors bloquer ou retarder l’opération en application de ses propres règles, ce qui transmet la contrainte à des acteurs qui n’y sont pas directement assujettis.

Tout part du rattachement à la juridiction américaine. Ce nexus se matérialise par un paiement libellé en dollars passant par un correspondant américain, l’intervention d’un intermédiaire financier américain, l’implication d’une personne américaine, des biens ou composants d’origine américaine, ou la présence d’une filiale américaine.

C’est la moitié souvent oubliée du raisonnement : une entreprise française qui ne présente aucun de ces points de contact n’est pas soumise aux sanctions primaires américaines. Le nexus détermine donc l’existence même d’une obligation américaine, et c’est la question à poser avant celle de l’alerte, alors que le réflexe part du criblage.

Le précédent BNP Paribas (2014)

Le précédent BNP Paribas en donne la mesure. Entre 2004 et 2012, la banque a traité plus de 8,8 milliards de dollars de transactions impliquant notamment des entités iraniennes, soudanaises et cubaines sous sanctions américaines, en masquant certaines informations dans les messages de paiement.

En 2014, elle a accepté de verser près de 9 milliards de dollars aux autorités américaines et s’est vu imposer plusieurs mesures structurelles, dont une probation de cinq ans, un renforcement de son dispositif de conformité et la suspension pendant un an du clearing en dollars sur plusieurs lignes d’activité.

Ce précédent illustre le risque créé par l’exposition au dollar. Il n’établit aucune obligation française d’intégrer la liste de l’OFAC : il relève de sanctions primaires américaines appliquées à des flux rattachés au système financier américain. Pour un responsable conformité, l’enjeu tient moins à l’alignement sur le droit américain qu’à l’identification de cette exposition et à la traçabilité des décisions.

La règle des 50 % et la chaîne de détention

La personne désignée est nommée, donc criblable. L’angle mort tient aux entités qu’elle détient sans figurer sur aucune liste.

Comment se calcule une détention indirecte ?

Selon la règle américaine des 50 %, une entité détenue à 50 % ou plus, directement ou indirectement et en cumulé, par une ou plusieurs personnes bloquées (blocked persons) est elle-même bloquée, sans figurer sur aucune liste. Son nom ne remonte alors à aucun criblage.

Le schéma donne les trois configurations que produit la règle : l’agrégation de deux participations dans une même entité, la cascade par une entité intermédiaire elle-même devenue bloquée, et l’agrégation par deux intermédiaires. Trois précisions qu’il ne porte pas.

L’agrégation vaut entre programmes de sanctions distincts. Deux personnes bloquées au titre de deux programmes sans rapport l’un avec l’autre additionnent bien leurs participations.

Seules les personnes bloquées transmettent le blocage. Une inscription sur une liste non-SDN, qui n’emporte pas blocage, ne transmet rien à travers la chaîne de détention.

En deçà de 50 % en cumulé, il n’y a pas de blocage automatique au titre de cette règle. Le seuil fonctionne comme un déclencheur binaire, non comme un indicateur de risque graduel.

Le point de friction avec le droit français tient au seuil. L’un des critères d’identification du bénéficiaire effectif est, en France, la détention de plus de 25 % du capital ou des droits de vote, quand le blocage américain se déclenche à 50 % en cumulé. Les deux notions ne coïncident pas. Une entité peut avoir un bénéficiaire effectif qui est une personne bloquée sans être elle-même bloquée par la règle des 50 %, et la remontée capitalistique attendue pour l’une ne documente pas toujours l’autre.

Le droit européen a son propre test, et il ne se règle pas sur un seuil unique. Les orientations EBA/GL/2024/15, applicables aux prestataires de services de paiement et aux prestataires de services sur crypto-actifs, imposent de filtrer les bénéficiaires effectifs des personnes morales clientes par participation au capital et par contrôle.

Le même texte précise que pour apprécier si une entité est détenue ou contrôlée par une personne désignée, il faut appliquer les critères de bénéficiaire effectif de l’article 3§6 de la directive 2015/849, en s’appuyant sur les registres publics des bénéficiaires effectifs. Un dispositif calibré sur le seul seuil américain de 50 % ne répond donc pas au test européen, qui intègre le contrôle. Pour les assujettis hors de ce périmètre, les lignes directrices conjointes de la DG Trésor et de l’ACPR tiennent le rôle de référentiel.

