LCB-FT – Identification et vérification de l’identité du client

Nul n’entre en relation d’affaires avec un professionnel assujetti sans que celui-ci ait d’abord établi qui il est et, derrière lui, qui tire réellement profit de la relation. Le Code monétaire et financier fait de cette exigence la condition même de l’accès au service, en imposant de distinguer deux opérations que la pratique confond volontiers : recueillir une déclaration d’identité et en éprouver la véracité.

I) La nature de l’obligation d’identification

Le monde des affaires est celui où circulent, par nécessité, les informations patrimoniales que leurs titulaires préféreraient tenir à l’abri : c’est là que la discrétion a le plus de prix, et c’est là précisément que le législateur a imposé au professionnel de savoir qui il sert. L’obligation d’identification du client procède de ce renversement. Elle contraint le banquier, l’assureur, le notaire ou le changeur à percer le voile derrière lequel un flux financier se présente à lui, non pour satisfaire une curiosité, mais parce qu’un système financier dont les acteurs ignorent l’identité de leurs contreparties devient le canal naturel du blanchiment. Encore faut-il mesurer l’exacte nature de cette obligation : elle n’est ni une formalité d’ouverture de dossier, ni un devoir général de surveillance. Elle est une opération juridique déterminée, dont la source, la structure, le débiteur et le moment d’exécution sont fixés par des textes précis.

A) L’assise textuelle du dispositif

Le droit de la lutte contre le blanchiment de capitaux et le financement du terrorisme — la matière se désigne par le sigle LCB-FT — présente une physionomie singulière : il se construit à Bruxelles, se transpose à Paris, et s’applique sous la surveillance d’une autorité administrative dont les prises de position écrites gouvernent la pratique quotidienne des établissements. Trois strates, donc, dont aucune ne se comprend sans les deux autres.

1) La source européenne des diligences

Les diligences d’identification n’ont pas été inventées par le législateur français. Elles procèdent d’une succession de directives européennes que le droit interne a transposées, chacune élargissant le champ des assujettis et affinant la mesure des vigilances. Cette technique de la directive a toutefois produit ce que l’Union tient désormais pour un défaut : une harmonisation lacunaire, où les mêmes exigences reçoivent, d’un État membre à l’autre, des traductions divergentes qui offrent au capital illicite des points d’entrée différenciés.

De là le paquet législatif adopté le 31 mai 2024, qui rompt avec cette méthode. Le règlement (UE) 2024/1624, dit règlement anti-blanchiment, portera directement les mesures de vigilance à l’égard de la clientèle sans passer par le relais d’une loi nationale ; la directive (UE) 2024/1640 continuera d’encadrer, quant à elle, l’organisation des registres et des autorités. Une précision s’impose ici, qui commande la lecture de tout ce qui suit : ces deux textes sont adoptés, ils ne sont pas applicables. Le règlement 2024/1624 le deviendra le 10 juillet 2027, et seulement le 10 juillet 2029 pour certaines catégories d’assujettis visées à son article 3 ; la directive doit être transposée pour cette même date de 2027, quelques-unes de ses dispositions appelant une transposition plus précoce. Jusque-là, le droit qui régit l’identification du client demeure celui du Code monétaire et financier. Seul le règlement (UE) 2024/1620, instituant l’Autorité de lutte contre le blanchiment, produit déjà ses effets : applicable depuis le 1er juillet 2025, il confie à cette autorité la tenue d’une base de données centrale alimentée par les autorités de surveillance nationales.

L’anticipation n’en est pas moins utile, car les lignes de force du futur régime sont connues. À compter du 10 juillet 2027, l’article 19 du règlement énumérera les circonstances déclenchant les mesures de vigilance — la nouure d’une relation d’affaires, la transaction occasionnelle d’au moins 10 000 euros exécutée en une ou plusieurs fois, la participation à la création d’une entité juridique — et son article 23 posera le principe de l’antériorité de la vérification, assorti du même tempérament de risque moins élevé que celui que connaît aujourd’hui le droit français.

2) L’ancrage dans le code monétaire et financier

Le siège de la matière se trouve aux articles L. 561-5 à L. 561-5-1 du Code monétaire et financier, que déploient les articles R. 561-5 à R. 561-12. Le premier de ces textes porte l’essentiel, et sa rédaction mérite d’être lue de près : elle sépare, en deux alinéas numérotés, deux opérations que la pratique confond volontiers.

À ce socle s’ajoute un troisième pilier, distinct des deux précédents par son objet : la connaissance de l’objet et de la nature de la relation d’affaires, que l’article L. 561-5-1 impose de recueillir avant l’entrée en relation et d’actualiser tout au long de celle-ci. Identifier, vérifier, connaître : le dispositif se laisse ramener à ce triptyque séquentiel, dont les termes sont cumulatifs et dont chacun conditionne le suivant. Une identification que nulle vérification ne corrobore n’est qu’une allégation ; une connaissance de la relation qui ne repose sur aucune identité établie porte sur un sujet indéterminé.

Ces obligations ne s’appliquent pas de manière uniforme. L’article L. 561-4-1 en commande l’intensité par le risque, et fait de l’approche par les risques non pas une faculté d’assouplissement mais le principe même de mise en œuvre.

Le professionnel n’exécute donc pas un protocole figé : il module la profondeur de ses contrôles selon la nature des produits offerts, les conditions de transaction, les canaux de distribution, les caractéristiques du client et le territoire concerné.

3) Le relais de la doctrine administrative

Entre le texte et sa mise en œuvre s’interpose une troisième strate, dont la nature juridique est incertaine mais dont l’autorité pratique est considérable : les lignes directrices et principes d’application sectoriels publiés par l’Autorité de contrôle prudentiel et de résolution, seule ou conjointement avec Tracfin, la direction générale du Trésor ou l’administration des douanes. Ces documents n’ont pas force de loi. Ils énoncent la lecture que l’autorité de contrôle fait des textes, et c’est cette lecture qui sera opposée à l’établissement lors d’un contrôle sur place.

Leur intérêt tient à ce que la loi ne peut fournir : l’exemple. Les lignes directrices relatives à l’identification, à la vérification de l’identité et à la connaissance de la clientèle décrivent ainsi la conduite à tenir devant un document d’identité étranger, indiquant que l’organisme confronté à une difficulté d’appréciation de l’authenticité — hypothèse fréquente lorsque la pièce émane d’une autorité étrangère — recueille une pièce justificative supplémentaire, sans que ce second document constitue pour autant une exigence absolue lorsque le client n’est pas en mesure de le produire. Les principes d’application sectoriels du secteur de l’assurance rappellent de leur côté, avec une insistance qui trahit la fréquence du manquement, que les diligences complètes doivent être accomplies systématiquement avant l’entrée en relation.

La sanction de ces énoncés n’est pas directe, mais elle est réelle : un établissement qui s’écarte de la doctrine administrative devra justifier son écart, et la Commission des sanctions ne se prive pas de relever l’absence d’un mode opératoire interne conforme. Ainsi la décision n° 2022-04 du 24 janvier 2023 à l’égard de la société BMW Finance a-t-elle retenu qu’un établissement n’ayant sollicité l’accès au registre des bénéficiaires effectifs qu’en novembre 2020, et n’ayant formalisé la procédure de consultation qu’en mars 2022, ne pouvait utilement se retrancher derrière la rédaction alors en vigueur des lignes directrices de l’ACPR.

B) La distinction de l’identification et de la vérification

Le socle textuel étant posé, il faut venir au cœur du dispositif. La confusion entre identifier et vérifier compte parmi les erreurs que la Commission des sanctions relève le plus souvent — et l’on comprend pourquoi : les deux opérations se succèdent dans le même geste d’ouverture de compte, elles portent sur les mêmes personnes, elles figurent au même article. Pourtant, la distinction n’est pas un raffinement d’exégèse. Elle emporte des conséquences sur la valeur probatoire des diligences accomplies, sur l’accès même à la relation d’affaires et sur la capacité de l’établissement à démontrer, le jour du contrôle, qu’il a satisfait à ses obligations.

