LCB-FT – L’actualisation de la connaissance client en cours de relation d’affaires

La connaissance du client n’est pas un acquis de l’entree en relation : elle se perime au rythme ou changent l’identite, l’activite et le patrimoine de celui dont on tient les comptes. En imposant a l’assujetti de recueillir, d’analyser et de tenir a jour ces elements pendant toute la duree de la relation d’affaires, le legislateur a fait de la vigilance une obligation de flux, dont le defaut se paie devant la commission des sanctions.

I) L’assise de la vigilance continue

Connaître son client n’est pas un acte, c’est un état : l’établissement qui a vérifié une identité, recueilli une profession et noté un revenu au jour de l’entrée en relation ne détient qu’un instantané, et cet instantané vieillit. Le client change d’emploi, la société change d’actionnaire, le contrat change d’objet ; la connaissance, elle, resterait figée si le droit n’imposait de la reprendre. C’est précisément ce que fait la réglementation issue de la lutte contre le blanchiment de capitaux et le financement du terrorisme : elle ne se contente pas d’exiger que le client soit identifié avant l’entrée en relation, elle commande que la connaissance acquise soit entretenue tout au long de celle-ci. L’obligation d’actualisation est ainsi le prolongement naturel — et la condition d’efficacité — de l’obligation d’identification. Sans elle, la vigilance constante que la loi impose serait exercée au regard d’un client qui n’existe plus.

Encore faut-il, avant d’examiner comment cette actualisation se module selon le risque et ce qu’elle exige concrètement, en asseoir le fondement. D’où vient l’obligation, à qui s’impose-t-elle, dans quel cadre juridique se déploie-t-elle, et à quelles conditions cesse-t-elle ? Ces quatre questions dessinent l’assise de la vigilance continue.

A) Les sources de l’obligation

La matière est de celles où le droit interne n’est jamais premier : il transpose. Comprendre l’obligation d’actualisation suppose donc de remonter la chaîne normative qui la produit, du droit de l’Union à la doctrine des autorités de contrôle, en passant par le Code monétaire et financier qui en constitue, aujourd’hui encore, le siège opérationnel.

1) Le socle des directives européennes

Depuis la première directive de 1991, l’Union européenne procède par vagues successives, chacune élargissant le périmètre des assujettis et affinant l’approche par les risques. La quatrième directive de 2015, complétée par la cinquième de 2018, a consacré le principe selon lequel les mesures de vigilance ne sont pas des formalités uniformes mais des diligences graduées, dont l’intensité épouse le risque identifié. C’est de ce socle que procède l’exigence française d’actualisation : le droit de l’Union n’a jamais conçu la connaissance du client comme une opération ponctuelle, mais comme un suivi continu de la relation.

Le paquet législatif adopté le 31 mai 2024 change de méthode plus que de philosophie. Là où les directives laissaient aux États une marge de transposition qui a produit vingt-sept régimes voisins mais distincts, le règlement (UE) 2024/1624 — dit AMLR — harmonise directement. Il ne sera toutefois applicable qu’à compter du 10 juillet 2027, et du 10 juillet 2029 pour les entités visées à son article 3, points 3) n) et o). Jusque-là, c’est bien le Code monétaire et financier qui régit la matière, et lui seul.

La précaution de lecture s’impose donc à chaque énoncé : ce que le règlement prévoit, il le prévoira. Nul assujetti ne saurait aujourd’hui se prévaloir d’une de ses dispositions pour s’affranchir d’une exigence du Code monétaire et financier, ni davantage se voir reprocher de n’avoir pas anticipé ce qui n’est pas encore applicable. La table qui suit fixe cette dualité pour les points qui intéressent l’actualisation.

2) La transposition monétaire et financière

Le droit français répartit l’exigence entre deux articles qui se complètent sans se recouvrir. L’article L. 561-5-1 gouverne la connaissance de la relation elle-même : ce qu’elle est, ce à quoi elle sert, ce qui la caractérise. L’article L. 561-6 gouverne la surveillance des opérations qui s’y rattachent. Le premier alimente le second — on ne peut apprécier la cohérence d’un virement qu’au regard d’un profil connu — et c’est cette articulation qui donne à l’actualisation sa fonction véritable : elle n’est pas une collecte administrative, elle est le maintien en état de l’étalon au regard duquel les opérations sont jugées.