Ce que la règle ne couvre pas : le contrôle sans détention

Le Trésor américain pose une limite explicite : la règle vise la détention, pas le contrôle. Une entité contrôlée par une personne bloquée, sans détention de 50 %, n’est pas automatiquement bloquée. Le Trésor appelle toutefois à la prudence, ces entités faisant régulièrement l’objet de désignations ou d’actions d’enforcement ultérieures.

La vigilance porte surtout sur un cas précis. Un dirigeant bloqué peut agir pour le compte d’une entité non bloquée, par exemple en signant un contrat en son nom. L’entité reste hors périmètre. Si l’opération relève de la juridiction américaine, elle est interdite, puisqu’elle revient à traiter avec la personne bloquée elle-même. Pour un acteur français sans nexus, cette situation ne crée pas d’interdiction de droit français, elle constitue un facteur de risque et d’exposition à qualifier.

Dans les deux cas, le criblage de l’entité ne verra rien passer, seule l’identification de la personne physique aux commandes déclenche l’alerte.

Une inscription OFAC n’est pas un gel des avoirs français

La plupart des décisions mal fondées naissent d’une confusion entre deux régimes que tout sépare en droit, mais qu’une même ligne d’alerte rapproche à l’écran.

Distinguer le gel, la mesure sectorielle et la liste étrangère

Trois régimes se croisent sur un même dossier de conformité. Le tableau les oppose terme à terme.

Le tableau porte la conséquence opérationnelle : un criblage nominatif repère une contrepartie nommément visée, il n’établit jamais qu’une opération est interdite. Deux des trois familles ne se détectent pas par un criblage de noms.

Le règlement (UE) n° 833/2014, dans sa version initiale de 2014, en donne la démonstration la plus nette. Ses cinq banques publiques russes de l’annexe III, Sberbank, VTB, Gazprombank, Vnesheconombank et Rosselkhozbank, y étaient nommées sans être gelées.

À ce stade, leurs fonds n’étaient pas bloqués, seules leurs opérations sur valeurs mobilières et instruments du marché monétaire d’une échéance supérieure à 90 jours étaient interdites, au titre de l’article 5.

Le régime a été étendu à partir de 2022, et plusieurs de ces établissements font désormais aussi l’objet de mesures de gel. Les deux régimes coexistent alors sur une même entité. L’architecture de 2014 reste l’exemple le plus clair de la mécanique sectorielle : d’autres dispositions interdisaient déjà des catégories de biens, de services et de technologies sans viser aucune personne nommée.

Deux dispositions du même règlement méritent d’être connues, parce qu’elles se lisent rarement.

• L’article 11 écarte les demandes d’indemnisation formées par les entités visées au titre des contrats affectés par les mesures, ce qui répond par avance à l’argument contractuel qu’un partenaire pourrait opposer.
• L’article 12 interdit de participer sciemment à des activités ayant pour objet ou pour effet de contourner les interdictions, ce qui fait du montage de contournement une violation autonome, indépendante de l’opération contournée.

Un même dossier peut porter deux régimes à la fois, une personne pouvant être désignée par l’Union et par les États-Unis. D’où une règle de vocabulaire : ne pas employer « sanctions » comme terme générique. Les trois régimes n’appellent ni la même détection ni la même documentation, et les fondre dans un même libellé d’alerte est la première cause de décision mal fondée.

Ce que la CJUE a tranché le 11 juin 2026

Le 11 juin 2026, dans l’affaire C‑81/24, la Cour de justice de l’Union européenne s’est prononcée sur un refus d’ouverture de compte fondé sur la seule inscription d’un client sur une liste de l’OFAC. Une banque slovène avait refusé à ce consommateur l’ouverture d’un compte de paiement assorti de prestations de base.

L’intéressé n’avait été condamné nulle part pour l’infraction à l’origine de son inscription, et ne faisait l’objet d’aucune mesure restrictive de l’ONU, de l’Union ou de la Slovénie.

La Cour juge ce refus automatique non conforme.

La directive 2015/849 ne prévoit pas qu’une inscription sur une liste établie par un pays tiers entraîne l’interdiction de nouer la relation (§45). L’évaluation du risque se conduit à trois niveaux successifs, Union, État membre et entité assujettie, et sans elle personne ne peut décider au cas par cas des mesures à appliquer (§46). L’assignation d’un niveau de risque plus élevé n’a rien d’automatique (§49). L’inscription « peut constituer un facteur de risque pertinent » que l’établissement est tenu d’intégrer dans une évaluation individualisée, laquelle appelle des mesures de vigilance renforcée (§51).

