Directive ou règlement : pourquoi l’AMLR change les règles du jeu en LCB-FT ?

Executive summary

La réforme européenne de la lutte contre le blanchiment de capitaux et le financement du terrorisme ne consiste pas seulement à remplacer une directive par une autre. Son changement le plus structurant réside dans la création d’un règlement européen directement applicable aux professionnels assujettis : le règlement (UE) 2024/1624, dit AMLR.

Jusqu’à présent, une grande partie des obligations LCB-FT européennes reposait sur des directives transposées dans le droit de chaque État membre. Ce mécanisme permettait des adaptations nationales mais produisait aussi des différences d’interprétation, de calendrier et de pratique. Le nouveau paquet européen cherche à réduire cette fragmentation en transférant dans l’AMLR une large partie des règles opérationnelles applicables aux entités assujetties : gouvernance, évaluation des risques, vigilance à l’égard de la clientèle, bénéficiaires effectifs, personnes politiquement exposées, vigilance renforcée, surveillance continue, déclaration des soupçons, conservation des informations et autres obligations.

La directive (UE) 2024/1640 — AMLD6 — reste essentielle, mais son rôle est différent. Elle organise principalement les mécanismes que les États membres doivent mettre en place : autorités de supervision, cellules de renseignement financier, registres, coopération entre autorités, mécanismes de sanctions et autres composantes institutionnelles.

Pour un responsable conformité, la conséquence est fondamentale : la préparation à 2027 ne peut pas être menée uniquement comme un projet de transposition française d’AMLD6. Il faut aussi analyser directement l’AMLR, article par article, car ses dispositions seront applicables sans qu’une loi française ait à les reproduire.

L’échéance centrale est le 10 juillet 2027, date d’application générale de l’AMLR, sous réserve des exceptions prévues par le règlement. Le défi des organismes assujettis est donc de convertir ce texte européen directement applicable en règles métier, données, contrôles, alertes, workflows et preuves auditables.

Pourquoi ce sujet est important

Lorsqu’un professionnel entend « 6e directive LCB-FT », il peut naturellement rechercher la loi ou l’ordonnance nationale qui transposera la directive et attendre que le droit français précise les nouvelles obligations.

Cette approche serait incomplète.

Le nouveau cadre européen repose sur une séparation beaucoup plus nette entre deux familles de règles :

• les règles applicables aux États membres, superviseurs, CRF et mécanismes institutionnels, principalement organisées par AMLD6 ;
• les règles applicables directement aux entités assujetties, principalement inscrites dans l’AMLR.

Cette distinction change la façon d’organiser un projet réglementaire. Une équipe conformité doit désormais maintenir une matrice reliant directement les exigences européennes aux procédures, contrôles et composants du système d’information.

L’AMLR constitue ainsi le cœur opérationnel du nouveau Single Rulebook européen.

Directive et règlement : quelle différence juridique ?

Une directive doit être transposée

Une directive européenne fixe des objectifs que les États membres doivent atteindre. Chaque État adopte les dispositions nationales nécessaires pour les transposer.

Cette méthode permet d’intégrer le droit européen dans les systèmes juridiques nationaux, mais peut créer des divergences : choix de rédaction différents, options nationales, calendriers distincts, interprétations différentes par les superviseurs et exigences opérationnelles plus ou moins détaillées.

AMLD6 suit cette logique. La directive (UE) 2024/1640 prévoit plusieurs échéances de transposition, dont l’échéance générale du 10 juillet 2027, ainsi que des échéances spécifiques en 2025, 2026 et 2029 pour certaines dispositions.

Un règlement est directement applicable

Un règlement européen est directement applicable dans les États membres.

Cela signifie qu’un organisme assujetti ne doit pas attendre qu’une loi nationale recopie les obligations de l’AMLR pour devoir les respecter à partir de sa date d’application.

Les autorités nationales peuvent toujours intervenir lorsque le règlement le prévoit et d’autres règles nationales peuvent continuer à s’appliquer, mais le socle européen devient directement opposable.

C’est cette caractéristique qui donne au nouveau paquet son potentiel d’harmonisation.