Le décret annoncé est intervenu : l’article R. 561-12 dédouble l’obligation dans le temps. Avant l’entrée en relation, l’assujetti recueille et analyse ; pendant toute sa durée, il recueille, met à jour et analyse. Le verbe ajouté n’est pas anodin — la mise à jour est une opération distincte du recueil, et l’analyse en est une troisième. Le texte précise en outre que la nature et l’étendue des informations collectées, comme la fréquence de leur mise à jour, dépendent du risque : l’actualisation n’est donc jamais un calendrier uniforme, elle est un calendrier indexé.

L’arrêté du 2 septembre 2009 en dresse le contenu : identité et situation personnelle du client — nom, prénoms, adresse, profession, situation familiale, et toute modification les affectant —, identité du bénéficiaire effectif avec les éléments qui justifient cette qualité, identification et pouvoirs des mandataires et titulaires de procurations, activités professionnelles et revenus déclarés, objet et nature de la relation ainsi que les produits souscrits, et, lorsque l’appréciation du risque le commande, l’origine et la destination des fonds. Chacun de ces éléments sera repris au fond dans la troisième partie de cette étude ; il suffit ici d’observer qu’aucun n’est intangible, et que chacun est susceptible d’un vieillissement propre.

L’article R. 561-12-1 ferme le dispositif en imposant des mesures qui permettent de s’assurer que les opérations réalisées demeurent cohérentes avec cette connaissance actualisée — cohérentes avec les activités professionnelles du client, avec le profil de risque attribué à la relation et, si l’appréciation du risque l’exige, avec l’origine et la destination des fonds. La boucle est ainsi refermée : la connaissance sert la surveillance, et c’est la surveillance qui révèle que la connaissance est périmée.

3) Les lignes directrices des autorités

Au-dessus du texte, sans jamais s’y substituer, s’est constituée une doctrine administrative dense : lignes directrices de l’Autorité de contrôle prudentiel et de résolution relatives à l’identification, à la vérification de l’identité et à la connaissance de la clientèle, lignes directrices conjointes avec Tracfin sur les obligations de vigilance et de déclaration, principes d’application sectoriels pour les assurances, orientations des autorités européennes de supervision sur les facteurs de risque. Ces documents ne sont pas normatifs — ils n’ajoutent pas à la loi, ils l’explicitent — mais ils sont suivis, et surtout ils sont le lieu des exemples : c’est là que se lit ce que l’autorité attend concrètement.

Leur enseignement central, sur notre sujet, tient en trois propositions. D’abord, l’assujetti doit se doter de mesures adaptées de contrôle interne destinées à vérifier qu’il respecte effectivement son obligation d’actualisation, la mise à jour régulière étant présentée comme la condition d’un exercice efficace de la vigilance constante. Ensuite, la fréquence de cette mise à jour, comme la nature et l’étendue des éléments à reprendre, dépendent du profil de risque de la relation. Enfin, et quoi qu’il en soit du cycle retenu, la mise à jour intervient en tout état de cause lors de tout changement significatif affectant la relation d’affaires. Ce dernier point mérite d’être retenu dès maintenant : le calendrier ne protège de rien s’il n’est doublé d’une capacité de réaction à l’événement.

B) Le périmètre des assujettis

L’obligation ne vaut évidemment que pour ceux qu’elle vise. Or le périmètre est vaste, et il ne cesse de s’étendre : l’article L. 561-2 énumère aujourd’hui plusieurs dizaines de catégories, du banquier au commissaire-priseur, dont la seule unité tient à ce qu’elles se trouvent, par leur métier, en position d’observer des flux ou des actes que le blanchisseur a intérêt à emprunter.