Les fonctionnalités limitées d’un compte de base réduisent d’ailleurs objectivement ce risque, facteur atténuant à intégrer dans l’évaluation (§52). Le refus n’est ouvert qu’au terme de cette évaluation, si l’établissement conclut qu’il ne peut pas gérer le risque par des mesures proportionnées à sa nature et à sa taille (§53 et §54).

Un facteur de risque n’ouvre donc pas droit à un refus automatique, ni à un classement d’office en risque élevé. La réponse attendue est l’évaluation individualisée, et le cas échéant des mesures de vigilance renforcée. La portée de l’arrêt se lit toutefois au regard de son objet, le droit à un compte de paiement assorti de prestations de base, où le refus est étroitement encadré. Ce qui vaut pour tout assujetti, c’est l’interdiction de l’automatisme et l’exigence d’une évaluation individualisée, plus que la conclusion sur le caractère exceptionnel du refus.

Votre exposition pénale est européenne

Dire qu’une inscription américaine ne crée pas d’obligation de blocage en France ne signifie pas que le cadre européen soit moins contraignant.

La directive (UE) 2024/1226 du 24 avril 2024 harmonise la répression pénale des violations des mesures restrictives de l’Union, avec une transposition attendue des États membres au plus tard le 20 mai 2025. Elle incrimine notamment la mise à disposition de fonds au profit d’une personne désignée, le non-gel, les transactions prohibées et le contournement (art. 3), ce dernier couvrant l’utilisation ou la dissimulation de fonds gelés, la fourniture d’informations fausses ou trompeuses sur le propriétaire ou le bénéficiaire final désigné, et les manquements déclaratifs sur les avoirs gelés. En droit français, ces violations sont réprimées par le code des douanes et le code monétaire et financier, à l’article 459 du premier et à l’article L574-3 du second.

Deux précisions comptent pour un dispositif. La notion de fonds inclut explicitement les crypto-actifs, par renvoi au règlement MiCA. Et lorsque la violation porte sur des biens militaires ou à double usage, la négligence grave suffit à constituer l’infraction, sans qu’une intention soit requise.

Les planchers donnent l’échelle. Pour le non-gel, la mise à disposition et le contournement portant sur au moins 100 000 euros, les États membres doivent prévoir une peine maximale d’au moins cinq ans d’emprisonnement (art. 5 et 7). Pour les personnes morales, les infractions les plus graves appellent une amende d’au moins 5 % du chiffre d’affaires mondial total ou 40 millions d’euros. Une circonstance aggravante vise directement le lectorat de cet article, le fait d’être un prestataire professionnel agissant en violation de ses obligations professionnelles (art. 8).

L’article 18 relie directement sanctions et LCB-FT : il ajoute la violation des mesures restrictives de l’Union aux infractions sous-jacentes au blanchiment, en modifiant la directive (UE) 2018/1673, dont la liste passe ainsi de vingt-deux à vingt-trois entrées. Le contournement devient une infraction génératrice de produits blanchissables. Un soupçon de contournement peut donc nourrir une déclaration à Tracfin.

Surconformité et règlement de blocage

On passe ici du cas individuel à la politique de l’établissement. Ce comportement est la surconformité, l’application d’une norme étrangère au-delà de ce que le droit exige.

Ce que l’article 5 du règlement 2271/96 interdit

Le règlement (CE) n° 2271/96, dit règlement de blocage, est la réponse européenne à l’extraterritorialité américaine.

Son article 5 interdit aux personnes et entités relevant de l’Union de se conformer, directement ou par filiale ou intermédiaire interposé, activement ou par omission délibérée, aux prescriptions ou interdictions fondées sur les lois américaines visées à son annexe. Une dérogation reste possible, mais seulement sur autorisation obtenue selon la procédure de la Commission, lorsque le non-respect léserait gravement les intérêts de l’opérateur ou de l’Union.

Le champ du règlement est circonscrit aux régimes listés en annexe, aujourd’hui centrés sur Cuba et l’Iran, et l’instrument reste peu invoqué en pratique.

Ce qui reste libre, et ce qui relève de la faculté

Les lignes directrices conjointes de la DG Trésor et de l’ACPR posent une règle de décision en trois volets, à leurs paragraphes 111 à 113. Elle transforme un débat de principe sur la souveraineté en critère utilisable un lundi matin.

