Vérifier un partenaire commercial situé de l'autre côté de la Méditerranée n'obéit pas aux mêmes règles que contrôler une PME française. Le KYC transfrontalier (Know Your Customer) et le KYB (Know Your Business) France-Afrique se heurtent à des registres hétérogènes, à un accès inégal aux bénéficiaires effectifs, à des données parcellaires et à des cadres juridiques mouvants. Pourtant, l'obligation de vigilance, elle, ne s'allège pas : elle se durcit à mesure que le tiers est éloigné, opaque ou situé dans une zone à risque. Cet article détaille les enjeux du KYC cross-border, la disparité des systèmes d'information d'entreprises, l'adaptation de la vigilance au risque pays, la question des PEP et des sanctions, et le cadre RGPD des transferts de données — avec le corridor France-Maroc comme fil conducteur.
Pourquoi le KYC transfrontalier est un exercice à part
Sur le sol français, vérifier un tiers relève presque de la routine : un numéro SIREN, un extrait Kbis, une consultation du Registre National des Entreprises (RNE) et une recherche de bénéficiaire effectif suffisent souvent à cadrer le risque de premier niveau. Dès que la contrepartie devient étrangère, chacune de ces briques se fragilise. Les identifiants changent de nature, les registres n'offrent pas la même profondeur, la disponibilité en ligne varie et la langue des documents devient un obstacle opérationnel.
Le KYC transfrontalier ne consiste donc pas à appliquer mécaniquement le même processus à un tiers lointain, mais à reconstruire une vigilance équivalente à partir de sources différentes. C'est un travail de recoupement : ce qui est direct en France (un registre unique, structuré, opposable) devient un assemblage de sources — registre du commerce, publications officielles, presse locale, listes de sanctions internationales — dont il faut apprécier la fiabilité et la fraîcheur. Notre approche du sujet part d'un principe simple : la difficulté d'accès à l'information n'est jamais une excuse pour abaisser le niveau de contrôle. Au contraire, l'opacité est en elle-même un signal de risque à documenter.
La disparité des registres : le cœur du problème
La première réalité du KYC cross-border, c'est l'absence d'un référentiel commun. Chaque juridiction dispose de son propre système d'immatriculation, avec sa logique, son périmètre et son niveau d'ouverture. Comprendre ces différences est un préalable indispensable.
| Espace | Registre principal | Identifiant clé | Accès aux bénéficiaires effectifs |
|---|---|---|---|
| France | RNE (via l'INPI), Kbis via les greffes | SIREN / SIRET | Registre des bénéficiaires effectifs (accès encadré depuis l'arrêt de la CJUE de 2022) |
| Maroc | Registre du Commerce (OMPIC) | RC (Registre de Commerce) et ICE (Identifiant Commun de l'Entreprise) | Pas de registre public national des bénéficiaires effectifs équivalent ; information reconstituée |
| Afrique de l'Ouest et centrale (zone OHADA) | RCCM (Registre du Commerce et du Crédit Mobilier) | Numéro RCCM | Fragmenté et souvent non centralisé ; disponibilité en ligne inégale selon les pays |
Côté français, le RNE a unifié l'immatriculation et l'accès aux données d'entreprise est relativement mûr — voir notre guide pour obtenir et vérifier un Kbis ou un avis SIRENE. Côté marocain, l'OMPIC centralise l'information mais l'ICE et le RC ne se lisent pas comme un SIREN : la vérification suppose de connaître les spécificités locales, détaillées dans notre guide de vérification d'un fournisseur marocain. Dans l'espace OHADA, le RCCM offre un cadre juridique harmonisé sur le papier, mais la mise en œuvre reste très variable d'un État membre à l'autre : consultation parfois uniquement physique, mises à jour irrégulières, bases non interconnectées. Notre analyse dédiée à la vérification d'un fournisseur en Afrique de l'Ouest via le RCCM revient en détail sur ces contraintes.
