REGAFI : vérifier qu’un établissement financier ou de paiement est bien agréé par l’ACPR

Avant de loger sa trésorerie chez un néo-établissement, de router ses flux via un prestataire de paiement ou de confier des fonds à une plateforme d’investissement, une question précède toutes les autres : cet acteur a-t-il le droit d’exercer en France ? Le REGAFI, registre public tenu par l’ACPR, apporte une réponse en quelques secondes. Encore faut-il savoir le lire, en connaître les angles morts et l’articuler avec la liste noire AMF/ACPR et le passeportage européen.

Qu’est-ce que le REGAFI ?

Depuis le 1^er juillet 2026, REGAFI est le registre public unique de l’ACPR pour les organismes des secteurs bancaire et assurantiel relevant de son périmètre. Il réunit dans un même portail les informations auparavant réparties entre REGAFI et REFASSU et est annoncé comme mis à jour quotidiennement. La fiche et son statut doivent toujours être lus à la date de la consultation.

Concrètement, le REGAFI centralise l’identité réglementaire d’un établissement : sa dénomination, son numéro d’agrément, sa catégorie, son adresse, son statut (actif, retiré, en liquidation) et, le cas échéant, son code interbancaire (CIB). C’est la source de référence pour distinguer un prestataire dûment agréé d’un acteur qui exerce sans autorisation — un point de contrôle qui relève de la due diligence la plus élémentaire dès qu’il est question de confier de l’argent ou des données financières à un tiers.

Le REGAFI ne doit pas être confondu avec l’ORIAS. REGAFI recense les organismes et établissements relevant du registre prudentiel public ; l’ORIAS immatricule les intermédiaires en assurance, banque et finance, tels que courtiers, IOBSP ou CIF. Une même chaîne de distribution peut nécessiter de vérifier les deux. Pour situer les compétences, voir notre panorama de l’ACPR, l’AMF et la DG Trésor.

Ce que l’on trouve (et ne trouve pas) dans le REGAFI

Le portail couvre les catégories publiées par l’ACPR au titre des cadres bancaire, financier et assurantiel applicables. La simple présence d’un nom ne suffit pas : il faut lire la catégorie, le statut, les activités autorisées et le régime d’intervention. Le tableau ci-dessous donne des repères indicatifs et ne remplace pas la fiche officielle.

Ce que le REGAFI n’est pas : un indicateur de santé financière commerciale, un label de qualité de service, ni une garantie contre la défaillance. Il atteste d’une autorisation d’exercer et d’un statut à un instant donné — pas de la solvabilité future ni de la fiabilité opérationnelle d’un partenaire. Nous y revenons plus bas.

Pourquoi vérifier l’agrément avant de confier des fonds

L’enjeu premier est la lutte contre les acteurs non autorisés. Recevoir des fonds du public, fournir des services de paiement ou proposer des placements sans agrément constitue une infraction. Les régulateurs alertent régulièrement — c’est un motif de communication récurrent de l’AMF et de l’ACPR — sur la prolifération des arnaques à l’investissement : faux livrets à rendement garanti, plateformes de trading fictives, usurpation du nom d’établissements réels, faux conseillers.

Vérifier le REGAFI (et son pendant AMF pour les acteurs des marchés) permet de trancher une question binaire avant tout engagement :

• L’acteur figure-t-il au registre ? Une absence pure et simple, alors que l’activité proposée relève manifestement de l’agrément, est un signal d’alerte majeur.
• La catégorie d’agrément couvre-t-elle bien l’activité proposée ? Un établissement de paiement qui promet de « rémunérer vos dépôts » sort de son périmètre : incohérence à investiguer.
• Le statut est-il actif ? Un agrément retiré, ou un établissement en cours de liquidation, change radicalement l’analyse.
• La dénomination et l’adresse correspondent-elles à celles de votre interlocuteur ? L’usurpation d’identité d’un établissement agréé est une technique documentée par les régulateurs.