1) Le recueil déclaratif des éléments d’identité

Identifier, c’est répondre à une question : qui est déclaré comme client de cette relation d’affaires ? L’opération consiste à recueillir, sur une base purement déclarative, les éléments d’identité que l’article R. 561-5 énumère selon la qualité du client. Aucune preuve n’est requise à ce stade — c’est la nature même de l’identification que de constituer la matière brute sur laquelle la vérification s’exercera ensuite.

La distinction des catégories n’est pas indifférente. Les données minimales d’une personne physique tiennent à son état civil ; celles d’une personne morale à son existence juridique et à son implantation, l’exigence portant à la fois sur le siège statutaire et sur le lieu de direction effective lorsque les deux divergent — précaution qui vise les structures dont l’adresse déclarée ne dit rien du lieu où l’activité se décide. L’entrepreneur individuel, quant à lui, est identifié selon les modalités de la personne physique, sa qualité de commerçant ne créant pas une personnalité distincte. Restent les constructions juridiques de type fiducie, pour lesquelles l’identification s’étend aux constituants, aux fiduciaires et aux bénéficiaires.

2) La corroboration par une pièce probante

Vérifier, c’est répondre à une tout autre question : est-ce bien lui ? Les éléments déclarés correspondent-ils à la réalité ? L’opération suppose la production d’un écrit à caractère probant, et l’article R. 561-5-1 en organise les modalités selon une gradation qui va du moyen d’identification électronique certifié à la présentation d’un document officiel en cours de validité comportant une photographie, ou, pour la personne morale, à la communication d’un extrait de registre officiel de moins de trois mois.

Encore fallait-il prévoir l’hypothèse où aucune de ces voies n’est praticable — le client à distance qui ne dispose d’aucun moyen d’identification électronique, la pièce dont l’original ne peut être présenté. L’article R. 561-5-2 ouvre alors une voie subsidiaire, mais à une condition de cumul : deux mesures au moins doivent être combinées, l’obtention d’une copie de document, sa certification par un tiers indépendant, ou d’autres diligences équivalentes. Le législateur n’admet pas ici l’affaiblissement de l’exigence probatoire ; il en autorise la reconstitution par accumulation d’indices.

3) La portée probatoire de la distinction

Pourquoi maintenir séparées, dans la traçabilité interne, deux opérations que le même geste accomplit ? Parce que l’établissement doit pouvoir démontrer distinctement ce qu’il a collecté, ce qu’il a contrôlé, selon quelles méthodes et avec quelles garanties. Un dossier qui mêle les deux ne prouve ni l’une ni l’autre.

Cette exigence probatoire n’est pas neuve, et la Cour de cassation en avait posé la charge bien avant que le dispositif LCB-FT ne prenne sa forme actuelle : c’est au professionnel de prouver qu’il a satisfait aux vérifications qui lui incombaient.

La conséquence de la défaillance est identique dans les deux cas, mais elle ne se produit pas au même moment du raisonnement : faute d’identification, l’établissement ne dispose d’aucun élément déterminé ; faute de vérification conforme, il détient des éléments qu’il ne peut opposer. Dans l’une comme dans l’autre hypothèse, l’article L. 561-8 lui interdit d’entrer en relation d’affaires, ou lui commande d’y mettre fin si la relation a néanmoins été établie.

C) Le champ des professionnels assujettis

Ces obligations pèsent sur les personnes que désigne l’article L. 561-2, dont la liste s’est étendue au fil des transpositions successives selon une logique constante : atteindre tout professionnel qui, par son activité, se trouve en position de voir passer des fonds ou de prêter son concours à des montages patrimoniaux.

1) Les acteurs du secteur financier

Le noyau historique du dispositif est financier : établissements de crédit, entreprises d’investissement, établissements de paiement et de monnaie électronique, organismes d’assurance et intermédiaires, sociétés de gestion, changeurs manuels, prestataires de services sur actifs numériques. La diversité de ces métiers explique que la doctrine administrative se soit fragmentée en principes d’application sectoriels : ce qui vaut pour un souscripteur de contrat d’assurance-vie ne se transpose pas à l’identique au client d’un bureau de change. La Commission des sanctions a d’ailleurs eu à connaître de manquements propres à cette dernière activité, relevant dans sa décision n° 2015-07 du 4 juillet 2016 à l’égard de la société Quick Change des enregistrements d’opérations de change lacunaires — cellules non renseignées, bordereaux non horodatés — qui privaient l’établissement de tout moyen de justifier ses diligences.

2) L’extension aux professions non financières

Le périmètre déborde largement la finance. Il englobe les notaires, huissiers, administrateurs et mandataires judiciaires, avocats dans certaines de leurs activités de conseil patrimonial, experts-comptables et commissaires aux comptes, agents immobiliers, opérateurs de jeux, et les professionnels du commerce des métaux précieux — auxquels l’ACPR et la direction générale des douanes ont consacré des principes d’application sectoriels communs, invitant notamment ces opérateurs à préciser dans leurs procédures internes les critères qui distinguent le client occasionnel du client en relation d’affaires.

C’est là que se joue une qualification préalable dont dépend l’étendue des diligences : les obligations d’identification, de vérification et de connaissance de la clientèle ne se déploient pleinement qu’à l’égard du client en relation d’affaires, l’article L. 561-5, II ne les étendant au client occasionnel qu’en cas de soupçon ou dans les hypothèses réglementairement définies.

D) Le moment de l’accomplissement des diligences

Reste la question du quand, qui n’est pas la moindre : une identification accomplie après coup ne protège de rien, puisque les fonds ont circulé.

1) L’antériorité à l’entrée en relation

L’article L. 561-5 le dit dans ses premiers mots : les diligences sont accomplies « avant d’entrer en relation d’affaires ». L’antériorité n’est pas une modalité d’exécution, elle est de l’essence de l’obligation. Les lignes directrices conjointes de l’ACPR et de Tracfin le rappellent en termes identiques, et les principes sectoriels du secteur de l’assurance insistent sur le caractère systématique de cette antériorité — insistance qui, dans un document destiné aux professionnels, vaut constat de la fréquence du manquement.

2) Les tempéraments tenant au risque faible

Le IV de l’article L. 561-5 admet toutefois un report de la vérification, mais à des conditions étroites : il faut que le risque de blanchiment ou de financement du terrorisme paraisse faible, et que le professionnel soit en mesure d’en justifier auprès de son autorité de contrôle. Le tempérament, au demeurant, ne porte que sur la vérification, jamais sur l’identification, et il connaît une limite absolue : la vérification doit intervenir avant la première opération effectuée sur le compte. Le report n’est donc pas une dispense, mais un décalage borné.

Cette économie ne sera pas bouleversée par le paquet de 2024. À compter du 10 juillet 2027, l’article 23 du règlement (UE) 2024/1624 posera lui aussi le principe de la vérification préalable à l’établissement de la relation d’affaires ou à l’exécution d’une transaction occasionnelle, et réservera de la même façon les situations de risque moins élevé lorsque ce risque justifie le report. Le tableau ci-dessous met en regard les deux états du droit.

Une dernière précision, qui achève de dessiner la physionomie temporelle du dispositif : l’identification n’est pas un acte que l’on accomplit une fois pour toutes. L’article R. 561-11 impose d’y procéder de nouveau lorsque le professionnel a de bonnes raisons de penser que les éléments précédemment obtenus ne sont plus exacts ou pertinents. L’obligation est donc à la fois préalable et continue — préalable dans son déclenchement, continue dans son entretien.