Est prohibé le fait d’appliquer les sanctions américaines listées à l’annexe du règlement de blocage comme si elles étaient contraignantes en Europe, ce que vise l’article 5. Reste libre, en revanche, le choix de commencer, de poursuivre ou de cesser une activité dans un pays visé par ces sanctions, dès lors qu’il repose sur une évaluation économique documentée.

Le texte le dit expressément, en renvoyant à la note d’orientation de la Commission. Et le dispositif permet, sans l’imposer, de consulter les listes étrangères comme un élément d’information parmi d’autres, qui alimente la connaissance du client et les obligations de vigilance LCB-FT. Le texte en fait une faculté, pas une incitation.

La conséquence tient en une phrase. La même consultation de la liste de l’OFAC est licite ou fautive selon le statut qu’on lui donne dans le dispositif. Traitée comme un élément d’information de vigilance, elle est permise, appliquée comme une norme contraignante, elle relève de la surconformité. Et lorsqu’elle porte sur l’une des législations américaines visées à l’annexe du règlement de blocage, elle tombe en outre sous l’interdiction de l’article 5.

Face à une alerte OFAC : les questions qui orientent la décision

Une alerte OFAC appelle une lecture particulière. Un responsable conformité a déjà son dispositif de traitement d’alerte, il n’a pas à le réinventer.

L’OFAC y ajoute seulement quelques questions que le traitement générique ne pose pas, et l’ordre dans lequel on se les pose fait bifurquer l’analyse.

1. De quelle liste vient la correspondance ? Une liste qui emporte gel, onusienne, européenne ou nationale, ou une liste de pays tiers comme celles de l’OFAC. Tout le reste en dépend.
2. La personne est-elle aussi désignée par l’ONU, l’Union ou la France ? Une même personne peut figurer sur une liste américaine et sur une liste contraignante en Europe. Le régime européen ou national commande alors le gel, indépendamment de l’inscription OFAC.
3. Un nexus rattache-t-il l’opération à la juridiction des États-Unis ? Sans point de contact, aucune obligation américaine primaire, l’exposition aux sanctions secondaires et au correspondant bancaire demeurant entière.
4. Que détient la personne détectée ? La règle des 50 % se vérifie sur la chaîne de détention, pas sur le seul nom qui a déclenché l’alerte.
5. Le statut de cette liste a-t-il déjà été tranché dans votre cartographie et votre politique de risque ? Si oui, l’alerte se traite dans un cadre posé. Sinon, elle est escaladée et tranchée au cas par cas, la décision documentée, et la lacune corrigée ensuite au niveau de la politique.

Deux issues possibles, et des gestes distincts. Lorsque la correspondance porte sur une liste qui emporte gel et que l’identité est confirmée, l’assujetti gèle sans délai, adresse une déclaration de gel à la DG Trésor, informe le client à sa dernière adresse connue si le gel survient en cours de relation, et applique des mesures de vigilance renforcée. Lorsque le doute sur l’identité subsiste après investigation, il transmet une déclaration d’homonymie à la DG Trésor, qui lui indique si la personne est effectivement désignée, la réponse renvoyant ensuite vers le classement en faux positif motivé ou vers le gel. Une tentative d’opération visant à contourner un gel relève d’un troisième formulaire, la déclaration de suspicion de contournement, à transmettre sans délai au titre de l’article R562-3 CMF.

Aucun de ces trois gestes n’est ouvert par une correspondance sur la seule liste de l’OFAC. Les trois sont attachés au régime français et européen de gel.

Décider en amont : la cartographie des risques

Une chaîne de décision structure le dispositif. Confondre ses étages crée de l’incohérence. L’évaluation de l’exposition, ou cartographie des risques, mesure et hiérarchise le risque. La politique et les procédures de l’établissement décident ensuite quelles listes sont utilisées, pourquoi et avec quelles conséquences. Le paramétrage de l’outil traduit cette politique. Le traitement de l’alerte l’applique au cas d’espèce, puis la décision est documentée.

En amont, la cartographie apprécie plusieurs éléments : l’exposition au dollar de l’établissement, son métier (banque, assurance, gestion ou courtage), les produits et services concernés (flux internationaux, financement export), la répartition du risque avec le porteur de risques le cas échéant, et la qualité des données qui servent à la construire. C’est elle qui éclaire la décision, relevant de la politique, d’intégrer ou non une liste étrangère, décision qui ne se prend pas au moment de l’alerte.