1) Les organismes financiers

La catégorie que la doctrine administrative désigne sous le terme d’« organismes financiers » regroupe les personnes visées aux 1° à 7° bis de l’article L. 561-2, à l’exclusion de celles du 5° et des organismes soumis au contrôle de l’Autorité des marchés financiers mentionnés au 6°. Elle réunit les établissements de crédit, les établissements de paiement, les établissements de monnaie électronique, les entreprises d’assurance et leurs intermédiaires, les mutuelles et institutions de prévoyance, les changeurs manuels et les prestataires sur actifs numériques. C’est sur ce bloc que l’Autorité de contrôle prudentiel et de résolution exerce sa supervision, et c’est de lui que provient l’essentiel de la jurisprudence disciplinaire dont vivra la matière.

L’unité de la catégorie est fonctionnelle, non institutionnelle : ce qui rassemble un établissement de crédit et un courtier d’assurance, c’est qu’ils entretiennent tous deux une relation durable au cours de laquelle des fonds circulent. Le régime applicable n’est pourtant pas rigoureusement identique — les principes d’application sectoriels relatifs aux assurances rappellent ainsi que les courtiers dont le chiffre d’affaires annuel n’a pas dépassé cinq cent mille euros au cours des cinq dernières années ne sont pas tenus de désigner un membre de la direction comme responsable de la lutte contre le blanchiment, ni d’élaborer une classification des risques. L’allègement porte sur l’organisation ; il ne dispense d’aucune diligence de connaissance du client.

2) Les professions non financières

Au-delà de la sphère financière, l’assujettissement atteint les notaires, huissiers, administrateurs et mandataires judiciaires, avocats dans certaines de leurs activités, experts-comptables et commissaires aux comptes, agents immobiliers, opérateurs de jeux, marchands de biens précieux et prestataires de services aux sociétés. Ces professions ne sont pas contrôlées par l’ACPR mais par leurs autorités propres, et le contentieux y est disséminé ; l’obligation de connaissance actualisée du client y est pourtant de même nature. L’agent d’affaires en offre une illustration éclairante : son activité se laisse saisir sous trois angles, la qualification juridique de ses relations avec le client, la réglementation propre à certaines de ses interventions et les hypothèses où sa responsabilité est engagée — et la qualification de la relation commande ici, comme ailleurs, l’étendue de ce qu’il doit savoir de celui qu’il sert.

3) Les groupes et leurs succursales

L’assujettissement suit l’implantation. Les succursales établies en France d’établissements dont le siège est situé dans un autre État de l’Espace économique européen sont soumises au droit français — l’article L. 561-2 le dit expressément pour les établissements de crédit, les établissements financiers et les établissements de paiement, et il en va de même des succursales d’entreprises d’assurance. La libre prestation de services obéit en revanche à une logique inverse : l’organisme qui opère en France sans y être établi, notamment par internet, applique les obligations de vigilance telles que les définit son État d’origine et adresse ses déclarations de soupçon à la cellule de renseignement financier de cet État, à charge pour celle-ci de transmettre à Tracfin les informations relatives à la France.

Au niveau du groupe enfin, l’article L. 561-32 impose une organisation et des procédures internes qui tiennent compte de l’évaluation des risques, et il commande la détermination d’un profil de la relation d’affaires permettant d’exercer la vigilance constante — obligation dont on mesure qu’elle est le pivot de tout le dispositif d’actualisation, puisqu’un profil qui ne serait pas tenu à jour ne permettrait plus rien de tel.

L’arrêté du 6 janvier 2021 en tire la conséquence en matière de dimensionnement : les dispositifs de suivi et d’analyse doivent être proportionnés au profil de risques propre à l’établissement, à la diversité de ses métiers, à la typologie de sa clientèle et à son implantation géographique. Il ne s’agit donc pas d’une obligation de résultat — nul n’est tenu de n’avoir jamais manqué une opération —, mais d’une obligation de moyens renforcée dont la carence est sanctionnée : la décision n° 2017-08 de la Commission des sanctions du 23 mars 2018 illustre la fermeté du régulateur devant l’absence d’un dispositif adapté aux risques, aux activités et à la clientèle de l’entreprise.

C) La relation d’affaires comme cadre

L’obligation d’actualisation ne se conçoit que dans la durée : elle suppose un lien qui persiste, donc un objet à suivre. Ce lien, le Code le nomme relation d’affaires, et il en donne une définition qui délimite très exactement le champ de la vigilance continue.