Cette vérification s’inscrit dans une démarche de vigilance plus large sur le tiers : au-delà du statut réglementaire, il faut confirmer l’existence juridique et l’actionnariat de l’entité. Notre guide pour vérifier une entreprise française via le SIREN, le SIRET et le RNE complète utilement le contrôle d’agrément. Pour les prestataires de services sur actifs numériques, le cadre bascule désormais vers l’enregistrement puis l’agrément CASP sous MiCA — sujet traité dans notre analyse de la due diligence PSAN/CASP à l’horizon 2026.

Comment interroger le REGAFI concrètement

Le REGAFI est librement consultable en ligne. La démarche tient en quelques étapes :

1. Recherche par dénomination. Saisissez le nom commercial ou la raison sociale de l’établissement. Attention aux variantes : filiale française d’un groupe étranger, nom de marque distinct de la raison sociale, homonymies. Recoupez avec le SIREN si vous en disposez.
2. Recherche par identifiant réglementaire. Lorsqu’un code CIB ou un autre identifiant est disponible dans le dossier, utilisez-le avec la dénomination exacte et le SIREN. Ne déduisez pas un CIB à partir d’un IBAN sans vérifier sa définition dans la fiche officielle.
3. Lecture de la fiche. Vérifiez la catégorie d’agrément, le statut, la date d’agrément et, pour les acteurs étrangers, le régime d’intervention (agrément français, libre établissement ou libre prestation de services).
4. Recoupement croisé. Confrontez le résultat à la liste noire AMF/ACPR des sites et entités non autorisés, et à l’ORIAS si vous avez affaire à un intermédiaire plutôt qu’à un établissement.

Pour l’assurance, distinguez l'organisme porteur du risque, désormais recherché dans REGAFI, de l'intermédiaire distributeur, à vérifier dans l’ORIAS. Selon le service proposé, un contrôle AMF ou un registre de l’autorité d’origine peut aussi être nécessaire. Nous détaillons le cas des intermédiaires dans notre article sur les obligations de vigilance LCB‑FT des courtiers en assurance.

REGAFI, liste noire AMF/ACPR et passeportage européen

Trois briques se complètent pour cadrer la vérification d’un prestataire financier.

La liste noire AMF/ACPR

En regard du REGAFI, qui liste les acteurs autorisés, l’AMF et l’ACPR publient et actualisent des listes noires d’entités et de sites internet proposant des produits ou services financiers sans y être autorisés (faux placements, forex, crypto-actifs, livrets fictifs, assurance-vie non agréée). La règle de bon sens : figurer sur une liste noire est éliminatoire ; ne pas y figurer n’équivaut pas à une autorisation. Ces listes sont non exhaustives et se remplissent au rythme des signalements. Le contrôle positif au REGAFI reste le point de départ.

Le passeportage européen

Un établissement agréé dans un autre État membre de l’Espace économique européen peut exercer en France sans y détenir d’agrément national, au titre de la libre prestation de services (LPS) ou de la libre d’établissement (LE) — c’est le « passeport européen ». Un tel acteur peut apparaître au REGAFI dans une rubrique dédiée, avec la mention de son régime d’intervention et de son autorité d’origine. L’implication pratique est importante : la supervision prudentielle relève alors de l’autorité du pays d’origine, pas nécessairement de l’ACPR. Vérifier le REGAFI reste pertinent, mais il peut être utile de remonter au registre du régulateur d’origine ou à la base de l’Autorité bancaire européenne (EBA) pour confirmer le passeport.

Un cadre qui se durcit à l’échelle de l’UE

Cette dimension européenne va monter en puissance avec la nouvelle architecture anti-blanchiment de l’Union et la création de l’AMLA. Les obligations de connaissance des contreparties et de vigilance s’harmonisent, comme nous l’expliquons dans notre décryptage du paquet AML 2024 de l’UE.

