En bref : le KYC vérifie l'identité d'une personne ou d'une entreprise, tandis que l'AML est le dispositif global qui relie ces données de vérification à une surveillance continue et à des obligations de déclaration. Le KYC fournit donc la base de données sur laquelle reposent les contrôles AML et les classements de risque. Qui traite les deux séparément passe à côté de la faille même où naissent le blanchiment et les violations de sanctions.
En bref :
La surveillance continue est indispensable à l'AML, car des schémas suspects peuvent apparaître des années après l'ouverture du compte.
Une documentation KYC lacunaire accroît le risque de difficultés opérationnelles, tandis qu'une surveillance insuffisante expose à des conséquences civiles ou prudentielles.
Le règlement européen AML renforce les obligations d'identification et instaure une structure de surveillance centralisée pour les opérations transfrontalières.
Les outils automatisés réduisent les erreurs et le travail manuel, mais ne remplacent pas l'appréciation professionnelle dans les cas complexes.
Une mise à jour et une documentation régulières de toutes les mesures KYC et AML sont indispensables pour rester transparent à tout moment lors d'un contrôle.
Qu'est-ce que la lutte contre le blanchiment (AML) ?
L'AML désigne l'ensemble des mesures par lesquelles les entreprises et les établissements financiers préviennent le blanchiment d'argent, le financement du terrorisme et la corruption. Il ne s'agit pas d'un contrôle isolé, mais d'un programme continu composé de gouvernance, de contrôles et de voies de déclaration.
Un programme AML repose sur plusieurs piliers. On y trouve une structure de gouvernance interne avec des responsabilités claires, une surveillance systématique des transactions qui détecte les schémas de paiement inhabituels, ainsi que l'obligation de signaler les activités suspectes aux autorités compétentes au moyen de ce qu'on appelle les Suspicious Activity Reports (SAR). S'y ajoute le filtrage par rapport aux listes de sanctions et aux listes de personnes politiquement exposées, en abrégé PEP.
Selon LSEG, le KYC n'est à cet égard qu'un volet spécialisé du cadre AML plus large : le KYC se concentre sur l'identité et les ayants droit économiques, tandis que l'AML englobe en outre la surveillance, le filtrage des sanctions et la déclaration des activités suspectes.
La dimension temporelle est déterminante : l'AML ne s'arrête pas à l'ouverture du compte. Un client qui paraît aujourd'hui sans particularité peut présenter dans un an un tout autre schéma de transactions, par exemple en raison de nouveaux partenaires commerciaux dans des pays à haut risque ou d'une hausse soudaine des volumes de virements. C'est précisément pour cela que les programmes AML modernes exigent une surveillance continue plutôt que des contrôles ponctuels.
Qu'est-ce que le Know Your Customer (KYC) ?
Le KYC désigne le processus par lequel les entreprises établissent et vérifient l'identité de personnes physiques et morales, avant et pendant leurs relations d'affaires avec elles. Pour les entreprises, cela inclut également l'identification des ayants droit économiques derrière la structure.
Au sein du KYC, on distingue la Customer Due Diligence (CDD) et l'Enhanced Due Diligence (EDD). La CDD est le contrôle standard : nom, date de naissance, adresse, pièce d'identité et, pour les entreprises, l'extrait du registre du commerce et la structure de propriété. L'EDD intervient lorsque le risque est plus élevé, par exemple pour les personnes politiquement exposées, les clients issus de juridictions à haut risque ou les constructions sociétaires inhabituellement complexes. Selon les recommandations du GAFI, les diligences doivent en principe être effectuées avant l'ouverture de la relation d'affaires. Une vérification différée n'est admise qu'à des conditions strictes, tant qu'aucune transaction n'a eu lieu.
En pratique, le KYC repose aujourd'hui largement sur des procédés numériques, l'eKYC : vérification automatisée de documents, identification vidéo et comparaison avec des bases de données accélèrent considérablement le processus d'onboarding, sans toutefois remplacer l'appréciation professionnelle dans les cas complexes, des outils de communication avec la clientèle comme les logiciels de gestion des évaluations améliorant encore la convivialité.