1) Le critère de la durée

Le critère décisif n’est ni la nature du contrat, ni le montant en jeu, ni la fréquence effective des opérations : c’est l’inscription attendue dans le temps, appréciée au moment où le contact s’établit. La formule mérite attention, car elle est prospective. Une relation est nouée dès lors qu’elle est censée durer — peu important qu’elle s’interrompe ensuite prématurément, et peu important qu’elle n’ait, en fait, donné lieu à aucun flux. Ce que le texte saisit, c’est l’intention commune telle qu’elle se manifeste à l’origine, non le déroulement ultérieur.

Cette lecture a été mise à l’épreuve devant la Commission des sanctions par un établissement qui soutenait échapper, pour la majeure partie de sa clientèle, aux obligations de vigilance : sur cinq millions sept cent mille comptes de monnaie électronique ouverts, plus de quatre millions huit cent mille — détenus par des particuliers exclusivement acheteurs sur une place de marché — n’avaient jamais enregistré le moindre flux, d’où l’affirmation qu’un titulaire n’utilisant jamais son compte ne saurait être regardé comme un client engagé dans une relation d’affaires (décision de la Commission des sanctions n° 2020-08 du 14 octobre 2021 à l’égard de la société A). L’argument confond l’inactivité constatée avec l’absence de relation : le compte a été ouvert pour servir de façon répétée, et c’est cette destination qui noue la relation.

2) L’exclusion du client occasionnel

Par symétrie, celui qui ne s’engage dans aucune durée n’est qu’un client occasionnel. Il n’est pas pour autant hors du droit : l’article L. 561-5 impose de l’identifier et de vérifier son identité dans les mêmes conditions que le client habituel lorsqu’un soupçon existe ou lorsque certains seuils sont franchis. La différence tient à ce qui suit l’identification — précisément à ce qui, par hypothèse, ne suit pas. Il n’y a pas de connaissance à entretenir, pas de profil à réviser, pas de cohérence à surveiller dans le temps ; la vigilance s’épuise dans l’opération.

Le paquet de 2024 conservera cette distinction tout en la chiffrant de manière uniforme : l’article 19 du règlement (UE) 2024/1624 imposera les mesures de vigilance lors du nouement de la relation d’affaires, mais aussi lors de l’exécution à titre occasionnel d’une transaction d’un montant d’au moins dix mille euros, exécutée en une fois ou au moyen de transactions liées, ou d’un montant inférieur fixé selon la procédure qu’il prévoit. Là encore, ces règles ne s’appliqueront qu’à compter du 10 juillet 2027.

3) Le terme de la relation

L’obligation d’actualisation s’éteint avec la relation qui la porte — mais elle ne s’éteint qu’avec elle, et la clôture d’un produit ne vaut pas rupture du lien lorsque d’autres subsistent. Surtout, la fin de la relation ne libère pas immédiatement l’assujetti : les documents et informations recueillis doivent être conservés durant le délai légal, précisément pour que les diligences accomplies puissent être justifiées après coup. Ce point sera repris lorsque sera examinée la traçabilité.

Il faut enfin réserver l’hypothèse inverse, celle où c’est l’impossibilité d’actualiser qui commande de mettre un terme à la relation. L’article L. 561-8 pose alors une règle sans nuance : l’assujetti qui n’est pas en mesure de satisfaire aux obligations des articles L. 561-5 ou L. 561-5-1 n’exécute aucune opération, n’établit ni ne poursuit aucune relation, et met un terme à celle qui existe. Cette conséquence — la plus lourde du dispositif — sera étudiée pour elle-même dans la troisième partie ; qu’il suffise ici de noter qu’elle referme le cadre : hors relation d’affaires, pas d’actualisation ; mais sans actualisation possible, plus de relation d’affaires.

D) La permanence de l’exigence

Reste à écarter deux objections que la pratique oppose avec constance, et que le régulateur a repoussées avec la même constance : l’une tirée de la jeunesse de la relation, l’autre de son sommeil.

