Comment mettre en place une classification des risques LCB-FT ?
La classification des risques LCB-FT est l’un des piliers du dispositif de vigilance. Pourtant, elle reste mal comprise, souvent mal appliquée. Entre exigences réglementaires et enjeux opérationnels, cet article fait le point sur les bonnes pratiques… et les écueils à éviter.
L’article L.561-4-1 du Code monétaire et financier impose à chaque entité assujettie de procéder à une classification de ses risques pour évaluer son exposition au blanchiment de capitaux et au financement du terrorisme.
Sur le papier, l’obligation paraît évidente. Dans la pratique, elle s’avère redoutablement complexe. Application difficile, interprétations hésitantes : la classification est aujourd’hui l’un des sujets les plus mal compris de la conformité LCB-FT. Lors des contrôles ACPR-AMF, les griefs liés à une mauvaise classification reviennent avec insistance.
Cartographie ou classification : deux outils différents
La confusion commence souvent dès les mots. Là où d’autres dispositifs de gestion des risques parlent de cartographie, la réglementation LCB-FT impose une classification.
La nuance est essentielle :
La cartographie propose une vision d’ensemble des risques avec l’intégration de « scénarios de risques »;
La classification ajuste la vigilance au cas par cas, à l’échelle de chaque relation d’affaires et de ses caractéristiques.
La cartographie éclaire la route, la classification ajuste chaque pas.
Et c’est la classification qui détermine le niveau de vigilance :
- Vigilance simplifiée (risque faible),
- Vigilance normale (risque modéré),
- Vigilance renforcée (risque élevé).
La classification permet de cibler les efforts, de hiérarchiser les priorités, de maîtriser les coûts de vigilance.
Les cinq axes imposés par la réglementation
Pour classifier efficacement, la réglementation impose cinq axes :
Les cinq axes imposés par la réglementation
Pour classifier efficacement, la réglementation impose cinq axes :
- Produit (exemple : assurance vie, assurance non-vie, contrats de capitalisation..)
- Client (exemple : client exerçant dans un secteur à risque, résidant dans un pays à risque…)
- Opération (exemple : fraude documentaire, opération complexe, mode de paiement à risque espèces, cryptomonnaies…)
- Canal de distribution (exemple : distribution avec une multitude d’intermédiaires, intermédiaire à risque – sanctionné par les autorités)
- Pays (exemple : origine des fonds liée à un pays à risque…)
Construire une classification opérationnelle
La classification ne doit pas rester théorique. Elle se formalise dans des tableaux opérationnels, souvent sous Word ou Excel, avec des critères précis et des niveaux de vigilance associés.
Deux approches principales peuvent être suivies :
- La méthode du critère discriminant : le critère de risque le plus élevé détermine le niveau de vigilance.
- La méthode de la pondération : évaluation du risque brut, atténué par les dispositifs de maîtrise en place, pour aboutir à un risque net justifiable.
Les deux pièges majeurs à éviter en concevant votre classification des risques
1. Le nivellement par le bas
Classer systématiquement ses clients en risque faible pour alléger les obligations, c’est prendre le risque d’une sanction directe.
2. L’immobilisme
Une classification figée est une classification périmée.
Les clients évoluent, les opérations aussi. Le dispositif doit intégrer les risques émergents, notamment ceux liés à l’IA (exemple : fraude documentaire automatisée).
Par ailleurs, la classification ne doit pas fixer un niveau de vigilance « par défaut » pour toutes les relations d’affaires.
Il est nécessaire de différencier la classification des risques de l’entité et le profil de risque de la relation d’affaires.
Le profil de risque peut varier en fonction de nombreux critères. Ce n’est pas parce qu’un client souscrit une assurance non-vie qu’il est automatiquement en vigilance simplifiée.
La classification des risques doit justement permettre de détailler les critères de risques et d’appliquer un niveau de risque à la relation d’affaires, afin d’en tirer un niveau de vigilance adéquat.
La classification des risques : de contrainte réglementaire à outil de gouvernance
Correctement utilisée, la classification devient un véritable outil de gouvernance :
- Elle mesure l’exposition globale aux risques ;
- Elle permet d’adapter la vigilance ;
- Elle guide le paramétrage des dispositifs d’alerte.
Classer, ce n’est pas cocher une case : c’est anticiper.
Vous avez des questions sur la classification des risques et avez besoin d’un avis juridique :
🔎 Ce que les sanctions de l’ACPR nous apprennent
Une entreprise spécialisée dans les services de paiement a récemment été sanctionnée pour avoir insuffisamment évalué les risques portés par sa clientèle, en ne collectant pas d’informations sur les revenus et la profession lors de l’entrée en relation.
Cette défaillance a conduit à une sanction de 700 000 euros, prononcée par l’ACPR.
Cette affaire illustre l’obligation, trop souvent négligée, de calibrer le niveau de vigilance en fonction de la connaissance réelle du client – et pas seulement sur des critères formels.
L’ Expertise Astrée sur la classification des risques
La classification des risques est un socle réglementaire, mais aussi un outil de pilotage stratégique.
Astrée vous accompagne dans :
- L’élaboration ou la mise à jour de la classification des risques,
- La construction de grilles d’évaluation adaptées,
- La rédaction de procédures de vigilance,
- La revue des critères de risque,
- La préparation aux contrôles ACPR/AMF.
Découvrez notre offre d’accompagnement LCB-FT
Avec BeCLM – Rendre la classification des risques opérationnelle
Avec la solution BeCLM, la classification des risques n’est plus un tableau à remplir : c’est un moteur d’actions, intégré à chaque étape du parcours client.
Elle permet :
- De configurer une classification personnalisée selon les cinq axes réglementaires (produit, client, opération, canal, pays)
- D’associer à chaque profil client un niveau de vigilance automatiquement calculé selon les critères définis
- D’alimenter cette classification en temps réel, à partir des données collectées lors de l’entrée en relation et du suivi
- D’ajuster les mesures de vigilance et les parcours de collecte* selon le risque identifié.
Le dispositif BeCLM intègre les données terrain et les évolutions réglementaires : il permet une mise à jour continue du niveau de vigilance, sans dépendre d’une revue manuelle périodique.
*Le niveau de risque justifie un parcours de collecte ajusté : plus le risque est élevé, plus les justificatifs demandés sont nombreux, conformément aux exigences de vigilance proportionnée (directive 2015/849, ACPR).
Pour en savoir plus sur la solution BeCLM,
🎓 Se former à la classification des risques avec Astrée Faculté
Vous souhaitez mieux comprendre les attendus de l’ACPR en matière de classification des risques ?
Astrée Faculté propose une formation dédiée à la gestion des risques opérationnels (AF60), incluant if logiques de classification, de hiérarchisation des risques et de construction d’une cartographie adaptée.
Vous souhaitez en savoir plus sur les formations Astrée Faculté ?