Exigences réglementaires LCB-FT transversales applicables aux professions assujetties
Exigences réglementaires LCB-FT transversales applicables aux professions assujetties
Objet et champ d'application
Cette fiche présente le socle transversal des exigences LCB-FT applicables aux personnes et organismes assujettis au dispositif français de lutte contre le blanchiment de capitaux et le financement du terrorisme.
Le point d'entrée du dispositif est l'article L.561-2 du Code monétaire et financier (CMF), qui énumère les catégories de professionnels assujettis.
La présente fiche doit être utilisée comme un référentiel commun, puis complétée par la fiche sectorielle de chaque profession. En effet, toutes les obligations ne s'appliquent pas avec la même intensité ni selon les mêmes modalités à chaque catégorie professionnelle.
Typologie utilisée dans cette fiche
| Niveau | Signification |
|---|---|
| SOCLE COMMUN | Principe transversal applicable aux professionnels assujettis dans le champ prévu par le CMF |
| APPLICATION ADAPTÉE | Obligation dont l'intensité dépend du niveau de risque |
| OBLIGATION SECTORIELLE | Modalités précisées par les textes, autorités ou lignes directrices propres à la profession |
| À QUALIFIER | Applicabilité dépendant du statut juridique exact, de l'activité ou du périmètre d'assujettissement |
Principales références réglementaires
Le dispositif français repose notamment sur :
- le Code monétaire et financier, particulièrement les articles L.561-2 et suivants ;
- les dispositions réglementaires correspondantes du CMF ;
- les textes relatifs au gel des avoirs et aux sanctions financières ciblées ;
- les règlements et directives européens applicables ;
- les arrêtés sectoriels relatifs à l'organisation et au contrôle interne ;
- les lignes directrices conjointes de TRACFIN et des autorités de supervision ;
- les doctrines, positions, recommandations et guides sectoriels des autorités compétentes.
Réserve importante
L'arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne LCB-FT et au gel des avoirs ne doit pas être appliqué mécaniquement à toutes les professions : son article 1 définit précisément les catégories d'« organismes assujettis » entrant dans son champ.
Approche par les risques
SOCLE COMMUN
Le dispositif LCB-FT repose sur une approche par les risques.
Le professionnel doit identifier, comprendre, évaluer et maîtriser les risques de blanchiment de capitaux et de financement du terrorisme auxquels il est exposé.
L'intensité des mesures de vigilance doit être proportionnée au risque.
L'évaluation doit notamment considérer :
- la nature de la clientèle ;
- les produits et services ;
- les opérations ;
- les canaux de distribution ;
- les modalités d'entrée en relation ;
- les pays et zones géographiques ;
- les bénéficiaires effectifs ;
- les contreparties ;
- les modalités de paiement ;
- les nouvelles technologies ;
- les facteurs sectoriels spécifiques.
Cartographie des risques BC-FT
SOCLE COMMUN / APPLICATION ADAPTÉE
Le professionnel doit disposer d'une méthodologie permettant de déterminer ses expositions au risque.
Une cartographie opérationnelle comporte généralement :
- l'identification des facteurs de risque ;
- l'évaluation du risque inhérent ;
- l'identification des mesures de maîtrise ;
- l'évaluation de leur efficacité ;
- la détermination du risque résiduel ;
- la hiérarchisation des risques ;
- la définition des mesures correctrices ;
- une revue périodique et événementielle.
Exemples de facteurs
- client particulier ou personne morale ;
- activité économique ;
- complexité juridique ;
- pays de résidence ou d'activité ;
- canal à distance ;
- espèces ;
- actifs numériques ;
- volumes et fréquence des opérations ;
- PPE ;
- juridictions à haut risque ;
- structures de détention complexes.
Classification du risque client
Chaque relation doit, lorsque le régime applicable le prévoit, être classée selon une méthodologie cohérente avec la cartographie.
Une classification peut comprendre :
- risque faible ;
- risque standard/modéré ;
- risque élevé ;
- risque très élevé ou situation nécessitant une décision spécifique.
La notation doit être explicable, documentée, révisable et traçable.
Un moteur de notation ne doit pas remplacer l'analyse humaine lorsque des circonstances particulières rendent le résultat automatique incohérent.
Identification et vérification de l'identité du client
SOCLE COMMUN
Avant d'entrer en relation d'affaires, le professionnel doit identifier son client et vérifier son identité selon les modalités prévues par le Code Monétaire et Financier.
Pour une personne physique, les données pertinentes comprennent notamment :
- nom et prénoms ;
- date et lieu de naissance ;
- nationalité lorsque pertinente ;
- domicile ;
- document officiel d'identité ;
- activité professionnelle selon le risque.
Pour une personne morale :
- dénomination ;
- forme juridique ;
- siège ;
- immatriculation ;
- représentants ;
- objet/activité ;
- structure de propriété et de contrôle ;
- documents constitutifs et justificatifs appropriés.
L'entrée en relation à distance exige des mesures adaptées au risque et aux textes applicables.
Bénéficiaire effectif
SOCLE COMMUN
Le professionnel doit identifier le ou les bénéficiaires effectifs lorsque la relation ou l'opération implique une personne morale, construction juridique ou situation relevant des textes.
Il doit :
- recueillir les informations nécessaires ;
- comprendre la structure de propriété et de contrôle ;
- vérifier les informations selon une approche par les risques ;
- traiter les divergences ou incohérences ;
- conserver la justification de son analyse.
La consultation d'un registre ne dispense pas d'une analyse critique lorsque les informations disponibles sont incohérentes ou insuffisantes.
Objet et nature de la relation d'affaires
Le professionnel doit comprendre :
- pourquoi le client souhaite entrer en relation ;
- la nature des services attendus ;
- l'activité économique ;
- les volumes prévisionnels ;
- les zones géographiques concernées ;
- les principales contreparties lorsque pertinent ;
- l'origine et la destination prévisibles des fonds selon le risque.
Ces informations constituent le profil attendu auquel les opérations observées pourront être comparées.
Profil de risque
Le profil de risque doit combiner les données KYC avec les facteurs de risque pertinents.
Exemples de variables
- activité ;
- profession ;
- revenus ;
- patrimoine ;
- structure juridique ;
- bénéficiaire effectif ;
- PPE ;
- pays ;
- produits utilisés ;
- volumes ;
- moyens de paiement ;
- canal ;
- historique des alertes.
Toute modification significative doit pouvoir entraîner une requalification du risque.
Vigilance constante
SOCLE COMMUN
La connaissance du client ne s'arrête pas à l'entrée en relation.
Le professionnel doit assurer une vigilance constante permettant :
- de maintenir les informations à jour ;
- d'examiner la cohérence des opérations ;
- de détecter les ruptures de comportement ;
- d'identifier les événements modifiant le risque ;
- d'actualiser le profil et la classification.
Événements déclencheurs
- changement d'actionnariat ;
- nouveau bénéficiaire effectif ;
- changement de dirigeant ;
- changement de pays ;
- activité nouvelle ;
- hausse brutale des volumes ;
- PPE nouvellement détectée ;
- alerte sanctions ;
- opération atypique ;
- information négative pertinente.
Vigilance adaptée au risque
Le dispositif distingue plusieurs intensités de vigilance.
Vigilance normale
Elle constitue le régime de référence.
Vigilance simplifiée ou allégée
Elle n'est possible que lorsque les conditions légales sont réunies et que le niveau de risque le permet. Elle ne signifie pas absence de vigilance.
Vigilance renforcée
Elle est appliquée lorsque le risque est élevé ou dans les situations prévues par les textes.
Les mesures peuvent inclure :
- collecte d'informations supplémentaires ;
- validation hiérarchique ;
- fréquence accrue des revues ;
- examen renforcé des opérations ;
- justification plus approfondie de l'origine des fonds ;
- justification de l'origine du patrimoine ;
- monitoring plus sensible.
Personnes politiquement exposées (PPE)
APPLICATION ADAPTÉE / MESURES COMPLÉMENTAIRES
La détection des PPE constitue un élément majeur du dispositif.
Le professionnel doit prendre en compte :
- la PPE ;
- les membres de sa famille visés par les textes ;
- les personnes connues pour lui être étroitement associées.
Le statut de PPE n'implique pas qu'une personne soit suspecte. Il constitue un facteur de risque entraînant les mesures complémentaires prévues par la réglementation.
Ces mesures peuvent inclure :
- autorisation appropriée pour la relation ;
- détermination de l'origine du patrimoine ;
- détermination de l'origine des fonds ;
- surveillance renforcée.
Origine des fonds
L'origine des fonds vise à comprendre d'où proviennent les sommes utilisées dans une opération déterminée.
Exemples :
- salaire ;
- épargne ;
- cession immobilière ;
- dividendes ;
- héritage ;
- prêt ;
- vente d'entreprise ;
- remboursement ;
- produit d'investissement.
L'analyse doit aller au-delà de la seule identification du compte bancaire émetteur lorsque le risque exige de comprendre la source économique réelle des fonds.
Origine du patrimoine
L'origine du patrimoine vise à comprendre comment le client a constitué sa richesse globale.
Elle est particulièrement importante pour :
- PPE ;
- clientèle patrimoniale ;
- opérations très importantes ;
- structures complexes ;
- situations présentant un risque élevé.
Exemples de justificatifs :
- cessions ;
- successions ;
- revenus professionnels ;
- états financiers ;
- participations ;
- investissements ;
- documents fiscaux lorsque pertinents.
Risque pays
La dimension géographique doit intégrer notamment :
- juridictions identifiées comme présentant des déficiences stratégiques ;
- pays sous sanctions ;
- zones de conflit ;
- pays exposés à la corruption ;
- zones connues pour certains trafics ;
- incohérence entre pays du client, activité et flux.
Le risque pays ne doit pas être utilisé isolément : il doit être combiné avec les autres facteurs de risque.
Sanctions financières ciblées et gel des avoirs
EXIGENCE DISTINCTE MAIS ÉTROITEMENT LIÉE AU DISPOSITIF LCB-FT
Le filtrage sanctions ne doit pas être confondu avec la détection du blanchiment.