La distinction entre identifier et vérifier étant acquise, et le moment de ces diligences fixé, il importe de déterminer à l’égard de quelles personnes elles doivent être mises en œuvre.

II) Le périmètre des personnes à identifier

Savoir ce qu’il faut recueillir ne dit pas encore de qui il faut le recueillir. Or c’est là que le dispositif révèle son ambition véritable : il ne se satisfait pas du face-à-face entre le professionnel et celui qui se présente à son guichet. Le blanchiment prospère précisément dans l’écart entre l’apparence et la réalité — entre celui qui signe et celui qui décide, entre la société de façade et l’homme qui l’anime. Aussi les diligences se déploient-elles sur trois cercles concentriques : le client, qui est le cocontractant ; le représentant, qui agit en son nom ; et le bénéficiaire effectif, qui est la personne physique que la structure dissimule. À quoi s’ajoute une exigence d’une autre nature, qui ne porte plus sur des personnes mais sur la relation elle-même : sa raison d’être, son économie, sa vraisemblance.

A) Le client, sujet premier des diligences

Toute relation d’affaires commence par un client, et c’est de sa qualification que dépend le contenu des diligences. L’article R. 561-5 du code monétaire et financier ne pose pas une liste unique d’éléments à recueillir : il en pose plusieurs, distribuées selon la nature juridique de l’interlocuteur. Déterminer si l’on a affaire à une personne physique, à une personne morale ou à une construction juridique dépourvue de personnalité n’est donc pas un préalable formel — c’est l’acte qui commande tout le reste.

1) L’identification de la personne physique

Pour le client personne physique, le socle déclaratif est resserré : les nom et prénoms, la date et le lieu de naissance. Cette parcimonie n’est pas un relâchement, elle est un calcul. Ces quatre données forment, ensemble, un identifiant à peu près univoque dans les registres d’état civil, là où le seul patronyme ne distinguerait rien. L’entrepreneur individuel, quoique commerçant, relève de ce régime : n’ayant pas de personnalité distincte, il est identifié comme la personne physique qu’il demeure, quand bien même son activité professionnelle appellera, au titre de la connaissance de la relation, des éléments supplémentaires.

La vérification, elle, suppose une pièce. Le document officiel en cours de validité comportant une photographie en est la voie ordinaire, l’identification électronique certifiée la voie moderne — et le professionnel doit relever puis conserver, outre l’état civil, la nature du document, ses date et lieu de délivrance ainsi que l’autorité émettrice. La Commission des sanctions a eu l’occasion de rappeler la rigueur de cette exigence sous l’empire des textes antérieurs, où la même architecture prévalait déjà (Commission des sanctions de l’ACPR, décision n° 2020-06 du 12 juillet 2021, à l’égard de la société A).

2) L’identification de la personne morale

La personne morale appelle un autre jeu de données, parce qu’elle n’a pas d’état civil : la forme juridique, la dénomination, le numéro d’immatriculation, l’adresse du siège social — et, si elle en diffère, celle du lieu de direction effective de l’activité. Cette dernière précision mérite qu’on s’y arrête, car elle trahit la défiance du texte envers les domiciliations de complaisance : une société dont le siège est à Paris mais dont les décisions se prennent ailleurs n’a pas le même profil de risque, et le professionnel doit le savoir.

La corroboration passe par l’extrait de registre officiel de moins de trois mois, ou par l’extrait du Journal officiel pour les entités qui y publient. Le délai de trois mois n’est pas une coquetterie administrative : un extrait ancien atteste d’une situation révolue, et c’est bien la situation actuelle — dirigeants en fonction, capital réparti — qui intéresse la vigilance. La Commission des sanctions l’a jugé de façon topique en relevant, à la charge d’un établissement, que les dossiers de plusieurs de ses clients ne comportaient pas d’extrait suffisamment récent, faute d’une procédure interne précisant les diligences dues à l’égard du client personne morale (Commission des sanctions de l’ACPR, décision n° 2016-03 du 15 décembre 2016, à l’égard de la Société d’exploitation MERSON).

Quant aux fiducies et constructions comparables, elles échappent à cette dichotomie : sans personnalité juridique, elles imposent de remonter aux personnes qui les composent — constituants, fiduciaires, bénéficiaires. L’exigence de vérifier l’identité du titulaire d’un compte n’est d’ailleurs pas née du dispositif LCB-FT : la Cour de cassation la faisait déjà peser sur le banquier bien avant lui, fût-ce à l’égard d’une société en formation, c’est-à-dire d’une entité qui n’existait pas encore comme sujet de droit.

3) Le traitement des documents étrangers

Le document étranger déjoue les repères. Rédigé dans un alphabet non latin, dépourvu de date d’expiration, émanant d’une autorité dont le professionnel ignore jusqu’au nom, il ne se laisse pas apprécier avec les réflexes acquis sur les titres nationaux. La doctrine administrative de l’ACPR y répond sans formalisme excessif : le professionnel doit s’interroger sur la validité du titre par tout moyen à sa disposition, une recherche documentaire en ligne comprise. L’exigence est de diligence, non de certitude — mais elle est réelle, et l’inertie ne s’excuse pas par l’exotisme de la pièce.

Lorsque le titre appartient à une catégorie exposée à la fraude, la même doctrine recommande de ne pas s’en contenter et de recueillir une seconde pièce venant confirmer l’identité : livret de famille, extrait d’état civil, attestation consulaire. On retrouve là, sous une forme prudentielle, la logique qu’exprime l’article R. 561-5-2 lorsque les modalités ordinaires de vérification sont hors d’atteinte — le texte impose alors la conjonction d’au moins deux mesures parmi celles qu’il énumère. Une pièce douteuse ne devient pas probante par la seule volonté d’entrer en relation ; elle le devient par la convergence de plusieurs sources indépendantes.

B) Le représentant et le mandataire

Le client ne se présente pas toujours en personne. La personne morale, par construction, n’agit jamais autrement que par des organes ; la personne physique peut se faire représenter. Dans les deux cas s’interpose un intermédiaire dont le dispositif ne se désintéresse pas, car il serait vain d’identifier avec rigueur un client dont on laisserait n’importe qui engager la signature.

1) La justification du pouvoir de représentation

L’article R. 561-5-4 impose au professionnel d’identifier la personne agissant pour le compte du client et de vérifier son identité selon les mêmes modalités que celles applicables au client lui-même. L’intermédiaire n’est donc pas un simple porteur de documents : il devient, pour les besoins de la vigilance, un sujet à part entière du recueil et de la corroboration. La doctrine administrative de l’ACPR illustre cette exigence en déclinant, par type de représenté, la pièce attendue — l’acte constatant la délégation et les pouvoirs qui s’y attachent pour un mandataire ordinaire, le prospectus ou son équivalent pour le représentant d’un organisme de placement collectif, l’acte de nomination ou la délégation de pouvoir pour celui d’une collectivité territoriale.

2) Le contrôle de l’étendue du mandat

Vérifier l’identité du mandataire ne suffit pas : encore faut-il s’assurer qu’il détient l’habilitation permettant d’engager le client dans la relation projetée. Cette seconde exigence se distingue de la première par son objet — non plus qui est cette personne, mais ce qu’elle peut faire — et par son enjeu : un pouvoir périmé, un dépassement de délégation, une signature sociale mal répartie sont autant de failles par lesquelles un tiers peut faire fonctionner un compte qui ne lui appartient pas. Cette double exigence, identité et pouvoirs, présente la particularité de survivre aux allégements : même sous le régime des mesures de vigilance simplifiées, elle demeure due.

C) Le bénéficiaire effectif

Vient enfin le cercle le plus profond, et le plus révélateur de la philosophie du dispositif. Identifier le client renseigne sur la façade ; identifier le bénéficiaire effectif dissipe l’écran. La finalité change de nature : il ne s’agit plus de savoir avec qui l’on contracte, mais qui, en dernière analyse, se tient derrière le contrat.

