Conformité AML : KYC, CDD, Filtrage et Surveillance (FR)

L'AML et le KYC sont liés mais non interchangeables. Le KYC, ou Know Your Customer (Connaître Votre Client), établit et maintient une compréhension de l'identité du client et du risque lié à la relation. L'AML, ou lutte contre le blanchiment d'argent, est le cadre plus large de prévention, de détection, d'enquête et de signalement des blanchiments d'argent présumés et des infractions financières connexes.

Le KYC fournit l'identité, la propriété, le but et le contexte initial du risque. Les contrôles AML utilisent ce contexte pour le filtrage des sanctions et des personnes politiquement exposées, la révision continue des clients, la surveillance des transactions, l'enquête sur les alertes, le reporting, la tenue de registres, la formation et la gouvernance. Une vérification de document peut soutenir le KYC, mais ni le KYC ni l'AML ne sont complets lorsque le document est accepté.

Ce guide est le compagnon de conformité AML du guide plus large sur le cycle de vie du KYC. Il ne répète pas comment effectuer la vérification d'identité ou un programme KYC général. Il commence là où l'identité, la propriété et le contexte client deviennent des entrées pour le filtrage, la surveillance, l'enquête, le reporting et la gouvernance.

Points clés à retenir

• Le KYC est une composante de l'AML. Il identifie et évalue le client ; l'AML régit également l'activité continue, les enquêtes, le reporting et la supervision du programme.
• La CDD est basée sur les risques et continue. La diligence raisonnable du client couvre l'identité, la propriété effective, le but, le risque et l'examen continu – pas seulement l'ouverture de compte.
• Le filtrage et la surveillance des transactions répondent à des questions différentes. Le filtrage compare les personnes ou entités avec des données de risque externes ; la surveillance des transactions évalue le comportement et l'activité.
• Une correspondance potentielle n'est pas une correspondance confirmée. Les noms se recoupent, les sources changent et le contexte est important ; l'examen et la résolution documentée font partie du contrôle.
• La technologie n'est pas responsable. Les fournisseurs peuvent collecter des preuves, évaluer les correspondances et générer des alertes, tandis que l'organisation assujettie reste responsable de la politique, des décisions, des registres et des rapports réglementaires.

Quelle est la différence entre AML et KYC ?

Le KYC se concentre sur la relation client. Il pose les questions suivantes :

• Qui est le client ?
• Qui possède ou contrôle un client professionnel ?
• Pourquoi la relation est-elle établie ?
• Quelle activité est attendue ?
• Quel risque client est présent ?
• Quand le dossier doit-il être mis à jour ?

L'AML couvre le système de contrôle plus large. Il pose ces questions KYC et aussi :

• Le client ou une partie liée est-il exposé à des sanctions, à une influence politique ou à d'autres risques pertinents ?
• L'activité réelle correspond-elle au profil du client ?
• Quelles alertes nécessitent une enquête ?
• Quand l'activité doit-elle être restreinte ou signalée ?
• Les registres, la gouvernance, la formation et la supervision indépendante sont-ils adéquats ?

Les Recommandations du GAFI, telles que modifiées en juin 2026, sont la norme internationale. La Recommandation 10 établit la diligence raisonnable du client, tandis que les recommandations connexes abordent la tenue de registres, les personnes politiquement exposées, les relations de correspondance, les nouvelles technologies et le signalement des transactions suspectes. Les juridictions mettent en œuvre ces normes différemment, de sorte qu'un cadre mondial nécessite toujours une analyse juridique spécifique au pays et au secteur.

Comparaison entre KYC, CDD, EDD, filtrage et surveillance

Contrôle	Objectif	Déclencheur typique	Résultat principal
KYC	Connaître et évaluer le risque du client	Intégration et changement matériel	Identité du client et dossier de risque
CDD	Appliquer la diligence raisonnable du client	Relation, transaction qualifiante, suspicion ou doute	Identité, propriétaire effectif, objectif, risque, plan continu
EDD	Appliquer la diligence raisonnable renforcée	Client, produit, géographie, propriété ou comportement à risque plus élevé	Preuves supplémentaires, approbations, analyse de source, surveillance plus étroite
Filtrage des sanctions	Identifier une éventuelle exposition aux sanctions financières ciblées	Intégration, paiement, modification de données, mise à jour de la liste	Candidat ou correspondance résolue
Filtrage des PPE	Identifier les personnes politiquement exposées et les risques associés	Intégration et nouveau filtrage	Relation PPE et mesures renforcées requises
Filtrage continu	Détecter les changements dans les données de risque externe du client	Mise à jour de la source ou nouveau filtrage programmé	Correspondance candidate nouvelle ou modifiée
Surveillance des transactions	Identifier une activité incompatible avec le profil ou la typologie	Transaction ou comportement agrégé	Alerte avec preuves et contexte de règle/modèle
Enquête et reporting	Résoudre les alertes et remplir les obligations de reporting	Suspicion escaladée	Décision de cas, restriction, rapport ou motif de clôture

