KYC Fournisseur 2026 : Guide Complet LCB-FT France & Maroc

Le KYC fournisseur n'est plus une option. En 2026, toute entreprise qui contractualise avec des tiers est exposée à des obligations de vigilance concrètes — et à des sanctions réelles en cas de manquement. Ce guide détaille le cadre légal en France et au Maroc, les 5 étapes pratiques d'un KYC efficace, les documents à exiger selon le type d'entité, et comment automatiser le processus sans sacrifier la qualité.

Pourquoi le KYC fournisseur est devenu obligatoire

Cadre légal en France

Le dispositif français de lutte contre le blanchiment et le financement du terrorisme (LCB-FT) repose sur trois piliers :

• Le Code monétaire et financier — articles L.561-1 et suivants — qui définit les obligations de vigilance, de déclaration et de conservation pour les entités assujetties.
• Tracfin, la cellule de renseignement financier nationale, qui reçoit et analyse les déclarations de soupçon. Tracfin reçoit chaque année plus de 150 000 déclarations de soupçon, très majoritairement issues du secteur bancaire et financier, une part croissante provenant des professions non financières (source : rapports annuels Tracfin).
• La loi Sapin II (décembre 2016) qui impose aux sociétés de plus de 500 salariés et 100 M€ de CA une cartographie des risques de corruption et une due diligence sur leurs partenaires commerciaux.

Depuis la directive européenne AMLR (Anti-Money Laundering Regulation, adoptée en 2024), les obligations s'étendent progressivement aux PME et aux professions qui traitent des montants significatifs : agents immobiliers, experts-comptables, concessionnaires, plateformes crypto, marchands d'art.

Cadre légal au Maroc

Le Maroc a considérablement renforcé son arsenal LCB-FT depuis sa sortie de la liste grise du GAFI en février 2023. Les textes de référence :

• Loi 43-05 relative à la lutte contre le blanchiment de capitaux, complétée par les lois 13-10 et 12-18.
• ANRF (Autorité Nationale du Renseignement Financier) qui reçoit les déclarations de soupçon depuis 2009 et publie des lignes directrices sectorielles.
• Bank Al-Maghrib, notamment via la circulaire 5/W/2018 qui impose aux établissements de crédit une vigilance renforcée sur les relations avec les PEP et les pays à risque.
• Office des Changes, qui contrôle les flux transfrontaliers et impose des obligations de déclaration pour les transactions supérieures à 100 000 MAD.

Sanctions en cas de non-conformité

Les conséquences d'un manquement ne sont pas théoriques. En France, les amendes peuvent atteindre 1,5 million d'euros ou 1% du CA annuel. Au Maroc, Bank Al-Maghrib peut prononcer des sanctions administratives et retirer l'agrément. Au-delà des amendes, la responsabilité personnelle des dirigeants est engagée — y compris pénalement en cas de complicité avérée.

Les 5 étapes d'un KYC fournisseur efficace

1. Identification formelle de la contrepartie

La première étape consiste à collecter les éléments d'identification officiels :

• France : SIRET, Kbis de moins de 3 mois, statuts, identité des dirigeants et des bénéficiaires effectifs (détenteurs de plus de 25% du capital ou contrôle effectif).
• Maroc : numéro de RC, attestation OMPIC récente, ICE (Identifiant Commun d'Entreprise) à 15 chiffres, IF (Identifiant Fiscal), statuts enregistrés.

Un bénéficiaire effectif qui refuse de se déclarer ou qui change fréquemment d'identité est un drapeau rouge immédiat.

2. Vérification sanctions et PEP

Croiser l'identité de la société et de ses dirigeants avec :

• Les listes de sanctions internationales : OFAC (États-Unis), UE, ONU, OFSI (Royaume-Uni)
• Les listes nationales : ANRF (Maroc), DGT (France)
• Les listes de PEP (Personnes Politiquement Exposées) — qui imposent une vigilance renforcée même en l'absence de faute

La plupart des outils modernes utilisent OpenSanctions, qui agrège plus de 200 listes mondiales en une base consolidée.

3. Analyse financière et solvabilité

Exploiter les bilans déposés au greffe (France) ou les publications de la Bourse de Casablanca (pour les sociétés cotées marocaines) pour évaluer :

• Le chiffre d'affaires et sa tendance (3 derniers exercices)
• Le résultat net et la rentabilité
• Les fonds propres et le niveau d'endettement
• L'ancienneté et l'évolution de l'effectif

Un fournisseur dont le CA baisse deux années consécutives mérite une vigilance particulière, même sans procédure collective déclarée.

4. Réputation et signaux faibles

Compléter l'analyse avec des sources non-officielles mais révélatrices :

• Presse économique (Google News, L'Économiste, Medias24, Challenge.ma)
• Avis clients (Trustpilot) et avis employés (Glassdoor)
• Cohérence de la présence digitale (site web, LinkedIn, ancienneté du domaine)

5. Documentation et archivage

Tout dossier KYC doit être tracé et conservé pendant au minimum 5 ans (France) ou 10 ans (Maroc, obligations fiscales). Chaque décision (entrée en relation, refus, vigilance renforcée) doit être documentée avec sa justification factuelle. C'est ce dossier qui fera foi en cas de contrôle.

