Pays tiers à haut risque : listes européennes, vigilance renforcée et scoring géographique

Épisode 8 — 25 octobre 2026

Executive summary

Les relations d'affaires internationales confrontent les professionnels assujettis à une difficulté concrète : déterminer quelles juridictions exposent leurs clients et leurs opérations à des risques accrus de blanchiment de capitaux ou de financement du terrorisme, puis traduire cette appréciation en mesures de vigilance adaptées. Le problème ne se résume pas à consulter une liste de pays. Plusieurs sources coexistent, elles poursuivent des objectifs distincts et elles ne sont pas nécessairement mises à jour au même moment.

La liste de l'Union européenne des pays tiers à haut risque, actuellement établie au titre de la directive (UE) 2015/849 et du règlement délégué (UE) 2016/1675 modifié, entraîne des conséquences juridiques spécifiques pour les professionnels concernés. Les listes du Groupe d'action financière (GAFI), communément désignées « liste noire » et « liste grise », constituent des références internationales majeures, mais ne se substituent pas à l'acte juridique européen applicable. Les sanctions financières ciblées, les restrictions commerciales et la liste européenne des juridictions non coopératives à des fins fiscales constituent encore d'autres catégories : elles doivent être suivies séparément.

L'actualité récente illustre cette distinction. Le 19 juin 2026, le GAFI a retiré l'Algérie et la Namibie de sa surveillance renforcée. Pourtant, dans la dernière liste publiée sur le portail officiel de la Commission européenne consulté pour ce dossier, ces deux juridictions demeurent identifiées comme pays tiers à haut risque. À l'inverse, la Bosnie-Herzégovine et l'Irak figurent dans la liste grise du GAFI de juin 2026, sans figurer dans cette même liste européenne. Une mise à jour automatique consistant à copier la liste GAFI dans la liste UE produirait donc des erreurs de conformité.

Le règlement (UE) 2024/1624, dit AMLR, qui s'appliquera en principe à partir du 10 juillet 2027, introduit une architecture plus structurée pour l'identification des pays présentant des déficiences stratégiques significatives, des faiblesses de conformité ou une menace spécifique et grave pour le système financier européen. Les articles 29 à 32, 34 et l'annexe III constituent des repères importants. Les actes délégués pris sur cette nouvelle base devront toutefois être distingués des textes déjà applicables.

Pour les entreprises, la priorité est de construire une veille des listes fiable, un référentiel géographique historisé, des règles de vigilance explicables et une traçabilité des décisions. Le scoring géographique doit enrichir l'analyse du risque client, sans masquer les obligations impératives ni transformer toute relation avec un pays surveillé en interdiction automatique. L'objectif est une conformité proportionnée, documentée et contrôlable.

Pourquoi ce thème est décisif pour les professionnels assujettis

Un client peut résider dans un pays, être immatriculé dans un autre, disposer de bénéficiaires effectifs dans un troisième, recevoir des fonds d'un quatrième et réaliser des opérations avec plusieurs territoires. Une seule case « pays du client » ne permet pas d'évaluer cette exposition. Le risque géographique est multidimensionnel : implantation, nationalité lorsqu'elle est pertinente, résidence, activité, origine et destination des fonds, banques correspondantes, intermédiaires et chaînes de propriété peuvent jouer des rôles différents.

Les professionnels doivent également éviter deux erreurs symétriques. La première consiste à considérer qu'une juridiction non inscrite sur une liste officielle serait nécessairement peu risquée. La seconde consiste à considérer qu'une inscription sur une liste de vigilance équivaudrait à une interdiction générale de toute relation. L'approche par les risques exige une analyse circonstanciée, tandis que certaines règles de sanctions ou de vigilance renforcée s'imposent indépendamment du score interne.

Pour une petite structure assujettie, ces questions se traduisent en décisions quotidiennes : faut-il demander des justificatifs complémentaires, obtenir une validation hiérarchique, renforcer le suivi, réexaminer une opération ou refuser une relation lorsque les obligations ne peuvent pas être satisfaites ? Pour un groupe, il faut en plus harmoniser les référentiels entre filiales et conserver la preuve des règles applicables à la date de chaque décision.