1) Les critères de contrôle et de détention

Le bénéficiaire effectif est toujours une personne physique — proposition qui paraît triviale et qui commande pourtant toute la mécanique : la recherche ne s’arrête jamais sur une société, si transparente soit-elle en apparence.

Le seuil de 25 % n’est pas exclusif : le texte lui adjoint un critère fonctionnel, emprunté au droit des sociétés, qui saisit celui qui détermine en fait les décisions ou dispose du pouvoir de nommer et révoquer les organes. Un actionnaire de 15 % maître d’un pacte peut ainsi être bénéficiaire effectif quand un porteur de 30 % dormant ne l’est pas. La Commission des sanctions a précisément reproché à un assureur d’avoir bâti sa procédure sur le seul seuil capitalistique, laissant hors de son filet les hypothèses de contrôle par d’autres voies (Commission des sanctions de l’ACPR, décision n° 2014-07 du 24 juillet 2015, à l’égard de la société GENERALI VIE). La déclinaison suit la nature du client : l’article R. 561-2 transpose le raisonnement au placement collectif, tandis que l’association ou la fondation, dépourvues de capital, s’apprécient par les pouvoirs que leurs statuts organisent.

2) La remontée des chaînes de participation

Le calcul du seuil se fait en tenant compte des détentions indirectes, ce qui oblige à parcourir la chaîne capitalistique jusqu’à la personne physique. L’exercice est ingrat lorsque les paliers se multiplient ou traversent des juridictions opaques, et le texte le sait : à défaut d’avoir pu identifier quiconque selon ces critères, et en l’absence de soupçon, le dirigeant ou le représentant légal est réputé bénéficiaire effectif. Cette solution par défaut est un aveu d’échec organisé, non un régime de faveur — elle ne joue qu’après une recherche véritable, et elle est fermée aux fiducies et dispositifs comparables de droit étranger, pour lesquels l’impossibilité d’identifier commande le refus d’entrer en relation.

Pour faciliter ces diligences, un registre des bénéficiaires effectifs a été institué : toute société ou entité établie en France doit déclarer au greffe du tribunal de commerce les éléments d’identification de ses bénéficiaires effectifs, dans les quinze jours du récépissé de création puis dans les trente jours de tout fait rendant une modification nécessaire. L’accès en est ouvert au public depuis avril 2021, les professions assujetties disposant d’un accès élargi portant notamment sur les date et lieu de naissance, l’adresse personnelle et la date d’acquisition de la qualité. Reste que la consultation ne vaut pas diligence : elle ne dispense le professionnel de sa propre vérification que dans les relations de risque normal ou faible et en l’absence de soupçon, où la doctrine administrative de l’ACPR admet qu’un extrait du registre suffise. Ce cadre national devra être revu : la directive (UE) 2024/1640 du 31 mai 2024, qui doit être transposée pour le 10 juillet 2027, renforcera l’architecture de ces registres, cependant que le règlement (UE) 2024/1624, applicable à compter de la même date, fixera directement les informations à recueillir sur le client, sur toute personne prétendant agir pour son compte et sur les personnes au profit desquelles l’opération est menée.

3) La sanction de la déclaration défaillante

L’obligation déclarative n’est pas laissée à la bonne volonté des sociétés : l’absence de dépôt du document relatif aux bénéficiaires effectifs, comme le dépôt d’un document inexact ou incomplet, est puni de six mois d’emprisonnement et de 7 500 euros d’amende. La pénalisation surprend par sa vigueur au regard d’une formalité de greffe ; elle s’explique par la fonction du registre, qui n’a d’utilité que s’il est fiable. Une déclaration mensongère ne prive pas seulement l’administration d’une information : elle fournit à tous ceux qui la consulteront une apparence de transparence, plus nocive que le silence.

D) La connaissance de la relation d’affaires

Les trois cercles parcourus, une dernière exigence demeure, et elle change d’objet. Identifier répond à la question de savoir qui ; connaître la relation d’affaires répond à celle de savoir pourquoi et comment. Sans elle, les deux premières diligences produiraient un dossier exact et inerte, incapable de signaler quoi que ce soit.

1) L’objet et la nature de la relation

L’article L. 561-5-1 impose de recueillir, avant l’entrée en relation, les informations relatives à l’objet et à la nature de celle-ci, ainsi que tout autre élément pertinent ; l’article R. 561-12 en organise la mise en œuvre en distinguant la collecte initiale de l’entretien continu.

Le texte réglementaire n’exige pas seulement de recueillir : il exige d’analyser. La nuance est décisive, car elle interdit la collecte rituelle de justificatifs empilés sans lecture. Les éléments attendus, dont un arrêté du 2 septembre 2009 donne une liste indicative, dessinent le fonctionnement projeté de la relation : montant et nature des opérations envisagées, provenance et destination des fonds, justification économique de l’ensemble. Pour la personne physique s’y ajoutent la justification du domicile et les éléments permettant d’estimer ressources et patrimoine ; pour la personne morale, l’adresse du siège, les statuts, les mandats et pouvoirs, les éléments d’appréciation de sa situation financière ; pour les structures sans personnalité, le document établissant la répartition des droits sur le capital ou les bénéfices. Leur étendue est proportionnée au risque, ce qui autorise le dossier sommaire là où la relation est banale et le commande étoffé là où elle ne l’est pas.

C’est de cette connaissance que naît le profil du client, c’est-à-dire la représentation de ce qui, dans cette relation, sera tenu pour normal. Sans une telle référence, l’anomalie est indétectable : une remise d’espèces de 30 000 euros n’est suspecte que rapportée à ce que l’on savait des ressources déclarées. La Commission des sanctions a ainsi retenu le manquement à l’encontre d’un établissement dont les explications sur l’origine de fonds — réinvestissements de placements échus, produits d’opérations immobilières — n’étaient étayées par aucune pièce établissant les diligences réellement accomplies (Commission des sanctions de l’ACPR, décision n° 2010-01 du 10 janvier 2011, à l’égard de la Caisse de crédit municipal de Toul).

2) L’actualisation des éléments recueillis

Un dossier constitué à l’entrée en relation vieillit aussi vite que la situation qu’il décrit. Aussi l’article R. 561-11 commande-t-il de procéder à une nouvelle identification et vérification, du client comme du bénéficiaire effectif, dès lors que le professionnel a de bonnes raisons de penser que les éléments détenus ne sont plus exacts ou pertinents. La formule est significative : le déclencheur n’est pas l’écoulement d’un délai, mais la survenance d’un motif de douter. La revue périodique organisée en interne fournit le cadre de cette actualisation, sans en épuiser les occasions — la doctrine administrative de l’ACPR retient qu’elle s’impose en tout état de cause lors de tout changement significatif dans la relation, sa fréquence comme son étendue étant modulées par le profil de risque, et attend des établissements un contrôle interne propre à s’assurer que l’obligation est tenue. C’est dire que la connaissance de la clientèle n’est pas un état acquis mais un mouvement : elle fonde la vigilance constante, dont il reste à examiner comment elle se gradue selon le risque.

III) La modulation des diligences par le risque

Les développements qui précèdent ont dessiné le périmètre des personnes que le professionnel doit connaître : le client, celui qui agit en son nom, celui qui, dans l’ombre de la structure, en tire le profit. Reste à déterminer avec quelle intensité ces diligences doivent être conduites. Car le dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme ne connaît pas de protocole uniforme : il commande d’ajuster la profondeur du contrôle à la mesure du danger. C’est le principe cardinal de l’approche par les risques, que l’article L. 561-4-1 du Code monétaire et financier a inscrit au frontispice du chapitre. La règle est d’apparence simple ; sa mise en œuvre est exigeante, car elle transfère au professionnel la charge d’apprécier lui-même ce qu’il doit faire, sous le contrôle a posteriori de son superviseur.