Des identifiants qui ne se correspondent pas
Un écueil pratique récurrent : croire qu'un numéro d'entreprise étranger « équivaut » au SIREN. L'ICE marocain, le numéro RCCM ou un identifiant fiscal local remplissent des fonctions proches mais ne portent pas les mêmes garanties ni la même granularité. Confondre ces référentiels, ou accepter un document sans en comprendre la portée, expose à valider une entité inexistante ou radiée. La rigueur consiste à identifier, pour chaque pays, quel identifiant fait foi et où le vérifier.
L'accès aux bénéficiaires effectifs : le point le plus sensible
Identifier la ou les personnes physiques qui contrôlent réellement une entité (l'UBO, ultimate beneficial owner) est l'exigence la plus délicate du KYC transfrontalier. En France, le registre des bénéficiaires effectifs existe, même si son accès a été restreint après la décision de la Cour de justice de l'Union européenne de 2022. Dans de nombreux pays africains, un registre public national comparable est absent ou embryonnaire, ce qui oblige à reconstituer la chaîne de contrôle à partir de statuts, d'actes de cession, de publications officielles et de recoupements.
Cette reconstruction devient particulièrement ardue lorsque la structure implique des sociétés holding intermédiaires, des montages transfrontaliers ou des prête-noms. Notre méthode pour identifier l'UBO dans le corridor France-Maroc insiste sur un point : l'objectif n'est pas de cocher une case, mais de comprendre qui décide et qui encaisse. Quand la chaîne de propriété reste opaque après un effort raisonnable, l'opacité elle-même doit être tracée comme un facteur de risque, et non passée sous silence.
- Sociétés holding empilées : chaque niveau ajoute de la distance entre l'entité opérationnelle et la personne physique de contrôle.
- Juridictions à faible transparence : l'absence de registre exploitable impose de s'appuyer sur des sources secondaires, moins opposables.
- Actionnariat mouvant : une photographie prise à l'onboarding se périme vite, d'où l'intérêt d'un suivi dans la durée.
Données parcellaires : composer avec l'incomplétude
Le KYC cross-border se pratique rarement avec des données complètes. États financiers indisponibles ou anciens, absence de publication des comptes, historique de dirigeants difficile à reconstituer, presse locale peu numérisée : l'analyste doit apprécier un risque à partir d'un tableau volontairement lacunaire. La tentation serait de conclure « faute d'information, tout va bien ». C'est l'inverse qu'impose la vigilance : documenter ce qui a été cherché, ce qui a été trouvé, ce qui manque, et pourquoi.
Cette discipline de traçabilité protège l'entreprise sur deux plans. Elle démontre, en cas de contrôle, que la diligence a été proportionnée et sérieuse. Et elle rend la décision réversible : si de nouvelles données émergent, on sait exactement sur quelles hypothèses reposait l'appréciation initiale. Le contraste entre une vérification ponctuelle et un monitoring continu prend ici tout son sens, car une donnée manquante aujourd'hui peut devenir disponible demain.
Adapter la vigilance au risque pays
Toutes les contreparties étrangères ne se valent pas. L'approche par les risques, socle de la réglementation LCB-FT, impose de calibrer l'intensité des contrôles selon plusieurs facteurs, au premier rang desquels le pays d'établissement du tiers. Le Groupe d'action financière (GAFI/FATF) publie et met à jour des listes de juridictions sous surveillance renforcée (« liste grise ») ou soumises à un appel à l'action (« liste noire »). Ces classifications influencent directement le niveau de vigilance attendu — nous en détaillons les effets pratiques dans notre article sur la liste grise et noire du GAFI et son impact France-Maroc.
Construire sa propre grille de lecture évite l'arbitraire. Une matrice de risque pays croise plusieurs dimensions : classement GAFI, indices de perception de la corruption de sources reconnues, présence sur des listes de sanctions, stabilité institutionnelle, transparence des registres. Pour la région qui nous occupe, notre analyse du risque pays en Afrique du Nord et au Maghreb et notre cadre plus général pour évaluer un tiers en zone sensible fournissent des repères concrets. L'idée directrice : à risque pays plus élevé, vigilance renforcée — sources supplémentaires, validation hiérarchique, réexamen plus fréquent.