Le cadre juridique actuellement applicable : ne pas anticiper à tort l'AMLR

Au 25 octobre 2026, le cadre européen de référence pour la liste des pays tiers à haut risque repose sur l'article 9 de la directive (UE) 2015/849 et sur le règlement délégué (UE) 2016/1675, tel que modifié. L'article 18 bis (18a) de cette directive définit les mesures de vigilance renforcée à imposer dans les relations d'affaires ou opérations impliquant les pays concernés. Les dispositions nationales de transposition, notamment celles du code monétaire et financier pour les entités françaises, demeurent à prendre en compte selon la profession.

Le règlement (UE) 2024/1624 a été adopté et est entré en vigueur, mais son application générale est prévue pour le 10 juillet 2027. Il ne faut donc pas présenter les mécanismes nouveaux de ses articles 29 à 31 comme s'ils avaient déjà remplacé, en octobre 2026, l'ensemble des règles actuelles. Certaines catégories d'assujettis bénéficient d'un calendrier spécifique, notamment jusqu'au 10 juillet 2029 pour les catégories mentionnées à l'article 90.

Une procédure interne robuste comporte ainsi une colonne « règles applicables aujourd'hui » et une colonne « préparation au futur dispositif AMLR ». Cette séparation évite aussi de confondre un projet de norme technique AMLA, un rapport final transmis à la Commission, un acte adopté et un texte effectivement applicable.

La liste européenne : une qualification juridique autonome

La Commission européenne identifie les juridictions présentant des déficiences stratégiques dans leurs dispositifs de LCB-FT. Cette liste a une portée réglementaire spécifique. Les professionnels assujettis doivent rechercher la version entrée en vigueur et non se limiter à un communiqué annonçant une proposition de modification. L'acte juridique, sa date d'entrée en vigueur et ses éventuelles dispositions transitoires sont déterminants.

La page officielle de la Commission consultée le 25 octobre 2026 présente comme dernières modifications les règlements délégués (UE) 2026/46 et (UE) 2026/83, adoptés les 3 et 4 décembre 2025, publiés le 9 janvier 2026 et produisant leurs effets pour les nouvelles inscriptions indiquées à partir du 29 janvier 2026. Ils ont notamment ajouté la Russie, la Bolivie et les Îles Vierges britanniques, et retiré plusieurs juridictions dont le Burkina Faso, le Mali, le Mozambique, le Nigeria, l'Afrique du Sud et la Tanzanie. Les textes antérieurs, dont le règlement délégué (UE) 2025/1184, restent nécessaires pour reconstituer l'historique.

Le portail de la Commission recense actuellement 26 juridictions dans sa liste consolidée : Afghanistan, Algérie, Angola, Bolivie, Îles Vierges britanniques, Cameroun, Côte d'Ivoire, Corée du Nord, République démocratique du Congo, Haïti, Iran, Kenya, Laos, Liban, Monaco, Myanmar, Namibie, Népal, Russie, Soudan du Sud, Syrie, Trinité-et-Tobago, Vanuatu, Venezuela, Vietnam et Yémen. Cette énumération est un instantané documentaire, non un référentiel à coder définitivement dans un logiciel. Toute utilisation opérationnelle exige une vérification de la liste et de sa date de validité.

Les listes du GAFI : deux niveaux de signalement distincts

Le GAFI publie une déclaration relative aux juridictions à haut risque faisant l'objet d'un appel à l'action, couramment appelée « liste noire », et une déclaration relative aux juridictions sous surveillance renforcée, dite « liste grise ». Ces catégories ne sont pas interchangeables. La première vise des déficiences graves et peut appeler des mesures de vigilance renforcée ou des contre-mesures ; la seconde vise des juridictions qui se sont engagées à corriger des déficiences selon un plan d'action.