La CDD est le pont. Elle crée le contexte client qui rend les signaux ultérieurs interprétables. Un transfert important peut être attendu pour une entreprise et très inhabituel pour une autre. Sans objectif, propriété, activité attendue et risque, la surveillance devient une collection de seuils décontextualisés.

Le cycle de vie de l'AML et du KYC

1. Évaluer le risque de l'entreprise et des produits

Avant d'évaluer les clients individuels, comprenez l'exposition créée par les produits, les canaux de distribution, les géographies, les types de clients, les caractéristiques des transactions et le modèle opérationnel. Les orientations du GAFI sur l'approche basée sur les risques décrivent la proportionnalité comme centrale : identifier et comprendre le risque, puis appliquer des mesures qui y correspondent.

Cette évaluation doit influencer les informations collectées, l'étendue du filtrage, les branches du flux de travail, l'autorité d'approbation, les règles de transaction, la cadence de révision et l'intensité de la surveillance.

2. Identifier le client et le bénéficiaire effectif

Recueillir les informations nécessaires pour identifier une personne physique ou une entité juridique. Pour une entreprise, identifier les personnes physiques qui la possèdent ou la contrôlent finalement, comprendre la structure de propriété et de contrôle, et vérifier les personnes concernées conformément aux exigences et aux risques applicables.

L'enregistrement de l'entité seule ne suffit pas. Une entreprise authentique peut être contrôlée par une personne cachée ou interdite, tandis qu'une structure complexe peut être légitime mais nécessiter plus de preuves pour être comprise.

3. Vérifier l'identité à l'aide de preuves fiables

Valider les documents, les données, les identifiants numériques, les sources faisant autorité ou les combinaisons autorisées. Lier le demandeur ou le représentant à l'identité revendiquée. Conserver l'authenticité des preuves, le lien avec le titulaire et l'éligibilité du client comme des décisions distinctes.

Les orientations du GAFI sur l'identité numérique demandent aux entités réglementées de comprendre l'assurance d'un système d'identité numérique et de déterminer s'il est suffisamment fiable et indépendant pour le risque. Une étiquette technologique ne transfère pas la responsabilité.

4. Comprendre l'objectif et l'activité attendue

Enregistrer la raison pour laquelle le client souhaite le produit, comment il sera utilisé, les schémas de transaction attendus, le contexte de la source et de la destination le cas échéant, et la nature de l'entreprise. Collecter des preuves proportionnées plutôt qu'un questionnaire générique dont les réponses n'influencent jamais la politique.

L'activité attendue doit devenir un contexte de surveillance utilisable. Si les données d'intégration sont stockées sous forme de texte libre auquel le système de surveillance ne peut pas accéder, le cycle de vie est déconnecté.

5. Filtrer les personnes et entités pertinentes

Filtrer le client, les bénéficiaires effectifs, les contrôleurs, les représentants et les autres parties requises par rapport aux sources pertinentes. Selon la loi et la politique, cela peut inclure les sanctions, les personnes politiquement exposées, les parents et proches collaborateurs, les médias défavorables ou d'autres listes.

Un moteur de correspondance doit conserver la source, l'entrée de la liste, les champs de correspondance, la translittération, les alias, la date, le seuil et la raison. Les examinateurs ont besoin de preuves suffisantes pour décider si le client et le sujet listé sont les mêmes.

6. Attribuer un risque client

Combiner le client, le produit, la géographie, le canal, la propriété, le filtrage et d'autres facteurs pertinents selon une méthodologie documentée. Le résultat doit être explicable : quels facteurs ont compté, quelles données les ont étayés et quels contrôles en découlent.

Éviter d'utiliser la nationalité ou la géographie comme substitut à une analyse complète. Les indicateurs de risque peuvent justifier un examen plus approfondi sans prouver un acte répréhensible. Les amendements du GAFI de février 2025 ont mis davantage l'accent sur la proportionnalité et les mesures simplifiées dans les situations à faible risque plutôt que sur l'exclusion aveugle.

