AML et KYC : l'un est un contrôle, l'autre un régime

Deux sigles, une réunion, et personne ne s'accorde sur lequel désigne quoi. La conformité dit que le cabinet a besoin d'AML. Le commercial répond qu'on fait déjà du KYC sur chaque nouveau client. Les deux croient parler du même travail.

Ce n'est pas le cas. C'est dans cet écart que les contrôles tournent mal.

En version courte : le KYC est quelque chose que vous faites sur un client, au début. L'AML est le cadre qui vous l'impose, plus tout ce que vous devez encore ensuite. L'un est une tâche. L'autre est un régime dans lequel cette tâche est logée.

La distinction n'a rien d'académique. Des cabinets achètent un outil d'identification, cochent la case, et découvrent lors d'un contrôle que la vérification d'identité représentait peut-être un cinquième de ce qu'ils devaient.

KYC vient de Know Your Customer, la connaissance du client. AML vient d'Anti-Money Laundering, ce que le droit français traite sous le régime de lutte contre le blanchiment de capitaux et le financement du terrorisme.

L'AML est le plus large des deux. C'est l'ensemble formé par la loi, la supervision et la procédure interne, destiné à tenir l'argent criminel à l'écart des activités légitimes. Le KYC est une obligation à l'intérieur : établir qui est votre client avant d'entrer en relation d'affaires.

Demander "faut-il du KYC ou de l'AML ?" revient à peu près à demander s'il faut passer le permis ou respecter le code de la route. Vous passez l'examen parce que la loi l'exige, et l'avoir obtenu ne vous dispense de rien d'autre sur la route.

Pourquoi les deux mots se sont emmêlés

Les éditeurs y sont pour beaucoup, honnêtement. La vérification d'identité est la partie du régime la plus facile à vendre sous forme de logiciel, elle a donc récolté le marketing le plus bruyant. Cherchez un outil AML : vous tomberez surtout sur des produits KYC avec AML dans le titre de la page.

Le reste s'emballe mal. Surveillance des opérations, déclaration de soupçon, cartographie des risques écrite, formation, conservation des pièces : rien de tout cela ne se démontre en un quart d'heure.

Le KYC répond à une seule question : cette personne ou cette société est-elle bien celle qu'elle prétend être ?

En pratique il se décompose en trois contrôles, et la plupart des cabinets n'exécutent que le premier.

Vérification documentaire. La pièce d'identité ou l'extrait d'immatriculation sont-ils authentiques et non périmés ? Un contrôle sérieux lit les éléments de sécurité et la zone lisible par machine, au lieu de regarder un scan.

Preuve de vivacité. Une personne réelle présente-t-elle ce document maintenant, ou quelqu'un tient-il une photo devant la caméra ? C'est ce contrôle qui attrape le schéma de fraude le plus courant, celui où un vrai document est utilisé par la mauvaise personne.

Vient ensuite le criblage, et le contrôle des sanctions est une obligation propre, sans seuil.

Le client figure-t-il sur des listes de sanctions, ou est-il une personne politiquement exposée dont le dossier appelle une vigilance renforcée ?

Qui exécute les trois sait dès le premier jour à qui il a affaire, et c'est tout le sujet de notre guide sur la procédure KYC. C'est là tout le périmètre. Sur ce que ce client fera avec vous au septième mois, le KYC ne dit rien, et ce silence est exactement l'espace que le régime occupe.

Cinq obligations se situent hors de la vérification d'identité, et c'est sur chacune que les cabinets se retrouvent à découvert.

1. 1
   Une cartographie des risques écrite. Vous devez documenter quels clients, produits, pays et canaux de distribution vous exposent au blanchiment, et les classer. Le contrôleur réclame ce document en premier, et un nombre surprenant d'assujettis ne l'a pas.
2. 2
   Une vigilance constante. La relation est surveillée, pas seulement ouverte. Un client qui a passé le KYC en janvier et déplace des montants atypiques en juin est un problème de blanchiment, et aucune vérification de pièce ne le signalera.
3. 3
   La déclaration de soupçon. Quand quelque chose détonne, vous déclarez à Tracfin, et vous n'en informez pas le client. Se tromper de calendrier ici ne relève pas de l'amende administrative, mais du pénal.
4. 4
   La conservation, en général cinq ans après la fin de la relation. Justificatifs d'identité, motivation des décisions de risque, pièces de chaque déclaration.
5. 5
   Un responsable identifié. La plupart des régimes veulent une personne nommément chargée du dispositif, plus une formation du personnel qui puisse être prouvée.