Sur son portail officiel consulté le 25 octobre 2026, la dernière publication de listes accessible et clairement identifiée est celle du 19 juin 2026. La déclaration « appel à l'action » concerne la Corée du Nord, l'Iran et le Myanmar. Les mesures attendues diffèrent selon la juridiction : il serait erroné d'appliquer mécaniquement les mêmes contre-mesures à toutes. La déclaration de juin 2026 précise notamment que le GAFI envisageait de nouvelles contre-mesures concernant le Myanmar si les progrès restaient insuffisants d'ici octobre 2026 ; il ne faut pas présenter cette éventualité comme une décision déjà prise sans publication officielle ultérieure.

La liste grise de juin 2026 comprend notamment l'Angola, la Bolivie, la Bosnie-Herzégovine, la Bulgarie, le Cameroun, la Côte d'Ivoire, la République démocratique du Congo, Haïti, l'Irak, le Kenya, le Koweït, le Laos, le Liban, Monaco, le Népal, la Papouasie-Nouvelle-Guinée, le Soudan du Sud, la Syrie, le Venezuela, le Vietnam, les Îles Vierges britanniques et le Yémen. La présence de la Bulgarie rappelle qu'une liste du GAFI peut concerner un État membre de l'Union : la notion de « pays tiers » au sens du droit de l'UE ne se déduit pas mécaniquement de l'inscription au GAFI.

Trois exemples qui montrent pourquoi les listes ne se copient pas

Algérie et Namibie. Le GAFI les a retirées de la surveillance renforcée le 19 juin 2026, après examen de leurs progrès. La page de la Commission, dans sa version consultée pour cet épisode, les maintient sur la liste européenne des pays tiers à haut risque. Conséquence : le retrait du GAFI doit déclencher une revue de la composante « surveillance GAFI », mais pas une suppression automatique du statut juridique européen.

Bosnie-Herzégovine et Irak. Le GAFI les a ajoutés à la liste grise en juin 2026. Ils n'apparaissent pas dans la liste européenne des 26 juridictions consultée pour ce dossier. Conséquence : ils peuvent justifier une attention géographique accrue au titre de l'analyse des risques, sans être qualifiés à tort de « pays tiers à haut risque inscrits par l'UE ».

Russie. Elle figure dans la liste européenne à compter du 29 janvier 2026. Son inscription ne doit pas être confondue avec les différents régimes européens de sanctions concernant la Russie, qui poursuivent des finalités et imposent des obligations distinctes. Un outil conforme doit vérifier les deux catégories séparément, puis agréger les résultats sans effacer leur origine juridique.

Ces écarts montrent la nécessité d'enregistrer pour chaque signalement la source, le motif, la date de publication, la date d'effet, la date de fin éventuelle et la règle opérationnelle déclenchée.

Sanctions financières : un régime distinct du scoring géographique

Une liste de pays à risque renseigne sur des déficiences ou des vulnérabilités du dispositif LCB-FT. Une mesure de gel des avoirs peut viser une personne, une entité, un navire ou une catégorie d'opérations. Des restrictions commerciales peuvent porter sur des biens, services, financements ou territoires déterminés. Ces mécanismes ne peuvent pas être fusionnés dans une unique note de risque sans perdre leur signification juridique.

En France, la Direction générale du Trésor tient le registre national des gels, qui recense les mesures de gel nationales, européennes et onusiennes applicables sur le territoire. La consultation de ce registre et l'analyse des régimes de sanctions pertinents sont distinctes du contrôle des listes GAFI et de la liste UE des pays tiers à haut risque. La présence d'un pays dans un régime de sanctions n'implique pas que chaque ressortissant de ce pays soit personnellement sanctionné ; inversement, une personne désignée peut se trouver dans un pays qui n'est pas classé à haut risque.

Le logiciel doit donc pouvoir signaler un risque géographique, produire une alerte de filtrage sur une personne désignée et bloquer ou escalader une opération lorsqu'une obligation de sanctions l'exige. Une règle interne de scoring ne doit jamais neutraliser une interdiction juridique.

Fiscalité : pourquoi la liste européenne ETNC n'est pas une liste AML

Le Conseil de l'Union européenne tient une liste des juridictions non coopératives à des fins fiscales (ETNC). Son objet est la gouvernance fiscale, non l'identification juridique des pays tiers à haut risque LCB-FT. Elle peut constituer un signal complémentaire dans certaines cartographies, mais son inscription n'entraîne pas automatiquement les mêmes mesures que la liste LCB-FT de la Commission.