Trois régimes se déduisent de ce principe, qui forment une échelle continue plutôt qu’une succession de cases : la vigilance simplifiée, lorsque le risque est faible ; la vigilance normale, qui demeure le droit commun ; la vigilance renforcée, lorsque la loi ou l’analyse du professionnel désigne une exposition particulière. Encore faut-il, pour parcourir cette échelle, disposer de l’instrument qui permet d’y situer chaque relation.

A) La classification interne des risques

1) L’élaboration de la cartographie

L’article L. 561-4-1 n’impose pas seulement d’adapter les diligences : il exige que cette adaptation repose sur un document construit, la classification des risques. Celle-ci n’est pas un exercice de style destiné à satisfaire l’inspecteur ; elle est l’outil par lequel le professionnel traduit sa propre exposition en règles opérationnelles. À défaut, l’approche par les risques se retournerait contre son objet : elle deviendrait le prétexte d’un allègement discrétionnaire.

La classification s’articule à trois niveaux qui se superposent sans se confondre. Le premier procède du législateur lui-même, qui, s’appuyant sur l’analyse nationale des risques, désigne certaines situations comme intrinsèquement dangereuses et d’autres comme intrinsèquement bénignes — l’autonomie du professionnel s’arrête là où la loi a tranché. Le deuxième relève de l’organisme, qui bâtit sa propre cartographie à partir des critères de l’article L. 561-4-1. Le troisième, enfin, est individuel : il tient au profil de chaque relation d’affaires, apprécié au cas par cas. C’est en cela que le professionnel ne peut jamais se retrancher derrière un classement générique. Il doit pouvoir justifier, dossier par dossier, du niveau retenu et des diligences qui en découlent.

La commission des sanctions de l’Autorité de contrôle prudentiel et de résolution veille avec rigueur à cette exigence de construction. Elle a ainsi retenu, dans sa décision n° 2020-06 du 12 juillet 2021 à l’égard de la société A, que les insuffisances affectant la classification n’étaient pas effacées par les mesures de remédiation postérieures au contrôle sur place : la classification s’apprécie à la date où elle devait produire ses effets, non à celle où elle a été corrigée. Le même dossier a censuré l’absence de profil de risque de la relation d’affaires, alors que l’article L. 561-32 du Code monétaire et financier commande précisément de déterminer ce profil pour exercer la vigilance constante.

2) Les facteurs de pondération retenus

Les critères que la loi énonce sont au nombre de cinq : la nature des produits ou services offerts, les conditions dans lesquelles les transactions sont réalisées, les canaux de distribution employés, les caractéristiques de la clientèle et, enfin, les territoires concernés. Chacun se décline en facteurs plus fins que la doctrine administrative détaille abondamment. Les lignes directrices de l’Autorité de contrôle prudentiel et de résolution consacrées à la gestion de fortune invitent ainsi les organismes à retenir des critères propres à leur métier, à intégrer dans l’analyse toutes les parties à la relation — celui qui agit pour le compte du client comme le bénéficiaire effectif — et à exiger une granularité suffisante : une catégorie d’activité doit être détaillée, une fourchette de revenus ou de patrimoine doit correspondre à la situation concrète du dossier, faute de quoi la classification décrit une clientèle abstraite et non celle que l’établissement sert.

La sanction de la classification indifférenciée est claire. La commission des sanctions, dans sa décision n° 2022-07 à l’égard de la société Treezor, a jugé insuffisant un dispositif qui n’intégrait ni l’entrée en relation à distance, ni les canaux de distribution, ni les demandes d’information de la cellule de renseignement financier, ni les réquisitions judiciaires — l’outil corrigé, déployé après le contrôle, étant sans effet sur la caractérisation du manquement. Elle a relevé, surtout, que le dispositif était très peu discriminant, la quasi-totalité des clients finaux se voyant attribuer le même niveau de risque. Le grief est instructif : une classification qui ne distingue pas ne classe pas. Elle a également écarté l’argument tiré d’une prise en compte manuelle de certains facteurs, dès lors que les modifications de profil qui auraient pu en résulter n’étaient ni formalisées ni conservées. La leçon vaut d’être retenue : en matière de conformité, ce qui n’est pas tracé est réputé n’avoir pas été fait.

B) L’allègement en situation de risque faible

1) Les hypothèses limitativement énumérées

Lorsque le risque est faible, le professionnel peut réduire l’intensité de ses diligences. Le mot doit être pesé : il s’agit d’une faculté, non d’un droit acquis, et son domaine est fermé. Seules ouvrent à la vigilance simplifiée les situations que les articles R. 561-15 et R. 561-16 du Code monétaire et financier énumèrent limitativement, la première de ces dispositions visant certaines catégories de clients, la seconde certains produits et services. Ainsi des contrats d’assurance sur la vie ou de capitalisation dont la prime annuelle ne dépasse pas mille euros ou dont la prime unique ne dépasse pas deux mille cinq cents euros, ou encore de contrats étrangers aux branches vie-décès et non adossés à des fonds d’investissement : le législateur a estimé que la faiblesse des enjeux financiers y rendait le détournement improbable.

Encore une condition s’ajoute-t-elle à l’appartenance à l’une de ces catégories : l’absence de tout soupçon. Le moindre indice de blanchiment ou de financement du terrorisme fait tomber le bénéfice de l’allègement et rétablit d’un coup l’ensemble des diligences. L’énumération réglementaire ne crée donc pas des zones de franchise ; elle désigne des situations où la présomption de faible risque peut jouer tant que rien ne vient la démentir.

2) La persistance d’un socle irréductible

L’allègement porte sur la vérification, non sur l’identification. Le professionnel qui se place sous ce régime demeure tenu de recueillir les éléments d’identité du client et, le cas échéant, du bénéficiaire effectif ; il est en revanche dispensé de les corroborer par un document probant, comme il l’est d’obtenir les éléments de connaissance de la relation d’affaires et de vérifier l’identité de la personne agissant pour le compte du client. Deux obligations subsistent pourtant, qui suffisent à montrer que le socle n’est jamais nul : la vérification des pouvoirs du représentant, car nul allègement ne saurait autoriser un professionnel à traiter avec qui n’a pas qualité pour engager le client, et le contrôle continu de la persistance du faible risque tout au long de la relation.

Cette seconde exigence est la plus redoutable, parce qu’elle interdit de figer le régime au jour de l’entrée en relation. La vigilance simplifiée n’emporte aucune dispense de surveillance des opérations : le professionnel continue de les examiner et d’en apprécier la cohérence. Qu’une opération inhabituelle apparaisse, et l’ensemble des mesures de vigilance redevient applicable — la simplification s’évanouit avec la circonstance qui la fondait. La doctrine administrative retient d’ailleurs, de manière constante à travers ses différents principes sectoriels, que la vigilance constante s’exerce nonobstant la mise en œuvre de mesures particulières tenant au niveau de risque : elle est le fond permanent sur lequel les régimes viennent s’inscrire, jamais leur variable d’ajustement.

C) Le renforcement en situation de risque élevé

Au sommet de l’échelle, l’article L. 561-10 du Code monétaire et financier commande des mesures complémentaires qui s’ajoutent — et ne se substituent pas — aux diligences de droit commun des articles L. 561-5 et L. 561-5-1.