Le dispositif doit permettre, selon le champ applicable :
- d'identifier les personnes et entités désignées ;
- d'identifier les entités détenues ou contrôlées lorsqu'il y a lieu ;
- d'effectuer les levées de doute ;
- d'appliquer sans délai les mesures de gel/interdiction requises ;
- d'empêcher la mise à disposition de fonds ou ressources économiques ;
- de documenter les décisions.
Le filtrage doit couvrir les populations pertinentes : clients, bénéficiaires effectifs, mandataires, bénéficiaires de paiement, contreparties et autres personnes selon le métier.
Scénarios de filtrage transversaux
Exemples
- Correspondance exacte ou approchante avec une liste de sanctions.
- Client devenu PPE.
- Bénéficiaire effectif sanctionné.
- Personne morale détenue ou contrôlée par une personne désignée.
- Bénéficiaire d'un paiement sous gel.
- Contrepartie située dans une juridiction soumise à restrictions.
- Modification d'identité susceptible de masquer une correspondance.
- Correspondance sur alias, translittération ou date de naissance.
Bonnes pratiques
- gestion des faux positifs ;
- justification de la levée de doute ;
- traçabilité ;
- quatre-yeux pour les cas sensibles ;
- mise à jour rapide des référentiels ;
- re-filtrage des bases lorsque nécessaire.
Scénarios de profilage et monitoring transversaux
Exemples
- Rupture brutale de comportement.
- Montants incompatibles avec le profil économique.
- Fractionnement d'opérations.
- Multiplication de tiers payeurs.
- Entrées suivies de sorties rapides.
- Flux circulaires.
- Utilisation de nombreux comptes.
- Opérations internationales sans justification.
- Compte dormant soudainement réactivé.
- Multiplication de petites opérations convergeant vers un même bénéficiaire.
- Paiement vers un tiers non prévu.
- Modification fréquente des coordonnées bancaires.
- Opérations complexes sans justification économique.
- Activité sans rapport avec l'objet déclaré.
- Refus répété de fournir des justificatifs.
Les scénarios doivent être adaptés au métier : un scénario pertinent pour une banque ne l'est pas nécessairement pour un notaire, un casino ou un expert-comptable.
Détection d'une opération atypique
Une opération atypique n'est pas automatiquement une opération suspecte.
Elle constitue un événement nécessitant une analyse.
Le traitement doit permettre de répondre notamment aux questions suivantes :
- l'opération est-elle cohérente avec le profil ?
- quelle est sa justification économique ?
- qui en bénéficie réellement ?
- quelle est l'origine des fonds ?
- existe-t-il un lien avec une juridiction ou contrepartie à risque ?
- les justificatifs sont-ils cohérents ?
- l'explication du client est-elle plausible ?
Gestion des alertes
Une chaîne de traitement robuste comprend :
Détection → Alerte → Analyse → Enrichissement → Décision → Clôture ou escalade → Soupçon éventuel → Déclaration
Chaque alerte doit comporter :
- motif ;
- données sources ;
- analyste ;
- diligences réalisées ;
- documents consultés ;
- conclusion ;
- justification ;
- date ;
- niveau de validation.
Une alerte clôturée doit être justifiée, pas simplement supprimée.
Examen renforcé
Les opérations particulièrement complexes, d'un montant inhabituellement élevé ou ne paraissant pas avoir de justification économique ou d'objet licite doivent faire l'objet des diligences prévues par le CMF.
L'examen doit permettre d'établir :
- l'origine et la destination des sommes ;
- l'objet de l'opération ;
- l'identité des bénéficiaires ;
- les explications du client ;
- la cohérence économique.
La conclusion doit être documentée.
Constitution du soupçon
Le soupçon résulte d'une analyse, non d'un simple indicateur automatique.
Il peut naître de :
- l'opération elle-même ;
- la combinaison de plusieurs anomalies ;
- l'absence d'explication satisfaisante ;
- des incohérences KYC ;
- des informations externes pertinentes ;
- des liens avec des personnes ou structures à risque.
Le professionnel n'a pas à démontrer l'infraction sous-jacente comme le ferait une autorité judiciaire.
Déclaration de soupçon à TRACFIN
SOCLE COMMUN
L'article L.561-15 du CMF impose la déclaration des sommes ou opérations relevant du champ légal lorsque le professionnel sait, soupçonne ou a de bonnes raisons de soupçonner qu'elles proviennent d'une infraction concernée par le texte ou participent au financement du terrorisme.
Il n'existe pas de seuil monétaire général de déclaration de soupçon.
Les tentatives entrant dans le champ doivent également être prises en compte.
Moment de la déclaration
En principe, la déclaration intervient avant l'exécution afin de permettre, le cas échéant, l'exercice du droit d'opposition de TRACFIN.
Dans les cas légalement prévus, une déclaration peut intervenir après exécution et doit alors être transmise sans délai.
Canal
La plateforme ERMES constitue le canal sécurisé de télédéclaration de TRACFIN pour les professionnels déclarants inscrits.
Qualité de la déclaration
Une déclaration utile doit présenter :
- le déclarant ;
- le client ;
- le bénéficiaire effectif lorsque pertinent ;
- la relation d'affaires ;
- les opérations ;
- la chronologie ;
- les montants ;
- les contreparties ;
- les diligences réalisées ;
- les explications obtenues ;
- les anomalies constatées ;
- l'analyse conduisant au soupçon ;
- les pièces utiles.
La déclaration doit être factuelle, structurée, chronologique et motivée.
Confidentialité de la déclaration de soupçon
SOCLE COMMUN
La déclaration de soupçon est confidentielle.
Le client ne doit pas être informé :
- de l'existence de la déclaration ;
- de son contenu ;
- des suites données.
Le système d'information doit donc appliquer des droits d'accès stricts aux dossiers de soupçon.
Les journaux, notifications et commentaires visibles par les utilisateurs non habilités ne doivent pas révéler l'existence d'une déclaration.
Conservation des documents
SOCLE COMMUN
Les documents recueillis au titre des obligations de vigilance doivent, en principe, être conservés pendant cinq ans selon les points de départ et modalités prévus par les textes.
La conservation concerne notamment :
- pièces d'identité ;
- données KYC ;
- bénéficiaires effectifs ;
- justificatifs ;
- analyses ;
- opérations ;
- éléments ayant servi à la classification du risque.
Les règles sectorielles et autres obligations légales de conservation peuvent imposer des durées ou modalités complémentaires.
Gouvernance LCB-FT
Le dispositif doit être soutenu par une gouvernance appropriée.
Selon la taille et le statut du professionnel :
- responsabilité des dirigeants ;
- fonction conformité ;
- responsable LCB-FT ;
- déclarant TRACFIN ;
- correspondant TRACFIN ;
- instances de décision ;
- comités de conformité ;
- reporting périodique.
Les responsabilités doivent être formalisées et les conflits d'intérêts maîtrisés.
Procédures internes
Les procédures doivent couvrir au minimum les domaines pertinents pour le professionnel :
- entrée en relation ;
- KYC/KYB ;
- bénéficiaire effectif ;
- PPE ;
- sanctions ;
- classification du risque ;
- vigilance constante ;
- origine des fonds ;
- origine du patrimoine ;
- monitoring ;
- alertes ;
- examen renforcé ;
- déclaration de soupçon ;
- conservation ;
- escalade ;
- contrôle ;
- formation.
Elles doivent être accessibles, à jour, approuvées et effectivement appliquées.
Formation et sensibilisation
Les collaborateurs exposés doivent recevoir une formation adaptée :
- aux obligations réglementaires ;
- aux risques du métier ;
- aux typologies ;
- aux outils ;
- aux procédures internes ;
- à la détection des signaux faibles ;
- à la confidentialité.
La formation doit être adaptée aux fonctions : commercial, analyste, conformité, direction, opérations, contrôle, informatique.
Contrôle permanent et contrôle périodique
APPLICATION SECTORIELLE
Lorsque le cadre applicable le prévoit, le dispositif doit être contrôlé à plusieurs niveaux.
Contrôle permanent
Il vérifie régulièrement :
- la qualité KYC ;
- le respect des procédures ;
- les délais de traitement ;
- les alertes ;
- les dossiers PPE ;
- les levées de doute sanctions ;
- les dossiers à risque élevé.
Contrôle périodique
Il apporte une évaluation indépendante du dispositif selon l'organisation requise :
- gouvernance ;
- cartographie ;
- modèles ;
- échantillons KYC ;
- monitoring ;
- déclarations ;
- contrôles ;
- remédiations.
Attention : les exigences précises de contrôle interne varient selon les professions. L'arrêté du 6 janvier 2021 possède son propre champ d'application.
Remédiation
Toute déficience significative doit conduire à un plan de remédiation.
Un plan efficace précise :
Élément Contenu
- ------------ ------------------------------------------ Anomalie Description du défaut Risque Conséquence réglementaire/opérationnelle Action Mesure corrective Responsable Propriétaire de l'action Échéance Date cible Priorité Criticité Preuve Justificatif de réalisation Validation Contrôle de clôture
Exemples :
- KYC incomplet ;
- bénéficiaires effectifs manquants ;
- scénarios mal calibrés ;
- alertes en retard ;
- filtrage incomplet ;
- dossiers PPE non revus ;
- procédures obsolètes.
Reporting réglementaire
OBLIGATION SECTORIELLE
Le reporting dépend de l'autorité de supervision et de la profession.
Il peut comprendre :
- questionnaires LCB-FT ;
- données quantitatives ;
- statistiques d'alertes ;
- informations sur les déclarations ;
- gouvernance ;
- effectifs ;
- contrôles ;
- incidents ;
- plans de remédiation.
Le QLB utilisé dans le secteur prudentiel constitue un exemple de reporting sectoriel : il ne doit pas être présenté comme un formulaire universel applicable à toutes les professions.
Relations avec l'autorité de contrôle
Le professionnel doit être en mesure de démontrer l'effectivité de son dispositif.
