Publications
Obligation de vigilance : ce que la LCB-FT impose aux organismes assujettis
Découvrez les obligations de vigilance en LCB-FT : mesures à appliquer, contrôles, évaluation des risques et exigences imposées aux organismes assujettis.
L'obligation de vigilance est au cœur du dispositif de lutte contre le blanchiment et le financement du terrorisme. Pour une banque, un assureur, un courtier ou tout organisme assujetti, elle se traduit par un ensemble de mesures concrètes : connaître son client, surveiller les opérations, adapter son attention au risque et conserver les traces de ses diligences. Mal comprise ou mal appliquée, l'obligation de vigilance est la première source de sanctions de l'ACPR. Cet article fait le tour de l'obligation de vigilance LCB-FT : ce qu'elle recouvre, ses différents niveaux, ses points sensibles et les bonnes pratiques pour la sécuriser. Il clarifie aussi les confusions fréquentes avec d'autres « vigilances ».
L'obligation de vigilance désigne l'ensemble des mesures de connaissance et de surveillance que les organismes assujettis doivent mettre en œuvre à l'égard de leur clientèle, pour prévenir l'utilisation du système financier à des fins de blanchiment ou de financement du terrorisme. Elle est posée par le Code monétaire et financier et s'inscrit dans un cadre européen harmonisé.
Concrètement, la vigilance combine plusieurs obligations : identifier et vérifier l'identité du client et du bénéficiaire effectif, recueillir des informations sur l'objet et la nature de la relation d'affaires, et exercer une vigilance constante sur les opérations tout au long de la relation. Elle ne s'arrête pas à l'entrée en relation : c'est une obligation continue.
L'obligation de vigilance est le fondement opérationnel de la LCB-FT. C'est elle qui permet ensuite de détecter les opérations atypiques et, le cas échéant, de procéder à une déclaration de soupçon auprès de Tracfin. Sans vigilance, il n'y a ni détection, ni signalement possible.
Le terme « vigilance » recouvre plusieurs réalités juridiques distinctes, et les confondre conduit à des erreurs. Clarifier ce point d'emblée évite les contresens.
L'obligation de vigilance LCB-FT, objet de cet article, vise la connaissance client et la surveillance des opérations financières. Le devoir de vigilance au sens de la loi du 27 mars 2017 est tout autre : il impose aux très grandes entreprises d'établir un plan pour prévenir les atteintes aux droits humains et à l'environnement liées à leurs activités, à celles de leurs filiales et de leurs sous-traitants. Enfin, l'attestation de vigilance délivrée par l'Urssaf relève du droit social : elle prouve qu'une entreprise est à jour de ses obligations sociales, et doit être obtenue pour les contrats d'un certain montant.
Ces trois notions partagent l'idée de « prendre des mesures pour prévenir un risque », mais relèvent de régimes, d'autorités et de logiques différents. Pour les organismes financiers et les distributeurs d'assurance, c'est l'obligation de vigilance LCB-FT qui constitue l'enjeu quotidien, et c'est elle que nous développons ici.
L'obligation de vigilance se décompose en plusieurs mesures. Les connaître permet de bâtir un dispositif complet, sans angle mort.
La première composante est l'identification et la vérification du client : recueillir son identité et la vérifier sur la base de documents probants, avant l'entrée en relation. La deuxième est l'identification du bénéficiaire effectif, c'est-à-dire de la personne physique qui contrôle réellement le client lorsqu'il s'agit d'une personne morale (voir notre article sur les bénéficiaires effectifs) . La troisième est le recueil d'informations sur l'objet et la nature de la relation d'affaires, pour en apprécier la cohérence. La quatrième est la vigilance constante : suivre la relation dans la durée, actualiser la connaissance du client et examiner les opérations.
Ces composantes forment un tout. Identifier un client sans comprendre l'objet de la relation, ou sans surveiller ensuite les opérations, laisserait le dispositif incomplet. C'est leur combinaison qui permet une vigilance efficace.
Exemple concret : un assureur entre en relation avec une société. Il vérifie son identité (Kbis, statuts), identifie ses bénéficiaires effectifs, comprend pourquoi elle souscrit le contrat, puis surveille la cohérence des versements ultérieurs. Si des opérations s'écartent du profil connu, sa vigilance constante doit les détecter.
L’obligation de vigilance LCB-FT repose sur une approche par les risques : les diligences doivent être adaptées aux caractéristiques du client, de la relation d’affaires, des produits et des opérations.
On distingue généralement trois niveaux. La vigilance de droit commun comprend les obligations d’identification, de vérification de l’identité, de connaissance du client et de surveillance de la relation. Lorsque le risque est faible, des mesures de vigilance simplifiées peuvent être mises en œuvre dans les conditions prévues par les textes. À l’inverse, lorsque le risque présenté par une relation d’affaires, un produit ou une opération est élevé, l’organisme doit appliquer des mesures de vigilance renforcées.
À ces niveaux s’ajoutent des mesures de vigilance complémentaires, prévues par la loi dans certaines situations, notamment en présence d’une personne politiquement exposée (PPE) ou pour certaines opérations impliquant des États ou territoires figurant sur les listes visées par l’article L. 561-10 du Code monétaire et financier. Sous réserve des dérogations applicables, ces mesures répondent à des exigences spécifiques et peuvent se cumuler avec des mesures de vigilance renforcées.
Cette modulation s’appuie sur une classification des risques tenant notamment compte de la clientèle, des produits, des opérations, des canaux de distribution et des facteurs géographiques. Elle doit se traduire concrètement dans les diligences appliquées à chaque relation d’affaires.
