La conformité paiement dans plusieurs pays. 7 chapitres et un QCM final.

Chapitre 1. Qualifier le modèle avant de demander une licence.

Un projet d'internationalisation ne commence pas par une demande d'agrément, mais par une carte des flux qui dit où l'argent entre, où il s'arrête, qui en a la maîtrise et à quel moment il repart vers son destinataire. Cette carte se dessine pays par pays et service par service, parce que deux marchés voisins qualifient parfois le même produit de deux façons opposées. La qualification vient d'abord. Le choix de la licence en découle, et jamais l'inverse.

Le test de détention, appliqué flux par flux

• Le compte d'encaissement : à quel nom est-il ouvert, et qui donne les ordres de débit ?
• La durée de stationnement : une seule nuit suffit à faire basculer la qualification dans la plupart des régimes
• Le titulaire juridique des fonds avant reversement : le client final, le marchand, ou le prestataire
• L'effet libératoire : à quel instant précis le client est-il quitte de sa dette envers le marchand ?
• Le sort des fonds en cas de faillite : la réponse doit tenir devant un liquidateur, pas devant un directeur commercial

La note de qualification est le livrable de cette étape. Une page par pays, datée, signée par le responsable conformité, et opposable à l'intérieur du groupe. Elle énonce le service rendu dans les termes du texte local plutôt que dans ceux du marketing, cite l'article qui fonde la qualification retenue et nomme l'entité qui portera l'obligation. Elle liste enfin les hypothèses dont le changement imposerait de refaire l'analyse, parmi lesquelles un raccourcissement du délai de reversement. La date rattache l'analyse aux hypothèses en vigueur au moment où elle a été écrite.

Chapitre 2. Le passeportage : ce qu'il transporte, ce qu'il laisse.

Le passeport européen transporte un agrément, pas une conformité. Un établissement de paiement agréé dans un État membre peut servir les autres, en libre établissement ou en libre prestation de services. Ce droit ne dispense de rien d'autre. Le pays d'accueil garde la main sur plusieurs matières, et celles-là occupent une équipe conformité au quotidien.

Les horloges de la DSP2, telles qu'elles courent vraiment

• Agrément : l'autorité informe le demandeur dans les 3 mois de la réception de la demande, ou de toutes les informations requises si la demande était incomplète (directive (UE) 2015/2366, article 12)
• Agent : l'autorité d'origine indique dans un délai de 2 mois si l'agent a été inscrit au registre (article 19(2))
• Passeport, transmission : l'autorité d'origine envoie le dossier au pays d'accueil dans un délai d'un mois ; le pays d'accueil apprécie ces informations dans le mois qui suit (article 28(2))
• Passeport, décision : l'autorité d'origine communique sa décision dans les 3 mois de la réception des informations (article 28(3))
• Preuve d'exercice : l'agent n'opère qu'une fois inscrit au registre. L'inscription est opposable, le contrat de mandat ne l'est pas

La libre prestation de services attire par sa légèreté apparente, et elle a un angle mort bien connu des superviseurs. Dès qu'un salarié, un agent ou un local se trouve dans le pays d'accueil, l'analyse bascule vers l'établissement, avec les obligations locales qui l'accompagnent. Les autorités regardent les faits, pas la case cochée dans le formulaire de notification. Une adresse de facturation ne fait pas une succursale, tandis qu'une équipe commerciale installée sur place en fait souvent une. Documentez la présence réelle par pays, et actualisez ce document chaque trimestre.

Chapitre 3. La connaissance client, marché par marché.

L'entrée en relation ne se conçoit pas comme un parcours unique décliné en plusieurs langues. Elle se conçoit marché par marché, et la raison en est matérielle plus que juridique. Chaque pays a bâti sa propre infrastructure d'identité, et aucune de ces infrastructures ne traverse une frontière, si bien qu'un référentiel indien ne vérifie pas un client nigérian. Un parcours conçu pour un marché se réécrit donc pour le suivant, du premier écran jusqu'à la pièce de preuve archivée.

