KYC, KYB et LCB-FT : la conformité des acteurs du paiement. 6 chapitres et un QCM final.

Chapitre 1. Panorama de la LCB-FT : cadre, acteurs, enjeux.

La LCB-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme) vise deux phénomènes symétriques, le blanchiment donnant une apparence légale à de l'argent d'origine criminelle. Le financement du terrorisme, lui, dirige vers une activité terroriste des fonds parfois parfaitement licites à l'origine. Les acteurs du paiement sont en première ligne, puisque chaque transaction qu'ils traitent est un vecteur potentiel.

En France, la liste des assujettis figure à l'article L. 561-2 du Code monétaire et financier : banques, mais aussi établissements de paiement, établissements de monnaie électronique, prestataires de services sur crypto-actifs, changeurs manuels… Un PSP agréé porte donc exactement les mêmes obligations qu'une banque. Il doit identifier ses clients, surveiller leurs opérations et déclarer ses soupçons, sous la supervision de l'ACPR (Autorité de contrôle prudentiel et de résolution), la cellule de renseignement financier étant TRACFIN.

Chapitre 2. KYC : identifier et vérifier une personne physique.

Le KYC (Know Your Customer) repose sur deux opérations distinctes que le Code monétaire et financier, à son article L. 561-5, impose avant l'entrée en relation d'affaires, à savoir identifier le client, c'est-à-dire recueillir ses éléments d'identité, puis vérifier cette identité sur la base d'un document probant. Un compte de paiement ne peut pas être ouvert « en attendant ». Sans vérification aboutie, pas de relation.

Pour l'onboarding à distance, qui fait le quotidien des PSP, le droit français exige des garanties renforcées aux articles R. 561-5-1 et R. 561-5-2 CMF, où trois voies principales s'ouvrent, la première consistant à recourir à un prestataire de vérification d'identité à distance (PVID) certifié selon le référentiel de l'ANSSI. La deuxième s'appuie sur une identité numérique ou une signature électronique qualifiée eIDAS. La troisième combine deux mesures complémentaires, par exemple un premier virement émis depuis un compte ouvert au nom du client dans une banque de l'EEE, plus une copie de pièce supplémentaire.

• Collecter le minimum nécessaire au regard du risque : le KYC n'est pas un aspirateur à données (voir le cours RGPD).
• Tracer qui a vérifié quoi, quand et sur quelle pièce : en contrôle ACPR, un dossier non documenté est un dossier inexistant.
• Prévoir la remédiation : les dossiers anciens incomplets doivent être mis à niveau, en priorisant les clients à risque élevé.

Chapitre 3. KYB : entités, bénéficiaires effectifs, structures complexes.

Le KYB (Know Your Business) applique la même logique aux personnes morales (marchands, marketplaces, associations). Une difficulté s'y ajoute, car derrière une société peut se cacher une chaîne de détention conçue pour dissimuler qui contrôle réellement les fonds. Chez un PSP, le KYB est le cœur de l'onboarding marchand, puisqu'il est impossible d'encaisser pour un commerçant qu'on ne connaît pas.

Le bénéficiaire effectif (BE) est défini par l'article R. 561-1 CMF comme toute personne physique détenant, directement ou indirectement, plus de 25 % du capital ou des droits de vote. L'article vise aussi celle qui exerce un contrôle par tout autre moyen, par exemple un pacte d'actionnaires ou le droit de nommer les dirigeants… À défaut, on retient le dirigeant principal. Cette solution de repli doit rester l'exception documentée, pas la facilité. Le calcul se fait en cascade, les participations se multipliant le long de la chaîne.

Les registres publics ne suffisent pas. Depuis l'arrêt de la CJUE du 22 novembre 2022 (aff. C-37/20), l'accès du grand public aux registres des bénéficiaires effectifs a été restreint au nom de la vie privée. Les assujettis, eux, les consultent toujours, et la directive AMLD6 rouvre cette consultation aux journalistes et ONG justifiant d'un intérêt légitime. Surtout, le registre reste déclaratif, si bien que l'assujetti doit signaler au greffe toute divergence entre ce qu'il constate et ce qui est déclaré.

Chapitre 4. PEP, sanctions et gel des avoirs.

Une personne politiquement exposée (PEP) exerce ou a exercé depuis moins de douze mois une fonction publique importante. Chef d'État, ministre, parlementaire, membre d'une cour suprême, ambassadeur, officier général, dirigeant d'entreprise publique… La qualité de PEP s'étend aux membres directs de la famille et aux personnes étroitement associées. Être PEP n'est pas une infraction. Cette exposition signale un risque de corruption, et elle déclenche automatiquement une vigilance renforcée.

• Autorisation d'un membre de la direction (ou d'un organe habilité) pour nouer ou maintenir la relation d'affaires.
• Recherche de l'origine du patrimoine et des fonds engagés dans la relation.
• Surveillance renforcée et continue des opérations, avec des seuils d'alerte abaissés.

Les sanctions financières relèvent d'une logique différente. On n'évalue plus un risque, on applique une interdiction. Les listes émanent de l'ONU, de l'Union européenne (règlements directement applicables) et des États. En France, la direction générale du Trésor tient le registre national des personnes et entités faisant l'objet d'une mesure de gel. Le gel des avoirs est une obligation de résultat, applicable sans délai, si bien que, dès la publication, aucun fonds ni aucune ressource économique ne peut être mis à disposition de la personne désignée.