Principales différences entre KYC et AML : comparaison synthétique
KYC et AML sont souvent employés comme synonymes, mais ils recouvrent des portées différentes. Le KYC est un volet, l'AML est le dispositif global, assorti de ses propres obligations de déclaration.
- Portée : le KYC vérifie l'identité et la structure de propriété, l'AML inclut en plus la surveillance, le filtrage des sanctions et le dispositif de déclaration.
- Moment : le KYC intervient principalement lors de l'onboarding et à des déclencheurs définis, l'AML se déroule en continu sur toute la durée de la relation client.
- Objectif : le KYC répond à la question « qui est ce client ? », l'AML répond à « ce client présente-t-il un comportement inhabituel ? ».
- Conséquences : un dossier KYC lacunaire entraîne des reprises, l'absence de déclaration AML peut déclencher des amendes prudentielles.
Pour la conformité opérationnelle, cela signifie qu'une entreprise peut tenir un dossier KYC irréprochable et avoir néanmoins un problème AML, par exemple si les schémas de transactions ne sont pas surveillés. Inversement, la meilleure surveillance ne sert à rien si les données d'identité sous-jacentes sont erronées ou obsolètes. Les deux systèmes ne fonctionnent qu'ensemble.
Comment KYC et AML interagissent sur le cycle de vie du client
Le lien apparaît le plus clairement le long de la relation client. Lors de l'onboarding intervient d'abord le Customer Identification Program (CIP) : établir l'identité, vérifier les documents, procéder à un premier classement du risque. Ce classement détermine l'intensité ultérieure de la surveillance du client.
Après l'onboarding commence la phase de surveillance. Les transactions sont comparées aux schémas attendus, les watchlists et listes de sanctions sont réinterrogées à intervalles réguliers, car une personne peut être inscrite ultérieurement sur une liste de sanctions sans que ses mouvements de compte ne changent.
Si une anomalie apparaît, par exemple une transaction qui ne correspond pas au modèle d'affaires connu, le traitement interne du cas suit : une équipe de conformité examine l'opération, demande au besoin des pièces complémentaires et décide si une déclaration auprès de l'autorité compétente s'impose. Cette déclaration SAR est le point où les données KYC et la surveillance AML convergent réellement : sans la vérification d'identité initiale, une transaction suspecte ne pourrait tout simplement pas être rattachée à une personne.
Processus AML/KYC : étapes concrètes, outils et rôles
Un programme de conformité qui fonctionne répartit clairement les tâches : le responsable de la conformité porte la responsabilité des politiques, des escalades et du dispositif de déclaration ; le front office effectue le premier contrôle lors du contact client ; et l'équipe informatique ou données veille à ce que les systèmes de filtrage et les bases de données restent à jour.
En pratique, un cas typique se déroule ainsi :
- Le client remet ses pièces d'identité et, pour les entreprises, les justificatifs de la structure de propriété.
- Un outil de filtrage compare les informations aux listes de sanctions et PEP.
- Le système attribue au client une catégorie de risque, par exemple faible, moyen ou élevé.
- En cas de risque accru, un contrôle approfondi avec des documents supplémentaires est engagé.
- Après validation débute la surveillance continue, qui compare automatiquement les transactions au profil client attendu.
- Les anomalies sont transmises à un système de case management pour vérification manuelle.
Les outils utilisés couvrent généralement trois fonctions : filtrage par rapport aux listes, surveillance continue des transactions et case management pour le traitement des cas. Selon Thomson Reuters, le recours à des solutions RegTech réduit la charge manuelle et le nombre de faux positifs, mais augmente dans le même temps les exigences en matière de qualité des données et de traçabilité des décisions.
Conseil de professionnel : documentez chaque décision de risque comme si vous deviez l'expliquer à un auditeur un an plus tard, parce que c'est exactement ce qui finira par arriver.