1) L’indifférence de l’ancienneté

La tentation est naturelle de tenir un dossier récent pour un dossier à jour : le client vient d’entrer en relation, les pièces datent de quelques mois, que faudrait-il actualiser ? Le raisonnement vaut tant que rien ne survient. Il cède dès lors qu’une opération signalée comme atypique ne trouve pas son explication dans les données recueillies à la souscription — car ce n’est plus alors l’ancienneté des informations qui est en cause, c’est leur insuffisance. Le caractère récent de l’ouverture d’un compte ne constitue en aucun cas un motif d’exemption : lorsque ce qui a été collecté ne rend pas compte de ce qui est observé, la mise à jour s’impose sans délai.

L’exigence est plus fondamentale qu’il n’y paraît. Elle signifie que l’actualisation n’est pas seulement la correction d’une donnée devenue fausse, mais aussi le comblement d’une donnée qui n’a jamais suffi. La Commission des sanctions l’a jugé en des termes proches à propos d’un établissement dont les dossiers comportaient des éléments manifestement incohérents dès l’entrée en relation : six cent quatre-vingt-seize titulaires déclaraient un revenu mensuel supérieur à dix mille euros incompatible avec la situation professionnelle indiquée — quatre cent un employés, cent soixante-seize demandeurs d’emploi, quatre-vingt-sept techniciens et trente-deux étudiants —, tandis que deux cent trente-quatre clients nés avant 1950 avaient mentionné une situation professionnelle inconciliable avec leur âge (décision de la Commission des sanctions n° 2020-05 du 7 mai 2021 à l’égard de la société A). Recueillir une déclaration n’est pas connaître : la connaissance suppose que la déclaration soit confrontée au reste du dossier, et la marge d’appréciation reconnue aux assujettis dans la mise en œuvre de leurs obligations ne s’étend pas jusqu’à conserver des informations que leur seule lecture réfute.

La Commission bancaire avait déjà énoncé la règle sous une autre forme : face à un fonctionnement de compte qui suscite des interrogations, l’établissement ne peut se satisfaire des seules déclarations de l’intéressé sans en contrôler le bien-fondé par des vérifications effectives (1^er févr. 2010, Bred Banque Populaire). Le principe s’est vérifié depuis dans des espèces où l’analyse, entièrement fondée sur du déclaratif, n’était accompagnée d’aucune demande de pièce justificative : la Commission des sanctions y a vu la marque d’une carence systémique dans le traitement des alertes et les examens renforcés (décision de la Commission des sanctions n° 2024-06 du 19 mars 2026 à l’égard de MONEYGRAM International SA).

2) L’indifférence de l’inactivité du compte

Le second argument est le miroir du premier : puisque rien ne se passe, rien ne serait à suivre. Il a été soutenu avec méthode dans l’affaire des comptes de monnaie électronique évoquée plus haut, où l’inactivité de plus de quatre millions huit cent mille comptes était invoquée pour dénier au titulaire la qualité de client soumis aux obligations de vigilance. L’objection ne résiste pas à la définition de l’article L. 561-2-1 : la relation se noue par l’engagement dans une certaine durée, non par la survenance d’un flux. Un compte dormant demeure un compte ouvert, disponible pour être utilisé à tout moment — et c’est précisément cette disponibilité qui fait de lui un instrument potentiel.

La conséquence pratique n’est pas que le dormant appelle la même intensité de diligences que l’actif. Elle est que l’inactivité est un facteur de risque à intégrer dans la cotation, non un motif de sortie du champ. La modulation se fait dans le régime, jamais par éviction du régime — et c’est là toute la différence entre une vigilance graduée, que le droit organise, et une vigilance suspendue, qu’il ne connaît pas.

Une même logique gouverne les réveils de relations assoupies. Lorsqu’un contrat d’assurance-vie longtemps inerte donne lieu à une opération de rachat, l’événement rend nécessaire ce que le sommeil dispensait d’entreprendre : la Commission des sanctions a ainsi retenu qu’un assureur n’avait pris aucune mesure pour mettre à jour systématiquement les éléments de connaissance de ses clients lors de la réactivation de leurs contrats, notamment à l’occasion d’un rachat, y compris lorsque ce rachat était précoce et comme tel qualifié à risque élevé par l’entreprise elle-même ; l’étude de recueil prévue ne visait pas les sorties de fonds et n’appelait pas l’actualisation des données de revenus et de patrimoine, même là où ces informations étaient nécessaires à l’évaluation du risque (décision de la Commission des sanctions n° 2014-07 du 24 juillet 2015 à l’égard de la société GENERALI VIE).