L'infrastructure d'identité, socle non exportable du parcours

Le cas indien mérite d'être détaillé, parce qu'il touche l'architecture du système et pas seulement le contenu du formulaire. Le CKYCR est un registre central de dossiers de connaissance client, où un établissement dépose ceux qu'il constitue et d'où il peut en télécharger d'autres avec le consentement du client. Deux conséquences pratiques suivent. Le parcours doit gérer un consentement explicite, journalisé, avant toute extraction du registre. Et l'enregistrement vidéo du V-CIP reste sur le territoire indien, ce qui interdit de centraliser les vidéos dans un centre de données européen.

Le livrable : une matrice, pas un manuel

• Pièces admises : liste fermée, par type de client, avec la durée de validité acceptée pour chacune
• Vérification à distance : autorisée, encadrée ou interdite, et sous quelle forme technique
• Bénéficiaire effectif : seuil chiffré, définition du contrôle, profondeur de remontée exigée dans les chaînes de détention
• Actualisation : périodicité imposée, événements déclencheurs, sort réservé au client non actualisé
• Conservation : durée, format, et lieu de stockage autorisé ; cette colonne rejoint le chapitre 5
• Preuve : ce qu'un contrôleur demandera à voir, et l'endroit exact où cela se trouve dans le système

Chapitre 4. Sanctions : univers de listes, filtrage, alertes.

Le filtrage des sanctions obéit à une logique distincte de celle du blanchiment, puisqu'il n'existe pas d'approche par les risques sur l'interdiction elle-même. Une opération avec une personne désignée est interdite, quel qu'en soit le montant et quelle que soit l'ancienneté du client. L'approche par les risques porte sur les moyens de détection, jamais sur le résultat attendu. Cette distinction commande toute l'organisation du dispositif.

Déterminer son univers de listes

• Rattachement territorial : les listes du pays où l'entité est établie s'appliquent toujours, sans condition
• Rattachement par la devise et l'infrastructure : un flux qui touche le dollar ou une institution américaine entre dans le champ de l'OFAC
• Rattachement par les personnes : la nationalité d'un dirigeant ou d'un salarié peut rattacher une opération à un régime supplémentaire
• Listes des Nations unies, reprises par les régimes nationaux avec des délais de transposition qui diffèrent d'un pays à l'autre
• Listes imposées par contrat : une banque correspondante ou un réseau impose souvent son propre univers, plus large que l'obligation légale

{
  "alert_id": "SCR-2026-004871",
  "generated_at": "2026-03-11T09:24:17Z",
  "screening_point": "payment_message",
  "matched_field": "beneficiary_name",
  "input_value": "<nom tel qu'il figure dans le message>",
  "list_entry": { "regime": "<liste>", "uid": "<identifiant d'entree>", "list_version": "2026-03-10" },
  "score": 0.88,
  "threshold_applied": 0.85,
  "discriminants_checked": ["date_of_birth", "country", "national_id"],
  "ownership_review": { "performed": true, "aggregate_blocked_stake": 0.5 },
  "decision": "block",
  "decided_by": "L2-analyst-114",
  "decided_at": "2026-03-11T11:02:40Z",
  "report_filed": { "authority": "<autorite>", "reference": "<reference de declaration>" }
}

Un moteur se règle, il ne s'installe pas. Deux erreurs symétriques guettent l'équipe, un seuil trop strict laissant passer les translittérations et les inversions de nom, un seuil trop lâche noyant les analystes sous des alertes sans objet, jusqu'à faire s'effondrer la capacité de traitement. Le réglage se mesure sur un jeu de test construit à la main. On y place des désignations connues, écrites de dix manières, puis on compte ce que le moteur retrouve. Ce jeu de test se conserve et se rejoue. Le Wolfsberg Group décrit cette démarche dans sa Guidance on Sanctions Screening de janvier 2019, qui sépare le filtrage des données de référence de celui des messages.

Chapitre 5. Localisation des données et transferts.