Le corridor France-Maroc comme cas central
Le corridor d'affaires France-Maroc concentre la plupart des difficultés évoquées, avec une intensité maîtrisable. Le Maroc n'est pas une juridiction exotique : les échanges sont denses, le cadre s'est modernisé, et l'accord d'association avec l'Union européenne structure une partie des relations commerciales — un point que nous traitons dans notre article sur les implications conformité de l'accord UE-Maroc. Pour autant, les spécificités demeurent : registres à lire autrement, bénéficiaires effectifs à reconstituer, contrôle des changes à intégrer dans l'analyse d'un flux de paiement. Notre guide complet de la due diligence sur le corridor France-Maroc rassemble ces éléments en une méthode opérationnelle. C'est précisément ce corridor qui constitue la spécialité de RiskSonnar et le terrain d'application privilégié de cet article.
PEP et sanctions : un contrôle qui ignore les frontières
Deux vérifications ne tolèrent aucune tolérance géographique : le screening des personnes politiquement exposées (PEP) et le criblage des listes de sanctions. Un dirigeant ou un bénéficiaire effectif peut être une PEP dans son pays d'origine sans que cela soit visible depuis la France ; la définition et le périmètre des PEP couvrent les fonctions politiques, judiciaires, militaires et dirigeantes, ainsi que l'entourage proche. Notre fiche sur la définition d'une personne politiquement exposée et notre guide sur les obligations de screening PEP des dirigeants précisent ce que recouvre concrètement cette vigilance.
Côté sanctions, plusieurs référentiels coexistent et doivent être combinés : les listes de l'Union européenne, la liste SDN de l'OFAC américain, les mesures des Nations unies, et le régime britannique de l'OFSI. Nous comparons ces sources dans notre article sur les sanctions internationales OFAC, ONU et OFSI. Un point mérite une précision importante côté marocain : la source des mesures de gel d'avoirs au Maroc est la CNASNU (Commission Nationale chargée de l'application des Sanctions prévues par les résolutions du Conseil de sécurité des Nations unies), qui met en œuvre les listes onusiennes et une liste locale. L'ANRF (Autorité Nationale du Renseignement Financier) est, elle, le service de renseignement financier et l'autorité de supervision LCB-FT : elle ne publie pas de liste nominative de gel. Notre présentation du dispositif CNASNU clarifie cette architecture souvent mal comprise depuis la France.
Le cadre RGPD des transferts de données
Vérifier un tiers africain implique de collecter et parfois de transférer des données personnelles (dirigeants, bénéficiaires effectifs, éventuellement PEP). Ces traitements relèvent du RGPD dès lors qu'ils sont effectués par une entité soumise au droit européen. Deux exigences structurent la démarche.
- Une base légale claire : la lutte contre le blanchiment et le financement du terrorisme, ainsi que l'intérêt légitime à sécuriser une relation d'affaires, fondent généralement la collecte — à condition de rester proportionné et de ne recueillir que les données nécessaires à la vigilance.
- Un encadrement des transferts hors UE : lorsque des données transitent vers ou depuis un pays tiers sans décision d'adéquation, il faut mobiliser des garanties appropriées (clauses contractuelles types, mesures techniques et organisationnelles) et informer les personnes concernées dans les conditions prévues par le règlement.
La logique du RGPD et celle de la LCB-FT ne s'opposent pas : elles se conjuguent. Minimiser les données, sécuriser leur traitement, limiter leur conservation à ce qui est utile à la traçabilité de la diligence — ces principes renforcent la qualité du dispositif au lieu de l'entraver. Notre page sources et méthodologie détaille comment cet équilibre est appliqué en pratique.