Le 9 octobre 2026, le Conseil a retiré Panama et le Vietnam de sa liste fiscale, qui comporte désormais huit juridictions : Samoa américaines, Anguilla, Guam, Palaos, Russie, Îles Turques-et-Caïques, Îles Vierges américaines et Vanuatu. Le Vietnam demeure pourtant inscrit dans la liste LCB-FT des pays tiers à haut risque publiée par la Commission. Un système qui utiliserait une variable unique « pays sur liste européenne » pourrait donc conclure à tort à une sortie de risque AML.

Pour chaque liste, il faut afficher son nom officiel, l'autorité émettrice, son objectif, sa portée et les mesures qu'elle justifie. Le retrait d'une liste fiscale ne signifie pas le retrait d'une liste LCB-FT, pas plus qu'un retrait GAFI n'abroge un acte européen.

Ce que change l'AMLR : articles 29, 30 et 31

Le règlement (UE) 2024/1624 organise, pour le régime futur, trois mécanismes complémentaires d'identification des risques provenant de pays tiers.

L'article 29 concerne les pays présentant des déficiences stratégiques significatives dans leur cadre LCB-FT. La Commission est habilitée à les identifier par actes délégués ; les mesures prévues comprennent une vigilance renforcée et, selon les actes applicables, des contre-mesures spécifiques.

L'article 30 vise les pays présentant des faiblesses de conformité dans leur cadre LCB-FT. La Commission doit préciser, dans les actes délégués pertinents, les mesures de vigilance renforcée à appliquer parmi celles prévues à l'article 34, paragraphe 4.

L'article 31 permet de traiter, dans des situations exceptionnelles, des pays constituant une menace spécifique et grave pour le système financier de l'Union qui ne serait pas suffisamment couverte par les deux premiers mécanismes.

Il ne faut pas traduire ces trois catégories en une seule couleur « rouge ». Elles correspondent à des fondements et à des conséquences réglementaires différents. La bonne conception consiste à conserver la catégorie juridique, le texte déclencheur et les mesures prescrites, puis à utiliser le score interne pour les risques supplémentaires laissés à l'appréciation de l'assujetti.

Article 32 et annexe III : les risques géographiques dépassent les listes

L'article 32 de l'AMLR prévoit que l'AMLA émette, d'ici au 10 juillet 2027, des lignes directrices sur les risques, tendances et méthodes de blanchiment et de financement du terrorisme associés aux zones géographiques extérieures à l'Union. Ces lignes directrices doivent notamment prendre en compte les facteurs de l'annexe III. Il s'agit d'un mandat futur : une ligne directrice non publiée ne doit pas être présentée comme une prescription opérationnelle déjà adoptée.

L'annexe III mentionne notamment les pays sous surveillance du GAFI, les évaluations crédibles faisant état de dispositifs LCB-FT inefficaces, les niveaux significatifs de corruption ou d'activité criminelle, les sanctions et embargos, le soutien au terrorisme ainsi que les facteurs de secret financier ou d'opacité sur les bénéficiaires effectifs. Elle ne fixe pas de barème unique de notation par pays.

Pour les professionnels, l'enjeu est d'intégrer des indicateurs documentés au-delà de l'inscription sur une liste, tout en évitant les approximations. Une notation fondée sur des sources publiques vérifiables est préférable à des catégories vagues comme « pays sensible » sans définition, sans date et sans justification.

Vigilance renforcée : ce que les contrôles peuvent impliquer

Dans le régime actuellement applicable, l'article 18 bis de la directive (UE) 2015/849 prévoit notamment, pour les relations ou opérations concernées par la liste européenne, des informations supplémentaires sur le client et le bénéficiaire effectif, sur la nature envisagée de la relation, sur l'origine des fonds et du patrimoine, sur les raisons des opérations, ainsi qu'une approbation par la direction et un suivi renforcé. La mise en œuvre concrète doit être appréciée au regard des dispositions nationales applicables et des caractéristiques de la relation.