7. Appliquer des mesures renforcées ou simplifiées lorsque cela est justifié

Un risque plus élevé peut nécessiter des preuves supplémentaires, un travail sur l'origine des fonds ou du patrimoine, une approbation de la haute direction, une surveillance plus étroite ou d'autres mesures renforcées. Un risque plus faible peut permettre des mesures simplifiées lorsque la loi et la politique le permettent, mais pas en cas de suspicion ou de condition spécifique à risque plus élevé.

L'EDD n'est pas « collecter tous les documents possibles ». Chaque étape supplémentaire doit répondre à un risque identifié et avoir une règle de décision.

8. Décider et conserver le dossier d'audit

Approuver, refuser, restreindre ou acheminer la relation avec une justification enregistrée. Conserver la version de la politique et du modèle de risque, les preuves, les résultats de filtrage, les actions de l'examinateur, l'autorité d'approbation, les horodatages et les raisons requises pour l'audit et l'examen ultérieur.

Si l'organisation ne peut pas effectuer la diligence raisonnable requise, la réponse dépend de la loi applicable et des circonstances. Elle peut devoir éviter ou mettre fin à la relation et envisager de signaler, tout en évitant une divulgation inappropriée au client.

9. Surveiller l'activité et les changements clients

La diligence raisonnable continue vérifie si les transactions restent cohérentes avec la connaissance de l'organisation concernant le client, l'entreprise, le risque et l'activité attendue. Les orientations bancaires du GAFI décrivent la surveillance à la fois comme un examen des transactions et comme l'identification des changements dans le profil du client qui peuvent nécessiter une nouvelle ou une diligence raisonnable supplémentaire.

La surveillance peut être en temps réel, périodique, basée sur des événements ou une combinaison. Les relations à risque plus élevé justifient généralement une profondeur ou une fréquence plus grande ; les relations à risque plus faible peuvent justifier des contrôles proportionnés.

10. Enquêter, signaler et apprendre

Une alerte est une incitation à l'analyse, pas une conclusion. Les enquêteurs collectent les transactions connexes, l'historique du client, les informations externes, les alertes précédentes, les comptes liés et les explications. L'organisation documente ensuite pourquoi l'affaire a été classée, escaladée, restreinte ou signalée.

Les décisions de signalement appartiennent à l'organisation assujettie et à ses personnes autorisées. Les étiquettes d'alerte du fournisseur ne doivent pas automatiquement déposer un rapport ou divulguer une suspicion au client.

Le filtrage AML expliqué

Filtrage des sanctions

Les contrôles de sanctions recherchent des correspondances possibles avec des personnes, entités, navires ou autres sujets désignés en vertu des régimes applicables. Les listes, les règles de propriété et les interdictions diffèrent. Une simple comparaison exacte de noms ne peut pas traiter les alias, la translittération, les dates, la géographie, les identifiants, la propriété ou le contrôle.

Filtrage des PPE

Une personne politiquement exposée n'est pas nécessairement impliquée dans un crime. Les orientations du GAFI sur les PPE décrivent les mesures PPE comme préventives et basées sur les risques. Un résultat PPE doit déclencher l'évaluation et les mesures requises, et non une accusation automatique ou un refus universel.

Médias défavorables et autres sources

Les informations défavorables peuvent contribuer à une évaluation des risques lorsque la source, la pertinence, le lien avec le sujet, la date, la gravité et la fiabilité sont compris. Les résultats de recherche et les allégations ne sont pas des conclusions judiciaires. Les examinateurs ont besoin d'une provenance et d'une méthode documentée pour peser les preuves contradictoires.

Nouveau filtrage continu

Les données clients et les sources externes changent. Le nouveau filtrage peut être déclenché par des mises à jour de sources, des changements clients, des calendriers de révision ou des événements. Le système doit identifier ce qui a changé au lieu de forcer les analystes à répéter chaque résolution précédente.

La surveillance des transactions expliquée

La surveillance des transactions compare l'activité actuelle avec les règles, les modèles, les typologies, le contexte client, le comportement des pairs et les schémas historiques. Les familles de signaux utiles peuvent inclure :

• valeur, fréquence, vitesse et schémas de structuration ;
• changements par rapport à l'activité client attendue ;
• contreparties, corridors, actifs ou synchronisation inhabituels ;
• mouvements via des comptes ou portefeuilles liés ;
• mouvements rapides entrants et sortants ou flux circulaires ;
• activité suite à un changement de client, d'appareil, de propriété ou de risque.

Aucune règle n'est suspecte dans tous les contextes. Un seuil crée une alerte ; l'enquête détermine si les faits étayent une préoccupation. La conception de la surveillance doit indiquer le scénario, les dépendances de données, la fenêtre de temps, le seuil, la segmentation, les faux positifs attendus, le chemin de disposition et le propriétaire.