Ce que prévoit directement l’AMLR

Le règlement (UE) 2024/1624 établit des règles applicables aux entités assujetties en matière de prévention du blanchiment et du financement du terrorisme.

Il encadre notamment le champ des entités assujetties, les politiques et contrôles internes, l’évaluation du risque, la gouvernance LCB-FT, les exigences de groupe, l’externalisation, la vigilance clientèle, l’identification et la vérification du client, les bénéficiaires effectifs, l’objet et la nature de la relation d’affaires, la surveillance continue, les mesures simplifiées ou renforcées, les personnes politiquement exposées, les pays tiers à haut risque, la déclaration des soupçons, certaines obligations de conservation et la transparence des bénéficiaires effectifs.

Le règlement constitue donc la première source à analyser lorsqu’une entreprise cherche à déterminer ce qui devra changer dans ses processus opérationnels.

Ce qui reste principalement dans AMLD6

La directive (UE) 2024/1640 encadre principalement l’organisation du système public de LCB-FT dans chaque État membre : évaluations nationales des risques, autorités et organismes de supervision, pouvoirs des superviseurs, cellules de renseignement financier, coopération et échanges d’informations, registres de bénéficiaires effectifs, mécanismes d’accès à certaines informations, mécanismes relatifs aux comptes bancaires ainsi que sanctions et mesures administratives.

Pour un organisme assujetti, ces dispositions ont souvent un impact indirect mais important. Elles déterminent l’environnement dans lequel il sera supervisé, les autorités avec lesquelles il interagira et les mécanismes publics qu’il devra consulter ou alimenter.

AMLD6 et AMLR doivent donc toujours être lus ensemble.

Ce qui change par rapport au dispositif antérieur

Une source réglementaire plus homogène

Dans l’ancien système, une entreprise internationale devait comparer plusieurs transpositions nationales d’une même directive.

Avec l’AMLR, une part beaucoup plus importante des règles est commune par construction.

Pour les groupes opérant dans plusieurs États membres, cela permet d’envisager un référentiel central d’exigences, des procédures groupe plus homogènes, des modèles de données communs, des règles KYC davantage harmonisées et une gouvernance européenne plus cohérente.

Cela ne supprime cependant pas toutes les différences nationales.

Une conformité davantage pilotée au niveau européen

La montée en puissance d’AMLA renforce ce mouvement.

AMLA prépare plusieurs normes techniques et orientations destinées à préciser l’application du nouveau cadre, notamment sur la Customer Due Diligence, les relations d’affaires et transactions occasionnelles, la surveillance continue, les déclarations de soupçon, la supervision fondée sur les risques, les exigences de groupe et les sanctions administratives.

Le futur référentiel opérationnel ne se limitera donc pas au texte de l’AMLR. Il faudra suivre les RTS, ITS et orientations qui le complèteront.

Les professionnels concernés

Le changement concerne toutes les catégories d’entités assujetties relevant du champ de l’AMLR.

Il s’agit notamment d’acteurs financiers et non financiers : établissements de crédit, institutions financières, acteurs des crypto-actifs lorsqu’ils relèvent du champ réglementaire, professions juridiques ou comptables dans les situations prévues, prestataires de services aux sociétés, professionnels immobiliers, opérateurs de jeux, certains négociants et nouvelles catégories introduites ou précisées par le paquet.

Le point essentiel est que la nature « directement applicable » du règlement vaut pour les petites et grandes entités. La proportionnalité reste importante, mais l’existence d’un règlement européen n’est pas réservée aux grandes banques.

Les obligations opérationnelles : que faut-il faire différemment ?

Construire une matrice AMLR directement à partir du texte européen

Une entreprise ne devrait pas attendre uniquement une mise à jour de sa procédure nationale.

Elle devrait créer une matrice comprenant au minimum :

Cette matrice devient la colonne vertébrale du programme de transformation.

Identifier les règles nécessitant une traduction SI

Une obligation réglementaire n’est pas directement exécutable par un logiciel. Elle doit être transformée en :

texte juridique → exigence métier → règle de gestion → donnée → contrôle → événement → alerte → décision → preuve.

C’est cette chaîne qui doit être testée.