Le cas de la liste imposée par contrat mérite une place à part. Il est fréquent en distribution d’assurance et en délégation, lorsqu’un producteur, un assureur ou un partenaire impose dans sa convention un périmètre de filtrage déterminé. Cette contrainte se documente pour ce qu’elle est, une obligation contractuelle, distincte d’une obligation réglementaire. La distinction n’est pas cosmétique, une clause privée ne dispense pas de vérifier sa compatibilité avec le règlement de blocage.

Le secteur de l’assurance ajoute ses propres points de contact. En assurance-vie, le criblage vise des rôles précis, souscripteur et co-souscripteur, payeur distinct du souscripteur, bénéficiaire acceptant avant le dénouement, bénéficiaire au dénouement.

À côté de ce criblage, une obligation distincte se déclenche lorsqu’un client fait l’objet d’un gel : réexaminer les relations d’affaires connues de son entourage familial ou professionnel, avec des mesures de vigilance adaptées, mais sans criblage indistinct de cet entourage. L’exposition peut d’ailleurs exister sans le moindre flux en dollars, lorsqu’un porteur de risques, un réassureur ou un partenaire impose par convention la consultation d’une liste américaine. La contrainte est là encore contractuelle, à distinguer d’une obligation de gel.

Cette décision amont rejoint directement l’évaluation individualisée qu’exige la CJUE. La cartographie fixe le cadre, l’évaluation au cas par cas s’y appuie. Un dernier point conditionne sa valeur probante. Le choix doit être formalisé, validé par la direction de la conformité, puis révisé. Une cartographie datée ne protège pas.

Paramétrer le filtrage sans basculer dans la surconformité

Tout ce qui précède se traduit dans le paramétrage de l’outil. Le premier réglage est aussi le plus structurant, séparer les listes selon leur statut. Celles qui emportent gel, ONU, Union, nationales, d’un côté, celles qui alimentent le risque, listes de pays tiers, de l’autre. Chaque famille reçoit son propre workflow et son propre libellé d’alerte. Appliquer le même traitement automatique aux deux revient à transformer une information de vigilance en blocage de fait, autrement dit à basculer dans la surconformité par simple défaut de paramétrage.

Trois réglages découlent des sections précédentes. La règle des 50 % suppose une profondeur d’analyse capitalistique qui remonte la chaîne de détention au lieu de s’arrêter au premier niveau. Le rythme de mise à jour irrégulier des listes américaines doit se refléter dans la fréquence de re-filtrage, qui ne peut pas suivre une périodicité fixe. La restriction sectorielle, enfin, ne se détecte pas par un criblage de noms, elle suppose de qualifier l’opération, son bien et sa destination, ce qui relève d’un contrôle distinct dans l’outil.

Le référentiel français est précis sur un point que beaucoup de dispositifs manquent. Les lignes directrices conjointes posent que l’outil de filtrage ne doit pas reposer sur un mécanisme de rapprochement de type exact match : des critères orthographiques trop restrictifs ne détectent ni les variantes, ni les translittérations de noms arabes, cyrilliques ou chinois, ni les alias et pseudonymes figurant sur les listes, ni les fautes de frappe courantes. Une décision de la Commission des sanctions de 2021 avait déjà retenu ce paramétrage comme un manquement à l’obligation de résultat.

La règle n’est pas pour autant une interdiction absolue, et c’est la nuance qui rend le texte utilisable. Le taux de concordance déclenchant l’alerte se calibre selon la nature et la qualité des informations filtrées. Il peut être relevé, voire consister en un exact match, lorsque quatre conditions sont réunies : les informations sur les personnes à filtrer ont été vérifiées au regard d’un registre officiel, les risques d’inversion entre nom et prénom sont maîtrisés, les informations de la liste sont elles-mêmes fiables, et des mécanismes de nettoyage des chaînes de caractères sont utilisés. Symétriquement, une donnée non vérifiée, tel le nom d’un bénéficiaire dans un message de paiement, doit peser moins dans le déclenchement de l’alerte.

Deux principes encadrent l’ensemble. La qualité de la donnée d’entrée conditionne la pertinence des correspondances et le screening produit une alerte, jamais une décision.

