La vigilance à l’égard de la clientèle désigne l’ensemble des mesures mises en œuvre par les professionnels assujettis aux obligations de LCB-FT pour identifier leurs clients, comprendre la nature de leurs activités et suivre leurs opérations dans le temps. Son intensité dépend du niveau de risque associé à chaque relation d’affaires.
Dans la pratique, les dispositifs s’organisent généralement autour de trois degrés : les mesures de vigilance simplifiées lorsque le risque est faible, le socle commun de vigilance appliqué aux relations courantes et les mesures de vigilance renforcées lorsque le risque est élevé. Certaines situations prévues par la réglementation, notamment le statut de personne politiquement exposée, entraînent également des diligences complémentaires spécifiques.
Chez AP Solutions IO, nous accompagnons quotidiennement les équipes de conformité qui doivent définir ces mesures, les intégrer dans leurs procédures et conserver les éléments permettant de justifier leurs décisions. La difficulté réside moins dans la connaissance théorique des différents degrés de vigilance que dans leur application opérationnelle, leur réévaluation et leur traçabilité en cas de contrôle.
Comment adapter la vigilance au niveau de risque ?
Les mesures de vigilance simplifiées peuvent être mises en œuvre lorsqu’une évaluation documentée conclut à un risque faible de blanchiment de capitaux ou de financement du terrorisme. Elles permettent d’adapter l’étendue, la fréquence ou les modalités des contrôles, sans interrompre le suivi du client..
Le socle commun de vigilance, parfois appelé vigilance standard dans les procédures internes, comprend l’identification du client et de son bénéficiaire effectif, la connaissance de l’objet de la relation d’affaires et le suivi des opérations réalisées.
Les mesures de vigilance renforcées s’appliquent lorsque la relation d’affaires, le produit ou l’opération présente un risque élevé. Leur contenu dépend des facteurs identifiés et peut comprendre des informations complémentaires, une fréquence de revue accrue ou une surveillance plus approfondie des opérations.
Le niveau de vigilance repose sur une classification documentée du risque. Cette classification doit évoluer lorsque de nouvelles informations modifient l’exposition de la relation d’affaires.
Qu’est-ce que la vigilance à l’égard de la clientèle ?
La vigilance à l’égard de la clientèle constitue la traduction opérationnelle de l’approche par les risques en matière de LCB-FT. Elle commence avant l’entrée en relation et se poursuit pendant toute la durée de celle-ci.
Elle comprend notamment :
- l’identification du client et la vérification de son identité ;
- l’identification du bénéficiaire effectif, lorsque cette recherche est applicable ;
- la compréhension de l’objet et de la nature de la relation d’affaires ;
- la collecte d’informations cohérentes avec l’activité déclarée ;
- le suivi des opérations réalisées ;
- l’actualisation régulière des informations disponibles.
Le KYC, ou Know Your Customer, ne désigne donc pas uniquement le contrôle réalisé lors de l’entrée en relation. Il désigne un processus continu de connaissance du client, d’actualisation de ses informations et de surveillance de la cohérence de ses opérations.
Les organismes, institutions et professionnels entrant dans le champ des obligations de LCB-FT doivent adapter leur dispositif à leur activité, à leur clientèle, aux produits proposés, aux canaux de distribution utilisés et aux zones géographiques auxquelles ils sont exposés.
Quel lien entre vigilance clientèle et approche par les risques ?
Le niveau de vigilance découle principalement de l’évaluation du risque associé à la relation d’affaires. Une classification fiable permet de concentrer les contrôles les plus approfondis sur les situations les plus sensibles, tout en évitant d’imposer des diligences excessives aux relations présentant un risque limité.
Cette démarche s’appuie sur plusieurs familles de critères :
- le profil et l’activité du client ;
- sa forme juridique et sa structure de détention ;
- l’identité de ses bénéficiaires effectifs ;
- les produits ou services utilisés ;
- les montants et la nature des opérations ;
- le canal d’entrée en relation ;
- l’exposition géographique ;
- les sanctions internationales ;
- le statut éventuel de PPE ;
- les informations défavorables issues de sources ouvertes ;
- le comportement transactionnel observé.