Exemple : la vigilance à l’égard de la clientèle

L’article 19 de l’AMLR prévoit plusieurs situations dans lesquelles une entité assujettie doit appliquer les mesures de vigilance, notamment lors de l’établissement d’une relation d’affaires et pour certaines transactions occasionnelles.

Pour un juriste, cette disposition crée une obligation. Pour un système d’information, elle crée plusieurs questions : comment identifier automatiquement qu’une interaction constitue une relation d’affaires ? Comment agréger des opérations pouvant être liées ? Comment déclencher un processus KYC au bon moment ? Comment empêcher la poursuite d’un processus lorsque les contrôles obligatoires ne sont pas achevés ? Comment conserver la preuve du contrôle ? Comment réagir lorsqu’une donnée client change ?

AMLA travaille sur des normes techniques concernant les critères permettant d’identifier les relations d’affaires, transactions occasionnelles et transactions liées, ainsi que sur la Customer Due Diligence.

La conformité 2027 doit donc être conçue comme un système de règles évolutif.

Surveillance continue : un exemple du futur Single Rulebook

La surveillance continue illustre également la nouvelle architecture.

L’AMLR impose aux entités assujetties de surveiller et revoir les relations d’affaires afin de détecter les opérations ou activités inhabituelles ou suspectes.

AMLA a consulté en 2026 sur des orientations prises sur le fondement de l’article 26(5) de l’AMLR. Le projet distingue notamment la mise à jour des informations du client et la surveillance des transactions et activités.

Au 13 septembre 2026, cette consultation est clôturée et ses résultats définitifs restent à suivre. Il ne faut donc pas traiter le projet d’orientations comme une norme finale.

Pour le dispositif Single Point AML, cela confirme néanmoins une tendance structurante : KYC et transaction monitoring ne doivent pas fonctionner comme deux silos.

Déclaration de soupçon : vers davantage de standardisation

AMLA mène également une consultation sur un projet d’ITS pris sur le fondement de l’article 69(3) de l’AMLR concernant le format des déclarations de soupçon et la fourniture de données transactionnelles aux cellules de renseignement financier.

Au 13 septembre 2026, cette consultation est toujours ouverte jusqu’au 20 septembre 2026.

Le projet prévoit notamment des modèles adaptés à différentes catégories d’entités assujetties et des formats de données destinés à améliorer la standardisation.

Ce texte n’est pas encore définitif.

Mais il illustre concrètement ce que produit le passage au Single Rulebook : les exigences ne seront pas seulement harmonisées au niveau des grands principes ; elles pourront également l’être au niveau des structures de données et des formats d’échange.

Les impacts sur les données et le système d’information

Le passage à l’AMLR doit conduire les responsables conformité et les responsables SI à examiner ensemble au moins six dimensions.

Modèle de données

Les informations client, bénéficiaire effectif, représentant, PPE, pays, documents, opérations et alertes doivent être structurées.

Versionnement

Les règles peuvent évoluer avec les RTS, ITS et orientations. Un système doit permettre de savoir quelle règle était applicable, à quelle date, quelle version du scoring a été utilisée et quelle liste ou quel référentiel a généré une alerte.

Paramétrage

Les seuils, scénarios, niveaux de risque et mesures de vigilance ne devraient pas être codés de manière rigide lorsque le besoin métier nécessite leur évolution fréquente.

Orchestration

Les composants doivent communiquer :

KYC → scoring → filtrage → vigilance → monitoring → alertes → investigation → décision → reporting.

Auditabilité

Toute décision importante doit pouvoir être reconstruite.

Veille réglementaire

Le système documentaire doit relier les exigences juridiques aux règles de gestion réellement configurées.

Cas pratique : un groupe opérant dans trois États membres

Prenons un groupe financier présent en France, en Belgique et en Espagne.

Aujourd’hui, son dispositif comprend trois procédures KYC nationales, trois paramétrages de scoring, plusieurs listes locales, des exigences documentaires différentes et des contrôles similaires mais implémentés différemment.

Le nouveau cadre ne signifie pas que toutes ces différences disparaîtront automatiquement. En revanche, le groupe peut lancer un programme de convergence.

Étape 1 — Identifier le socle AMLR commun

Toutes les obligations directement issues du règlement sont cartographiées.