Le Règlement AML de l'UE 2024/1624, qui s'applique généralement à partir du 10 juillet 2027, exige une surveillance continue et une intensité basée sur les risques. Ses règles illustrent pourquoi la diligence raisonnable du client, le contexte des transactions, les registres et le reporting appartiennent à un seul système, même lorsque différentes composantes effectuent chaque tâche.

Correspondance potentielle, alerte, cas et rapport

Étape	Signification	Que doit-il se passer ensuite
Correspondance potentielle	Les données ressemblent à un sujet de source externe	Comparer les identifiants et le contexte
Alerte	Une condition de filtrage ou de surveillance s'est déclenchée	Trier les preuves selon la priorité documentée
Cas	Les preuves connexes sont rassemblées pour enquête	Enquêter, documenter, escalader ou classer
Décision de suspicion	L'analyse autorisée trouve ou rejette une préoccupation raisonnable	Appliquer la politique et les obligations légales
Rapport réglementaire	Les informations requises sont soumises à l'organisme compétent	Protéger la confidentialité et conserver les registres

L'effondrement de ces étapes crée deux échecs opposés : chaque alerte devient une accusation, ou les alertes sont closes sans preuves suffisantes. Des états, des rôles et des raisons clairs rendent la qualité mesurable.

Comment évaluer les contrôles AML et KYC

Couverture et provenance des sources

Demandez quels régimes de sanctions, catégories de PPE, données de propriété, informations défavorables et champs de transaction sont couverts. Examinez l'autorité de la source, la cadence de mise à jour, les dates d'entrée en vigueur, le traitement des corrections et la reconstruction historique. Un nombre total de listes ne montre pas la pertinence pour vos obligations.

Contrôles de correspondance et de seuil

Testez les alias, la translittération, les noms réorganisés, les dates, les identifiants, les entités, les noms communs et les champs manquants. Examinez les résultats au seuil proposé, pas seulement un titre de précision sélectionné par le fournisseur. Mesurez le volume des candidats, les résolutions réelles, les faux positifs et les cas connus manqués.

Méthodologie d'évaluation des risques clients

Chaque score de risque doit correspondre à des preuves, une pondération des facteurs, des conséquences politiques, des dérogations et un examen. Validez que le risque faible reçoit réellement des mesures proportionnées et que le risque plus élevé déclenche des contrôles renforcés limités.

Conception de la surveillance

Inventoriez les scénarios et les modèles, leurs entrées de données, la segmentation, les seuils, les propriétaires, les versions, la validation, le routage des alertes et les critères de retrait. Confirmez que les données d'intégration et les changements clients atteignent la surveillance à temps.

Opérations d'enquête

Inspectez les files d'attente, les priorités, les délais de preuve, les entités liées, les notes, les approbations, la séparation des tâches, les niveaux de service et les codes de disposition. Les examinateurs doivent être en mesure d'expliquer pourquoi une affaire a été ouverte et close.

Gouvernance et tests

Attribuez des propriétaires pour la politique, les données, les modèles, les listes, les enquêtes, les rapports, l'assurance qualité, la formation, l'audit et le contrôle des changements. Testez de bout en bout, de la création du client à une alerte simulée, un cas, une décision et une exportation de dossier.

Erreurs courantes en AML et KYC

Traiter le KYC comme une porte unique

L'identité, la propriété, l'exposition aux sanctions et le comportement changent. Connectez le rafraîchissement et le nouveau filtrage aux événements au lieu de ne compter que sur un calendrier.

Rejeter automatiquement chaque correspondance de nom

Les noms communs et les données incomplètes produisent des candidats. Résolvez l'identité avec les attributs disponibles et acheminez l'incertitude selon les exigences légales et de risque.

Utiliser un seul score de risque sans raisons

Un nombre opaque ne peut pas montrer quelles preuves manquent ou quel contrôle doit suivre. Conserver l'explication au niveau des facteurs et la version de la politique.

Surveiller sans contexte client

Les seuils de transaction statiques génèrent du bruit lorsque l'activité attendue, le type de client, le produit et l'historique ne sont pas disponibles. Alimentez le dossier KYC dans la surveillance.

Dérisquage généralisé

Rejeter des catégories entières peut exclure des clients légitimes sans aborder de risque spécifique. Appliquez des mesures proportionnées et documentez le risque réel et l'atténuation.

Laisser la technologie tirer la conclusion

Les outils génèrent des preuves, des correspondances et des alertes. Les personnes autorisées et les processus régis sont responsables de la suspicion, du signalement, de la restriction et des décisions clients.