Ainsi assise — fondée sur un socle européen en voie de refonte, transposée dans des textes qui distinguent la connaissance de la relation et la surveillance des opérations, imposée à un périmètre large, circonscrite par la notion de relation d’affaires et insensible tant à la jeunesse qu’au sommeil du dossier —, l’obligation d’actualisation demande maintenant à être mesurée. Car si elle ne connaît ni exemption d’ancienneté ni exemption d’inactivité, elle ne s’exerce pas partout avec la même intensité : c’est le risque, et lui seul, qui en règle l’étendue et la cadence.

II) La mesure de l’actualisation par le risque

L’obligation de vigilance étant acquise dans son principe, reste à en déterminer l’intensité. Or, sur ce point, le législateur s’est gardé d’imposer un standard uniforme : il n’a fixé ni la liste exhaustive des informations à recueillir, ni le calendrier des revues à conduire. Ce silence n’est pas une lacune, c’est un parti pris — celui de l’approche par les risques, qui commande de moduler l’effort exigé de l’assujetti sur la menace que la relation d’affaires représente réellement. Une exigence identique pour tous eût été à la fois excessive pour la clientèle ordinaire et dérisoire pour les situations sensibles. Aussi la règle se mue-t-elle en principe de proportionnalité : la nature et l’étendue des informations collectées, comme la fréquence de leur mise à jour, se calibrent sur le degré de risque. Encore faut-il, pour proportionner, avoir préalablement mesuré. C’est tout l’objet de la chaîne qui va de la classification des risques de l’établissement au profil individuel de chaque relation, puis de ce profil au rythme et à la profondeur des diligences.

A) La classification des risques

Avant de coter un client, l’assujetti doit savoir quels risques son activité porte. La classification n’est donc pas un document de conformité parmi d’autres : c’est le référentiel dont tout le reste dépend, et une classification défaillante contamine mécaniquement l’ensemble des profils individuels qui s’y adossent.

1) Les critères légaux d’appréciation

L’article L. 561-32 du Code monétaire et financier fait de l’évaluation des risques le point de départ obligé de l’organisation interne. L’assujetti ne se contente pas d’appliquer des procédures : il les conçoit à partir d’une analyse préalable de son exposition, laquelle tient compte du volume et de la nature de ses activités.

La lecture de ce texte révèle l’articulation : le profil individuel n’est pas un jugement isolé porté sur un client, il est la déclinaison, à l’échelle d’une relation, d’une évaluation menée à l’échelle de l’entreprise. Les critères d’appréciation combinent classiquement la nature du client — personne physique ou morale, résidence, secteur d’activité, transparence de la structure de détention —, les produits et services souscrits, les canaux de distribution empruntés, notamment lorsque l’entrée en relation s’opère à distance, et enfin l’implantation géographique des opérations. Ces facteurs ne s’additionnent pas mécaniquement : ils se combinent, et c’est leur conjonction qui fait le risque. Un client résidant dans un État sensible n’appelle pas la même vigilance selon qu’il souscrit un produit d’épargne bloqué ou qu’il utilise un compte de paiement à rotation rapide.

2) La cartographie interne des risques

Encore faut-il que cette évaluation soit formalisée. La classification prend en pratique la forme d’une cartographie écrite, dimensionnée sur le profil de risques propre à l’établissement, la diversité de ses métiers, la typologie de sa clientèle et sa présence géographique — c’est en ces termes que l’arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne en matière de lutte contre le blanchiment décrit l’exigence. Une cartographie générique, décalquée d’un modèle de place sans considération pour les particularités du métier exercé, ne satisfait pas la règle : elle décrit un établissement qui n’est pas celui qui la produit.

La Commission des sanctions veille sur ce terrain, mais elle y veille avec une exigence probatoire qui protège aussi l’assujetti. Dans sa décision n° 2022-02 à l’égard de la Financière des paiements électroniques, elle a écarté un grief tiré de l’absence de traitement particulier réservé à certaines catégories de clientèle, faute pour la poursuite d’avoir explicité en quoi ces catégories appelaient une place spécifique dans la classification, et faute d’avoir distingué ce qui relevait de la classification de ce qui relevait du dispositif de surveillance des opérations. La leçon est double : la cartographie doit être argumentée, mais le reproche qu’on lui adresse doit l’être également.