Notre guide consacré à l’approche par les risques en LCB-FT détaille la manière de classer une relation d’affaires selon un niveau de risque faible, courant ou élevé.
Cette classification doit rester cohérente avec la cartographie des risques LCB-FT de l’organisation. Une cotation client ne peut être solidement justifiée lorsqu’elle repose sur des critères déconnectés des risques propres à l’activité, aux produits ou aux zones géographiques concernées.
Une vigilance continue pendant toute la relation d’affaires
L’effort de vigilance ne doit pas se concentrer uniquement sur l’ouverture de la relation. Les informations recueillies doivent être actualisées et confrontées aux opérations réellement observées.
Plusieurs événements peuvent entraîner une nouvelle évaluation du risque :
- un changement d’activité ou de forme juridique ;
- une modification de l’actionnariat ou des bénéficiaires effectifs ;
- une nouvelle domiciliation dans une zone sensible ;
- une évolution importante des flux financiers ;
- une opération atypique ;
- une alerte issue de la surveillance transactionnelle ;
- l’apparition d’une sanction, d’un statut de PPE ou d’une information défavorable significative.
Chaque événement pertinent doit déclencher une analyse adaptée, sans attendre systématiquement la prochaine date de revue programmée. La décision prise, ses motifs et les informations utilisées doivent être conservés afin de permettre sa reconstitution.
Mesures de vigilance simplifiées : quelles conditions respecter ?
Les mesures de vigilance simplifiées peuvent être appliquées lorsque le risque de blanchiment de capitaux et de financement du terrorisme est évalué comme faible ou lorsque la relation entre dans une catégorie réglementaire considérée comme faiblement exposée.
Le caractère faible du risque doit être établi à partir d’une analyse préalable et documentée. Une mesure simplifiée ne peut donc pas être choisie uniquement pour réduire la charge de traitement ou accélérer l’entrée en relation.
Comment simplifier les contrôles sans interrompre la vigilance ?
Lorsque les conditions sont réunies, l’organisme assujetti peut adapter certaines modalités de son dispositif, notamment :
- la quantité d’informations complémentaires recueillies ;
- la fréquence des mises à jour ;
- le moment auquel certaines vérifications sont réalisées ;
- l’étendue des moyens consacrés au contrôle ;
- l’intensité du suivi de la relation.
Les mesures retenues doivent rester proportionnées au niveau de risque identifié. L’organisme doit également conserver une capacité suffisante pour détecter une opération inhabituelle ou une évolution du profil du client.
Un risque faible doit rester réévaluable
Une relation classée à faible risque peut évoluer. Une modification de l’activité, l’arrivée d’un nouveau bénéficiaire effectif ou l’apparition de flux incohérents avec les informations disponibles peuvent remettre en cause la classification initiale.
L’application de mesures simplifiées doit donc rester réversible. Lorsque de nouveaux facteurs apparaissent, le niveau de vigilance doit être réévalué et les contrôles adaptés.
La présence d’un soupçon de blanchiment de capitaux ou de financement du terrorisme exclut par ailleurs le maintien de mesures simplifiées fondées sur un faible niveau de risque.
Le socle commun de vigilance applicable à la relation d’affaires
Le socle commun, fréquemment désigné comme vigilance standard dans les procédures internes, correspond aux diligences appliquées à la majorité des relations d’affaires qui ne présentent ni un risque suffisamment faible pour justifier des mesures simplifiées ni un risque élevé imposant un renforcement spécifique.
Il comprend trois dimensions principales :
- l’identification du client et la vérification de son identité ;
- la connaissance de l’objet et de la nature de la relation d’affaires ;
- la surveillance de la cohérence des opérations pendant toute la durée de la relation.
Identification du client et du bénéficiaire effectif
L’organisme assujetti doit recueillir les informations nécessaires à l’identification du client, puis vérifier leur exactitude à partir de documents ou de sources fiables.
Lorsque le client agit pour le compte d’une personne morale ou présente une structure de détention, la recherche du bénéficiaire effectif permet d’identifier la ou les personnes physiques qui contrôlent directement ou indirectement l’entité.
La seule collecte d’une pièce d’identité ne permet donc pas de considérer le processus comme achevé. Les informations doivent être analysées dans leur ensemble et replacées dans le contexte de la relation d’affaires.