Il doit pouvoir produire :
- cartographie ;
- classification des risques ;
- procédures ;
- dossiers KYC ;
- justificatifs ;
- historique des alertes ;
- preuves de contrôle ;
- formations ;
- reporting ;
- plans de remédiation.
Un dispositif théorique non effectivement appliqué expose l'organisme à un risque réglementaire important.
Externalisation et tierce introduction
Certaines diligences ou fonctions peuvent, dans les conditions prévues par les textes, s'appuyer sur un tiers ou être externalisées.
Le professionnel doit néanmoins maîtriser :
- le périmètre externalisé ;
- les responsabilités ;
- la qualité des données ;
- les délais ;
- les droits d'accès ;
- les contrôles ;
- la continuité ;
- la confidentialité.
L'externalisation ne doit pas conduire à une perte de maîtrise réglementaire.
Qualité des données
Un dispositif LCB-FT dépend directement de la qualité des données.
Les contrôles doivent porter sur :
- complétude ;
- exactitude ;
- fraîcheur ;
- unicité ;
- cohérence ;
- traçabilité ;
- disponibilité.
Exemple : un moteur de filtrage performant reste inefficace si la date de naissance, les alias ou le bénéficiaire effectif ne sont pas correctement enregistrés.
Traçabilité et piste d'audit
Le professionnel doit pouvoir reconstituer :
Qui ? Quoi ? Quand ? Pourquoi ? Sur quelles données ? Avec quelle décision ?
La piste d'audit doit couvrir :
- modifications KYC ;
- scores ;
- alertes ;
- affectations ;
- analyses ;
- décisions ;
- validations ;
- changements de scénarios ;
- listes utilisées ;
- clôtures ;
- remédiations.
Paramétrage des scénarios
Les scénarios automatisés doivent faire l'objet d'une gouvernance.
Cycle recommandé
- identification du risque ;
- définition du scénario ;
- paramétrage ;
- tests ;
- validation ;
- mise en production ;
- suivi des résultats ;
- calibration ;
- revue périodique ;
- archivage des versions.
Indicateurs utiles
- volume d'alertes ;
- taux de faux positifs ;
- taux d'escalade ;
- délai de traitement ;
- couverture des risques ;
- concentration par scénario ;
- scénarios sans déclenchement ;
- alertes transformées en dossiers de soupçon.
Deux cas pratiques transversaux
Cas pratique n°1 -- Personne morale, tiers payeur et PPE
Une société cliente réalise une opération très supérieure à son activité habituelle. Le paiement provient d'une société étrangère qui n'apparaissait pas dans le dossier initial. Une revue montre qu'une personne exerçant un contrôle indirect présente un statut de PPE.
Traitement attendu :
- réexaminer le KYC ;
- identifier le tiers payeur ;
- vérifier le bénéficiaire effectif ;
- qualifier le statut PPE ;
- analyser l'origine des fonds ;
- analyser l'origine du patrimoine lorsque requis ;
- examiner la justification économique ;
- requalifier le risque ;
- documenter les diligences ;
- apprécier l'existence d'un soupçon et, si les conditions sont réunies, déclarer à TRACFIN.
Cas pratique n°2 -- Fractionnement et absence de justification
Un client réalise une succession d'opérations d'un montant inférieur aux seuils internes de surveillance. Les opérations cumulées sont très supérieures à son activité habituelle. Les fonds transitent rapidement vers plusieurs bénéficiaires étrangers et les explications fournies sont contradictoires.
Traitement attendu :
- agréger les opérations ;
- comparer au profil attendu ;
- identifier les contreparties ;
- analyser les pays ;
- rechercher les liens entre bénéficiaires ;
- analyser l'origine des fonds ;
- demander les justificatifs pertinents ;
- examiner les incohérences ;
- escalader le dossier ;
- apprécier le soupçon indépendamment de tout seuil monétaire.
Matrice synthétique des obligations
Exigence Nature Intensité
- ---------------------- ----------------------- ----------------------- Approche par les Socle commun Permanente risques
Identification client Socle commun Selon relation/opération
Bénéficiaire effectif Socle commun Lorsque pertinent
Connaissance de la Socle commun Permanente relation
Profil de risque Application adaptée Selon statut/métier
Vigilance constante Socle commun Permanente
PPE Mesures complémentaires Si situation PPE
Origine des fonds Adaptée au risque Renforcée si risque élevé
Origine du patrimoine Adaptée au risque Notamment PPE/risque élevé
Sanctions/gel Régime spécifique Selon champ applicable
Monitoring Sectoriel/adapté Selon activité
Examen renforcé Socle légal Si critères réunis
Déclaration TRACFIN Socle commun Dès conditions légales réunies
Confidentialité Socle commun Absolue sous réserves légales
Conservation Socle commun En principe 5 ans
Formation Organisation du Périodique/adaptée dispositif
Contrôle interne Sectoriel Selon textes applicables
Reporting superviseur Sectoriel Selon autorité
Remédiation Gouvernance Dès anomalie
Architecture fonctionnelle cible dans Single Point AML
Un dispositif informatique transversal peut être organisé autour des modules suivants :
Référentiel tiers
Clients, prospects, bénéficiaires effectifs, mandataires, dirigeants, contreparties.
KYC/KYB
Identification, justificatifs, activité, objet de la relation, revenus, patrimoine.
Risk Scoring
Facteurs clients, pays, produits, canaux et transactions.
Screening
Sanctions, gel des avoirs, PPE et référentiels pertinents.
Transaction Monitoring
Scénarios de profilage, seuils, agrégations et comportements.
Alert Management
Affectation, investigation, enrichissement, décision et piste d'audit.
Case Management
Regroupement des alertes et constitution d'un dossier d'analyse.
TRACFIN
Préparation contrôlée des informations nécessaires à la déclaration et suivi strictement habilité.
Remediation
Campagnes KYC, anomalies, plans d'action et preuves.
Regulatory Reporting
Indicateurs, questionnaires et extractions adaptés à l'autorité concernée.
Audit Trail
Journalisation des données, décisions et changements de paramétrage.
Indicateurs de pilotage recommandés
KYC
- taux de dossiers complets ;
- dossiers expirés ;
- bénéficiaires effectifs manquants ;
- dossiers à risque élevé non revus.
Filtrage
- alertes sanctions ;
- alertes PPE ;
- faux positifs ;
- délais de levée de doute.
Monitoring
- alertes par scénario ;
- taux d'escalade ;
- stock ;
- ancienneté ;
- alertes hors délai.
Soupçon
- dossiers escaladés ;
- déclarations ;
- délais d'analyse ;
- compléments adressés à TRACFIN.
Contrôle
- anomalies ;
- recommandations ;
- actions en retard ;
- taux de remédiation.
Principes de conception d'un dispositif efficace
Un dispositif LCB-FT efficace doit être :
- proportionné au risque ;
- documenté ;
- traçable ;
- actualisé ;
- explicable ;
- contrôlable ;
- réactif ;
- confidentiel ;
- adapté au métier ;
- piloté par la gouvernance.
L'objectif n'est pas de générer le plus grand nombre d'alertes, mais de disposer d'un système capable de détecter, analyser, documenter et escalader les situations réellement pertinentes.
Points de vigilance pour l'utilisation de cette fiche
Cette fiche est volontairement transversale.
Elle ne doit pas conduire à considérer que :
- toutes les professions sont soumises au même superviseur ;
- tous les professionnels utilisent les mêmes scénarios ;
- tous doivent produire le même reporting ;
- l'arrêté du 6 janvier 2021 s'applique indistinctement à toutes les professions ;
- toutes les activités citées dans un référentiel métier sont nécessairement des catégories autonomes de L.561-2.
Pour chaque profession, il faut compléter ce socle par :
- son fondement précis d'assujettissement ;
- son autorité de contrôle ;
- ses textes sectoriels ;
- ses lignes directrices ;
- ses typologies propres ;
- ses modalités de déclaration ;
- ses obligations de contrôle et de reporting.
Liens utiles officiels
Conclusion opérationnelle
Le dispositif LCB-FT transversal repose sur une chaîne cohérente :
Connaître → Évaluer → Filtrer → Surveiller → Détecter → Analyser → Documenter → Escalader → Déclarer → Contrôler → Remédier
La conformité ne résulte pas de la présence isolée d'un outil de filtrage ou d'une procédure KYC. Elle résulte de l'articulation entre :
- gouvernance ;
- approche par les risques ;
- connaissance client ;
- bénéficiaire effectif ;
- vigilance ;
- filtrage ;
- monitoring ;
- investigation ;
- déclaration ;
- contrôle ;
- formation ;
- remédiation ;
- traçabilité.
Single Point AML peut constituer la couche opérationnelle permettant de centraliser ces composantes, tout en conservant un paramétrage différencié par profession, activité, niveau de risque et autorité de supervision.
Avertissement réglementaire Cette fiche constitue un référentiel opérationnel général. Elle ne remplace ni le Code monétaire et financier, ni les règlements européens, ni les textes sectoriels, ni les lignes directrices des autorités compétentes. Toute implémentation doit être vérifiée au regard du statut exact de l'entité et des textes en vigueur.
Exigences réglementaires LCB-FT transversales applicables aux professions assujetties
Objet et champ d'application
Cette fiche présente le socle transversal des exigences LCB-FT applicables aux personnes et organismes assujettis au dispositif français de lutte contre le blanchiment de capitaux et le financement du terrorisme.
Le point d'entrée du dispositif est l'article L.561-2 du Code monétaire et financier (CMF), qui énumère les catégories de professionnels assujettis.
La présente fiche doit être utilisée comme un référentiel commun, puis complétée par la fiche sectorielle de chaque profession. En effet, toutes les obligations ne s'appliquent pas avec la même intensité ni selon les mêmes modalités à chaque catégorie professionnelle.
