Customer Due Diligence : les nouvelles exigences KYC du règlement AMLR
Épisode 4 - 27 septembre 2026
Executive summary
Le règlement (UE) 2024/1624, dit AMLR, transforme la vigilance clientèle en un socle directement applicable dans toute l'Union européenne à compter, pour l'essentiel, du 10 juillet 2027. Le KYC n'est plus à concevoir comme une formalité concentrée sur l'entrée en relation : il constitue un processus continu reliant identification, vérification, bénéficiaires effectifs, objet de la relation, compréhension de l'activité, filtrage, profil de risque et surveillance dans le temps.
Le chapitre III de l'AMLR organise cette Customer Due Diligence. L'article 19 précise les situations qui déclenchent la vigilance. L'article 20 définit les mesures qui la composent. Les articles 22 à 26 encadrent notamment les données d'identification, le moment de la vérification, les divergences avec les registres de bénéficiaires effectifs, l'objet et la nature de la relation et la surveillance continue.
AMLA prépare parallèlement des instruments techniques. La consultation sur le projet de RTS CDD fondé sur l'article 28(1) est clôturée depuis le 8 mai 2026 et celle sur les orientations de surveillance continue fondées sur l'article 26(5) depuis le 3 septembre 2026. Ces projets sont essentiels pour anticiper les évolutions, mais ne doivent pas être présentés comme des normes définitives.
Pour Single Point AML, l'enjeu est de faire du KYC un workflow réglementaire versionné et auditable : chaque donnée collectée, contrôle effectué, changement de risque et décision doit pouvoir être relié à une exigence, une date et une preuve.
Le KYC devient un processus de cycle de vie
La CDD ne s'arrête pas lorsque le client est accepté. Le processus cible est : déclenchement → identification → vérification → bénéficiaires effectifs → objet et nature de la relation → compréhension de l'activité → filtrages → évaluation du risque → décision → surveillance continue → actualisation → réévaluation → investigation et déclaration éventuelle.
Une solution KYC isolée du scoring, du filtrage et du transaction monitoring devient difficile à défendre lorsque les informations recueillies à l'entrée en relation doivent alimenter la surveillance ultérieure.
Quand appliquer la vigilance ?
L'article 19 déclenche notamment la CDD lors de l'établissement d'une relation d'affaires, de certaines transactions occasionnelles atteignant les seuils réglementaires, de certaines créations ou transferts d'entités, d'un soupçon de BC/FT indépendamment des seuils, d'un doute sur des données d'identification déjà obtenues ou d'un doute sur l'identité ou le pouvoir de représentation de l'interlocuteur.
Le seuil général d'une transaction occasionnelle est de 10 000 euros, sous réserve des seuils et règles sectoriels. L'AMLR prévoit notamment des dispositions spécifiques pour certains transferts de fonds, crypto-actifs, opérations en espèces et jeux.
Un outil KYC doit donc disposer d'un moteur de déclenchement et pas seulement d'un formulaire d'entrée en relation.
Les mesures de CDD de l'article 20
Le noyau comprend l'identification et la vérification du client ; l'identification et la vérification raisonnable des bénéficiaires effectifs avec compréhension de la propriété et du contrôle ; la compréhension de l'objet et de la nature de la relation ou transaction ; les contrôles relatifs aux sanctions financières ciblées dans les conditions du règlement ; la compréhension de l'activité, de l'emploi ou de la profession ; les contrôles spécifiques pertinents, notamment PPE ; et la surveillance continue.
Le KYC européen devient ainsi : identité + propriété + activité + finalité + risque + filtrage + comportement.
Personnes physiques : structurer les données
L'article 22 prévoit notamment les noms et prénoms, lieu et date complète de naissance, nationalités ou certains statuts particuliers le cas échéant, numéro d'identification national lorsqu'il existe et lieu de résidence habituel ou informations de contact prévues par le texte.
Ces attributs doivent être structurés séparément. Cela améliore la vérification, le fuzzy matching, le filtrage PPE/sanctions, la détection des doublons, le risque géographique et l'auditabilité.
Personnes morales et bénéficiaires effectifs
Pour une personne morale, il faut identifier notamment forme juridique, dénomination, siège ou adresse officielle, principal établissement lorsqu'il diffère et pays de création. Mais il faut surtout comprendre la structure de propriété et de contrôle et identifier les bénéficiaires effectifs.
Le modèle cible est : client personne morale → détenteurs → chaînes de détention → bénéficiaires effectifs → représentants → personnes contrôlantes. Un graphe de relations est particulièrement utile pour les structures complexes ou multijuridictionnelles.
Séparer information et preuve
Un système robuste distingue l'information déclarée de la preuve utilisée pour la vérifier. Pour chaque attribut important, il est utile de conserver la valeur, la source, le document, l'autorité émettrice, la date et la méthode de vérification, le résultat, l'opérateur et la version du contrôle.
Cette distinction permet de reconstruire a posteriori pourquoi une information était considérée comme fiable.
Contrôler les bénéficiaires effectifs et les divergences
Le bénéficiaire effectif ne doit pas être un simple champ déclaratif. L'organisme doit comprendre la propriété et le contrôle et prendre des mesures raisonnables pour vérifier l'identité des bénéficiaires effectifs.
L'article 24 introduit en outre une logique de traitement des divergences avec les registres. Single Point AML doit pouvoir comparer : déclaration client ↔ justificatifs ↔ registre ↔ structure reconstituée, puis ouvrir une anomalie, une investigation et conserver la résolution.
Objet et nature de la relation
L'objet de la relation doit devenir une donnée opérationnelle : produits attendus, finalité, volumes, fréquence, pays, contreparties, activité, canaux et, lorsque pertinent, origine ou destination habituelle des fonds.