Le règlement (UE) 2024/886 sur les virements instantanés (IPR) a transformé la mécanique du screening. Pour les virements instantanés SEPA, le filtrage transaction par transaction produisait des rejets massifs et des faux positifs incompatibles avec un traitement en dix secondes. Il est remplacé par une obligation de vérifier ses propres clients au regard des listes de gel de l'UE immédiatement après chaque nouvelle désignation et au moins une fois par jour. Cette exigence s'applique depuis le 9 janvier 2025. Le screening quotidien de la base clients (« IPR screening ») est donc devenu un processus industriel, avec preuve d'exécution à conserver.

{
  "batch_id": "screening-2026-07-10",
  "customers_screened": 412876,
  "lists": ["UE - mesures restrictives", "Registre national des gels", "ONU"],
  "new_designations_since_last_run": 14,
  "hits": [
    {
      "customer_id": "c-58421",
      "name_matched": "IVANOV Sergei",
      "list": "Registre national des gels",
      "match_score": 0.92,
      "discriminants": ["date de naissance proche", "pays identique"],
      "action": "gel conservatoire + escalade analyste niveau 2"
    }
  ],
  "false_positive_rate_7d": "98.6 %"
}

Le screening se joue au quotidien dans la gestion des faux positifs : homonymies, translittérations (cyrillique, arabe, chinois), dates de naissance partielles. Un dispositif mature calibre son filtrage flou (score de similarité, discriminants secondaires), trace chaque décision de levée de doute et mesure son taux de faux positifs. À l'inverse, un faux négatif (une personne gelée qui passe) expose à des sanctions pénales et disciplinaires, la violation d'une mesure de gel pouvant coûter jusqu'à cinq ans d'emprisonnement.

Chapitre 5. Vigilance constante et déclarations TRACFIN.

Le KYC se poursuit bien après l'entrée en relation. L'article L. 561-6 CMF impose une vigilance constante pendant toute la relation d'affaires, où les opérations doivent rester cohérentes avec la connaissance actualisée du client, de son activité et de son profil de risque. Concrètement, cela suppose un monitoring transactionnel, des revues périodiques des dossiers (fréquence proportionnée au risque) et une mise à jour des documents.

• Fractionnement (structuring/smurfing) : multiplication de dépôts ou paiements juste sous les seuils de déclaration ou d'alerte.
• Compte de passage : fonds reçus puis retransférés quasi intégralement dans un délai très court, sans logique économique.
• Mules financières : particuliers recrutés (souvent via les réseaux sociaux) pour faire transiter des fonds fraudés contre commission.
• Incohérence de profil : étudiant recevant des virements professionnels massifs, commerce local encaissant des paiements de pays sans lien avec l'activité.
• Usage détourné du produit : cartes prépayées rechargées en espèces puis vidées à l'étranger, cagnottes détournées, remboursements croisés entre marchands liés.

Une opération particulièrement complexe ou d'un montant inhabituellement élevé, sans justification économique ou objet licite apparent, déclenche l'examen renforcé de l'article L. 561-10-2, qui impose de se renseigner sur l'origine et la destination des fonds, l'objet de l'opération et l'identité du bénéficiaire, puis de consigner le tout par écrit. Cet examen débouche soit sur un classement documenté, soit sur une déclaration de soupçon.

La déclaration de soupçon (art. L. 561-15) obéit à des règles précises, sans aucun montant minimum puisque le soupçon suffit, et elle doit être déposée avant l'exécution de l'opération lorsque c'est possible. Le déclarant de bonne foi bénéficie d'une immunité civile, pénale et professionnelle. À ne pas confondre avec les COSI (communications systématiques d'informations), transmissions automatiques sans soupçon qui visent les opérations de transmission de fonds dès 1 000 € par opération en espèces ou monnaie électronique (2 000 € cumulés par client sur un mois). Elles portent aussi sur les versements ou retraits d'espèces dépassant 10 000 € par mois sur un compte.

Chapitre 6. Approche par les risques et gouvernance conformité.

L'approche par les risques concentre les moyens là où le risque est le plus élevé. Elle se matérialise dans une classification des risques formalisée, revue au moins annuellement, qui croise quatre axes et alimente le scoring de chaque client. Ce score détermine à son tour le niveau de vigilance, la fréquence des revues et les seuils d'alerte.

L'axe géographique s'appuie sur les listes du GAFI, dont la liste noire (contre-mesures) vise l'Iran, la Corée du Nord et le Myanmar. La liste grise (surveillance renforcée) évolue à chaque plénière, et l'inscription de Monaco en juin 2024 a rappelé qu'aucune place financière n'est à l'abri. S'y ajoute la liste européenne des pays tiers à haut risque, qui déclenche mécaniquement la vigilance renforcée.

La gouvernance exigée par l'ACPR repose sur des responsabilités nommées : un responsable de la mise en œuvre du dispositif LCB-FT, un déclarant et un correspondant TRACFIN désignés. Viennent ensuite la formation régulière et tracée de tout le personnel exposé et un contrôle interne à deux étages. Le contrôle permanent réunit les contrôles de premier et deuxième niveau au fil de l'eau ; le contrôle périodique correspond à l'audit interne. L'externalisation d'une tâche (screening, KYC) n'externalise jamais la responsabilité.