Pour le régime futur, l'article 34 de l'AMLR définit les mesures de vigilance renforcée, notamment la collecte d'informations supplémentaires, la compréhension des opérations, la validation par un niveau hiérarchique approprié et l'intensification du suivi. Les articles 29 à 31 et les actes délégués associés précisent les cas et les mesures spécifiques. Il convient de ne pas supposer qu'un score « faible » calculé par un outil pourrait dispenser de mesures rendues obligatoires par une inscription réglementaire.

À l'inverse, vigilance renforcée ne signifie pas systématiquement interdiction de contracter. La décision doit rester fondée sur la règle applicable, la connaissance effective du client, la capacité à maîtriser le risque et, le cas échéant, les restrictions particulières qui s'imposent.

Quelles professions sont concernées ?

Les établissements de crédit et de paiement rencontrent directement ces questions lors des transferts internationaux, de l'ouverture de comptes, du recours à des correspondants bancaires et de la surveillance des flux. Les organismes d'assurance-vie et les intermédiaires concernés doivent apprécier la résidence, les bénéficiaires, les versements et les rachats dans le contexte de leurs produits. Les prestataires de services sur crypto-actifs doivent tenir compte des particularités des transferts et des contreparties, sans assimiler automatiquement une adresse technique à un pays de résidence.

Les professions non financières assujetties sont également exposées : professionnels de l'immobilier, experts-comptables, commissaires aux comptes, notaires, avocats dans le champ de leurs obligations, professionnels des jeux, négociants concernés ou prestataires de services aux sociétés. Une acquisition immobilière financée par une structure internationale, une constitution de société comportant plusieurs étages de détention ou un flux inhabituel vers un tiers étranger peuvent nécessiter des diligences complémentaires.

L'étendue des obligations, les autorités de supervision et les exceptions varient selon la profession. Un modèle sectoriel pertinent doit éviter de reproduire sans adaptation la procédure d'une banque pour une petite entreprise assujettie non financière.

Quels pays faut-il analyser pour une relation d'affaires ?

Pour une personne physique, les informations utiles peuvent comprendre la résidence habituelle, la résidence fiscale lorsqu'elle est connue et pertinente, le lieu d'activité, l'origine et la destination des fonds, ainsi que les territoires impliqués dans les opérations. La nationalité peut être un élément de contexte, mais ne doit pas devenir à elle seule une présomption de blanchiment. Les critères retenus doivent être nécessaires, pertinents et proportionnés à l'objectif de vigilance.

Pour une personne morale, il convient d'examiner le pays d'immatriculation, les lieux d'exploitation effective, les implantations significatives, la résidence ou l'activité des bénéficiaires effectifs, les comptes utilisés et les partenaires intervenant dans les opérations. Une société française qui reçoit régulièrement des paiements de territoires à risque peut présenter une exposition géographique même si son siège est situé en France.

Le bon niveau d'analyse est la relation d'affaires et ses flux, non la seule fiche d'identité du client. Il faut aussi distinguer les données vérifiées, les déclarations du client et les informations inférées à partir d'indices techniques ou documentaires.

Construire un scoring géographique sans inventer de règle réglementaire

Un scoring interne peut agréger plusieurs familles d'indicateurs : statut juridique sur la liste UE, présence sur les déclarations GAFI, exposition à des sanctions, indicateurs fiables de corruption, de criminalité ou d'opacité, importance des flux et niveau de connaissance des contreparties. Mais les pondérations relèvent de la méthodologie propre à l'organisme : l'AMLR n'impose pas une formule universelle telle que « 40 % UE, 30 % GAFI, 30 % sanctions ».

Exemple purement pédagogique et non réglementaire. Une entreprise pourrait définir trois niveaux d'attention géographique : standard, accru et critique. Un pays figurant dans la liste UE déclencherait une obligation de vigilance renforcée selon le droit applicable, indépendamment de la note agrégée. Un pays figurant uniquement sur la liste grise GAFI pourrait déclencher une revue approfondie du contexte et des flux, sans être présenté comme juridiquement inscrit sur la liste UE. Un risque de sanctions serait traité dans une chaîne de contrôle séparée, avec ses propres obligations impératives.