Compréhension de l’objet et de la nature de la relation
Avant l’entrée en relation, l’organisme doit comprendre la raison pour laquelle le client souhaite utiliser le produit ou le service proposé.
Cette analyse peut porter sur :
- l’activité professionnelle ou économique ;
- les opérations attendues ;
- les montants habituellement envisagés ;
- l’origine et la destination prévisibles des fonds ;
- les zones géographiques concernées ;
- la fréquence d’utilisation du service.
Ces éléments constituent le référentiel de connaissance du client à partir duquel les opérations futures pourront être appréciées.
Suivi et actualisation des informations
La fréquence de révision dépend de la classification du risque et des procédures internes. Une relation plus exposée doit généralement faire l’objet de contrôles plus fréquents qu’une relation présentant peu de facteurs aggravants.
La revue périodique ne remplace toutefois pas la réévaluation déclenchée par un événement significatif. Toute incohérence nouvelle doit être analysée dès sa détection.
Mesures de vigilance renforcées : dans quelles situations s’appliquent-elles ?
Les mesures de vigilance renforcées s’appliquent lorsque le risque présenté par une relation d’affaires, un produit ou une opération est évalué comme élevé.
Cette évaluation peut notamment résulter de la combinaison de plusieurs facteurs :
- une structure juridique complexe ou difficile à comprendre ;
- une activité particulièrement exposée ;
- des bénéficiaires effectifs difficiles à identifier ;
- une exposition à certaines juridictions sensibles ;
- des flux inhabituels ou internationaux complexes ;
- des incohérences documentaires persistantes ;
- des informations défavorables significatives ;
- un comportement transactionnel éloigné du profil attendu.
Un facteur isolé ne conduit pas toujours à la même cotation selon le contexte. L’analyse doit tenir compte de l’ensemble de la relation d’affaires, tout en respectant les situations pour lesquelles la réglementation impose des mesures complémentaires particulières.
Quelles mesures mettre en œuvre en cas de risque élevé ?
Selon les risques identifiés, les diligences renforcées peuvent comprendre :
- la collecte d’informations supplémentaires sur le client ;
- une vérification plus approfondie de la structure de détention ;
- l’analyse de l’origine du patrimoine ou des fonds ;
- une justification plus détaillée de certaines opérations ;
- une fréquence de mise à jour accrue ;
- une surveillance transactionnelle plus rapprochée ;
- des contrôles complémentaires par des personnes ou instances habilitées ;
- une conservation renforcée des éléments ayant motivé la décision.
Les mesures retenues doivent être adaptées aux facteurs de risque identifiés. Une accumulation de contrôles sans rapport avec l’exposition du client alourdit les processus sans nécessairement améliorer l’efficacité du dispositif.
PPE : des mesures complémentaires obligatoires
Lorsqu’un client, un bénéficiaire effectif ou, selon les cas, une personne étroitement liée présente le statut de personne politiquement exposée, des mesures complémentaires spécifiques doivent être appliquées.
Elles comprennent notamment :
- une décision de nouer ou de maintenir la relation prise par une personne ou une instance habilitée ;
- la recherche de l’origine du patrimoine et des fonds impliqués ;
- une surveillance renforcée de la relation d’affaires.
L’intensité de cette surveillance doit être adaptée au profil de risque. La fonction exercée, le pays concerné, les produits et services utilisés, la structure de détention et la nature des opérations permettent d’en déterminer les modalités opérationnelles.
Le statut de PPE doit donc être distingué d’un simple facteur facultatif intégré à une note globale. Il entraîne un socle de mesures complémentaires, auquel peuvent s’ajouter d’autres diligences lorsque l’évaluation générale conclut à un risque élevé.
Opérations atypiques : quand réaliser un examen renforcé ?
Une opération particulièrement complexe, d’un montant inhabituellement élevé ou dépourvue de justification économique ou d’objet licite apparent doit faire l’objet d’un examen renforcé.
Cet examen vise notamment à recueillir des informations sur :
- l’origine des fonds ;
- leur destination ;
- l’objet de l’opération ;
- l’identité de la personne qui en bénéficie ;
- la cohérence de l’opération avec le profil du client.