Typologie utilisée dans cette fiche
| Niveau | Signification |
|---|---|
| SOCLE COMMUN | Principe transversal applicable aux professionnels assujettis dans le champ prévu par le CMF |
| APPLICATION ADAPTÉE | Obligation dont l'intensité dépend du niveau de risque |
| OBLIGATION SECTORIELLE | Modalités précisées par les textes, autorités ou lignes directrices propres à la profession |
| À QUALIFIER | Applicabilité dépendant du statut juridique exact, de l'activité ou du périmètre d'assujettissement |
Principales références réglementaires
Le dispositif français repose notamment sur :
- le Code monétaire et financier, particulièrement les articles L.561-2 et suivants ;
- les dispositions réglementaires correspondantes du CMF ;
- les textes relatifs au gel des avoirs et aux sanctions financières ciblées ;
- les règlements et directives européens applicables ;
- les arrêtés sectoriels relatifs à l'organisation et au contrôle interne ;
- les lignes directrices conjointes de TRACFIN et des autorités de supervision ;
- les doctrines, positions, recommandations et guides sectoriels des autorités compétentes.
Réserve importante
L'arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne LCB-FT et au gel des avoirs ne doit pas être appliqué mécaniquement à toutes les professions : son article 1 définit précisément les catégories d'« organismes assujettis » entrant dans son champ.
Approche par les risques
SOCLE COMMUN
Le dispositif LCB-FT repose sur une approche par les risques.
Le professionnel doit identifier, comprendre, évaluer et maîtriser les risques de blanchiment de capitaux et de financement du terrorisme auxquels il est exposé.
L'intensité des mesures de vigilance doit être proportionnée au risque.
L'évaluation doit notamment considérer :
- la nature de la clientèle ;
- les produits et services ;
- les opérations ;
- les canaux de distribution ;
- les modalités d'entrée en relation ;
- les pays et zones géographiques ;
- les bénéficiaires effectifs ;
- les contreparties ;
- les modalités de paiement ;
- les nouvelles technologies ;
- les facteurs sectoriels spécifiques.
Cartographie des risques BC-FT
SOCLE COMMUN / APPLICATION ADAPTÉE
Le professionnel doit disposer d'une méthodologie permettant de déterminer ses expositions au risque.
Une cartographie opérationnelle comporte généralement :
- l'identification des facteurs de risque ;
- l'évaluation du risque inhérent ;
- l'identification des mesures de maîtrise ;
- l'évaluation de leur efficacité ;
- la détermination du risque résiduel ;
- la hiérarchisation des risques ;
- la définition des mesures correctrices ;
- une revue périodique et événementielle.
Exemples de facteurs
- client particulier ou personne morale ;
- activité économique ;
- complexité juridique ;
- pays de résidence ou d'activité ;
- canal à distance ;
- espèces ;
- actifs numériques ;
- volumes et fréquence des opérations ;
- PPE ;
- juridictions à haut risque ;
- structures de détention complexes.
Classification du risque client
Chaque relation doit, lorsque le régime applicable le prévoit, être classée selon une méthodologie cohérente avec la cartographie.
Une classification peut comprendre :
- risque faible ;
- risque standard/modéré ;
- risque élevé ;
- risque très élevé ou situation nécessitant une décision spécifique.
La notation doit être explicable, documentée, révisable et traçable.
Un moteur de notation ne doit pas remplacer l'analyse humaine lorsque des circonstances particulières rendent le résultat automatique incohérent.
Identification et vérification de l'identité du client
SOCLE COMMUN
Avant d'entrer en relation d'affaires, le professionnel doit identifier son client et vérifier son identité selon les modalités prévues par le Code Monétaire et Financier.
Pour une personne physique, les données pertinentes comprennent notamment :
- nom et prénoms ;
- date et lieu de naissance ;
- nationalité lorsque pertinente ;
- domicile ;
- document officiel d'identité ;
- activité professionnelle selon le risque.
Pour une personne morale :
- dénomination ;
- forme juridique ;
- siège ;
- immatriculation ;
- représentants ;
- objet/activité ;
- structure de propriété et de contrôle ;
- documents constitutifs et justificatifs appropriés.
L'entrée en relation à distance exige des mesures adaptées au risque et aux textes applicables.
Bénéficiaire effectif
SOCLE COMMUN
Le professionnel doit identifier le ou les bénéficiaires effectifs lorsque la relation ou l'opération implique une personne morale, construction juridique ou situation relevant des textes.
Il doit :
- recueillir les informations nécessaires ;
- comprendre la structure de propriété et de contrôle ;
- vérifier les informations selon une approche par les risques ;
- traiter les divergences ou incohérences ;
- conserver la justification de son analyse.
La consultation d'un registre ne dispense pas d'une analyse critique lorsque les informations disponibles sont incohérentes ou insuffisantes.
Objet et nature de la relation d'affaires
Le professionnel doit comprendre :
- pourquoi le client souhaite entrer en relation ;
- la nature des services attendus ;
- l'activité économique ;
- les volumes prévisionnels ;
- les zones géographiques concernées ;
- les principales contreparties lorsque pertinent ;
- l'origine et la destination prévisibles des fonds selon le risque.
Ces informations constituent le profil attendu auquel les opérations observées pourront être comparées.
Profil de risque
Le profil de risque doit combiner les données KYC avec les facteurs de risque pertinents.
Exemples de variables
- activité ;
- profession ;
- revenus ;
- patrimoine ;
- structure juridique ;
- bénéficiaire effectif ;
- PPE ;
- pays ;
- produits utilisés ;
- volumes ;
- moyens de paiement ;
- canal ;
- historique des alertes.
Toute modification significative doit pouvoir entraîner une requalification du risque.
Vigilance constante
SOCLE COMMUN
La connaissance du client ne s'arrête pas à l'entrée en relation.
Le professionnel doit assurer une vigilance constante permettant :
- de maintenir les informations à jour ;
- d'examiner la cohérence des opérations ;
- de détecter les ruptures de comportement ;
- d'identifier les événements modifiant le risque ;
- d'actualiser le profil et la classification.
Événements déclencheurs
- changement d'actionnariat ;
- nouveau bénéficiaire effectif ;
- changement de dirigeant ;
- changement de pays ;
- activité nouvelle ;
- hausse brutale des volumes ;
- PPE nouvellement détectée ;
- alerte sanctions ;
- opération atypique ;
- information négative pertinente.
Vigilance adaptée au risque
Le dispositif distingue plusieurs intensités de vigilance.
Vigilance normale
Elle constitue le régime de référence.
Vigilance simplifiée ou allégée
Elle n'est possible que lorsque les conditions légales sont réunies et que le niveau de risque le permet. Elle ne signifie pas absence de vigilance.
Vigilance renforcée
Elle est appliquée lorsque le risque est élevé ou dans les situations prévues par les textes.
Les mesures peuvent inclure :
- collecte d'informations supplémentaires ;
- validation hiérarchique ;
- fréquence accrue des revues ;
- examen renforcé des opérations ;
- justification plus approfondie de l'origine des fonds ;
- justification de l'origine du patrimoine ;
- monitoring plus sensible.
Personnes politiquement exposées (PPE)
APPLICATION ADAPTÉE / MESURES COMPLÉMENTAIRES
La détection des PPE constitue un élément majeur du dispositif.
Le professionnel doit prendre en compte :
- la PPE ;
- les membres de sa famille visés par les textes ;
- les personnes connues pour lui être étroitement associées.
Le statut de PPE n'implique pas qu'une personne soit suspecte. Il constitue un facteur de risque entraînant les mesures complémentaires prévues par la réglementation.
Ces mesures peuvent inclure :
- autorisation appropriée pour la relation ;
- détermination de l'origine du patrimoine ;
- détermination de l'origine des fonds ;
- surveillance renforcée.
Origine des fonds
L'origine des fonds vise à comprendre d'où proviennent les sommes utilisées dans une opération déterminée.
Exemples :
- salaire ;
- épargne ;
- cession immobilière ;
- dividendes ;
- héritage ;
- prêt ;
- vente d'entreprise ;
- remboursement ;
- produit d'investissement.
L'analyse doit aller au-delà de la seule identification du compte bancaire émetteur lorsque le risque exige de comprendre la source économique réelle des fonds.
Origine du patrimoine
L'origine du patrimoine vise à comprendre comment le client a constitué sa richesse globale.
Elle est particulièrement importante pour :
- PPE ;
- clientèle patrimoniale ;
- opérations très importantes ;
- structures complexes ;
- situations présentant un risque élevé.
Exemples de justificatifs :
- cessions ;
- successions ;
- revenus professionnels ;
- états financiers ;
- participations ;
- investissements ;
- documents fiscaux lorsque pertinents.
Risque pays
La dimension géographique doit intégrer notamment :
- juridictions identifiées comme présentant des déficiences stratégiques ;
- pays sous sanctions ;
- zones de conflit ;
- pays exposés à la corruption ;
- zones connues pour certains trafics ;
- incohérence entre pays du client, activité et flux.
Le risque pays ne doit pas être utilisé isolément : il doit être combiné avec les autres facteurs de risque.
Sanctions financières ciblées et gel des avoirs
EXIGENCE DISTINCTE MAIS ÉTROITEMENT LIÉE AU DISPOSITIF LCB-FT
Le filtrage sanctions ne doit pas être confondu avec la détection du blanchiment.
Le dispositif doit permettre, selon le champ applicable :
- d'identifier les personnes et entités désignées ;
- d'identifier les entités détenues ou contrôlées lorsqu'il y a lieu ;
- d'effectuer les levées de doute ;
- d'appliquer sans délai les mesures de gel/interdiction requises ;
- d'empêcher la mise à disposition de fonds ou ressources économiques ;
- de documenter les décisions.
Le filtrage doit couvrir les populations pertinentes : clients, bénéficiaires effectifs, mandataires, bénéficiaires de paiement, contreparties et autres personnes selon le métier.
Scénarios de filtrage transversaux
Exemples
- Correspondance exacte ou approchante avec une liste de sanctions.
- Client devenu PPE.
- Bénéficiaire effectif sanctionné.
- Personne morale détenue ou contrôlée par une personne désignée.
- Bénéficiaire d'un paiement sous gel.
- Contrepartie située dans une juridiction soumise à restrictions.
- Modification d'identité susceptible de masquer une correspondance.