Exemple concret : une relation avec une PPE appelle, en principe, les mesures complémentaires propres à ce statut. L’organisme évalue également le risque présenté par cette relation. Si ce risque est élevé, des mesures de vigilance renforcées s’ajoutent aux mesures complémentaires.
Enfin, l’examen renforcé concerne certaines opérations présentant les caractéristiques définies à l’article L. 561-10-2. Il peut être nécessaire quel que soit le niveau de vigilance appliqué à la relation d’affaires.
Un examen renforcé doit être réalisé lorsqu’une opération présente une complexité particulière, un montant inhabituellement élevé ou une absence apparente de justification économique ou d’objet licite. Ces critères sont alternatifs : un seul suffit à rendre cet examen obligatoire, quel que soit le niveau de risque attribué à la relation d’affaires.
L’organisme se renseigne auprès du client pour déterminer la provenance des fonds, leur destination, la finalité de l’opération et l’identité de la personne qui en bénéficie. Les résultats de cette analyse doivent être consignés par écrit et conservés.
Si les conditions de l’article L. 561-15 du Code monétaire et financier sont réunies, une déclaration de soupçon à Tracfin doit être effectuée. Une opération atypique ne déclenche donc pas automatiquement une déclaration, mais celle-ci devient obligatoire lorsque ses conditions légales sont remplies. L’examen renforcé n’est pas un préalable systématique à toute déclaration.
Oui, et c'est un point souvent sous-estimé. La vigilance n'a de valeur démontrable que si elle est tracée et conservée. L'absence de traçabilité équivaut, aux yeux du contrôleur, à une absence de vigilance.
L'organisme doit conserver les documents et informations relatifs à l'identité des clients et aux opérations effectuées, pendant une durée de 5 ans après la fin de la relation d'affaires ou l'exécution de l'opération. Il doit aussi pouvoir justifier des diligences accomplies : analyses menées, examens renforcés, décisions prises. Cette documentation alimente le contrôle interne et constitue la première ligne de défense en cas de contrôle de l'ACPR.
Le bon réflexe est de structurer un dossier client complet et tenu à jour, regroupant les éléments d'identification, l'évaluation du risque, et la trace des examens et décisions. Une vigilance non documentée est une vigilance non démontrable.
Les manquements à l'obligation de vigilance exposent à des sanctions sérieuses, car la vigilance est le socle de la LCB-FT. Les mesurer aide à comprendre l'attention des autorités.
Sur le plan disciplinaire, l'ACPR (pour la banque et l'assurance) ou l'AMF sanctionnent régulièrement les dispositifs de vigilance défaillants : connaissance client insuffisante, défaut d'identification du bénéficiaire effectif, absence d'examen des opérations atypiques. Les sanctions peuvent être financières et s'accompagner d'une publication, à fort effet réputationnel. Sur le plan pénal, des poursuites pour blanchiment sont possibles lorsque les éléments constitutifs de cette infraction, notamment son élément intentionnel, sont caractérisés. Un manquement aux obligations de vigilance ne constitue pas automatiquement un blanchiment.
Le risque est d'autant plus élevé que les manquements à la vigilance sont les plus fréquemment relevés lors des contrôles. Un dispositif de vigilance solide n'est donc pas seulement une obligation : c'est une protection directe contre la sanction.
L'obligation de vigilance ne fonctionne pas seule : elle s'insère dans une chaîne de conformité cohérente. Comprendre cette articulation évite les angles morts.
La classification des risques contribue à déterminer les diligences de connaissance du client et de surveillance des opérations. Lorsque les conditions légales sont réunies, les informations recueillies conduisent à une déclaration de soupçon à Tracfin. En parallèle, l’organisme doit respecter les obligations de gel des avoirs et d’interdiction de mise à disposition de fonds ou de ressources économiques : leur application ne dépend pas du niveau de risque LCB-FT du client. Enfin, les données personnelles collectées doivent être traitées conformément au RGPD, en tenant compte des obligations légales de conservation.
La logique gagnante est de traiter la vigilance comme un processus continu, proportionné et documenté, intégré à toute la relation client. Quelques réflexes la rendent fiable et défendable.
Concrètement : identifier et vérifier systématiquement le client et le bénéficiaire effectif ; comprendre l'objet de la relation d'affaires ; moduler la vigilance selon le risque (allégée, standard, renforcée) à partir de la cartographie ; mener un examen renforcé des opérations atypiques et le consigner ; surveiller les opérations dans la durée et actualiser la connaissance du client ; documenter et conserver toutes les diligences ; filtrer les clients au regard des listes de sanctions ; et former les équipes au repérage des situations à risque.
L'obligation de vigilance n'est pas une formalité administrative : bien exercée, elle protège l'organisme contre des risques majeurs et constitue le socle de toute la conformité LCB-FT. Un dispositif clair, proportionné, continu et documenté est la meilleure défense face à l'ACPR comme face au risque de blanchiment. C'est cette rigueur dans la connaissance et la surveillance du client, plus que la confiance spontanée, qui distingue un organisme sécurisé d'un organisme exposé.
Lorsque l’organisme ne peut pas satisfaire aux obligations d’identification et de vérification de l’identité, ou de connaissance de l’objet et de la nature de la relation d’affaires, il doit, en principe, s’abstenir d’exécuter l’opération et d’établir ou de poursuivre la relation. Il effectue également une déclaration de soupçon si les conditions légales de celle-ci sont réunies.
Auteur
Sommaire de l'article