Étape 2 — Identifier les spécificités nationales restantes

Pour chaque pays, le groupe documente uniquement les règles qui diffèrent ou complètent le socle.

Étape 3 — Construire un modèle de données commun

Les informations KYC sont standardisées.

Étape 4 — Centraliser les règles communes

Le scoring, le filtrage et les workflows génériques sont harmonisés.

Étape 5 — Conserver des extensions locales

Lorsque le droit national l’exige, des règles spécifiques restent paramétrées.

Le résultat attendu n’est donc pas « un système sans règle nationale », mais un système construit autour d’un socle européen commun avec extensions locales maîtrisées.

Comment Single Point AML peut accompagner cette évolution

Le passage à l’AMLR renforce l’intérêt d’une plateforme LCB-FT centrée sur la paramétrabilité et la traçabilité.

Une architecture Single Point AML adaptée peut servir à centraliser le référentiel client, les bénéficiaires effectifs, les résultats de filtrage, les PPE et personnes associées, les facteurs de risque, le scoring, les mesures de vigilance, les alertes, les investigations, les décisions et les éléments de preuve.

La priorité doit être de permettre à une règle européenne de devenir une règle métier identifiable :

AMLR — obligation réglementaire
↓
Exigence conformité
↓
Règle Single Point AML
↓
Données utilisées
↓
Contrôle exécuté
↓
Résultat / alerte
↓
Décision utilisateur
↓
Historique auditable

Cette architecture permet de répondre à une question essentielle d’un superviseur : « Montrez-nous comment cette obligation réglementaire est effectivement appliquée dans votre dispositif. »

Plan d’action recommandé

À moins de dix mois de l’échéance centrale du 10 juillet 2027, un organisme assujetti devrait désormais disposer d’un programme AMLR identifiable.

Les actions prioritaires sont :

1. constituer un référentiel article par article de l’AMLR ;
2. distinguer les obligations directement applicables des dispositions relevant de la transposition d’AMLD6 ;
3. relier chaque obligation au processus métier concerné ;
4. identifier les données requises ;
5. mesurer les écarts avec le système actuel ;
6. suivre les travaux AMLA qui préciseront les règles ;
7. lancer les évolutions informatiques nécessitant des délais longs ;
8. préparer une remédiation des dossiers historiques si nécessaire ;
9. définir les tests de conformité ;
10. construire la piste d’audit permettant de démontrer le respect des nouvelles exigences.

Calendrier réglementaire

Ce qu’il faut retenir

1. AMLD6 et AMLR ne jouent pas le même rôle.
2. L’AMLR contient une grande partie des obligations opérationnelles directement applicables aux entités assujetties.
3. Une entreprise ne doit pas attendre uniquement la transposition nationale d’AMLD6 pour préparer 2027.
4. Le Single Rulebook réduit la fragmentation mais ne supprime pas toutes les règles nationales.
5. Les RTS, ITS et orientations AMLA préciseront progressivement le dispositif.
6. Les systèmes d’information doivent devenir plus paramétrables, versionnés et auditables.
7. La mise en conformité doit relier chaque obligation juridique à une règle métier et à une preuve d’exécution.

À suivre dimanche prochain

Épisode 3 — AMLA : rôle, pouvoirs et conséquences pour les professionnels assujettis

Nous analyserons la nouvelle architecture de supervision européenne, la différence entre supervision directe et indirecte, les critères de sélection des établissements directement supervisés, les pouvoirs d’AMLA, son rôle dans les RTS, ITS et orientations ainsi que les conséquences pour les organismes non directement supervisés.

Sources officielles et liens utiles

• Règlement (UE) 2024/1624 — AMLR
• Directive (UE) 2024/1640 — AMLD6
• Règlement (UE) 2024/1620 — AMLA
• AMLA — consultations
• AMLA — surveillance continue
• AMLA — format des déclarations de soupçon

Avertissement

Ce dossier est proposé à des fins d’information et de veille réglementaire. Il ne constitue pas un avis juridique. L’application des textes doit être appréciée au regard de la situation de chaque organisme, de son secteur d’activité, des dispositions nationales applicables et des positions de son autorité de supervision.

Single Point AML — La conformité LCB-FT en un point.