Pour piloter un programme, il est utile de regarder quelques indicateurs : le taux de faux positifs au filtrage, le délai moyen jusqu'à la validation d'un client et le nombre de cas escaladés par mois. Ces valeurs montrent si un programme fonctionne efficacement ou si des ressources se perdent dans des reprises inutiles.
Cadre réglementaire et normes : GAFI, UE et règles nationales
Le socle international du KYC et de l'AML est posé par le Groupe d'action financière, le GAFI. Ses recommandations constituent la norme reconnue à l'échelle mondiale et exigent notamment une Customer Due Diligence, une approche fondée sur les risques et des obligations de déclaration des activités suspectes. La plupart des législations nationales s'inspirent de ce cadre, tout en le transposant avec leurs propres seuils et procédures.
Au niveau européen, le nouveau règlement de l'UE relatif au cadre AML/CFT renforce les exigences imposées aux dites obliged entities, c'est-à-dire aux entreprises soumises à des obligations de déclaration et de vérification, et met en place une structure de surveillance supranationale. Pour les entreprises actives au sein de l'UE, cela signifie des exigences plus strictes en matière d'identification des ayants droit économiques et de déclarations transfrontalières.
Point important pour les entreprises internationales : les transpositions nationales varient parfois considérablement, par exemple quant aux seuils déclenchant des diligences renforcées ou à la définition des personnes politiquement exposées. Qui est actif dans plusieurs juridictions, par exemple avec un lien à la Suisse et simultanément à l'UE, devrait prendre comme référence la règle la plus stricte et, en cas de doute, faire vérifier juridiquement quelle disposition nationale s'applique effectivement.
Défis et bonnes pratiques pour les entreprises
Les problèmes les plus fréquents en pratique sont rarement d'ordre réglementaire, mais opérationnels. Une qualité de données médiocre conduit les systèmes de filtrage à manquer des correspondances ou, à l'inverse, à submerger de faux positifs. Un taux élevé de faux positifs mobilise du personnel dont on aurait en réalité besoin pour traiter les cas de risque réel. Et l'équilibre entre obligation de surveillance et protection des données, par exemple sous le Règlement général sur la protection des données ou la LPD suisse révisée, exige une pondération soigneuse.
Quelques principes clairs ont fait leurs preuves :
- Suivre résolument une approche fondée sur les risques plutôt qu'appliquer un même niveau de contrôle à tous les clients.
- Documenter chaque décision et sa motivation sans lacune.
- Former régulièrement les collaborateurs aux nouvelles typologies et aux régimes de sanctions.
- Faire tester périodiquement le programme par des contrôles indépendants.
L'automatisation aide là où elle prend en charge les comparaisons répétitives, par exemple le premier filtrage par rapport aux listes. Elle ne remplace toutefois pas l'appréciation professionnelle dans les cas limites, et chaque décision automatisée doit rester traçable a posteriori, sinon elle devient, lors d'un contrôle, un risque plutôt qu'un soutien.
Liste de contrôle pratique : quand et comment effectuer un KYC
Le KYC n'est pas une case à cocher une fois pour toutes lors de l'onboarding. Certains événements déclenchent une nouvelle vérification, indépendamment de la durée de la relation d'affaires.
- Lors de l'onboarding : vérification complète de l'identité et premier classement du risque avant l'ouverture de la relation d'affaires.
- Pour les transactions au-dessus de seuils définis : vérification complémentaire de l'origine des fonds.
- En cas de couverture médiatique négative du client : réévaluation immédiate du profil de risque.
- En cas de modification de la forme juridique ou de la structure de propriété : mise à jour complète du dossier KYC.
- À intervalles réguliers, en fonction de la catégorie de risque : plus fréquemment pour les clients à haut risque, plus rarement pour les clients standard.
La documentation minimale comprend une pièce d'identité en cours de validité, pour les entreprises l'extrait du registre du commerce à jour, ainsi qu'une justification compréhensible de la catégorie de risque attribuée. Ces pièces devraient être classées de sorte qu'une autorité de surveillance puisse à tout moment les suivre sans avoir à poser de questions.