À dire franchement : un cabinet peut mener un KYC irréprochable et échouer au contrôle sur les cinq points.

Les standards sont mondiaux. La rédaction est locale.

Chaque régime de cette liste descend de la même source, le GAFI et ses 40 recommandations, ce qui explique que la forme des obligations rime d'un pays à l'autre même quand les numéros d'articles diffèrent.

Ce n'est plus un sujet bancaire depuis longtemps

C'est le point qui surprend les professions libérales. Les banques le savent depuis des décennies. L'article L.561-2 du Code monétaire et financier vise aussi les notaires, avocats, experts-comptables et commissaires aux comptes, agents immobiliers, prestataires de services aux sociétés et fiducies, ainsi que les marchands de biens de valeur au-delà d'un seuil en espèces.

Une agence immobilière de cinq personnes est donc assujettie, avec les mêmes obligations centrales qu'une banque et sans service conformité pour les porter. La position est inconfortable, et c'est précisément pourquoi le contrôle d'identité doit se loger dans le travail qui existe déjà plutôt qu'à côté.

Où chercher, selon la juridiction

• France : le Code monétaire et financier, article L.561-2 pour les assujettis, déclarations à Tracfin, supervision de l'ACPR pour le secteur financier
• Union européenne : les directives anti-blanchiment sont transposées nationalement, les devoirs coïncident, les noms des textes non
• Allemagne : la Geldwäschegesetz, supervision de la BaFin, déclarations à la FIU
• Espagne : Ley 10/2010, déclarations au Sepblac
• Brésil : Lei 9.613/1998, déclarations au COAF
• États-Unis : le Bank Secrecy Act, supervision du FinCEN

Il existe un point où l'identité et le régime cessent d'être des sujets séparés, et c'est la signature.

Un contrat signé est la preuve que la relation existe, et prouver que le fichier lui-même est intact relève d'un autre exercice, celui de vérifier l'authenticité d'un document. Si vous ne pouvez pas montrer qui se trouvait à l'autre bout au moment de signer, le contrôle mené trois semaines plus tôt dans un autre outil ne prouve pas grand-chose. Les deux traces vivent séparément, et les rapprocher plus tard revient à fouiller une boîte mail.

Voilà l'échec concret, et il est ennuyeux plutôt que spectaculaire. Le commercial a récupéré un scan de pièce par courriel. La conformité l'a validé dans un tableur. Le contrat est parti par un outil de signature qui n'a vu ni l'un ni l'autre. Trois systèmes, trois horodatages, aucune piste continue.

Exécuter le contrôle dans le parcours de signature referme cet écart. Résultat d'identification, preuve de vivacité, criblage et signature elle-même se retrouvent dans une seule piste d'audit, ancrée pour que personne ne la retouche discrètement ensuite. Quand un contrôleur demande comment vous saviez qui avait signé, la réponse tient en une trace au lieu de trois.

Traiter les sigles comme des synonymes. Le cabinet qui dit "nous sommes conformes, nous faisons du KYC" a le plus souvent accompli un cinquième du travail et ne le sait pas encore.

Acheter un outil au lieu d'écrire une procédure. Un logiciel exécute des contrôles. Il ne décide pas de votre appétence au risque, et le contrôleur réclamera la cartographie écrite avant de demander quel éditeur vous utilisez.

Identifier une fois et ne plus jamais regarder est la troisième. Les classements de risque vieillissent. Un client à risque faible à l'entrée peut changer d'actionnaire, de juridiction ou de comportement, et rien dans le contrôle initial ne vous le dira.

Ranger la preuve d'identité ailleurs que le contrat. Deux pièces qui ne se référencent pas mutuellement sont difficiles à défendre sous questions, même quand chacune est parfaitement valable.

Le KYC vous dit qui a franchi la porte. L'AML est tout ce que vous devez à partir de cet instant, jusqu'à cinq ans après le départ du client.

Bien nommer les choses compte parce que le budget suit les mots. Le cabinet qui croit les deux termes équivalents achète de la vérification d'identité et considère le dispositif terminé, puis découvre en contrôle que la cartographie, la surveillance et les déclarations n'ont jamais été le travail de personne.

Commencez par la cartographie des risques écrite, puisque c'est le premier document ouvert par un contrôleur et que toutes les autres décisions s'y accrochent. Assurez-vous ensuite que le contrôle d'identité et le contrat signé finissent au même endroit, car c'est ce couple qu'on vous demandera de produire ensemble.