Le monitoring peut alors comparer comportement observé et comportement attendu.
Impossibilité de mener la CDD
L'article 21 doit être traduit en statuts précis : donnée absente, document non fourni, identité non vérifiable, bénéficiaire effectif non déterminé, incohérence non résolue, refus du client ou preuve insuffisante. Le workflow applique ensuite les conséquences juridiques pertinentes et documente la décision.
Un statut générique « dossier incomplet » n'est pas suffisamment auditable.
Risque et intensité de vigilance
La CDD reste fondée sur les risques. L'outil doit pouvoir expliquer : facteurs → pondération → score → niveau de risque → mesures de vigilance → validations → fréquence de revue.
L'explicabilité du scoring compte autant que le score.
Surveillance continue et actualisation
L'article 26 impose la surveillance continue de la relation, y compris des transactions, afin d'en vérifier la cohérence avec la connaissance du client, son activité et son profil de risque et de détecter les opérations nécessitant un examen approfondi.
Les documents, données et informations doivent rester à jour. Le règlement prévoit notamment des intervalles maximaux liés au risque, sans supprimer les mises à jour déclenchées par événement.
Le KYC événementiel
Une réévaluation peut être déclenchée par un changement de bénéficiaire effectif, de pays, d'activité ou de dirigeant ; une identification PPE ; une alerte sanctions ; une transaction inhabituelle ; une information défavorable ; une évolution significative des volumes ; ou une incohérence avec le profil déclaré.
Le KYC devient event-driven : l'événement peut générer une tâche, une nouvelle collecte, un recalcul du risque ou une investigation.
Le projet de RTS CDD d'AMLA
AMLA a consulté du 9 février au 8 mai 2026 sur un projet de RTS fondé sur l'article 28(1) de l'AMLR. Il vise à préciser l'application pratique de la CDD, notamment les informations et documents à recueillir, avec une attention portée à la clarté, la proportionnalité, l'approche par les risques et l'applicabilité à toutes les catégories d'assujettis.
Il s'agit encore d'un projet de RTS : il ne doit pas être traité comme une norme définitive. Il constitue néanmoins une source importante pour anticiper le futur modèle de données KYC.
Relations d'affaires et transactions liées
AMLA a aussi consulté sur un projet de RTS fondé sur l'article 19(9), destiné à préciser les critères d'identification des relations d'affaires, transactions occasionnelles et transactions liées. Cette qualification détermine le déclenchement de la CDD et doit empêcher le contournement des seuils par fractionnement.
Au stade de la consultation, AMLA indiquait ne pas exercer l'option de fixer des seuils CDD additionnels plus bas pour les transactions occasionnelles. Le statut final doit continuer à être suivi.
Actualité réglementaire de la semaine
La veille depuis l'épisode 3 n'a pas identifié de texte européen définitif imposant de remplacer le thème KYC prévu.
La consultation sur le projet d'ITS relatif au format des déclarations de soupçon s'est clôturée le 20 septembre 2026 et AMLA indique que les résultats suivront.
Surtout, la consultation AMLA sur le projet de RTS relatif à l'évaluation du profil de risque inhérent et résiduel des entités assujetties du secteur non financier se clôture aujourd'hui, 27 septembre 2026 à 23 h 59 CEST. Ce projet, fondé sur l'article 40(2) d'AMLD6, concerne la méthodologie de supervision fondée sur les risques.
Cette actualité est importante mais ne justifie pas de décaler le KYC, qui reste le socle opérationnel à expliquer avant les futurs épisodes consacrés au scoring et à la supervision.
Architecture cible Single Point AML
Une architecture cohérente comprend : référentiel parties ; documents et preuves ; graphe de propriété et contrôle ; filtrage ; scoring ; workflow CDD ; monitoring ; case management ; audit trail.
Principe directeur : une donnée → une source → un contrôle → un résultat → une décision → une preuve.
Cas pratique : entrée en relation avec une PME
Le système identifie la société et ses représentants, reconstitue la propriété, détermine et vérifie les bénéficiaires effectifs, effectue les filtrages, documente l'activité et les flux attendus, calcule le risque et détermine les validations nécessaires.
Six mois plus tard, un bénéficiaire effectif change. Le système déclenche une nouvelle vérification, refait les filtrages pertinents et recalcule le risque. C'est cette continuité qui transforme un « dossier KYC » en dispositif de vigilance.
Plan d'action avant juillet 2027
- Cartographier les articles 19 à 28 de l'AMLR.
- Comparer les données exigées au modèle KYC actuel.
- Séparer données déclarées, données vérifiées et preuves.
- Modéliser les bénéficiaires effectifs et chaînes de contrôle.
- Structurer l'objet et la nature de la relation.
- Intégrer le filtrage au workflow CDD.
- Relier scoring, vigilance et fréquence de revue.
- Mettre en place des événements de réévaluation.
- Connecter KYC et transaction monitoring.
- Versionner règles et piste d'audit.
- Suivre la finalisation des instruments AMLA.
- Tester la conformité de bout en bout.
Ce qu'il faut retenir
La CDD devient un socle européen directement applicable. Le KYC est un processus continu et événementiel. Les données et preuves doivent être structurées et auditables. La propriété et le contrôle doivent être compris, le profil attendu doit alimenter la surveillance, et les projets AMLA doivent être anticipés sans être confondus avec le droit définitif.
À suivre dimanche prochain
Épisode 5 - Bénéficiaires effectifs : identification, contrôle et nouvelles exigences européennes
Sources officielles et liens utiles
Avertissement
Ce dossier est proposé à des fins d'information et de veille réglementaire. Il ne constitue pas un avis juridique. Les projets de RTS, ITS et orientations cités doivent être distingués des textes définitifs.
Single Point AML - La conformité LCB-FT en un point.