Une liste de contrôle du modèle opérationnel

Avant le lancement ou un changement matériel, confirmez que :

• les risques d'entreprise, de produit, de géographie, de client et de canal sont documentés ;
• les preuves d'identité du client et du bénéficiaire effectif sont collectées et vérifiées de manière proportionnée ;
• l'objectif et l'activité attendue deviennent un contexte de surveillance utilisable ;
• les sources de filtrage, les seuils, les alias et la logique de propriété correspondent aux obligations ;
• les correspondances potentielles, les alertes, les cas, les décisions et les rapports restent des états distincts ;
• les mesures renforcées et simplifiées ont des déclencheurs et des limites définis ;
• les scénarios de transaction sont versionnés, validés et connectés au risque client ;
• le rafraîchissement, le nouveau filtrage, l'enquête et le reporting ont des propriétaires et des niveaux de service ;
• les décisions, les dérogations, les preuves et les versions des politiques sont auditables ;
• la confidentialité, l'accès, la conservation, la confidentialité et les recours sont intégrés aux opérations.

Utilisation de Didit pour l'AML et le KYC

Didit permet aux équipes de combiner la Vérification d'identité, le Filtrage AML, la Surveillance des transactions et les contrôles conditionnels via l'Orchestrateur de flux de travail. Les tarifs publiés incluent 0,20 $ par filtrage AML, 0,07 $ par utilisateur par an pour la surveillance AML continue et 0,02 $ par transaction pour la surveillance des transactions.

Les prix actuels des modules sont répertoriés sur la page de tarification. Ces vérifications et alertes soutiennent un programme basé sur les risques ; l'organisation reste responsable de ses politiques, de la résolution des correspondances, des enquêtes, des décisions réglementaires et des registres.

Foire aux questions

Que signifient AML et KYC ?

AML signifie lutte contre le blanchiment d'argent. KYC signifie Know Your Customer (Connaître Votre Client). Le KYC établit l'identité du client et le contexte de risque utilisé par le cadre de contrôle AML plus large.

Le KYC fait-il partie de l'AML ?

Oui. Le KYC et la diligence raisonnable du client sont des contrôles AML fondamentaux, tandis que l'AML comprend également le filtrage, la surveillance des transactions, les enquêtes, les rapports, la gouvernance, la formation et la supervision indépendante.

Quelle est la différence entre CDD et KYC ?

KYC est le terme courant axé sur le client. La CDD est le processus structuré de diligence raisonnable d'identification et de vérification du client et du bénéficiaire effectif, de compréhension de la relation, d'évaluation des risques et de surveillance continue.

Le filtrage des sanctions est-il la même chose que l'AML ?

Non. Le filtrage des sanctions est un contrôle au sein d'un cadre de conformité plus large. L'AML couvre également la diligence raisonnable du client, d'autres filtrages de risques, la surveillance des transactions, les enquêtes, les rapports, les registres et la gouvernance.

Qu'est-ce que la diligence raisonnable renforcée ?

L'EDD signifie des mesures supplémentaires, réactives aux risques, pour les situations à risque plus élevé. Elle peut inclure davantage de preuves, un travail sur l'origine des fonds ou du patrimoine, une approbation de la haute direction ou une surveillance plus étroite, selon les exigences applicables.

Une correspondance PPE signifie-t-elle que le client est un criminel ?

Non. Le statut de PPE est un facteur de risque nécessitant des mesures préventives conformément aux règles applicables. Ce n'est pas une conclusion de conduite criminelle et ne doit pas automatiquement entraîner un refus universel.

À quelle fréquence les clients doivent-ils être refiltrés ?

Il n'y a pas de fréquence universelle. Utilisez les exigences applicables et une approche des risques documentée, avec un nouveau filtrage déclenché par des événements lorsque les listes, la propriété, les données d'identité, le risque client ou d'autres faits matériels changent.

Références principales

• Recommandations du GAFI, telles que modifiées en juin 2026
• Orientations du GAFI sur l'identité numérique
• Orientations du GAFI sur l'approche basée sur les risques pour le secteur bancaire
• Orientations du GAFI sur les personnes politiquement exposées
• Règlement (UE) 2024/1624

L'AML et le KYC fonctionnent lorsque l'identité, le risque, le comportement et l'enquête restent connectés au fil du temps. Établissez le client avec des preuves fiables, appliquez des contrôles proportionnés, surveillez les changements, enquêtez sur les alertes avec contexte et conservez la raison de chaque décision matérielle.