L'entrée en relation d'affaires est le moment où tout se joue en LCB-FT. C'est là que l'assujetti collecte l'information, la vérifie sur pièce et fixe le niveau de vigilance qui s'appliquera ensuite pendant toute la durée de la relation. Un profil de risque mal calibré à l'ouverture, et c'est toute la chaîne de contrôle qui déraille.
Pourquoi l'entrée en relation concentre l'essentiel du risque
Pour les organismes assujettis à la lutte contre le blanchiment et le financement du terrorisme (banques, établissements de paiement, assureurs, fintechs, experts-comptables, commissaires aux comptes, avocats, notaires, agents immobiliers), l'entrée en relation d'affaires n'est pas une formalité administrative. C'est l'obligation socle du dispositif : identifier qui est en face, comprendre ce que la relation va couvrir, et décider combien de vigilance elle mérite.
Le Code monétaire et financier (CMF) impose ces diligences avant d'entrer en relation, ou au plus tard pendant son établissement lorsque la loi l'autorise (article L561-5). L'idée directrice est simple : on ne peut pas surveiller correctement une relation dont on n'a pas mesuré le risque à l'ouverture. Le régulateur — au premier rang duquel l'ACPR, l'AMF et la DG Trésor — sanctionne régulièrement des dispositifs où l'entrée en relation était traitée comme un « clic » plutôt que comme une décision de risque documentée.
Les quatre briques de la vigilance à l'entrée
Concrètement, la vigilance initiale se décompose en quatre briques indissociables. Les traiter comme une liste à cocher est une erreur : chacune alimente la suivante, et c'est leur combinaison qui produit un profil de risque défendable.
1. Identifier le client et le bénéficiaire effectif
L'identification consiste à recueillir les éléments qui désignent sans ambiguïté la contrepartie : pour une personne physique, l'état civil complet ; pour une personne morale, la dénomination, la forme juridique, l'adresse du siège, l'identité des dirigeants et le numéro d'immatriculation (SIREN en France). Mais l'identification ne s'arrête pas au client apparent : elle doit remonter jusqu'au bénéficiaire effectif, c'est-à-dire la ou les personnes physiques qui, en dernier ressort, contrôlent le client ou pour le compte desquelles l'opération est réalisée.
La chaîne de détention peut être longue, éclatée entre plusieurs pays, ou volontairement opacifiée. C'est souvent là que se cache le risque réel. Un contrôle sur le SIREN et la structure capitalistique permet de matérialiser cette recherche et d'en conserver la trace.
2. Vérifier sur pièce ou source fiable
Identifier ne suffit pas : il faut vérifier. La vérification s'appuie sur un document probant (pièce d'identité en cours de validité, extrait Kbis récent, statuts, registre des bénéficiaires effectifs) ou sur une source d'information fiable et indépendante. La qualité de la source est déterminante : un registre officiel, une base réglementée ou un fournisseur de données traçable n'ont pas la même valeur probante qu'une déclaration sur l'honneur. Pour comprendre ce qui distingue une source opposable d'une source de complaisance, la question de la méthodologie et des sources utilisées mérite d'être documentée en amont.
3. Connaître la relation d'affaires
La troisième brique, souvent négligée, est la connaissance de l'objet et de la nature de la relation d'affaires (article L561-5-1 du CMF). Que vient chercher le client ? Quels flux, quels montants, quelle fréquence sont attendus ? Quelle est l'origine des fonds et la cohérence économique de l'activité ? Cette connaissance sert de référentiel : sans elle, impossible de repérer plus tard qu'une opération est « atypique », puisqu'on ignore ce qui serait « typique ».
4. Établir le profil de risque
Les trois premières briques convergent vers la quatrième : la construction d'un profil de risque individualisé. Ce profil synthétise les facteurs liés au client (personne morale complexe, PPE, secteur sensible), au produit ou service, au canal de distribution (relation à distance) et à la géographie (pays à risque). Il est l'output de l'entrée en relation et l'input de la surveillance continue. Un dispositif solide relie ce profil individuel à la cartographie des risques de l'organisme, afin que les décisions unitaires restent cohérentes avec l'appétence au risque globale.