1) Les personnes politiquement exposées

La première hypothèse tient à la qualité du client. Celui qui exerce ou a exercé des fonctions politiques, juridictionnelles ou administratives éminentes est exposé à des sollicitations que sa position rend possibles ; le risque se propage à ses proches, membres directs de sa famille ou personnes qui lui sont étroitement associées. La difficulté pratique n’est pas dans la règle, mais dans la détection : encore faut-il que le dispositif informatique de l’établissement identifie la qualité de personne politiquement exposée, à l’entrée en relation comme lorsqu’elle survient en cours de relation. La commission des sanctions a précisément retenu, dans sa décision n° 2022-04 à l’égard de la société BMW Finance, la défaillance du dispositif de détection de ces personnes, aux côtés de plusieurs autres griefs tenant à l’insuffisance des moyens humains affectés à la conformité et au caractère incomplet de la mise à jour de la connaissance des clients. La même décision sanctionne le retard mis à consulter le registre des bénéficiaires effectifs : la vigilance renforcée est aussi une question de diligence dans le temps.

Le risque géographique procède d’une logique voisine. Il ne suffit pas d’affirmer que l’on ne traite pas avec les pays sensibles ; encore faut-il dire lesquels. La décision n° 2019-08 du 27 janvier 2021 à l’égard de la société A le montre : la procédure interne excluait les pays sous embargo, sensibles ou en guerre, mais sans en dresser la liste exhaustive, si bien que des opérations ont été financées à destination d’États figurant sur les listes du Groupe d’action financière et sur celle des pays tiers à haut risque établie par la Commission européenne. Une prohibition sans référentiel est une prohibition sans effet.

2) L’entrée en relation à distance

L’absence physique du client prive le professionnel du plus élémentaire des contrôles : la confrontation du visage à la pièce d’identité. Aussi la vérification à distance obéit-elle à des exigences propres, que l’article R. 561-5-1 du Code monétaire et financier organise en désignant les modalités admises, au premier rang desquelles le recours à un moyen d’identification électronique certifié ou attesté par l’Agence nationale de la sécurité des systèmes d’information et conforme au niveau de garantie substantiel ou élevé du règlement européen sur l’identification électronique.

L’économie du texte est celle d’une compensation : à défaut de pouvoir recourir aux modalités de première intention, le professionnel doit cumuler au moins deux mesures de second rang, la redondance venant suppléer l’absence de rencontre. Le canal à distance figure d’ailleurs, on l’a vu, parmi les facteurs dont l’omission dans la classification a été sanctionnée.

3) L’examen des opérations complexes

Le troisième foyer de renforcement ne tient ni à la personne ni au canal, mais à l’opération elle-même : celle dont le montant est inhabituellement élevé, celle dont la complexité ne s’explique par aucune logique économique apparente, celle qui ne s’inscrit dans aucune justification licite connue. Le professionnel doit alors se faire communiquer l’origine des fonds et leur destination, et consigner par écrit les caractéristiques de l’opération. Il en va de même des relations de correspondance bancaire transfrontalières, où l’établissement s’expose à la clientèle d’un confrère qu’il ne connaît pas.

Encore ce dispositif suppose-t-il des outils capables de faire remonter l’anomalie. La commission des sanctions l’a rappelé dans sa décision n° 2024-02 du 19 juin 2025 à l’égard de la banque Delubac et Cie, où le dispositif de gestion des risques reposait principalement sur une surveillance a posteriori alimentée par des modèles d’alertes automatisés dont les insuffisances ont été relevées. La doctrine administrative conjointe de l’Autorité de contrôle prudentiel et de résolution et de la cellule de renseignement financier va dans le même sens : il appartient à chaque organisme de déterminer quelles opérations il contrôle avant leur exécution et quelles autres il examine après, en désignant les facteurs — ou les combinaisons de facteurs — qui déclenchent l’un ou l’autre de ces contrôles. Un dispositif exclusivement ex post laisse passer ce qu’il aurait fallu arrêter. La décision n° 2017-10 du 10 janvier 2019 à l’égard d’un établissement de paiement précise, quant à elle, que l’absence de toute mesure prise au titre de la vigilance renforcée est en elle-même sanctionnable, et que le silence du rapport de contrôle sur ce point ne lie pas le collège, à qui il revient de retenir la qualification qui lui paraît appropriée au vu des constatations soumises à son appréciation.

Cette architecture est celle du droit positif. Le règlement (UE) 2024/1624 du 31 mai 2024, adopté mais non encore applicable, la reprendra en la durcissant : à compter du 10 juillet 2027, il régira directement les mesures de vigilance à l’égard de la clientèle, son article 20 énumérant l’identification et la vérification de l’identité du client, l’identification des bénéficiaires effectifs avec la compréhension de la structure de propriété et de contrôle, ainsi que l’appréciation de l’objet et de la nature envisagée de la relation. Son article 19 déterminera les cas dans lesquels ces mesures devront être mises en œuvre, notamment lors de transactions occasionnelles d’un montant d’au moins dix mille euros, exécutées en une fois ou par fractionnement. La directive (UE) 2024/1640 du même jour, à transposer pour la même échéance, obligera chaque État membre à réaliser une évaluation nationale des risques, à la tenir à jour et à la réviser au moins tous les quatre ans. Seul le règlement (UE) 2024/1620 instituant l’Autorité de lutte contre le blanchiment est d’ores et déjà applicable : depuis le 1er juillet 2025, son article 12 organise l’évaluation périodique des établissements de crédit et des établissements financiers opérant dans au moins six États membres, en vue de leur sélection aux fins d’une surveillance directe.

D) L’articulation avec le devoir de non-ingérence

1) Le principe de non-immixtion du banquier

Il y a là une tension apparente qu’il faut dissiper. Le banquier est traditionnellement tenu de ne pas s’immiscer dans les affaires de son client : il n’a ni à juger de l’opportunité des opérations qu’il exécute, ni à en réclamer la justification, ni à se faire le censeur des choix économiques de celui qu’il sert. Ce devoir de non-ingérence protège autant le client, dans sa liberté de gestion, que le banquier lui-même, qui engagerait sa responsabilité à refuser sans droit d’exécuter un ordre régulier. Or la vigilance renforcée lui commande précisément de s’enquérir de l’origine des fonds et de la logique de l’opération. Comment concilier l’abstention et l’investigation ?

La conciliation tient à ce que les deux règles n’ont ni le même déclencheur ni le même objet. La non-immixtion est le principe : elle gouverne le fonctionnement ordinaire de la relation. La vigilance renforcée est l’exception : elle se déclenche lorsque la loi désigne la situation comme risquée ou lorsque l’opération sort de l’ordinaire. Surtout, le professionnel qui interroge son client sur la provenance d’un versement ne porte aucun jugement sur l’opportunité de son affaire : il vérifie la licéité de l’origine des fonds, ce qui est tout autre chose. Il n’y a donc pas contradiction, mais partage de domaines.

2) La détection de l’anomalie apparente

Le point de bascule porte un nom : l’anomalie apparente. Tant que rien ne détonne, le professionnel s’abstient ; dès qu’une opération s’écarte du fonctionnement attendu de la relation, il doit examiner. C’est ici que la connaissance de la clientèle, décrite plus haut, révèle sa véritable fonction : elle définit une normalité de référence, sans laquelle l’anormal ne se laisse pas apercevoir. La doctrine administrative en tire des applications concrètes — l’alimentation soudaine et massive d’un contrat d’assurance-vie sans rapport avec les capacités connues du souscripteur en offre l’exemple type. Un dispositif qui ne connaît pas son client ne détecte rien, non parce que ses alertes sont mal réglées, mais parce qu’il lui manque le point de comparaison.

Une réserve d’importance doit toutefois être faite, qui commande l’ensemble de cette matière et sera reprise plus loin : cette obligation de vigilance, si exigeante soit-elle, n’a d’autre finalité que la lutte contre le blanchiment de capitaux et le financement du terrorisme. Elle n’a pas été instituée au profit des tiers. La chambre commerciale l’a jugé avec constance, de l’arrêt du 28 avril 2004 rendu sous l’empire de l’ancien article L. 563-3 du Code monétaire et financier jusqu’à celui du 4 mars 2026. Le manquement se sanctionne devant le superviseur ; il ne fonde pas, par lui-même, une action en réparation.