Perspective d'étude : volets transfrontaliers et sanctions
Dans les mandats transfrontaliers, les risques s'accentuent nettement. Une personne politiquement exposée dans un pays peut ne pas figurer comme telle dans un autre registre, et les listes de sanctions évoluent plus fréquemment que de nombreuses entreprises ne le reflètent dans la cadence de leur monitoring. Dans les mandats liés à l'Europe de l'Est en particulier, on voit à quelle vitesse un partenaire commercial sans particularité peut devenir, en raison d'un nouveau train de sanctions, un risque de conformité.
Nous accompagnons les entreprises dans de tels cas pour la vérification des sanctions, la documentation des ayants droit économiques et la rédaction juridiquement sûre de contrats en plusieurs langues. Un conseil juridiquement sûr dans plusieurs langues permet de qualifier plus précisément des situations à caractère international, par exemple lorsque les documents originaux proviennent d'Ukraine ou de Russie. La façon dont les risques de sanctions pour des créations de sociétés liées à l'Ukraine et à la Russie se concrétisent n'apparaît souvent qu'à l'examen détaillé des contreparties.
Appréciation personnelle : pourquoi les entreprises doivent prendre KYC et AML au sérieux
D'après notre expérience, de nombreuses entreprises sous-estiment la vitesse à laquelle une situation de sanctions peut évoluer et le coût que peut représenter un lien PEP non détecté. Qui ne prend les contrôles de sanctions et de KYC au sérieux qu'une fois qu'une autorité pose des questions paie en règle générale beaucoup plus cher, en amendes et en réputation, qu'un contrôle anticipé n'aurait jamais coûté.
— Bitblade
Accompagnement sur les questions KYC et AML
Lorsqu'une vérification de sanctions, une rédaction contractuelle à caractère international ou une création de société avec composante étrangère se profile, il vaut la peine d'examiner nos prestations avant qu'une autorité ne pose des questions à la place d'un conseil. Nous examinons contrats et relations d'affaires en plusieurs langues, ce qui peut être utile notamment en matière de conformité aux sanctions et pour des mandats liés à l'Ukraine ou à la Russie.
Un premier échange commence par un entretien d'évaluation à partir de 150 CHF de l'heure, à partir duquel nous proposons, selon le cas, une offre concrète pour une revue contractuelle, une due diligence sanctions ou une création de société. Vous trouverez un aperçu de nos services juridiques internationaux sur notre page de prestations.
Cet article contient des informations générales et ne remplace pas les conseils d'un conseiller financier qualifié. Adressez-vous à un professionnel qualifié de la finance au sujet de votre situation personnelle avant d'agir sur la base de ce contenu.
FAQ
Qu'est-ce que le KYC et l'AML ?
Le KYC désigne la vérification d'identité des clients, tandis que l'AML est le dispositif global visant à prévenir le blanchiment d'argent et le financement du terrorisme. Selon l'appréciation de LSEG, le KYC est un volet spécialisé de l'AML, qui se concentre sur l'identité et les ayants droit économiques, l'AML comprenant en outre la surveillance et le dispositif de déclaration.
Quelles règles existent pour le KYC et l'AML ?
Sur le plan international, la plupart des États s'alignent sur les recommandations du GAFI, qui exigent une Customer Due Diligence et une approche fondée sur les risques. Au sein de l'UE, le nouveau règlement AML/CFT renforce encore ces obligations et instaure une structure de surveillance supranationale.
Quand faut-il effectuer un KYC ?
Le KYC s'effectue en principe avant l'ouverture d'une relation d'affaires et est renouvelé à certains événements, par exemple à l'occasion de transactions importantes, d'une couverture médiatique négative ou d'une modification de la structure de propriété. Les clients à haut risque sont alors en règle générale réexaminés plus fréquemment que les clients standard.
Que recouvre l'AML ?
L'AML désigne l'ensemble du dispositif de gouvernance, de surveillance des transactions, de filtrage des sanctions et d'obligations de déclaration par lequel les entreprises préviennent le blanchiment et les délits connexes. Contrairement à un contrôle ponctuel, l'AML se déroule en continu sur toute la durée d'une relation client.