KYC : comment bien connaître son client et sécuriser l'entrée en relation

Le KYC, pour Know Your Customer (« connaître son client »), est la première brique de la conformité dans la banque, l'assurance et la finance.

Avant d'entrer en relation, tout organisme assujetti doit identifier son client, vérifier son identité et comprendre la relation d'affaires. C'est une obligation légale, mais aussi un processus opérationnel quotidien : recueil de documents, vérifications, mise à jour.
‍

Mal exécuté, le KYC expose à des sanctions et fragilise tout le dispositif de lutte contre le blanchiment. Cet article fait le tour pratique du KYC : ce qu'il recouvre, les documents à recueillir, le déroulement de l'onboarding, et les bonnes pratiques pour le sécuriser.

‍

Qu'est-ce que le KYC et à quoi sert-il ?

Le KYC désigne l'ensemble des procédures de connaissance du client qu'un organisme met en œuvre pour s'assurer de l'identité et de l'intégrité de la personne avec laquelle il entre en relation. Concrètement, il s'agit de savoir qui est vraiment le client, d'où viennent ses fonds, et quelle est la cohérence de la relation d'affaires.

Le KYC poursuit un objectif clair : empêcher que les organismes financiers soient utilisés à des fins de blanchiment d'argent, de financement du terrorisme ou d'autres activités illégales. En connaissant son client, l'organisme peut détecter les opérations anormales et signaler les soupçons aux autorités.

Le KYC est la déclinaison opérationnelle des obligations de vigilance issues de la lutte contre le blanchiment et le financement du terrorisme (LCB-FT). Il constitue le socle de la connaissance client (en anglais Customer Due Diligence), sur lequel reposent ensuite la surveillance des opérations et, le cas échéant, la déclaration de soupçon.

‍

Pourquoi le KYC est-il obligatoire ?

Le KYC est une obligation légale dont le non-respect est sanctionné. Comprendre son fondement aide à mesurer son importance.

Les organismes assujettis à la LCB-FT sont légalement tenus d'identifier et de vérifier l'identité de leurs clients avant d'entrer en relation d'affaires. Cette obligation découle du Code monétaire et financier et s'inscrit dans un cadre européen harmonisé. Elle vise à prévenir l'utilisation du système financier à des fins criminelles, dans un dispositif qui se renforce régulièrement (notamment avec le nouveau paquet européen anti-blanchiment et la création de l'autorité européenne AMLA).

Le KYC protège aussi l'organisme lui-même. Connaître son client, c'est se prémunir contre des risques concrets : fraude, usurpation d'identité, association involontaire à une activité illicite, ou entrée en relation avec une personne sous sanctions. Le KYC est donc à la fois une obligation et une protection.

‍

Exemple concret : une banque ou un assureur qui ouvrirait un contrat sans vérifier sérieusement l'identité du souscripteur s'exposerait, en cas de contrôle, à un manquement caractérisé, indépendamment même de toute fraude avérée. L'absence de KYC est en soi une faille sanctionnable.

‍

Quels documents recueillir dans le cadre du KYC ?

Le cœur opérationnel du KYC est le recueil de documents probants permettant d'établir et de vérifier l'identité du client. La nature des pièces varie selon que le client est une personne physique ou morale.

Pour une personne physique, l'organisme recueille généralement un justificatif d'identité en cours de validité (carte nationale d'identité, passeport, titre de séjour) et, selon les cas, un justificatif de domicile récent (facture d'énergie, d'eau, de téléphone, avis d'imposition). S'y ajoutent des informations sur la situation et l'activité du client, utiles pour apprécier la cohérence de la relation.

Pour une personne morale, le recueil est plus large : extrait d'immatriculation récent (Kbis ou équivalent), statuts, et surtout identification des bénéficiaires effectifs, c'est-à-dire des personnes physiques qui détiennent ou contrôlent réellement la structure. Cette identification du bénéficiaire effectif est un point de vigilance majeur, car elle permet de voir au-delà des montages sociétaires.

‍

Exemple concret : l'entrée en relation avec une société cliente suppose de recueillir son Kbis, ses statuts, et d'identifier qui se trouve réellement derrière elle.
Se contenter du nom de la société, sans remonter aux bénéficiaires effectifs, laisserait un angle mort exploitable pour dissimuler l'origine de fonds.

‍

Comment se déroule un processus KYC (onboarding) ?

Le KYC s'inscrit dans le parcours d'entrée en relation, souvent appelé onboarding. Le structurer en étapes claires le rend efficace et conforme.

Le processus comprend généralement :

- le recueil des informations de base du client (identité, coordonnées, situation),
- la collecte des justificatifs (pièce d'identité, domicile, documents société),
- la vérification de ces éléments par confrontation à des sources fiables,
- le filtrage au regard des listes de sanctions, de gel des avoirs et des personnes politiquement exposées (PPE),
- l'appréciation du risque que présente le client,
- et la décision d'entrer ou non en relation, le cas échéant sous conditions ou avec une vigilance renforcée.

De plus en plus, ce parcours est digitalisé : vérification d'identité à distance, lecture automatisée des documents, contrôle biométrique. Ces outils accélèrent l'onboarding et réduisent les coûts, mais ne dispensent pas d'une analyse humaine pour les cas complexes ou à risque. La fiabilité de la vérification prime sur la rapidité.

‍

Comment adapter le KYC au niveau de risque du client ?