Les limites : un agrément n’est pas un blanc-seing

Confirmer qu’un établissement est agréé est nécessaire, jamais suffisant. Plusieurs limites méritent d’être gardées à l’esprit :

• L’agrément ne dit rien du risque commercial. Un établissement parfaitement agréé peut connaître des difficultés financières, un incident opérationnel majeur ou une défaillance. Le statut réglementaire n’est pas une note de solvabilité.
• Le registre reflète un instant T. Agréments retirés, changements de statut, fusions : la donnée évolue. Une vérification datée doit être rafraîchie avant tout engagement significatif.
• L’usurpation reste possible. Un fraudeur peut se réclamer d’un établissement réel et agréé. La correspondance entre l’entité du registre et votre interlocuteur effectif (coordonnées, IBAN, canaux officiels) doit être vérifiée indépendamment.
• Le périmètre est bancaire et financier. Les intermédiaires (ORIAS), les prestataires sur actifs numériques (régime dédié) ou les acteurs étrangers hors EEE relèvent d’autres logiques de contrôle.

Le contrôle d’agrément est donc une porte d’entrée de la due diligence, à combiner avec la vérification de l’existence juridique, de l’actionnariat, des bénéficiaires effectifs, des dirigeants et de l’exposition aux sanctions et aux personnes politiquement exposées.

FAQ

REGAFI ou ORIAS : lequel consulter ?

Les deux, selon le rôle de votre contrepartie. REGAFI recense notamment les établissements bancaires et financiers ainsi que les organismes d’assurance publiés par l’ACPR ; l’ORIAS recense les intermédiaires tels que courtiers, IOBSP, CIF et agents généraux. Vérifiez le producteur ou porteur du risque dans REGAFI et le distributeur dans l’ORIAS lorsque la chaîne comporte les deux.

Un prestataire européen absent du REGAFI est-il forcément illégal ?

Non. Un établissement agréé dans un autre pays de l’EEE peut opérer en France en libre prestation de services ou en libre établissement, via le passeport européen. Il apparaît en principe dans une rubrique dédiée du REGAFI. En cas de doute, remontez au registre de son autorité d’origine ou à la base de l’EBA pour confirmer le passeport et l’autorité de supervision compétente.

Que signifie le code CIB dans une fiche REGAFI ?

Le code interbancaire (CIB) est l’identifiant à cinq chiffres qui désigne sans ambiguïté un établissement teneur de comptes dans les systèmes de paiement. C’est le critère de recherche le plus fiable pour lever une homonymie, plus précis qu’une simple recherche par dénomination.

La présence au REGAFI garantit-elle que mon argent est en sécurité ?

Non. Un statut actif dans la catégorie pertinente confirme une autorisation ou un droit d’exercer publié à la date du contrôle ; il ne garantit ni solvabilité future, ni qualité de service, ni absence d’incident. Les mécanismes de garantie éventuels dépendent du type d’établissement, du produit et des conditions légales applicables.

À quelle fréquence refaire la vérification ?

Il n’existe pas de règle unique : la bonne pratique est de vérifier à l’entrée en relation, puis de rafraîchir le contrôle lors de tout événement significatif (renouvellement de contrat, hausse des montants confiés, alerte publique du régulateur) et à intervalle régulier dans le cadre de votre vigilance continue.

Conclusion

REGAFI fournit un contrôle réglementaire essentiel : identité, catégorie, statut, activités et régime d’intervention. Depuis sa refonte du 1^er juillet 2026, il couvre aussi le volet assurantiel auparavant publié via REFASSU. Ce contrôle positif doit être daté, rapproché de l’offre réellement proposée et complété, selon le cas, par l’ORIAS, les listes d’alertes et le registre de l’autorité d’origine. Une autorisation n’est jamais une garantie de solvabilité.

Chez RiskSonnar, nous intégrons ce type de vérifications réglementaires dans une analyse de tiers plus complète — existence juridique, dirigeants, bénéficiaires effectifs, sanctions et PEP — pour produire une recommandation d’aide à la décision, jamais un verdict définitif ni un avis juridique. Pour un premier contrôle, lancez une vérification par SIREN ou découvrez notre méthodologie et nos sources.