Reste le référentiel à mobiliser. Les orientations EBA/GL/2024/15, applicables depuis le 30 décembre 2025, visent spécifiquement les prestataires de services de paiement et les prestataires de services sur crypto-actifs, au titre des transferts de fonds et de crypto-actifs. Pour ces acteurs, elles fournissent le référentiel de filtrage le plus détaillé. Pour les autres assujettis, assureurs et courtiers compris, les lignes directrices conjointes de la DG Trésor et de l’ACPR reprennent plusieurs de ces attentes pour l’ensemble des organismes financiers, sans importer telles quelles les prescriptions propres au périmètre d’EBA/GL/2024/15.

Ce qu’attendent les orientations EBA/GL/2024/15, pour les PSP et les PSCA

• Le référentiel impose notamment un filtrage à l’entrée en relation et lors des changements significatifs, des données d’identification suffisantes, la prise en compte des bénéficiaires effectifs et personnes habilitées, ainsi qu’un calibrage documenté fondé sur le fuzzy matching. Les listes blanches doivent être justifiées et réexaminées, et le dispositif testé régulièrement.
• Lorsqu’une alerte est potentielle, l’opération est suspendue ; une correspondance positive avérée déclenche le gel et la notification à l’autorité compétente.

Ces orientations ne remplacent pas le référentiel national. Les lignes directrices conjointes de la DG Trésor et de l’ACPR de mars 2026 précisent les attentes applicables aux organismes français, notamment sur la fréquence de filtrage et le calibrage selon la qualité des données.

Les orientations EBA portent sur les mesures restrictives de l’Union et nationales. Elles ne créent aucune obligation de filtrer les listes de pays tiers. Le référentiel prudentiel européen encadre donc le filtrage des listes qui emportent gel, il ne demande jamais d’aligner le dispositif sur la liste de l’OFAC.

Reste une confusion de vocabulaire à lever. Un faux positif, un vrai positif et une alerte légitime sont trois choses distinctes. Une correspondance exacte sur une liste de pays tiers est un vrai positif de filtrage, ce qui n’en fait pas un motif de blocage.

Documenter la décision

Une fois la décision prise, c’est la trace qui la rend défendable. Le dossier conserve la nature de la liste en cause, l’existence ou non d’un nexus américain, l’existence ou non d’une désignation par l’ONU, l’Union européenne ou la France, l’évaluation individualisée du risque, les mesures de vigilance renforcée décidées et le fondement juridique retenu. Cette trace protège doublement, face au contrôle prudentiel de l’ACPR qui vérifie la cohérence du dispositif, et face à un contentieux client qui contesterait un refus ou une rupture non justifiés.

Le dossier n’est que le premier niveau. Au niveau de l’organisation, le référentiel dépend du statut de l’établissement. Les orientations EBA/GL/2024/14 s’appliquent aux établissements financiers relevant de la directive CRD IV, de la DSP2 et de la directive monnaie électronique, et non aux organismes d’assurance. Pour les établissements concernés, elles encadrent la gouvernance du dispositif et l’attribution des responsabilités, avec la désignation d’un membre de l’encadrement supérieur dédié.

Le socle français, lui, ne dépend pas du statut. L’article L562-4-1 CMF oblige tout assujetti à mettre en place une organisation et des procédures internes dédiées au gel des avoirs, ainsi qu’un contrôle interne de second niveau. Un courtier ou un organisme d’assurance situé hors du périmètre de l’EBA reste donc tenu par cette obligation, et les lignes directrices conjointes de la DG Trésor et de l’ACPR sont son référentiel.

Elles imposent aussi une évaluation régulière de l’exposition aux mesures restrictives, couvrant notamment les dimensions géographiques, les clients, les produits et services et les canaux de distribution, ainsi qu’une réévaluation lorsqu’un changement ou une défaillance du dispositif le justifie.

Le reporting à l’organe de direction doit restituer l’exposition, les alertes, les insuffisances et les cas de violation ou de contournement.

Pour les organismes financiers français, assurance et courtage compris, les lignes directrices conjointes de la DG Trésor et de l’ACPR précisent les attentes de supervision. Elles reprennent plusieurs attentes de l’EBA sans rendre applicables au secteur de l’assurance les prescriptions propres à EBA/GL/2024/14.

Répondre à ces attentes suppose des outils. La plateforme BeCLM outille la connaissance du client, la classification des risques, le filtrage, la surveillance et la piste d’audit, en exploitant les données d’identité fournies en entrée. Le produit ne réalise pas la vérification d’identité, il consomme l’identité vérifiée en amont pour cribler, qualifier les alertes et conserver la trace des décisions. Sur le terrain des sanctions, la carte des sanctions par pays situe l’exposition géographique, et le module de filtrage des sanctions contribue à mettre en œuvre et à documenter la détection, sans se substituer à la décision de conformité.