- Correspondance sur alias, translittération ou date de naissance.
Bonnes pratiques
- gestion des faux positifs ;
- justification de la levée de doute ;
- traçabilité ;
- quatre-yeux pour les cas sensibles ;
- mise à jour rapide des référentiels ;
- re-filtrage des bases lorsque nécessaire.
Scénarios de profilage et monitoring transversaux
Exemples
- Rupture brutale de comportement.
- Montants incompatibles avec le profil économique.
- Fractionnement d'opérations.
- Multiplication de tiers payeurs.
- Entrées suivies de sorties rapides.
- Flux circulaires.
- Utilisation de nombreux comptes.
- Opérations internationales sans justification.
- Compte dormant soudainement réactivé.
- Multiplication de petites opérations convergeant vers un même bénéficiaire.
- Paiement vers un tiers non prévu.
- Modification fréquente des coordonnées bancaires.
- Opérations complexes sans justification économique.
- Activité sans rapport avec l'objet déclaré.
- Refus répété de fournir des justificatifs.
Les scénarios doivent être adaptés au métier : un scénario pertinent pour une banque ne l'est pas nécessairement pour un notaire, un casino ou un expert-comptable.
Détection d'une opération atypique
Une opération atypique n'est pas automatiquement une opération suspecte.
Elle constitue un événement nécessitant une analyse.
Le traitement doit permettre de répondre notamment aux questions suivantes :
- l'opération est-elle cohérente avec le profil ?
- quelle est sa justification économique ?
- qui en bénéficie réellement ?
- quelle est l'origine des fonds ?
- existe-t-il un lien avec une juridiction ou contrepartie à risque ?
- les justificatifs sont-ils cohérents ?
- l'explication du client est-elle plausible ?
Gestion des alertes
Une chaîne de traitement robuste comprend :
Détection → Alerte → Analyse → Enrichissement → Décision → Clôture ou escalade → Soupçon éventuel → Déclaration
Chaque alerte doit comporter :
- motif ;
- données sources ;
- analyste ;
- diligences réalisées ;
- documents consultés ;
- conclusion ;
- justification ;
- date ;
- niveau de validation.
Une alerte clôturée doit être justifiée, pas simplement supprimée.
Examen renforcé
Les opérations particulièrement complexes, d'un montant inhabituellement élevé ou ne paraissant pas avoir de justification économique ou d'objet licite doivent faire l'objet des diligences prévues par le CMF.
L'examen doit permettre d'établir :
- l'origine et la destination des sommes ;
- l'objet de l'opération ;
- l'identité des bénéficiaires ;
- les explications du client ;
- la cohérence économique.
La conclusion doit être documentée.
Constitution du soupçon
Le soupçon résulte d'une analyse, non d'un simple indicateur automatique.
Il peut naître de :
- l'opération elle-même ;
- la combinaison de plusieurs anomalies ;
- l'absence d'explication satisfaisante ;
- des incohérences KYC ;
- des informations externes pertinentes ;
- des liens avec des personnes ou structures à risque.
Le professionnel n'a pas à démontrer l'infraction sous-jacente comme le ferait une autorité judiciaire.
Déclaration de soupçon à TRACFIN
SOCLE COMMUN
L'article L.561-15 du CMF impose la déclaration des sommes ou opérations relevant du champ légal lorsque le professionnel sait, soupçonne ou a de bonnes raisons de soupçonner qu'elles proviennent d'une infraction concernée par le texte ou participent au financement du terrorisme.
Il n'existe pas de seuil monétaire général de déclaration de soupçon.
Les tentatives entrant dans le champ doivent également être prises en compte.
Moment de la déclaration
En principe, la déclaration intervient avant l'exécution afin de permettre, le cas échéant, l'exercice du droit d'opposition de TRACFIN.
Dans les cas légalement prévus, une déclaration peut intervenir après exécution et doit alors être transmise sans délai.
Canal
La plateforme ERMES constitue le canal sécurisé de télédéclaration de TRACFIN pour les professionnels déclarants inscrits.
Qualité de la déclaration
Une déclaration utile doit présenter :
- le déclarant ;
- le client ;
- le bénéficiaire effectif lorsque pertinent ;
- la relation d'affaires ;
- les opérations ;
- la chronologie ;
- les montants ;
- les contreparties ;
- les diligences réalisées ;
- les explications obtenues ;
- les anomalies constatées ;
- l'analyse conduisant au soupçon ;
- les pièces utiles.
La déclaration doit être factuelle, structurée, chronologique et motivée.
Confidentialité de la déclaration de soupçon
SOCLE COMMUN
La déclaration de soupçon est confidentielle.
Le client ne doit pas être informé :
- de l'existence de la déclaration ;
- de son contenu ;
- des suites données.
Le système d'information doit donc appliquer des droits d'accès stricts aux dossiers de soupçon.
Les journaux, notifications et commentaires visibles par les utilisateurs non habilités ne doivent pas révéler l'existence d'une déclaration.
Conservation des documents
SOCLE COMMUN
Les documents recueillis au titre des obligations de vigilance doivent, en principe, être conservés pendant cinq ans selon les points de départ et modalités prévus par les textes.
La conservation concerne notamment :
- pièces d'identité ;
- données KYC ;
- bénéficiaires effectifs ;
- justificatifs ;
- analyses ;
- opérations ;
- éléments ayant servi à la classification du risque.
Les règles sectorielles et autres obligations légales de conservation peuvent imposer des durées ou modalités complémentaires.
Gouvernance LCB-FT
Le dispositif doit être soutenu par une gouvernance appropriée.
Selon la taille et le statut du professionnel :
- responsabilité des dirigeants ;
- fonction conformité ;
- responsable LCB-FT ;
- déclarant TRACFIN ;
- correspondant TRACFIN ;
- instances de décision ;
- comités de conformité ;
- reporting périodique.
Les responsabilités doivent être formalisées et les conflits d'intérêts maîtrisés.
Procédures internes
Les procédures doivent couvrir au minimum les domaines pertinents pour le professionnel :
- entrée en relation ;
- KYC/KYB ;
- bénéficiaire effectif ;
- PPE ;
- sanctions ;
- classification du risque ;
- vigilance constante ;
- origine des fonds ;
- origine du patrimoine ;
- monitoring ;
- alertes ;
- examen renforcé ;
- déclaration de soupçon ;
- conservation ;
- escalade ;
- contrôle ;
- formation.
Elles doivent être accessibles, à jour, approuvées et effectivement appliquées.
Formation et sensibilisation
Les collaborateurs exposés doivent recevoir une formation adaptée :
- aux obligations réglementaires ;
- aux risques du métier ;
- aux typologies ;
- aux outils ;
- aux procédures internes ;
- à la détection des signaux faibles ;
- à la confidentialité.
La formation doit être adaptée aux fonctions : commercial, analyste, conformité, direction, opérations, contrôle, informatique.
Contrôle permanent et contrôle périodique
APPLICATION SECTORIELLE
Lorsque le cadre applicable le prévoit, le dispositif doit être contrôlé à plusieurs niveaux.
Contrôle permanent
Il vérifie régulièrement :
- la qualité KYC ;
- le respect des procédures ;
- les délais de traitement ;
- les alertes ;
- les dossiers PPE ;
- les levées de doute sanctions ;
- les dossiers à risque élevé.
Contrôle périodique
Il apporte une évaluation indépendante du dispositif selon l'organisation requise :
- gouvernance ;
- cartographie ;
- modèles ;
- échantillons KYC ;
- monitoring ;
- déclarations ;
- contrôles ;
- remédiations.
Attention : les exigences précises de contrôle interne varient selon les professions. L'arrêté du 6 janvier 2021 possède son propre champ d'application.
Remédiation
Toute déficience significative doit conduire à un plan de remédiation.
Un plan efficace précise :
Élément Contenu
- ------------ ------------------------------------------ Anomalie Description du défaut Risque Conséquence réglementaire/opérationnelle Action Mesure corrective Responsable Propriétaire de l'action Échéance Date cible Priorité Criticité Preuve Justificatif de réalisation Validation Contrôle de clôture
Exemples :
- KYC incomplet ;
- bénéficiaires effectifs manquants ;
- scénarios mal calibrés ;
- alertes en retard ;
- filtrage incomplet ;
- dossiers PPE non revus ;
- procédures obsolètes.
Reporting réglementaire
OBLIGATION SECTORIELLE
Le reporting dépend de l'autorité de supervision et de la profession.
Il peut comprendre :
- questionnaires LCB-FT ;
- données quantitatives ;
- statistiques d'alertes ;
- informations sur les déclarations ;
- gouvernance ;
- effectifs ;
- contrôles ;
- incidents ;
- plans de remédiation.
Le QLB utilisé dans le secteur prudentiel constitue un exemple de reporting sectoriel : il ne doit pas être présenté comme un formulaire universel applicable à toutes les professions.
Relations avec l'autorité de contrôle
Le professionnel doit être en mesure de démontrer l'effectivité de son dispositif.
Il doit pouvoir produire :
- cartographie ;
- classification des risques ;
- procédures ;
- dossiers KYC ;
- justificatifs ;
- historique des alertes ;
- preuves de contrôle ;
- formations ;
- reporting ;
- plans de remédiation.
Un dispositif théorique non effectivement appliqué expose l'organisme à un risque réglementaire important.
Externalisation et tierce introduction
Certaines diligences ou fonctions peuvent, dans les conditions prévues par les textes, s'appuyer sur un tiers ou être externalisées.
Le professionnel doit néanmoins maîtriser :
- le périmètre externalisé ;
- les responsabilités ;
- la qualité des données ;
- les délais ;
- les droits d'accès ;
- les contrôles ;
- la continuité ;
- la confidentialité.
L'externalisation ne doit pas conduire à une perte de maîtrise réglementaire.
Qualité des données
Un dispositif LCB-FT dépend directement de la qualité des données.
Les contrôles doivent porter sur :
- complétude ;
- exactitude ;
- fraîcheur ;
- unicité ;
- cohérence ;
- traçabilité ;
- disponibilité.