Une méthode reproductible pour le KYC cross-border
Face à cette complexité, mieux vaut un processus stable qu'une improvisation au cas par cas. Voici une trame directrice, à adapter selon le risque pays et la nature de la relation.
- Identifier l'entité avec le bon référentiel : SIREN en France, RC/ICE au Maroc, RCCM en zone OHADA, en vérifiant la source qui fait foi.
- Reconstituer la chaîne de bénéficiaires effectifs, et tracer explicitement toute opacité résiduelle.
- Cribler PEP et sanctions sur l'ensemble des personnes clés, avec les référentiels UE, OFAC, ONU, OFSI et, côté marocain, CNASNU.
- Pondérer par le risque pays à l'aide d'une matrice documentée et de sources reconnues (GAFI notamment).
- Documenter l'incomplétude : ce qui a été cherché, trouvé, manquant.
- Prévoir le suivi : la vérification ponctuelle vieillit, le monitoring maintient la vigilance dans le temps.
Questions fréquentes
Peut-on appliquer le même processus KYC à un fournisseur français et à un fournisseur africain ?
Non, pas à l'identique. L'objectif de vigilance est le même, mais les sources et les référentiels diffèrent : identifiants d'entreprise distincts, accès aux bénéficiaires effectifs plus difficile, données financières parfois indisponibles. Il faut reconstruire une vigilance équivalente à partir de sources adaptées à chaque juridiction, et renforcer les contrôles selon le risque pays.
Comment vérifier une entreprise marocaine depuis la France ?
La vérification s'appuie sur le Registre du Commerce et l'OMPIC, en s'appuyant sur les identifiants RC et ICE, complétée par le criblage sanctions (CNASNU côté marocain, listes internationales pour le reste) et une reconstitution des bénéficiaires effectifs. Notre guide dédié à la vérification d'un fournisseur marocain détaille chaque étape.
L'ANRF publie-t-elle une liste de sanctions au Maroc ?
Non. Au Maroc, les mesures de gel d'avoirs relèvent de la CNASNU, qui applique les résolutions du Conseil de sécurité de l'ONU et une liste locale. L'ANRF est le service de renseignement financier et l'autorité de supervision LCB-FT ; elle n'édite pas de liste nominative de gel. Confondre les deux conduit à cribler la mauvaise source.
Le RGPD empêche-t-il de collecter des données sur un partenaire africain ?
Non, à condition de respecter ses principes : base légale (LCB-FT et intérêt légitime), minimisation des données, information des personnes et encadrement des éventuels transferts hors UE par des garanties appropriées. RGPD et vigilance sont complémentaires, pas contradictoires.
Une seule vérification suffit-elle pour un tiers en zone à risque ?
Rarement. Un tiers situé dans une juridiction sous surveillance renforcée, ou dont l'actionnariat est mouvant, appelle un suivi dans la durée. Une photographie prise à l'onboarding se périme ; le monitoring continu permet de détecter un changement de contrôle, une nouvelle désignation de sanctions ou une procédure collective.
En synthèse
Le KYC transfrontalier France-Afrique n'est pas un KYC français dégradé : c'est une discipline propre, qui compose avec la disparité des registres, l'accès inégal aux bénéficiaires effectifs, des données parcellaires et un risque pays variable, tout en respectant le cadre RGPD des transferts. Le corridor France-Maroc en offre le cas d'application le plus fréquent et le plus maîtrisable, à condition d'utiliser les bonnes sources et de ne jamais confondre ANRF et CNASNU. RiskSonnar est conçu pour ce terrain : nos analyses produisent une recommandation d'aide à la décision — jamais un verdict définitif ni une accusation nominative — en recoupant les sources françaises, marocaines et internationales. Pour explorer la démarche, découvrez notre approche du corridor côté Maroc ou lancez une vérification de dirigeant pour voir concrètement ce qu'une vigilance cross-border bien construite permet de mettre en lumière.