Le modèle doit intégrer des règles non compensatoires : une note favorable sur la stabilité du client ne peut pas annuler une interdiction de sanctions ni supprimer une mesure de vigilance obligatoire. Le résultat attendu n'est pas seulement une note, mais une décision expliquée : pourquoi le risque est élevé, quelle source l'établit et quelles actions sont exigées.

Prévenir les biais, les faux positifs et les exclusions injustifiées

La classification d'un pays ne permet pas de déduire la culpabilité d'une personne ou d'une entreprise. Les décisions doivent s'appuyer sur les risques de la relation et les éléments objectifs disponibles. Une vigilance accrue peut être justifiée sans entraîner un refus systématique. Les exclusions globales et indifférenciées peuvent affecter des activités licites, les transferts familiaux ou l'action humanitaire.

Les procédures doivent donc prévoir la revue humaine des situations sensibles, la prise en compte des exceptions ou exemptions prévues par les textes de sanctions, ainsi que la possibilité de documenter un raisonnement individualisé. Les données doivent être exactes, pertinentes et mises à jour ; leur conservation et leur accès doivent respecter les règles de protection des données personnelles applicables.

La qualité d'un dispositif se mesure aussi à sa capacité à distinguer une alerte justifiée d'un faux positif et à réexaminer les décisions lorsque les sources évoluent. La traçabilité protège à la fois l'organisme, ses clients et la qualité de la lutte contre la criminalité financière.

Cas pratique n° 1 : une société française et un fournisseur en Algérie

Une PME française importe des pièces industrielles auprès d'un fournisseur implanté en Algérie. Les paiements sont réguliers, cohérents avec les factures et effectués vers un compte au nom du fournisseur. L'équipe conformité apprend que le GAFI a retiré l'Algérie de sa liste grise en juin 2026 et envisage de réduire automatiquement le niveau de vigilance.

Analyse. Le retrait du GAFI est un fait pertinent pour la cartographie des risques, mais l'Algérie reste mentionnée sur la liste UE publiée par la Commission et consultée pour ce dossier. La procédure doit donc conserver les mesures imposées au titre de ce statut européen tant que l'acte applicable n'est pas modifié. Les justificatifs commerciaux, la cohérence économique et l'historique positif peuvent contribuer à l'appréciation du risque résiduel, sans effacer une exigence réglementaire.

Décision documentée. Le responsable conformité conserve la référence de la liste UE, constate le retrait GAFI, actualise la justification du score et vérifie que les mesures de vigilance applicables restent exécutées. Il programme une nouvelle revue lorsque la Commission publiera une modification juridiquement effective.

Cas pratique n° 2 : investissement lié à une société en Bosnie-Herzégovine

Un professionnel assujetti intervient dans une opération d'investissement impliquant une société immatriculée en Bosnie-Herzégovine. L'entreprise présente des états financiers et une structure de propriété compréhensible, mais les fonds transitent par plusieurs établissements étrangers. La Bosnie-Herzégovine figure dans la liste grise GAFI de juin 2026, sans figurer dans la liste UE consultée.

Analyse. Le professionnel doit apprécier les risques réels : bénéficiaires effectifs, origine des fonds, justification des intermédiaires, cohérence économique et niveau de transparence. Le statut GAFI est un indicateur de risque, mais ne permet pas d'affirmer que la juridiction relève, à cette date, de la liste réglementaire européenne des pays tiers à haut risque.

Décision documentée. Le dossier prévoit une analyse complémentaire et, si nécessaire, des diligences renforcées au regard du risque constaté. La motivation de la décision distingue explicitement le signalement GAFI, les autres facteurs de risque et les obligations juridiques applicables. L'équipe évite un refus automatique fondé sur une confusion entre listes.