Exemple : un moteur de filtrage performant reste inefficace si la date de naissance, les alias ou le bénéficiaire effectif ne sont pas correctement enregistrés.
Traçabilité et piste d'audit
Le professionnel doit pouvoir reconstituer :
Qui ? Quoi ? Quand ? Pourquoi ? Sur quelles données ? Avec quelle décision ?
La piste d'audit doit couvrir :
- modifications KYC ;
- scores ;
- alertes ;
- affectations ;
- analyses ;
- décisions ;
- validations ;
- changements de scénarios ;
- listes utilisées ;
- clôtures ;
- remédiations.
Paramétrage des scénarios
Les scénarios automatisés doivent faire l'objet d'une gouvernance.
Cycle recommandé
- identification du risque ;
- définition du scénario ;
- paramétrage ;
- tests ;
- validation ;
- mise en production ;
- suivi des résultats ;
- calibration ;
- revue périodique ;
- archivage des versions.
Indicateurs utiles
- volume d'alertes ;
- taux de faux positifs ;
- taux d'escalade ;
- délai de traitement ;
- couverture des risques ;
- concentration par scénario ;
- scénarios sans déclenchement ;
- alertes transformées en dossiers de soupçon.
Deux cas pratiques transversaux
Cas pratique n°1 -- Personne morale, tiers payeur et PPE
Une société cliente réalise une opération très supérieure à son activité habituelle. Le paiement provient d'une société étrangère qui n'apparaissait pas dans le dossier initial. Une revue montre qu'une personne exerçant un contrôle indirect présente un statut de PPE.
Traitement attendu :
- réexaminer le KYC ;
- identifier le tiers payeur ;
- vérifier le bénéficiaire effectif ;
- qualifier le statut PPE ;
- analyser l'origine des fonds ;
- analyser l'origine du patrimoine lorsque requis ;
- examiner la justification économique ;
- requalifier le risque ;
- documenter les diligences ;
- apprécier l'existence d'un soupçon et, si les conditions sont réunies, déclarer à TRACFIN.
Cas pratique n°2 -- Fractionnement et absence de justification
Un client réalise une succession d'opérations d'un montant inférieur aux seuils internes de surveillance. Les opérations cumulées sont très supérieures à son activité habituelle. Les fonds transitent rapidement vers plusieurs bénéficiaires étrangers et les explications fournies sont contradictoires.
Traitement attendu :
- agréger les opérations ;
- comparer au profil attendu ;
- identifier les contreparties ;
- analyser les pays ;
- rechercher les liens entre bénéficiaires ;
- analyser l'origine des fonds ;
- demander les justificatifs pertinents ;
- examiner les incohérences ;
- escalader le dossier ;
- apprécier le soupçon indépendamment de tout seuil monétaire.
Matrice synthétique des obligations
Exigence Nature Intensité
- ---------------------- ----------------------- ----------------------- Approche par les Socle commun Permanente risques
Identification client Socle commun Selon relation/opération
Bénéficiaire effectif Socle commun Lorsque pertinent
Connaissance de la Socle commun Permanente relation
Profil de risque Application adaptée Selon statut/métier
Vigilance constante Socle commun Permanente
PPE Mesures complémentaires Si situation PPE
Origine des fonds Adaptée au risque Renforcée si risque élevé
Origine du patrimoine Adaptée au risque Notamment PPE/risque élevé
Sanctions/gel Régime spécifique Selon champ applicable
Monitoring Sectoriel/adapté Selon activité
Examen renforcé Socle légal Si critères réunis
Déclaration TRACFIN Socle commun Dès conditions légales réunies
Confidentialité Socle commun Absolue sous réserves légales
Conservation Socle commun En principe 5 ans
Formation Organisation du Périodique/adaptée dispositif
Contrôle interne Sectoriel Selon textes applicables
Reporting superviseur Sectoriel Selon autorité
Remédiation Gouvernance Dès anomalie
Architecture fonctionnelle cible dans Single Point AML
Un dispositif informatique transversal peut être organisé autour des modules suivants :
Référentiel tiers
Clients, prospects, bénéficiaires effectifs, mandataires, dirigeants, contreparties.
KYC/KYB
Identification, justificatifs, activité, objet de la relation, revenus, patrimoine.
Risk Scoring
Facteurs clients, pays, produits, canaux et transactions.
Screening
Sanctions, gel des avoirs, PPE et référentiels pertinents.
Transaction Monitoring
Scénarios de profilage, seuils, agrégations et comportements.
Alert Management
Affectation, investigation, enrichissement, décision et piste d'audit.
Case Management
Regroupement des alertes et constitution d'un dossier d'analyse.
TRACFIN
Préparation contrôlée des informations nécessaires à la déclaration et suivi strictement habilité.
Remediation
Campagnes KYC, anomalies, plans d'action et preuves.
Regulatory Reporting
Indicateurs, questionnaires et extractions adaptés à l'autorité concernée.
Audit Trail
Journalisation des données, décisions et changements de paramétrage.
Indicateurs de pilotage recommandés
KYC
- taux de dossiers complets ;
- dossiers expirés ;
- bénéficiaires effectifs manquants ;
- dossiers à risque élevé non revus.
Filtrage
- alertes sanctions ;
- alertes PPE ;
- faux positifs ;
- délais de levée de doute.
Monitoring
- alertes par scénario ;
- taux d'escalade ;
- stock ;
- ancienneté ;
- alertes hors délai.
Soupçon
- dossiers escaladés ;
- déclarations ;
- délais d'analyse ;
- compléments adressés à TRACFIN.
Contrôle
- anomalies ;
- recommandations ;
- actions en retard ;
- taux de remédiation.
Principes de conception d'un dispositif efficace
Un dispositif LCB-FT efficace doit être :
- proportionné au risque ;
- documenté ;
- traçable ;
- actualisé ;
- explicable ;
- contrôlable ;
- réactif ;
- confidentiel ;
- adapté au métier ;
- piloté par la gouvernance.
L'objectif n'est pas de générer le plus grand nombre d'alertes, mais de disposer d'un système capable de détecter, analyser, documenter et escalader les situations réellement pertinentes.
Points de vigilance pour l'utilisation de cette fiche
Cette fiche est volontairement transversale.
Elle ne doit pas conduire à considérer que :
- toutes les professions sont soumises au même superviseur ;
- tous les professionnels utilisent les mêmes scénarios ;
- tous doivent produire le même reporting ;
- l'arrêté du 6 janvier 2021 s'applique indistinctement à toutes les professions ;
- toutes les activités citées dans un référentiel métier sont nécessairement des catégories autonomes de L.561-2.
Pour chaque profession, il faut compléter ce socle par :
- son fondement précis d'assujettissement ;
- son autorité de contrôle ;
- ses textes sectoriels ;
- ses lignes directrices ;
- ses typologies propres ;
- ses modalités de déclaration ;
- ses obligations de contrôle et de reporting.
Liens utiles officiels
Conclusion opérationnelle
Le dispositif LCB-FT transversal repose sur une chaîne cohérente :
Connaître → Évaluer → Filtrer → Surveiller → Détecter → Analyser → Documenter → Escalader → Déclarer → Contrôler → Remédier
La conformité ne résulte pas de la présence isolée d'un outil de filtrage ou d'une procédure KYC. Elle résulte de l'articulation entre :
- gouvernance ;
- approche par les risques ;
- connaissance client ;
- bénéficiaire effectif ;
- vigilance ;
- filtrage ;
- monitoring ;
- investigation ;
- déclaration ;
- contrôle ;
- formation ;
- remédiation ;
- traçabilité.
Single Point AML peut constituer la couche opérationnelle permettant de centraliser ces composantes, tout en conservant un paramétrage différencié par profession, activité, niveau de risque et autorité de supervision.
Avertissement réglementaire Cette fiche constitue un référentiel opérationnel général. Elle ne remplace ni le Code monétaire et financier, ni les règlements européens, ni les textes sectoriels, ni les lignes directrices des autorités compétentes. Toute implémentation doit être vérifiée au regard du statut exact de l'entité et des textes en vigueur.
Cross-cutting AML-CFT regulatory requirements applicable to subject professions
Purpose and scope
This sheet presents the transversal basis of AML-CFT requirements applicable to persons and organizations subject to the French system for combating money laundering and the financing of terrorism.
The entry point to the system is the article L.561-2 of the Monetary and Financial Code (CMF), which lists the categories of professionals subject to it.
This sheet must be used as a common repository, then supplemented by the sectoral sheet for each profession. In fact, not all obligations apply with the same intensity or in the same manner to each professional category.
Typology used in this sheet
Level Meaning
- ---------------------------------- ----------------------------------- COMMON BASE Transversal principle applicable to professionals subject to the scope provided for by the CMF
SUITABLE APPLICATION Obligation whose intensity depends on the level of risk
SECTORAL BOND Terms specified by texts, authorities or guidelines specific to the profession
TO QUALIFY Applicability depending on the exact legal status, activity or scope of coverage
Main regulatory references
The French system is based in particular on:
- the Monetary and financial code, particularly articles L.561-2 et seq.;
- the corresponding regulatory provisions of the CMF;
- texts relating to the freezing of assets and targeted financial sanctions;
- applicable European regulations and directives;
- sectoral orders relating to organization and internal control;
- the joint guidelines of TRACFIN and the supervisory authorities;
- the doctrines, positions, recommendations and sectoral guides of the competent authorities.
Significant reserve
The decree of January 6, 2021 relating to the AML-CFT system and internal control and the freezing of assets must not be applied mechanically to all professions: its article 1 precisely defines the categories of “regulated organizations” falling within its scope.
Risk approach
COMMON BASE
The LCB-FT system is based on a risk approach.
The professional must identify, understand, evaluate and control the money laundering and terrorist financing risks to which he is exposed.
The intensity of vigilance measures must be proportionate to the risk.
The assessment must notably consider:
- the nature of the clientele;
- products and services;
- operations;
- distribution channels;
- the terms of entry into a relationship;
- countries and geographic areas;
- the beneficial owners;
- counterparties;
- payment terms;
- new technologies;
- specific sectoral factors.