B) Le profil de la relation d’affaires

La classification donne la grille ; le profil en fait l’application à un client déterminé. C’est à ce niveau que la vigilance devient concrète, car c’est le profil attribué qui commande ensuite l’étendue des informations exigées, le rythme des revues et le seuil à partir duquel une opération devient atypique.

1) La cotation initiale du client

À l’entrée en relation, l’assujetti attribue à la relation un niveau de risque — faible, standard ou élevé, selon des échelles dont le nombre de degrés varie d’un établissement à l’autre. Cette cotation s’appuie sur les éléments recueillis au titre des articles L. 561-5 et L. 561-5-1 : identité du client et du bénéficiaire effectif, objet et nature envisagée de la relation, activité professionnelle, situation financière. L’arrêté du 6 janvier 2021 impose que les procédures internes précisent les modalités de définition de ce profil, en le rattachant expressément à la classification des risques et à la connaissance actualisée de la relation. La Commission des sanctions a rappelé cette exigence dans sa décision n° 2022-07 à l’égard de la société Treezor, en soulignant que les modalités de cotation doivent figurer dans les procédures et non résulter d’appréciations laissées à la discrétion des collaborateurs.

L’absence de cotation est en elle-même un manquement, indépendamment de la question de savoir si le client présentait effectivement un risque. C’est ce qu’illustre la décision n° 2022-03 rendue le 12 octobre 2023 à l’égard de la société Abeille Vie, où le défaut de définition d’un niveau approprié de vigilance a été retenu — la Commission ayant toutefois circonscrit le grief au périmètre effectivement démontré, réduisant l’assiette du reproche aux dossiers concernés plutôt qu’à l’ensemble des opérations exécutées sur la période.

2) La révision du profil attribué

Le profil n’est pas un état, c’est une hypothèse : il vaut ce que valent les informations sur lesquelles il repose, et il doit céder dès que celles-ci se démentent. Recueillir un élément nouveau sans en tirer les conséquences reviendrait à collectionner des données sans les lire — ce que l’article R. 561-12 interdit précisément, en imposant non seulement de recueillir et de mettre à jour, mais aussi d’analyser.

La sanction du défaut de réévaluation est bien établie. Dans sa décision n° 2022-04 à l’égard de la société BMW Finance, la Commission des sanctions a relevé qu’une relation d’affaires ayant donné lieu à une déclaration de soupçon pour escroquerie en bande organisée avait néanmoins été maintenue en risque standard. L’établissement objectait qu’un courrier de relance était automatiquement adressé aux clients dont le dossier n’était plus à jour ; il a dû admettre que les réponses reçues ne faisaient l’objet d’aucun suivi. La démonstration est instructive : un processus déclenché mais non exploité n’accomplit rien. L’automatisation de la demande ne dispense pas du traitement de la réponse.

C) L’allégement des diligences

Si le risque module l’effort à la hausse, il le module aussi à la baisse. La proportionnalité serait un principe boiteux si elle ne jouait que dans un sens.

1) Les conditions du risque faible

Lorsque la relation présente un risque faible, l’assujetti peut réduire l’intensité de ses diligences : espacer les revues, restreindre le volume d’informations demandées, se satisfaire d’éléments déclaratifs là où un risque supérieur imposerait des pièces corroborantes. Les lignes directrices de l’Autorité de contrôle prudentiel et de résolution relatives à l’identification, à la vérification de l’identité et à la connaissance de la clientèle formulent cette gradation avec netteté : en risque faible, l’information déclarative peut suffire ; en risque élevé, elle ne saurait en principe suffire, et l’organisme recueille des documents venant étayer les déclarations du client. Cette doctrine administrative n’est pas normative, mais elle est suivie, et elle donne la mesure de ce que le superviseur attend.