Reste alors à envisager le cas où les diligences, quelle que soit leur intensité, ne peuvent tout simplement pas être menées à bien.

IV) Les suites de l’échec des diligences

Les obligations qui viennent d’être décrites — identifier, vérifier, connaître, moduler — n’auraient qu’une portée déclamatoire si le droit n’avait prévu ce qu’il advient lorsque le professionnel ne parvient pas à les accomplir. Or la réponse du Code monétaire et financier est d’une rigueur peu commune : là où la plupart des obligations professionnelles se résolvent en dommages-intérêts, celle-ci se résout en un interdit. Le professionnel qui ne peut identifier son client ne peut pas contracter avec lui ; s’il a déjà contracté, il doit se retirer. À cette conséquence civile s’ajoutent une répression disciplinaire redoutablement active et une question de responsabilité civile que la Cour de cassation a tranchée d’une manière qui surprend au premier abord.

A) Le refus d’entrer en relation

1) L’interdiction faite au professionnel

L’article L. 561-8 du Code monétaire et financier ne se contente pas d’autoriser le professionnel à se retirer : il le lui ordonne. Le texte est rédigé à l’indicatif, mode de l’impératif juridique — l’organisme « n’exécute aucune opération », « n’établit ni ne poursuit aucune relation d’affaires ». Le refus n’est donc pas une faculté commerciale que le professionnel exercerait au gré de son appétit pour le risque : c’est une obligation dont l’inexécution est elle-même un manquement.

Encore faut-il mesurer l’étendue du déclencheur. L’impossibilité visée n’est pas seulement celle d’identifier le client : elle englobe l’échec à identifier le bénéficiaire effectif, l’échec à vérifier l’un ou l’autre par un document probant, et l’échec à recueillir les éléments de connaissance de l’objet et de la nature de la relation exigés par l’article L. 561-5-1. Trois pans distincts du triptyque, dont la défaillance d’un seul suffit à fermer la porte. On mesure ainsi la fonction véritable des diligences : elles ne sont pas la formalité qui accompagne l’entrée en relation, elles en sont la condition. Le professionnel qui passerait outre s’exposerait à la sanction disciplinaire de l’Autorité de contrôle prudentiel et de résolution, mais aussi — l’hypothèse n’est pas d’école lorsque les indices étaient patents — à une mise en cause pénale au titre du blanchiment.

La rigueur du dispositif se vérifie sur un cas limite déjà rencontré : celui du bénéficiaire effectif introuvable. Pour une société, le droit offre une échappatoire raisonnable, puisque le dirigeant est réputé bénéficiaire effectif à défaut d’autre personne physique identifiable. Pour une fiducie ou une construction juridique étrangère analogue, cette porte de sortie n’existe pas ; l’impossibilité d’identifier commande alors le refus pur et simple.

2) La conciliation avec le droit au compte

Reste une objection sérieuse. L’article L. 312-1 du Code monétaire et financier ouvre à toute personne dépourvue de compte en France un droit à l’ouverture d’un compte de dépôt dans l’établissement de son choix, la Banque de France désignant au besoin l’établissement tenu de l’ouvrir. Le refus d’entrer en relation d’affaires ne vient-il pas ruiner ce droit ?

La réponse est nette, et l’ACPR l’a formulée dans des principes d’application sectoriels spécialement consacrés à cette articulation : le droit au compte ne dispense d’aucune diligence. L’établissement désigné doit identifier le titulaire, vérifier son identité, connaître l’objet de la relation, exactement comme il le ferait d’un client venu spontanément. S’il n’y parvient pas, l’interdit de l’article L. 561-8 reprend son empire, et le compte n’est pas ouvert. Cette solution n’est pas un déni du droit au compte : le droit au compte garantit qu’aucun établissement ne pourra opposer un refus discrétionnaire, il ne garantit pas qu’un dossier vide vaudra dossier complet. Les deux dispositifs se situent sur des plans distincts — l’un interdit l’arbitraire, l’autre exige la transparence — et c’est le second qui l’emporte quand ils se rencontrent.

La doctrine administrative prolonge la règle au cours de la relation : lorsque l’établissement doit actualiser sa connaissance du client — parce que l’identité du titulaire a changé, parce que ses ressources ou ses flux ne correspondent plus au profil enregistré — et qu’il n’y parvient pas, il refuse d’exécuter les opérations et clôture le compte, fût-il ouvert au titre du droit au compte, en procédant sans attendre à la déclaration de soupçon si les conditions en sont réunies.

B) La rupture de la relation établie

1) La clôture imposée par l’impossibilité de vigilance

Le second membre de l’article L. 561-8 est le plus lourd de conséquences pratiques, car il frappe une relation en cours, avec ses encours, ses engagements et ses attentes. Lorsque la vérification a été légitimement différée après l’entrée en relation, ou lorsque l’actualisation exigée par l’article R. 561-12 achoppe, le professionnel « y met un terme ». La relation d’affaires se dénoue non parce qu’une faute contractuelle aurait été commise, mais parce que la condition de sa poursuite a disparu.

Cette rupture n’est pourtant pas un couperet que l’on abattrait au premier document manquant. La doctrine administrative de l’ACPR en organise la mise en œuvre selon une gradation exigeante : le professionnel doit d’abord relancer, mettre en garde le client sur les conséquences de son silence, et lui laisser un délai raisonnable pour produire les pièces réclamées — l’Autorité retient, pour les contrats d’assurance vie, qu’un tel délai ne saurait descendre au-dessous de trois mois, l’organisme suspendant dans l’intervalle les opérations liées au contrat. La logique est claire : la clôture sanctionne une impossibilité constatée, non une lenteur présumée.

Symétriquement — et c’est un piège que la commission des sanctions a plusieurs fois relevé —, la rupture ne saurait servir d’échappatoire aux obligations qu’elle est censée accompagner. Un établissement ne peut pas rompre pour éviter d’avoir à conduire l’examen renforcé et à déclarer : tant que l’analyse n’est pas achevée, sa responsabilité demeure engagée, et la clôture décidée par un réseau commercial ne purge rien si elle dispense en fait le service de conformité de son travail.

2) L’articulation avec la déclaration de soupçon

Le refus et la rupture ne sont que la moitié du dispositif. Lorsque l’impossibilité d’identifier s’accompagne d’un soupçon que les sommes ou les opérations proviennent d’une infraction punie d’une peine privative de liberté supérieure à un an ou participent au financement du terrorisme, le professionnel doit en informer Tracfin, cellule de renseignement financier nationale. Les deux obligations se composent : l’une ferme la relation, l’autre transmet l’information à l’autorité qui, seule, peut l’exploiter. Se retirer sans déclarer reviendrait à laisser l’opérateur suspect frapper à la porte voisine.

La doctrine administrative précise les qualités attendues de cette déclaration. Elle doit être motivée : invoquer le « comportement du client » sans caractériser autrement le soupçon ne satisfait pas à l’obligation. Elle doit être transmise sans délai, la déclaration après exécution n’étant admise que dans trois hypothèses — l’impossibilité de surseoir, le risque d’entraver les investigations en cours, ou l’apparition du soupçon postérieurement à l’opération. Ces exigences ne sont pas de pure forme : une déclaration tardive ou creuse est traitée en manquement, et l’on verra que la commission des sanctions n’hésite pas à le juger.

C) La répression disciplinaire du manquement

1) Le contrôle de la commission des sanctions

C’est ici qu’il faut renverser une intuition. Le contentieux de l’identification n’est pas un contentieux judiciaire : la Cour de cassation n’en connaît presque rien, et la jurisprudence véritable de la matière est celle, administrative, de la commission des sanctions de l’ACPR. C’est elle qui dit ce que valent en pratique les diligences, en confrontant les procédures écrites d’un établissement aux dossiers réellement traités.