BC-FT risk mapping
COMMON BASE / ADAPTED APPLICATION
The professional must have a methodology to determine his or her risk exposures.
An operational map generally includes:
- identification of risk factors;
- assessment of inherent risk;
- identification of control measures;
- evaluation of their effectiveness;
- determination of residual risk;
- risk prioritization;
- the definition of corrective measures;
- a periodic and event review.
Examples of factors
- individual client or legal entity;
- economic activity;
- legal complexity;
- country of residence or activity;
- remote channel;
- species ;
- digital assets;
- volumes and frequency of transactions;
- PPE;
- high-risk jurisdictions;
- complex detention structures.
Customer risk classification
Each relationship must, when the applicable regime so provides, be classified according to a methodology consistent with the cartography.
A classification may include:
- low risk;
- standard/moderate risk;
- high risk;
- very high risk or situation requiring a specific decision.
The notation should be explainable, documented, reviewable and traceable.
A scoring engine should not replace human analysis when special circumstances make the automatic result inconsistent.
Identification and verification of customer identity
COMMON BASE
Before entering into a business relationship, the professional must identify his client and verify his identity in accordance with the procedures provided for by the Monetary and Financial Code.
For a natural person, the relevant data includes in particular:
- first and last name;
- Date and place of birth ;
- nationality when relevant;
- residence ;
- official identity document;
- professional activity according to risk.
For a legal entity:
- denomination;
- legal status ;
- seat ;
- registration;
- representatives;
- object/activity;
- ownership and control structure;
- appropriate constitutive and supporting documents.
Entering into a relationship at a distance requires measures adapted to the risk and the applicable texts.
Beneficial owner
COMMON BASE
The professional must identify the beneficial owners when the relationship or transaction involves a legal entity, legal arrangement or situation falling under the texts.
He must:
- collect the necessary information;
- understand the ownership and control structure;
- verify information using a risk-based approach;
- address discrepancies or inconsistencies;
- maintain the justification for its analysis.
Consultation of a register does not exempt from a critical analysis when the available information is inconsistent or insufficient.
Purpose and nature of the business relationship
The professional must understand:
- why the customer wants to enter into a relationship;
- the nature of the expected services;
- economic activity;
- forecast volumes;
- the geographical areas concerned;
- the main counterparties where relevant;
- the predictable origin and destination of funds depending on the risk.
This information constitutes the expected profile to which the observed operations can be compared.
Risk profile
The risk profile must combine KYC data with relevant risk factors.
Examples of variables
- activity ;
- occupation ;
- income;
- heritage ;
- legal structure;
- beneficial owner;
- PPE;
- country ;
- products used;
- volumes;
- means of payment;
- channel;
- alert history.
Any significant modification must be able to result in a reclassification of risk.
Constant vigilance
COMMON BASE
Knowing the customer does not end when you enter into a relationship.
The professional must ensure constant vigilance allowing:
- to keep the information up to date;
- to examine the consistency of operations;
- to detect behavioral disruptions;
- to identify events modifying the risk;
- to update the profile and classification.
Triggering events
- change of shareholding;
- new beneficial owner;
- change of manager;
- change of country;
- new activity;
- sudden increase in volumes;
- Newly detected PPE;
- sanctions alert;
- atypical operation;
- relevant negative information.
Vigilance adapted to risk
The device distinguishes between several intensities of vigilance.
Normal alertness
It constitutes the reference regime.
Simplified or reduced vigilance
It is only possible when the legal conditions are met and the level of risk allows it. It does not mean lack of vigilance.
Reinforced vigilance
It is applied when the risk is high or in the situations provided for by the texts.
Measures may include:
- collection of additional information;
- hierarchical validation;
- increased frequency of reviews;
- enhanced review of operations;
- deeper justification of the origin of the funds;
- justification of the origin of the heritage;
- more sensitive monitoring.
Politically exposed persons (PEPs)
ADAPTED APPLICATION / ADDITIONAL MEASURES
The detection of PPE constitutes a major element of the system.
The professional must take into account:
- PEP;
- the members of his family targeted by the texts;
- people known to be closely associated with him.
PEP status does not imply that a person is suspect. It constitutes a risk factor leading to the additional measures provided for by the regulations.
These measures may include:
- appropriate authorization for the relationship;
- determination of the origin of the heritage;
- determination of the origin of funds;
- reinforced surveillance.
Origin of funds
The origin of funds aims to understand where do the sums used in a specific operation come from?.
Examples:
- salary ;
- savings;
- real estate transfer;
- dividends;
- legacy ;
- ready ;
- sale of business;
- refund ;
- investment product.
The analysis must go beyond just identifying the issuing bank account when the risk requires understanding the actual economic source of the funds.
Origin of heritage
The origin of heritage aims to understand how the client built up their overall wealth.
It is particularly important for:
- PPE;
- high-net-worth clients;
- very important operations;
- complex structures;
- high risk situations.
Examples of supporting documents:
- transfers;
- inheritances;
- professional income;
- financial statements;
- participations;
- investments;
- tax documents when relevant.
Country risk
The geographical dimension must include in particular:
- jurisdictions identified as having strategic deficiencies;
- countries under sanctions;
- conflict zones;
- countries exposed to corruption;
- areas known for certain traffic;
- inconsistency between customer country, activity and flow.
Country risk should not be used in isolation: it must be combined with other risk factors.
Targeted financial sanctions and asset freezes
SEPARATE REQUIREMENT BUT CLOSELY LINKED TO THE AML-CFT SYSTEM
Sanctions screening should not be confused with money laundering detection.
The device must allow, depending on the applicable field:
- to identify designated persons and entities;
- to identify the entities owned or controlled where applicable;
- to carry out doubt clearance;
- to immediately apply the required freezing/prohibition measures;
- to prevent the provision of funds or economic resources;
- to document decisions.
Filtering must cover the relevant populations: customers, beneficial owners, agents, payment beneficiaries, counterparties and other people depending on the business.
Cross-sectional filtering scenarios
Examples
- Exact or close match to a sanctions list.
- Customer become PPE.
- Effective owner sanctioned.
- Legal entity owned or controlled by a designated person.
- Recipient of a frozen payment.
- Counterparty located in a restricted jurisdiction.
- Change of identity likely to obscure a match.
- Match on alias, transliteration or date of birth.
Best practices
- management of false positives;
- justification for the removal of doubt;
- traceability;
- four-eyes for sensitive cases;
- rapid updating of repositories;
- re-filtering of bases when necessary.
Cross-functional profiling and monitoring scenarios
Examples
- Sudden break in behavior.
- Amounts incompatible with the economic profile.
- Splitting operations.
- Multiplication of third-party payers.
- Entrances followed by rapid exits.
- Circular flows.
- Using many accounts.
- International operations without justification.
- Dormant account suddenly reactivated.
- Multiplication of small operations converging towards the same beneficiary.
- Payment to a third party not provided for.
- Frequent modification of bank details.
- Complex operations without economic justification.
- Activity unrelated to the declared purpose.
- Repeated refusal to provide supporting documents.
The scenarios must be adapted to the profession: a scenario that is relevant for a bank is not necessarily relevant for a notary, a casino or an accountant.
Detection of an atypical operation
A atypical operation is not automatically a suspicious transaction.
It constitutes an event requiring analysis.
The processing must make it possible to answer the following questions in particular:
- is the operation consistent with the profile?
- what is its economic justification?
- Who really benefits?
- what is the origin of the funds?
- is there a link with a risky jurisdiction or counterparty?
- Are the supporting documents consistent?
- Is the client's explanation plausible?
Alert management
A robust processing chain includes:
Detection → Alert → Analysis → Enrichment → Decision → Closure or escalation → Possible suspicion → Declaration
Each alert must include:
- pattern ;
- source data;
- analyst;
- due diligence carried out;
- documents consulted;
- conclusion ;
- justification;
- date ;
- validation level.
A closed alert should be justified, not simply deleted.
Enhanced review
Particularly complex transactions, of an unusually high amount or which do not appear to have an economic justification or a lawful purpose must be subject to the due diligence provided by the CMF.
The examination must make it possible to establish:
- the origin and destination of the sums;
- the purpose of the operation;
- the identity of the beneficiaries;
- the client's explanations;
- economic coherence.
The conclusion must be documented.
Constitution of suspicion
The suspicion results from a analysis, not from a simple automatic indicator.
It can arise from:
- the operation itself;
- the combination of several anomalies;
- the absence of a satisfactory explanation;
- KYC inconsistencies;
- relevant external information;
- links with people or structures at risk.
The professional does not have to demonstrate the underlying offense as a judicial authority would do.
Report of suspicion to TRACFIN
COMMON BASE
Article L.561-15 of the CMF requires the declaration of sums or transactions falling within the legal scope when the professional knows, suspects or has good reason to suspect that they come from an offense covered by the text or participate in the financing of terrorism.
no general monetary threshold for reporting suspicions does not exist.
Attempts entering the field must also be taken into account.
Time of declaration
In principle, the declaration occurs before execution in order to allow, where applicable, the exercise of TRACFIN's right of opposition.
In legally provided cases, a declaration may be made after execution and must then be transmitted without delay.
Channel
The ERMES platform constitutes TRACFIN's secure online declaration channel for registered reporting professionals.
Quality of the declaration
A useful statement should present:
- the declarant;
- the customer;
- the beneficial owner where relevant;
- the business relationship;
- operations;
- the chronology;
- the amounts;
- counterparties;
- the due diligence carried out;
- the explanations obtained;
- the anomalies observed;
- the analysis leading to suspicion;
- useful parts.
The declaration must be factual, structured, chronological and motivated.
Confidentiality of the suspicion report
COMMON BASE
The suspicious transaction report is confidential.
The customer must not be informed:
- the existence of the declaration;
- its content;
- given sequences.
The information system must therefore apply strict access rights to suspicion files.
Logs, notifications, and comments visible to unauthorized users must not reveal the existence of a statement.