Cas pratique n° 3 : le Vietnam, retiré de la liste fiscale mais toujours surveillé en LCB-FT

Un client exerce une activité commerciale avec le Vietnam. Le 9 octobre 2026, le Conseil de l'UE retire le Vietnam de la liste des juridictions non coopératives à des fins fiscales. Un opérateur pense que le pays est désormais « sorti de toutes les listes européennes » et propose de désactiver les contrôles géographiques.

Analyse. Le retrait concerne la liste fiscale ETNC. Il ne modifie pas, à lui seul, la liste des pays tiers à haut risque LCB-FT de la Commission, où le Vietnam figure encore dans la version consultée. La qualification fiscale et la qualification LCB-FT poursuivent des finalités différentes.

Décision documentée. La donnée « liste fiscale » est actualisée, avec sa date et sa source. La donnée « liste UE LCB-FT » reste inchangée jusqu'à modification de son propre fondement juridique. Les règles de vigilance continuent à s'appliquer selon les textes pertinents. Ce cas illustre pourquoi un outil doit gérer plusieurs référentiels autonomes plutôt qu'une étiquette globale « pays à risque ».

Mettre en place une veille des listes réellement exploitable

La veille commence par l'identification des sources officielles : Commission européenne pour les pays tiers à haut risque, GAFI pour les déclarations internationales, Conseil de l'UE pour les sanctions et les listes fiscales, Direction générale du Trésor pour le registre national des gels. Les communiqués de presse sont utiles pour détecter un changement, mais le texte réglementaire et sa date d'effet doivent être vérifiés avant modification d'une obligation.

Chaque événement doit comporter une date de détection, une date de publication, une date d'entrée en vigueur, le pays ou territoire concerné, la nature de l'ajout ou du retrait, le document source et la validation du responsable compétent. La veille doit aussi gérer les modifications de nom, les territoires autonomes, les changements de code ou les corrections d'une source.

Une revue de cohérence entre les listes est utile, mais elle ne doit pas les fusionner. Lorsqu'un pays sort d'une liste GAFI, l'équipe vérifie les autres sources. Lorsqu'une nouvelle inscription européenne prend effet, les relations existantes doivent être identifiées et revues selon les procédures internes. La veille ne s'arrête donc pas à la collecte : elle doit déboucher sur des actions opérationnelles traçables.

Exigences fonctionnelles pour un système d'information LCB-FT

Un outil de conformité devrait proposer un référentiel des juridictions stable, avec des identifiants normalisés et une gestion explicite des territoires qui ne se résument pas toujours à un code de pays souverain. Il devrait rattacher chaque inscription à sa source, à son statut juridique et à sa période de validité. Une fiche de risque géographique doit permettre de comprendre quelle information était disponible à une date donnée.

Le système doit pouvoir relier plusieurs pays à un même client ou à une même opération, sans confondre le pays d'immatriculation avec celui du bénéficiaire effectif ou la destination d'un virement. Les alertes doivent distinguer une obligation de vigilance, une alerte de sanctions et un signal de risque interne. Les décisions humaines, les justificatifs consultés et les mesures appliquées doivent être historisés.

Des contrôles de qualité sont indispensables : vérification des doublons, détection des pays manquants, rapprochement des variantes de noms, tests de régression après changement de liste, contrôle des dates d'effet et capacité de reconstituer une décision passée. Ces fonctionnalités sont ici des recommandations de conception, et non une description de modules déjà déployés dans Single Point AML.

Gouvernance, responsabilités et contrôles permanents

La direction doit définir l'appétence au risque, approuver la méthodologie et s'assurer que les règles impératives sont respectées. La fonction conformité pilote la veille, qualifie les changements réglementaires, formalise les diligences et supervise les décisions sensibles. Les équipes opérationnelles collectent les informations utiles, expliquent les anomalies et appliquent les procédures. Les équipes informatiques garantissent la disponibilité, l'intégrité et la traçabilité des données.

Le contrôle permanent vérifie notamment que les mises à jour ont été intégrées à temps, que les dossiers concernés ont été revus, que les dérogations sont justifiées et que les contrôles de sanctions restent indépendants du scoring. Le contrôle périodique examine la conception du modèle, la qualité des sources, la documentation et l'efficacité des mesures prises.