Documents obligatoires par type d'entité

Voici un tableau récapitulatif des documents minimum à exiger selon le type de contrepartie :

• Société FR : Kbis < 3 mois · Statuts à jour · Identité dirigeants · Bénéficiaires effectifs · RIB · Attestation URSSAF · Dernier bilan certifié (selon montant)
• Société MA : RC OMPIC récent · Statuts · ICE/IF · Attestation CNSS · Attestation patente · Pièce d'identité gérant · Dernier bilan certifié
• Personne physique : CIN/Passeport · Justificatif de domicile < 3 mois · Attestation de fonction (si PEP) · Déclaration d'origine des fonds (si montant > 100 K€)

Automatiser le KYC avec les outils modernes

Un processus KYC manuel rigoureux peut mobiliser de plusieurs heures à plusieurs jours par contrepartie, selon la complexité du dossier. Pour une PME qui contractualise avec 20 à 50 nouveaux fournisseurs par mois, le coût cumulé devient prohibitif — et la tentation de raccourcir la vigilance, réelle.

Les outils de due diligence automatisée résolvent cette tension en agrégeant les sources officielles (registres, sanctions, presse, bilans) via API et en produisant un rapport PDF structuré en moins d'une minute. Le décisionnaire garde le contrôle final, mais s'appuie sur une base factuelle consolidée plutôt que sur une recherche manuelle partielle.

RiskSonnar est l'un de ces outils. En 60 secondes, il interroge plus de 200 listes de sanctions, les registres officiels France et Maroc, BODACC, OMPIC, Bank Al-Maghrib, Pappers et 20+ sources complémentaires.

Checklist KYC fournisseur minimum

1. Identifier formellement la société et ses dirigeants via les registres officiels
2. Identifier les bénéficiaires effectifs (>25% du capital ou contrôle)
3. Filtrer les listes de sanctions internationales (OFAC, ONU, OFSI, UE)
4. Vérifier le statut PEP des dirigeants et bénéficiaires
5. Analyser les 3 derniers bilans si disponibles
6. Vérifier l'absence de procédures collectives (BODACC, OMPIC)
7. Croiser la presse économique des 24 derniers mois
8. Vérifier la cohérence de la présence digitale
9. Documenter la décision et sa justification
10. Programmer une re-vérification annuelle (trimestrielle pour les risques élevés)

Conclusion

Le KYC fournisseur n'est pas une corvée administrative : c'est un levier stratégique qui protège l'entreprise contre les fraudes, les pertes financières et les sanctions réglementaires. En 2026, les PME qui structurent leur dispositif de due diligence prennent une longueur d'avance — à la fois sur la conformité et sur la qualité de leur portefeuille commercial.

Le coût de non-conformité (amendes, responsabilité dirigeant, pertes commerciales) est désormais supérieur au coût d'un processus KYC structuré et automatisé. Il n'y a donc plus d'arbitrage rationnel à faire contre le KYC : la vraie question est comment le faire bien, pas s'il faut le faire.

Questions frequentes

Le KYC fournisseur est-il obligatoire pour une PME ?

L'obligation depend du secteur. Les entites assujetties LCB-FT (banques, assurances, certaines activites reglementees) ont des obligations de vigilance formelles. Au-dela, le devoir de vigilance, la lutte contre le travail dissimule et les regles anti-corruption (loi Sapin 2) imposent en pratique des controles sur les tiers a de nombreuses PME, et un dispositif KYC reste une protection contre la fraude et le risque de reputation.

Quelles sont les etapes essentielles d'un KYC fournisseur ?

Identifier l'entite et ses identifiants officiels, verifier son existence et son immatriculation, identifier les beneficiaires effectifs, filtrer contre les listes de sanctions et les PEP, evaluer la solidite financiere, puis documenter et reevaluer periodiquement. La frequence de revue doit etre proportionnee au niveau de risque du fournisseur.

Quels documents demander a un nouveau fournisseur ?

Pour une societe francaise : extrait Kbis de moins de 3 mois, statuts, identite des dirigeants et beneficiaires effectifs, RIB et, selon le secteur, attestations d'assurance et de vigilance URSSAF. Pour une societe marocaine : modele J recent, certificat ICE et identite des dirigeants. Les pieces doivent etre coherentes entre elles et avec les registres officiels.

Quelle difference entre KYC et due diligence ?

Le KYC (Know Your Customer ou Know Your Supplier) designe le processus d'identification et de verification de l'identite d'un tiers. La due diligence est plus large : elle ajoute l'analyse du risque financier, juridique, reputationnel et de conformite. Le KYC est une brique de la due diligence, qui constitue l'evaluation globale du tiers.