Document retention
COMMON BASE
Documents collected under vigilance obligations must, in principle, be kept for five years according to the starting points and methods provided for by the texts.
Conservation concerns in particular:
- identity documents;
- KYC data;
- beneficial owners;
- supporting documents;
- analyses;
- operations;
- elements used for risk classification.
Sectoral rules and other legal retention obligations may impose additional durations or terms.
AML-CFT governance
The system must be supported by appropriate governance.
Depending on the size and status of the professional:
- responsibility of managers;
- compliance function;
- AML-CFT manager;
- TRACFIN declarant;
- TRACFIN correspondent;
- decision-making bodies;
- compliance committees;
- periodic reporting.
Responsibilities must be formalized and conflicts of interest controlled.
Internal procedures
The procedures must cover at least the areas relevant to the professional:
- entering into a relationship;
- KYC/KYB;
- beneficial owner;
- PPE;
- sanctions;
- risk classification;
- constant vigilance;
- origin of funds;
- origin of heritage;
- monitoring;
- alerts;
- enhanced scrutiny;
- suspicious transaction report;
- conservation ;
- escalation ;
- control ;
- training.
They must be accessible, up to date, approved and effectively applied.
Training and awareness
Exposed employees must receive appropriate training:
- regulatory obligations;
- to the risks of the profession;
- typologies;
- tools;
- internal procedures;
- detecting weak signals;
- to confidentiality.
The training must be adapted to the functions: sales, analyst, compliance, management, operations, control, IT.
Permanent control and periodic control
SECTORAL APPLICATION
When the applicable framework provides for it, the system must be controlled at several levels.
Permanent control
He regularly checks:
- KYC quality;
- compliance with procedures;
- processing times;
- alerts;
- PPE files;
- removal of doubt sanctions;
- high risk files.
Periodic inspection
It provides an independent evaluation of the system according to the required organization:
- governance;
- cartography;
- models;
- KYC samples;
- monitoring;
- declarations;
- controls;
- remediations.
Attention : the precise internal control requirements vary by profession. The decree of January 6, 2021 has its own scope of application.
Remediation
Any significant deficiency must lead to a remediation plan.
An effective plan specifies:
Item Content
- ------------ ------------------------------------------ Anomaly Description of defect Risk Regulatory/operational consequence Action Corrective measure Responsible Action owner Deadline Target date Priority Criticality Proof Proof of achievement Validation Closure control
Examples:
- Incomplete KYC;
- missing beneficial owners;
- poorly calibrated scenarios;
- late alerts;
- incomplete filtering;
- PPE files not reviewed;
- obsolete procedures.
Regulatory reporting
SECTORAL BOND
Reporting depends on the supervisory authority and the profession.
It may include:
- AML-CFT questionnaires;
- quantitative data;
- alert statistics;
- information on declarations;
- governance;
- workforce;
- controls;
- incidents;
- remediation plans.
The QLB used in the prudential sector constitutes an example of sectoral reporting: it should not be presented as a universal form applicable to all professions.
Relations with the supervisory authority
The professional must be able to demonstrate the effectiveness of his system.
It must be able to produce:
- cartography;
- risk classification;
- procedures;
- KYC records;
- supporting documents;
- alert history;
- proof of control;
- training;
- reporting;
- remediation plans.
A theoretical system not actually applied exposes the organization to a significant regulatory risk.
Outsourcing and third party introduction
Certain procedures or functions may, under the conditions provided for by the texts, rely on a third party or be outsourced.
The professional must nevertheless master:
- the outsourced scope;
- responsibilities;
- data quality;
- deadlines;
- access rights;
- controls;
- continuity;
- confidentiality.
Outsourcing must not lead to a loss of regulatory control.
Data quality
An AML-CFT system depends directly on the quality of the data.
The checks must cover:
- completeness;
- exactness ;
- freshness;
- uniqueness;
- consistency ;
- traceability;
- availability.
Example: a powerful filter engine remains ineffective if the date of birth, aliases or beneficial owner are not correctly recorded.
Traceability and audit trail
The professional must be able to reconstruct:
Who ? What ? When ? For what ? On what data? With what decision?
The audit trail must cover:
- KYC changes;
- scores;
- alerts;
- assignments;
- analyses;
- decisions;
- validations;
- scenario changes;
- lists used;
- fences;
- remediations.
Setting up scenarios
Automated scenarios must be governed.
Recommended cycle
- risk identification;
- definition of the scenario;
- setting ;
- tests;
- validation;
- put into production;
- monitoring of results;
- calibration;
- periodic review;
- version archiving.
Useful indicators
- volume of alerts;
- false positive rate;
- escalation rate;
- processing time;
- risk coverage;
- concentration by scenario;
- scenarios without triggering;
- alerts transformed into suspicion files.
Two cross-functional practical cases
Practical case no. 1 -- Legal entity, third party payer and PPE
A client company carries out an operation far beyond its usual activity. The payment came from a foreign company which did not appear in the initial file. A review shows that a person exercising indirect control has PEP status.
Expected treatment:
- re-examine KYC;
- identify the third party payer;
- verify the beneficial owner;
- qualify the PPE status;
- analyze the origin of funds;
- analyze the origin of the heritage when required;
- examine the economic justification;
- reclassify the risk;
- document the diligence;
- assess the existence of a suspicion and, if the conditions are met, report it to TRACFIN.
Practical case no. 2 -- Splitting and lack of justification
A client carries out a succession of transactions for an amount lower than the internal monitoring thresholds. The cumulative operations are much higher than its usual activity. Funds move quickly to several foreign beneficiaries and the explanations provided are contradictory.
Expected treatment:
- aggregate operations;
- compare to the expected profile;
- identify counterparties;
- analyze countries;
- search for links between beneficiaries;
- analyze the origin of funds;
- request the relevant supporting documents;
- examine inconsistencies;
- escalate the case;
- assess suspicion independently of any monetary threshold.
Synthetic matrix of bonds
Requirement Nature Intensity
- ---------------------- ----------------------- ----------------------- Common Core approach Permanent risks
Customer identification Common base Depending on relationship/operation
Beneficial owner Common base When relevant
Knowledge of the Common Base Permanent relationship
Risk profile Adapted application Depending on status/job
Constant vigilance Common base Permanent
PPE Additional measures If PPE situation
Origin of funds Adapted to risk Reinforced if high risk
Origin of assets Adapted to risk In particular PPE/high risk
Sanctions/freeze Specific regime Depending on the applicable field
Sectoral/adapted monitoring Depending on activity
Reinforced examination Legal basis If criteria met
TRACFIN declaration Common base As soon as legal conditions are met
Confidentiality Common base Absolute subject to legal reservations
Conservation Common base In principle 5 years
Training Organization of the Periodical/adapted system
Internal control Sector According to applicable texts
Supervisor reporting Sector According to authority
Remediation Governance Upon anomaly
Target functional architecture in Single Point AML
A cross-functional IT system can be organized around the following modules:
Third-party repository
Clients, prospects, beneficial owners, agents, managers, counterparties.
KYC/KYB
Identification, supporting documents, activity, purpose of the relationship, income, assets.
Risk Scoring
Customer factors, countries, products, channels and transactions.
Screening
Sanctions, freezing of assets, PPE and relevant benchmarks.
Transaction Monitoring
Profiling scenarios, thresholds, aggregations and behaviors.
Alert Management
Assignment, investigation, enrichment, decision and audit trail.
Case Management
Grouping of alerts and creation of an analysis file.
TRACFIN
Controlled preparation of the information necessary for the declaration and strictly authorized monitoring.
Remediation
KYC campaigns, anomalies, action plans and evidence.
Regulatory Reporting
Indicators, questionnaires and extractions adapted to the authority concerned.
Audit Trail
Data logging, decisions and configuration changes.
Recommended steering indicators
KYC
- rate of complete files;
- expired files;
- missing beneficial owners;
- high risk files not reviewed.
Filtering
- sanction alerts;
- PEP alerts;
- false positives;
- deadlines for removing doubts.
Monitoring
- alerts by scenario;
- escalation rate;
- stock;
- seniority ;
- out-of-time alerts.
Suspicion
- escalated files;
- declarations;
- analysis times;
- supplements addressed to TRACFIN.
Control
- anomalies;
- recommendations;
- late actions;
- remediation rate.
Principles of designing an effective device
An effective AML-CFT system must be:
- proportionate at risk;
- documented ;
- traceable ;
- updated ;
- explainable ;
- controllable ;
- reagent ;
- confidential ;
- adapted to the profession ;
- driven by governance.
The objective is not to generate the greatest number of alerts, but to have a system capable of detect, analyze, document and escalate truly relevant situations.
Points of vigilance when using this sheet
This sheet is deliberately transversal.
It should not lead to the conclusion that:
- all professions are subject to the same supervisor;
- all professionals use the same scenarios;
- everyone must produce the same reporting;
- the decree of January 6, 2021 applies without distinction to all professions;
- all activities cited in a business framework are necessarily autonomous categories of L.561-2.
For each profession, this base must be completed with:
- its precise basis of subjugation;
- its supervisory authority;
- its sectoral texts;
- its guidelines;
- its own typologies;
- its declaration methods;
- its control and reporting obligations.
Official useful links
Monetary and financial code -- AML-FT system
Operational conclusion
The transversal AML-FT system is based on a coherent chain:
Know → Assess → Filter → Monitor → Detect → Analyze → Document → Escalate → Report → Control → Remediate
Compliance does not result from the isolated presence of a screening tool or KYC procedure. It results from the articulation between:
- governance;
- risk-based approach;
- customer knowledge;
- beneficial owner;
- alertness;
- filtering;
- monitoring;
- investigation;
- statement ;
- control ;
- training;
- remediation;
- traceability.
Single Point AML can constitute the operational layer allowing these components to be centralized, while maintaining differentiated settings by profession, activity, risk level and supervisory authority.
Regulatory warning This sheet constitutes a general operational reference. It does not replace either the Monetary and Financial Code, nor European regulations, nor sectoral texts, nor the guidelines of the competent authorities. Any implementation must be verified with regard to the exact status of the entity and the texts in force.