La méthode de ce contrôle mérite d’être connue, car elle explique la sévérité des décisions. La commission raisonne sur des échantillons de dossiers prélevés par la mission de contrôle, et elle apprécie les diligences non pas au regard de ce que le professionnel affirme avoir prévu, mais de ce que les pièces établissent. Elle refuse de tenir un dispositif annoncé pour un dispositif en place : dans la décision n° 2021-01 du 1er mars 2022 à l’égard de la société W-HA, l’augmentation de moyens envisagée mais non suivie d’effet avant le contrôle n’a pas été retenue comme exonératoire, aucune prise de position favorable des services ne pouvant au surplus être invoquée. De même, dans la décision n° 2024-02 du 19 juin 2025 à l’égard de la banque Delubac et Cie, la commission a jugé qu’un délai de traitement des alertes — un quart d’entre elles pendantes depuis plus de quatre mois — vide de sa substance l’obligation elle-même, quand bien même aucun texte ne fixerait de terme chiffré : une exigence de traitement se lit à la lumière de sa finalité.

La commission écarte tout aussi fermement les défenses circulaires. Dans la décision n° 2020-06 du 12 juillet 2021 à l’égard de la société A, l’établissement soutenait que les défaillances de son propre système de détection l’avaient empêché de former un soupçon, et donc de déclarer ; l’argument, qui aurait fait de la carence une excuse, n’a pas prospéré. Elle se montre en revanche attentive aux garanties de procédure : dans la décision Delubac déjà citée, la précision de la notification des griefs — quant aux faits comme aux qualifications — a été examinée grief par grief, au regard des exigences du procès équitable.

Le contrôle porte enfin sur le raisonnement du professionnel autant que sur ses écritures. Dans la décision n° 2021-05 du 1er décembre 2022 à l’égard d’une caisse régionale de Crédit agricole, la commission a retenu que des mouvements de chèques et d’espèces de plusieurs milliers d’euros, sur le compte de clients retraités dont les crédits habituels se limitaient à des pensions, pendant la période où la société dirigée par leur fils faisait l’objet d’un redressement judiciaire et alors que l’intéressé disposait d’une procuration, appelaient un examen que l’établissement n’avait pas conduit. L’incohérence entre le profil connu et les flux observés est le cœur du reproche — ce qui montre que la connaissance de la relation n’est pas un dossier à constituer, mais une grille de lecture à appliquer. La décision n° 2012-04 du 10 janvier 2013 à l’égard de la Banque Populaire Côte d’Azur l’illustrait déjà, en sanctionnant une déclaration adressée neuf mois après la constatation des faits : le souci légitime d’éviter les déclarations systématiques n’autorise pas à laisser dormir une opération atypique.

2) L’échelle des sanctions prononcées

L’échelle disciplinaire va de l’avertissement au retrait d’agrément, en passant par le blâme, l’interdiction d’effectuer certaines opérations et la sanction pécuniaire, prononcée le cas échéant à l’encontre des dirigeants eux-mêmes. La publication nominative de la décision s’y ajoute, dont l’effet réputationnel excède souvent celui de l’amende. La détermination du quantum s’opère au regard de la gravité des manquements, de leur caractère systémique ou isolé, de la taille et des ressources de l’établissement, ainsi que des mesures correctives engagées — l’établissement qui a remédié avant l’audience en tire un bénéfice, à condition d’en rapporter la preuve, comme le montre la décision n° 2019-06 du 22 décembre 2020, où des pièces produites en cours de procédure ont été admises précisément pour permettre d’apprécier l’effectivité des remédiations. La décision n° 2017-10 du 10 janvier 2019 rendue à l’égard d’un établissement de paiement rappelle en outre que l’échantillon lui-même se discute : l’établissement y contestait la pertinence des critères d’appariement des clients retenus par la mission, et le périmètre exact du grief — clients occasionnels ou relations d’affaires — commandait l’étendue de l’obligation.

Ce régime est appelé à changer d’échelle. La directive (UE) 2024/1640 du 31 mai 2024, qui devra être transposée au plus tard le 10 juillet 2027, imposera aux États membres d’établir des règles de sanction pécuniaire et de mesures administratives à raison des infractions au règlement (UE) 2024/1624, et de garantir leur exécution — l’harmonisation portant tant sur les manquements réprimés que sur le niveau des sanctions. À la même date, le règlement (UE) 2024/1624 deviendra directement applicable et se substituera, pour l’essentiel des mesures de vigilance, aux dispositions internes analysées ici ; il étendra également au niveau du groupe l’obligation d’évaluation des risques et de politiques communes aux succursales et filiales, y compris hors de l’Union. L’Autorité de lutte contre le blanchiment instituée par le règlement (UE) 2024/1620, elle, est en place depuis le 1er juillet 2025.

D) La responsabilité civile du professionnel

1) La faute envers les tiers victimes

Une victime d’escroquerie découvre que les fonds détournés ont transité par un compte dont l’ouverture aurait dû, selon elle, être refusée. Peut-elle reprocher à la banque d’avoir manqué à ses diligences ? La question est d’autant plus tentante que le manquement, une fois sanctionné par l’ACPR, paraît tout établi. La Cour de cassation y répond par la négative, et sa réponse tient en une proposition d’apparence modeste : ces obligations ont une finalité, et une seule.

La solution a traversé les réformes successives sans fléchir. Elle a été reprise sous l’empire des textes issus de la transposition des directives européennes, la chambre commerciale jugeant que les obligations de vigilance et de déclaration des articles L. 561-5 à L. 561-22, dans leur rédaction antérieure à l’ordonnance du 1er décembre 2016, n’ont pas davantage pour objet de protéger les tiers.

Il ne faut pourtant pas se méprendre sur la portée de cette immunité. Elle tient à la finalité des obligations LCB-FT, non à une quelconque impunité du banquier : celui-ci reste comptable, sur le terrain du droit commun, de la faute qu’il commet en s’abstenant devant l’anomalie manifeste que sa qualité de professionnel lui commandait de relever — devoir dont on a vu qu’il coexiste avec le principe de non-immixtion sans se confondre avec la vigilance anti-blanchiment. Deux corps de règles voisins, deux finalités distinctes, deux régimes d’action séparés.

2) L’immunité attachée au signalement

Le dernier verrou protège le déclarant. La déclaration de soupçon est couverte par une confidentialité absolue : le professionnel ne peut la révéler à son client, ni à quiconque, et l’arrêt du 21 septembre 2022 prend soin de le rappeler. Cette interdiction a pour corollaire une exonération : celui qui déclare de bonne foi ne peut voir sa responsabilité civile ou pénale engagée à raison de ce signalement, ni du blocage de l’opération qui l’accompagne. L’équilibre est nécessaire — sans elle, le professionnel serait pris entre la sanction du silence et l’action du client mécontent, et le dispositif s’éteindrait de lui-même.

Ce point d’arrivée éclaire rétrospectivement l’ensemble. Les diligences d’identification ne sont pas une obligation de service au client, dont il pourrait exiger l’exécution ni dont un tiers pourrait réclamer réparation : elles sont une charge d’intérêt général, imposée aux professionnels dans l’intérêt du système financier, sanctionnée par l’autorité de supervision et par le juge pénal, et dont l’inexécution se paie d’abord en interdit — celui de nouer ou de poursuivre la relation. C’est en cela que l’identification du client, si banale qu’elle paraisse au guichet, est l’acte fondateur de tout le dispositif : tout ce qui suit — la vigilance constante, l’examen renforcé, la déclaration — en dépend, et rien ne peut la suppléer.