L’examen renforcé porte d’abord sur l’opération concernée. Ses conclusions peuvent ensuite conduire à modifier la classification du client et à renforcer la surveillance de l’ensemble de la relation d’affaires.
Cette distinction évite de confondre une opération ponctuellement atypique avec une classification automatique de la totalité de la relation en risque élevé.
Due diligence renforcée : comment approfondir les contrôles ?
L’expression EDD, pour Enhanced Due Diligence, désigne les diligences approfondies mises en œuvre face à une exposition élevée. Leur contenu dépend du profil du client, des tiers concernés et de la nature des opérations.
Dans une relation impliquant des fournisseurs, des intermédiaires ou une chaîne de partenaires, les contrôles doivent également permettre de comprendre les relations entre les différentes parties. Notre article consacré à la due diligence et au KYS présente les principaux mécanismes permettant de sécuriser la connaissance des tiers et des fournisseurs.
Une diligence renforcée efficace reste reliée à la cartographie des risques, aux procédures internes et aux validations définies par la gouvernance. Elle doit également produire des éléments suffisamment précis pour expliquer les contrôles réalisés et les décisions prises.
Comment justifier le niveau de vigilance appliqué ?
La solidité d’un dispositif de vigilance dépend autant de la qualité des contrôles que de la capacité à en apporter la preuve.
En cas de contrôle, l’organisme doit pouvoir présenter :
- la date de classification de la relation ;
- les facteurs de risque pris en compte ;
- les règles de pondération utilisées ;
- le niveau de vigilance retenu ;
- les éventuelles validations internes ;
- les mesures appliquées ;
- les événements ayant entraîné une réévaluation ;
- l’historique des changements et leurs motifs.
L’autorité compétente varie selon le secteur concerné. Il peut notamment s’agir de l’ACPR, de l’AMF, de la DGCCRF ou d’une autorité professionnelle. Tracfin intervient en tant que service français de renseignement financier, notamment dans le cadre de la réception et de l’analyse des déclarations de soupçon.
Une organisation fondée sur des fichiers dispersés, des règles implicites ou des arbitrages peu documentés rend la justification plus difficile. Les équipes doivent alors reconstituer a posteriori des décisions parfois anciennes, avec un risque d’incohérence entre la procédure théorique et les contrôles réellement effectués.
Structurer la cotation du risque avec AP Scoring
Ce besoin de traçabilité a guidé le développement d’AP Scoring, la solution de cotation du risque proposée par AP Solutions IO.
AP Scoring permet d’évaluer les relations d’affaires à partir de plus de 90 critères paramétrables. La solution peut intégrer des données issues du KYC et du KYB ainsi que des signaux relatifs aux sanctions, aux PPE, aux informations défavorables, à l’exposition géographique, au produit vendu et son circuit d’acquisition…
Son approche Glass Box vise à rendre la cotation transparente et traçable. Les équipes peuvent identifier les critères appliqués, comprendre leur influence sur le résultat et conserver les éléments nécessaires à la justification de la décision.
L’outil met à disposition une méthode de cotation et des informations d’aide à la décision. La responsabilité de la classification demeure celle de l’entité assujettie, conformément aux règles de gouvernance, aux procédures et aux délégations qu’elle a définies.
L’expérience de plus de quinze ans des fondateurs d’AP Solutions IO dans les domaines de la conformité et de la LCB-FT a contribué à la conception de cette approche. Les solutions sont développées par une RegTech française et les données traitées sont hébergées en France.
Objectiver, documenter et réviser la vigilance clientèle
Un dispositif de vigilance efficace repose sur une classification compréhensible, des mesures proportionnées et une traçabilité suffisante pour reconstituer chaque décision.
Les mesures simplifiées répondent aux relations dont le faible niveau de risque est démontré. Le socle commun encadre l’identification, la connaissance et le suivi courant du client. Les mesures renforcées approfondissent les contrôles lorsque l’exposition est élevée, tandis que certaines situations réglementaires imposent des diligences complémentaires précises.
Lorsque la cotation repose encore sur des fichiers dispersés ou des arbitrages insuffisamment formalisés, échanger avec un expert en conformité permet d’identifier les fragilités prioritaires et d’évaluer la manière dont AP Scoring peut structurer la classification, la révision et la justification des niveaux de vigilance.