L'approche par les risques : moduler la vigilance
Le droit français ne demande pas la même intensité de contrôle pour tous les clients. Il consacre une approche par les risques : la vigilance est proportionnée au risque estimé. Trois niveaux structurent cette modulation.
- Vigilance standard : le régime de droit commun, applicable à la majorité des relations présentant un risque jugé normal.
- Vigilance allégée (article L561-9) : lorsque le risque est faible et démontrable, certaines mesures peuvent être simplifiées ou différées — sans jamais disparaître. L'allègement se justifie, il ne se présume pas.
- Vigilance renforcée (articles L561-10 et L561-10-1) : obligatoire pour les relations à risque élevé — PPE, relation à distance sans mesure compensatoire, pays tiers à haut risque, opérations complexes ou d'un montant inhabituellement élevé sans justification économique apparente.
Le tableau ci-dessous synthétise cette logique. Il constitue une aide à la décision : chaque organisme doit l'adapter à sa propre classification et à son secteur d'activité.
| Niveau de vigilance | Déclencheurs typiques | Mesures attendues |
|---|---|---|
| Allégée | Risque faible démontré : client réglementé, produit à faible risque, faible exposition géographique | Identification maintenue ; vérification et actualisation pouvant être simplifiées ou différées ; justification documentée du faible risque |
| Standard | Profil courant, absence de facteur aggravant, activité cohérente et lisible | Identification et vérification complètes du client et du bénéficiaire effectif ; connaissance de l'objet de la relation ; suivi périodique |
| Renforcée | PPE, pays tiers à haut risque, relation à distance, montages complexes, incohérence des flux, origine des fonds floue | Éléments d'identification et justificatifs complémentaires ; vérification de l'origine des fonds et du patrimoine ; décision d'entrée à un niveau hiérarchique adéquat ; surveillance rapprochée |
Le cas des personnes politiquement exposées (PPE)
Les personnes politiquement exposées déclenchent automatiquement une vigilance renforcée. La notion couvre les personnes exerçant ou ayant exercé des fonctions publiques importantes, leurs membres de famille directs et les personnes qui leur sont étroitement associées (article R561-18 du CMF). L'exposition ne rend pas la personne suspecte en soi ; elle signale un risque accru de corruption ou de détournement qui justifie des diligences supplémentaires.
Deux exigences en découlent. D'une part, la détection du statut PPE dès l'entrée, puis un re-screening régulier : une contrepartie devient PPE quand elle accède à une fonction, et le reste un temps après l'avoir quittée. D'autre part, la vérification de l'origine du patrimoine et des fonds engagés. Le screening des PPE et des dirigeants ne peut donc pas être un contrôle « one-shot » : c'est un processus continu, dont la fréquence dépend du profil de risque. Un contrôle ciblé sur l'identité et les mandats d'un dirigeant aide à matérialiser cette détection à l'entrée comme lors des réexamens.
La vigilance constante pendant toute la relation
L'entrée en relation n'épuise pas les obligations. L'article L561-6 du CMF impose une vigilance constante tout au long de la relation d'affaires : examen des opérations pour vérifier leur cohérence avec la connaissance du client, et mise à jour des éléments d'identification et du profil de risque. Un profil figé à l'ouverture perd rapidement sa valeur. Un changement de bénéficiaire effectif, une évolution de l'activité, l'apparition d'une exposition géographique nouvelle ou d'un statut PPE doivent déclencher un réexamen — et, le cas échéant, un rehaussement du niveau de vigilance.
C'est cette dynamique qui distingue un dispositif vivant d'une simple archive de dossiers d'ouverture. Pour les structures qui construisent ou consolident leur dispositif, notre guide KYC et due diligence détaille comment articuler entrée en relation et suivi dans le temps.