FAQ sanctions OFAC

Peut-on rompre une relation en cours au seul motif d’une inscription OFAC ?

L’arrêt du 11 juin 2026 porte sur un refus d’ouverture de compte de paiement de base, et la Cour ne s’est pas prononcée sur la rupture d’une relation existante. Son raisonnement se transpose néanmoins, parce que ce qu’il condamne est l’automatisme. Une rupture décidée sur le seul fait de l’inscription, sans évaluation individualisée du risque de la relation ni examen des mesures de vigilance renforcée qui permettraient de le gérer, repose sur le même vice que le refus jugé non conforme. Une rupture prononcée au terme de cette évaluation, parce que le risque n’est pas gérable par des mesures proportionnées à la nature et à la taille de l’établissement, se défend. Ce qui départage les deux est la trace qui fonde la décision.

Et si le client relève du droit au compte ?

Le régime est plus strict encore. La position de l’ACPR sur le droit au compte pose que le risque de blanchiment ou de financement du terrorisme n’est jamais, en lui-même, un motif de refus d’ouverture d’un compte ouvert à ce titre. Seule l’impossibilité d’identifier le client au sens de l’article L561-8 CMF justifie un refus, et il s’agit alors d’un cas impératif et non d’une appréciation laissée à l’établissement. Une inscription sur une liste de pays tiers ne peut donc pas fonder le refus d’un compte de droit au compte.

La clôture, elle, suit un régime à deux vitesses qu’il faut connaître. Le préavis de deux mois et l’obligation de motiver le courrier s’appliquent lorsque la clôture n’est pas accompagnée d’une déclaration de soupçon. Si elle l’est, et que la déclaration est faite de bonne foi, l’établissement n’a ni à motiver ni à respecter de préavis, la divulgation d’une déclaration de soupçon étant elle-même un délit.

Le règlement de blocage nous donne-t-il un recours si nous subissons un dommage ?

Oui. Son article 6 ouvre aux personnes et entités relevant de l’Union un droit à réparation des dommages, frais de justice compris, causés par l’application des lois extraterritoriales visées à son annexe ou par les actions fondées sur elles, et le recouvrement peut être poursuivi devant les juridictions des États membres. C’est le pendant de l’interdiction de l’article 5 : le règlement ne se contente pas d’interdire de se conformer, il ouvre une voie d’action à celui qui subit. L’instrument reste peu invoqué en pratique et son champ demeure circonscrit aux régimes listés en annexe, ce qui n’enlève rien à son existence.

Faut-il filtrer les adresses de portefeuille de crypto-actifs publiées sur les listes ?

Oui pour les prestataires de services sur crypto-actifs, et l’obligation est explicite. Les orientations EBA/GL/2024/15 rangent les adresses de portefeuille parmi les données à filtrer lorsqu’elles figurent sur les listes officielles, au même rang que les noms alternatifs et les pseudonymes. Le filtrage doit intervenir avant toute mise à disposition des crypto-actifs au bénéficiaire. Pour les prestataires à fort volume de transactions, le texte recommande en outre une analyse blockchain permettant d’identifier les origines et les destinations des fonds. L’OFAC publie de telles adresses sur sa liste, ce qui ramène au principe général : elles alimentent la vigilance sans emporter d’obligation de blocage en droit français, alors qu’une adresse figurant sur une liste européenne ou nationale de gel, elle, l’emporte.

Faut-il repasser tout le portefeuille à chaque mise à jour de liste ?

Le filtrage rétroactif se joue à deux moments distincts, et les confondre coûte cher. Le re-criblage de routine suit les mises à jour de liste et maintient le dispositif à jour, c’est une opération courante. Le filtrage rétroactif au sens propre est exceptionnel : lorsqu’il apparaît que le dispositif antérieur était inadéquat ou inefficace, le stock doit être repassé pour identifier ce que le paramétrage défaillant a laissé passer. Le référentiel prudentiel attend que cette opération soit envisagée dès que le constat est fait, puis restituée à l’organe de direction avec les insuffisances relevées. C’est une remédiation, et elle se documente comme telle. Une correspondance découverte à cette occasion se traite ensuite comme toute autre, selon la nature de la liste.