Les indicateurs utiles comprennent le délai entre publication et prise en compte, le nombre de clients concernés par une nouvelle inscription, le taux de revues réalisées, les anomalies de qualification des pays et la proportion de décisions insuffisamment motivées. L'objectif n'est pas de multiplier les alertes, mais de démontrer que les risques identifiés entraînent des décisions cohérentes.

Plan de mise en conformité : dix actions prioritaires

Recenser les listes géographiques actuellement utilisées et leurs finalités.
Identifier, pour chaque liste, l'autorité émettrice et le texte juridique applicable.
Séparer les listes LCB-FT, GAFI, sanctions financières et fiscalité.
Vérifier les dates de publication, d'entrée en vigueur et de retrait des juridictions.
Cartographier les pays liés aux clients, bénéficiaires effectifs et opérations.
Définir des règles de vigilance non compensatoires lorsque le droit l'exige.
Documenter les facteurs et pondérations du scoring géographique interne.
Prévoir des revues humaines et des contrôles de qualité des données.
Tester les écarts entre listes avec des cas concrets et historiser les décisions.
Préparer l'application de l'AMLR au 10 juillet 2027 et surveiller les futurs actes délégués et lignes directrices AMLA.

Calendrier réglementaire et points de vigilance

Aujourd'hui — octobre 2026. Appliquer les obligations issues du droit actuellement applicable, notamment la liste européenne établie au titre de la directive (UE) 2015/849, les dispositions nationales pertinentes et les régimes de sanctions en vigueur. Pour les listes GAFI, vérifier systématiquement les déclarations officielles les plus récentes avant toute mise en production : les publications peuvent évoluer indépendamment de la Commission.

D'ici au 10 juillet 2027. Préparer la nouvelle architecture des articles 29 à 31 de l'AMLR et la prise en compte des facteurs de l'annexe III. Surveiller les actes délégués de la Commission et les lignes directrices AMLA prévues à l'article 32. Ne pas traiter un projet technique comme un texte adopté.

À compter du 10 juillet 2027, en principe. Appliquer le régime AMLR selon son champ et son calendrier effectifs, en tenant compte des mesures d'application publiées. Certains secteurs ont des échéances particulières prévues à l'article 90. Les procédures doivent conserver la capacité de prouver quelle règle s'appliquait à quelle date.

Les cinq idées à retenir

La liste UE des pays tiers à haut risque et les listes du GAFI ne sont pas juridiquement identiques.
Une sortie de liste GAFI ne retire pas automatiquement une juridiction de la liste UE.
Les sanctions financières et les listes fiscales doivent être traitées séparément du scoring géographique LCB-FT.
L'AMLR prévoit une architecture renouvelée à partir de juillet 2027, sans rendre dès aujourd'hui applicables tous ses futurs mécanismes.
Un bon dispositif associe sources officielles, dates d'effet, vigilance adaptée, contrôle humain et preuves auditables.

Prochain épisode

Épisode 9 — Vigilance renforcée : quand l'appliquer, comment la documenter et comment la rendre proportionnée. Le prochain dossier prolongera les questions géographiques en étudiant les mesures de vigilance renforcée au-delà des seuls pays à risque : clients, produits, opérations, canaux et situations atypiques.

Sources officielles et liens utiles

Les liens ci-dessous permettent de vérifier les textes et les listes. La date de consultation de cette édition est le 25 octobre 2026. Une liste évolutive doit être contrôlée à nouveau avant toute décision opérationnelle.

Avertissement

Ce dossier est un document d'information et de préparation réglementaire ; il ne constitue pas un avis juridique. Il distingue les obligations actuellement applicables des dispositions de l'AMLR dont l'application est future, ainsi que les projets techniques AMLA des actes adoptés. Les exemples sont fictifs. Les fonctionnalités proposées pour Single Point AML sont des recommandations de conception et ne constituent pas des affirmations sur des modules déjà déployés. Les listes géographiques évoluent : leur contenu et leur portée doivent être vérifiés à la date de chaque décision.

Single Point AML — La conformité LCB-FT en un point.