Conservation des documents : la durée légale
Les diligences n'ont de valeur, en cas de contrôle ou d'enquête, que si elles sont tracées et conservées. L'article L561-12 du CMF fixe une durée de conservation de cinq ans à compter de la fin de la relation d'affaires (ou de la clôture du compte) pour les documents relatifs à l'identité des clients, et de cinq ans à compter de leur exécution pour les documents relatifs aux opérations. En pratique, cela impose une piste d'audit complète : quels documents ont été collectés, quelle source a servi à la vérification, quel niveau de vigilance a été retenu, par qui et sur quels motifs. L'absence de traçabilité est, en soi, une faiblesse que les autorités relèvent.
Articulation avec le screening sanctions et PEP
Il faut distinguer deux dispositifs qui se croisent sans se confondre. D'un côté, la vigilance LCB-FT (identification, profil de risque, approche par les risques) relève d'une obligation de moyens proportionnés. De l'autre, le gel des avoirs et les mesures restrictives (sanctions) relèvent d'une obligation de résultat : une personne inscrite sur une liste de gel ne doit pas voir ses fonds mis à disposition, sans marge d'appréciation. En France, le registre national des gels est tenu par la Direction générale du Trésor, en articulation avec les listes de l'Union européenne et de l'ONU.
Le screening sanctions et PPE s'insère donc dans l'entrée en relation, mais avec sa propre logique : il se déclenche à l'ouverture, se répète à chaque mise à jour des listes, et conditionne parfois le refus d'entrer en relation. Côté international, pour les contreparties exposées au Maroc, il convient de rappeler que la source des gels et sanctions y est la CNASNU (Commission nationale chargée de l'application des sanctions prévues par les résolutions du Conseil de sécurité de l'ONU), qui publie les listes onusiennes et une liste locale — et non l'ANRF, qui ne publie aucune liste nominative.
FAQ
Faut-il vérifier l'identité avant ou après l'entrée en relation ?
Le principe posé par le Code monétaire et financier est une vérification préalable. La loi autorise, dans des cas encadrés et pour un faible risque, de finaliser la vérification pendant l'établissement de la relation, mais jamais de s'en dispenser. En pratique, différer la vérification doit rester l'exception, tracée et justifiée.
Qu'est-ce qui distingue vigilance allégée et absence de vigilance ?
La vigilance allégée n'est pas une dispense. Elle permet de simplifier ou de différer certaines mesures lorsque le risque faible est démontré et documenté. L'identification du client et du bénéficiaire effectif demeure ; c'est l'intensité de certaines diligences qui est modulée, pas leur existence.
Un client peut-il devenir PPE après l'entrée en relation ?
Oui, et c'est précisément pourquoi le re-screening périodique est indispensable. Une contrepartie ordinaire à l'ouverture peut accéder à une fonction publique importante en cours de relation. Le dispositif doit alors détecter ce changement de statut et rehausser le niveau de vigilance en conséquence.
Combien de temps faut-il conserver les dossiers d'entrée en relation ?
La durée de référence est de cinq ans : à compter de la fin de la relation d'affaires pour les documents d'identité, et à compter de leur exécution pour les documents relatifs aux opérations (article L561-12 du CMF). Au-delà de la durée, c'est la complétude de la piste d'audit qui compte en cas de contrôle.
Le screening sanctions remplace-t-il la vigilance LCB-FT ?
Non. Ce sont deux obligations distinctes. Le screening sanctions vérifie qu'une contrepartie n'est pas visée par un gel d'avoirs (obligation de résultat), tandis que la vigilance LCB-FT construit un profil de risque et adapte les diligences (obligation de moyens). Un dispositif conforme fait fonctionner les deux ensemble.
En conclusion
Bien menée, l'entrée en relation d'affaires n'est pas un frein commercial mais une décision de risque documentée qui protège l'organisme tout au long de la relation. Les quatre briques — identification, vérification, connaissance de la relation, profil de risque — et l'approche par les risques forment un tout cohérent, à conserver et à réactualiser dans le temps.
Pour outiller ces diligences, RiskSonnar agrège registres officiels, listes de sanctions et signaux d'exposition afin de restituer une recommandation d'aide à la décision — un appui pour calibrer le profil de risque et documenter la piste d'audit, jamais un verdict définitif ni un avis juridique. La décision finale, et sa justification, restent celles de l'assujetti.