Le KYC n'est pas uniforme : il se module selon le niveau de risque présenté par le client. Cette approche par les risques évite de traiter de la même façon une relation banale et une relation sensible.

On distingue quatre intensités :

- La vigilance allégée s'applique aux situations de faible risque, avec des diligences réduites.
- La vigilance standard est le régime courant.
- La vigilance renforcée s'impose pour les clients à risque élevé
- la vigilance complémentaire pour les personnes politiquement exposées (PPE) et clients établis dans des pays à risque, et enfin l'examen renforcé pour les opérations complexes ou d'un montant inhabituellement élevé. Elle suppose des diligences supplémentaires, comme la vérification de l'origine des fonds et une validation à un niveau hiérarchique approprié.
‍

Exemple concret : l'entrée en relation avec un particulier résidant en France pour un contrat standard relève de la vigilance standard. À l'inverse, un client identifié comme personne politiquement exposée déclenche une vigilance complémentaire : recueil d'informations complémentaires, attention particulière à l'origine du patrimoine, et suivi plus rapproché de la relation.
‍

Le KYC s'arrête-t-il à l'entrée en relation ?

Non, et c'est une erreur fréquente. Le KYC n'est pas un acte ponctuel réalisé une fois pour toutes : il s'inscrit dans une vigilance constante tout au long de la relation.

L'organisme doit maintenir à jour sa connaissance du client pendant toute la durée de la relation d'affaires, et réexaminer les dossiers à intervalles adaptés au niveau de risque. Il doit aussi surveiller les opérations pour vérifier leur cohérence avec ce qu'il connaît du client, et détecter les changements significatifs (évolution de l'activité, opérations atypiques). On parle souvent de KYC continu ou de mise à jour périodique.

Le bon réflexe est de planifier une revue régulière des dossiers clients, plus fréquente pour les profils à risque élevé. Un dossier KYC figé, jamais actualisé depuis l'entrée en relation, perd sa valeur et expose l'organisme : un client peut changer de profil de risque avec le temps.

Les documents relatifs à la relation d’affaires et aux mesures de vigilance sont en principe conservés cinq ans après la cessation de la relation, et les documents relatifs aux opérations cinq ans après leur exécution

‍

Que risque un organisme en cas de KYC défaillant ?

Un KYC insuffisant expose à des risques sérieux, à plusieurs niveaux. Les mesurer aide à comprendre pourquoi les autorités y sont attentives.

Sur le plan réglementaire, un dispositif KYC défaillant constitue un manquement aux obligations de vigilance LCB-FT, susceptible de sanctions de l'ACPR (pour la banque et l'assurance) ou de l'AMF, souvent assorties de publication. L'ACPR sanctionne régulièrement des dispositifs de connaissance client lacunaires. Sur le plan opérationnel et pénal, l'absence de KYC peut conduire à participer involontairement à un blanchiment ou à entrer en relation avec une personne sous sanctions. Sur le plan réputationnel, l'association à des clients douteux fragilise la confiance.

Le risque est d'autant plus élevé que le KYC est le fondement de tout le dispositif : un KYC défaillant compromet en cascade la surveillance des opérations, la détection des soupçons et le respect des mesures de gel. C'est souvent par le KYC que commence un contrôle.

‍

Comment articuler le KYC avec le reste de la conformité ?

Le KYC ne fonctionne pas isolément : il alimente l'ensemble du dispositif de conformité. Cette vision intégrée évite les angles morts.

Les informations recueillies lors du KYC servent à la surveillance des opérations (détecter ce qui s'écarte du profil connu), au filtrage au titre du gel des avoirs (confronter le client aux listes de sanctions), et, en cas de doute, à la déclaration de soupçon à Tracfin. Le KYC croise aussi le RGPD, car les données personnelles recueillies doivent être protégées, conservées pour des durées justifiées et accessibles aux personnes concernées. Les données KYC peuvent d'ailleurs servir à lever une alerte de filtrage en distinguant un homonyme de la personne réellement visée.

Cette transversalité plaide pour un dossier client structuré et unique, plutôt que des informations dispersées. Une bonne organisation du KYC bénéficie à toute la chaîne de conformité.

‍

Comment sécuriser durablement son dispositif KYC ?

La logique gagnante est de traiter le KYC comme un processus vivant et documenté, intégré à l'entrée en relation comme au suivi. Quelques réflexes le rendent fiable et conforme.

Concrètement :

- formaliser une procédure KYC proportionnée au risque,
- recueillir et vérifier les justificatifs d'identité, y compris l'identification du bénéficiaire effectif pour les personnes morales,
- filtrer systématiquement les clients au regard des listes de sanctions et de PPE,
- moduler les diligences selon le niveau de risque,
- mettre à jour régulièrement les dossiers et réexaminer les profils à risque,
- documenter chaque vérification et décision,
- sécuriser les données collectées dans le respect du RGPD,
- et former les équipes au repérage des situations atypiques.

Le KYC n'est pas qu'une formalité d'ouverture : bien mené, il protège l'organisme contre des risques majeurs et constitue le socle de toute la conformité. Un dispositif clair, proportionné, tenu à jour et documenté est la meilleure défense face à l'ACPR comme face aux risques de fraude. C'est cette rigueur dans la connaissance du client, dès l'entrée en relation et tout au long de celle-ci, qui distingue un organisme sécurisé d'un organisme exposé.

‍

‍