La localisation des données ne se traite pas comme une clause de contrat, mais comme une contrainte d'architecture. Un engagement de chiffrement ne satisfait aucune obligation de stockage sur le territoire, et aucune clause d'audit ne s'y substitue davantage. Un contrôleur vérifie l'emplacement physique des serveurs et des sauvegardes. La sauvegarde est justement le point que les projets oublient.

Le registre des flux, cinq colonnes minimum

• Collecte : où la donnée est saisie, et par quel canal
• Traitement : où tournent les moteurs, antifraude et modèles de score compris
• Stockage primaire : le pays du système de référence
• Sauvegarde et réplication : le pays des copies, souvent différent, presque toujours non documenté
• Accès : depuis quels pays des personnes consultent la donnée, un accès distant valant transfert dans plusieurs régimes

Dans l'Union, un transfert vers un pays tiers se fonde sur un instrument précis, choisi et documenté, qu'il s'agisse d'une décision d'adéquation, de clauses contractuelles types ou de règles d'entreprise contraignantes. L'instrument ne se présume pas. La Commission a adopté un nouveau jeu de clauses types par la décision d'exécution (UE) 2021/914, puis reconnu l'adéquation du cadre de protection des données entre l'Union européenne et les États-Unis le 10 juillet 2023. Un prestataire américain non certifié au titre de ce cadre relève donc des clauses types, avec l'analyse qui les accompagne.

Chapitre 6. La déclaration des plateformes et de leurs vendeurs.

Une marketplace ne déclare pas seulement ses propres revenus, mais aussi ceux de ses vendeurs. Cette obligation vient des règles modèles de l'OCDE pour les plateformes numériques, reprises depuis par plusieurs juridictions. Le travail réel se situe à l'inscription du vendeur, où se collectent les données que la déclaration annuelle reprendra.

Collecter à l'inscription, pas au mois de janvier

• Le numéro d'identification fiscale se demande à l'ouverture du compte vendeur, avec sa juridiction d'émission
• L'adresse principale et l'État de résidence déterminent la juridiction de déclaration : ce sont des champs obligatoires, pas facultatifs
• L'identifiant du compte financier utilisé pour le reversement fait partie des données attendues
• Les vendeurs personnes morales exigent un numéro d'enregistrement et, le cas échéant, un numéro de TVA
• Les corrections restent possibles : prévoyez une relance automatique et un blocage de reversement en cas de donnée manquante

L'architecture DAC7 admet une déclaration unique dans un seul État membre, choix qui se documente et se notifie sans dispenser des diligences sur les vendeurs résidant dans les autres États. Les informations circulent ensuite entre administrations par l'échange automatique. Le régime britannique suit la même trame, parce que les deux transposent les mêmes règles modèles de l'OCDE, de sorte qu'une plateforme qui sert les deux marchés bâtit un seul jeu de données, avec deux calendriers. Un modèle, deux dépôts.

Chapitre 7. Le calendrier : agrément et échéances réglementaires.

Un calendrier d'agrément ne se planifie pas en série, parce que quatre chantiers avancent en parallèle et que le plus lent fixe la date de lancement. Ce n'est presque jamais le dossier réglementaire. Le compte de cantonnement, la gouvernance locale et le raccordement technique arrivent souvent après lui, si bien qu'un rétroplanning qui les séquence double la durée du projet.

Les quatre chantiers, et leur point de blocage

• Réglementaire : rédaction puis instruction. L'horloge légale ne court qu'à partir du dossier jugé complet par l'autorité
• Bancaire : l'ouverture du compte de cantonnement suppose une diligence du partenaire, de durée comparable à l'instruction. Ouvrez les deux dossiers le même jour
• Gouvernance : dirigeants à nommer, à qualifier, parfois à faire résider sur place. Un contrôle d'honorabilité prend des semaines et se refait à chaque changement
• Technique : le raccordement au rail national porte ses propres certifications et ses fenêtres de mise en production, indépendantes de l'agrément