Le paquet européen de 2024 consacrera cette faculté dans un texte directement applicable. L’article 33 du règlement (UE) 2024/1624, adopté le 31 mai 2024, autorisera l’entité assujettie à réduire la fréquence des mises à jour des données d’identification et la quantité d’informations recueillies lorsque le degré de risque est peu élevé, et même à différer la vérification de l’identité après l’établissement de la relation, dans un délai plafonné à soixante jours. Ces dispositions ne s’appliqueront qu’à compter du 10 juillet 2027, le report étant porté au 10 juillet 2029 pour les entités visées à l’article 3, points 3 n) et o) du règlement. Jusque-là, c’est le seul Code monétaire et financier qui gouverne la matière.

2) La persistance d’un socle minimal

L’allégement n’est pas une dispense. Quel que soit le niveau de risque retenu, l’obligation de vigilance constante posée par l’article L. 561-6 demeure, et avec elle l’examen attentif des opérations. Réduire n’est pas supprimer : l’assujetti qui range une relation en risque faible doit encore pouvoir justifier de cette qualification, la réexaminer lorsqu’un élément la contredit, et détecter les opérations qui s’écartent du profil ainsi retenu. Au demeurant, le classement en risque faible n’est pas un abri : il est un pari que l’établissement prend et dont il répond. La décision n° 2022-04 précitée en offre la démonstration a contrario, puisque c’est précisément le maintien indu d’un profil bas qui y a été sanctionné.

D) Le renforcement des diligences

À l’autre extrémité de l’échelle, certaines situations appellent un surcroît de vigilance que la loi organise elle-même, sans laisser à l’assujetti le soin d’en apprécier l’opportunité.

1) Les situations de risque élevé

Le Code monétaire et financier distingue les mesures de vigilance complémentaires, exigées dans des cas énumérés par l’article L. 561-10 — notamment lorsque l’identité du client n’a pas été vérifiée en sa présence physique dans les conditions de l’article R. 561-5-1 —, et les mesures de vigilance renforcées de l’article L. 561-10-1, qui procèdent d’une appréciation du risque conduite par l’établissement lui-même. Les principes d’application sectoriels de l’Autorité de contrôle prudentiel et de résolution relatifs au droit au compte rappellent cette dualité et en tirent une conséquence pratique : les procédures internes doivent identifier, pour chaque hypothèse, les diligences supplémentaires effectivement mises en œuvre. Un renvoi au texte légal ne vaut pas procédure. La décision n° 2015-10 du 29 juillet 2016, rendue à l’égard de la succursale française d’une société d’assurance, sanctionne exactement cette carence : la procédure interne ne précisait pas les mesures complémentaires applicables aux clientèles sensibles ni la fréquence de mise à jour des éléments de connaissance.

2) Les personnes politiquement exposées

Parmi ces situations, celle de la personne politiquement exposée occupe une place singulière, car le risque y tient non à ce que le client fait mais à ce qu’il est — ou à ce qu’est son entourage. L’entrée en relation avec une telle personne relève, aux termes de l’article R. 561-20-2, d’une décision prise par un membre de l’organe exécutif ou par une personne habilitée à cet effet. L’exigence ne se consume pas à l’entrée : la qualité de personne politiquement exposée peut être acquise en cours de relation, à la faveur d’une élection, d’une nomination ou d’un mariage, et c’est précisément l’actualisation qui permet de la déceler. D’où l’importance des dispositifs de filtrage périodique de la base clientèle, dont la fréquence est elle-même un objet de contrôle — la décision n° 2020-06 du 12 juillet 2021 en témoigne, où la périodicité d’un filtrage a été discutée au regard de l’exigence de mise en œuvre sans délai, avant que le grief ne soit abandonné par la poursuite.

3) L’examen renforcé des opérations

La vigilance renforcée ne porte pas seulement sur le client : elle porte sur ses opérations. L’article R. 561-12-1 impose de s’assurer de la cohérence entre les transactions exécutées et la connaissance actualisée de la relation.

Ce texte a été appliqué avec rigueur par la Commission des sanctions dans sa décision n° 2022-01 à l’égard d’Axa Banque, qui rappelle que l’assujetti doit pouvoir justifier auprès des autorités de contrôle tant de la mise en œuvre de ces mesures que de leur adéquation au risque présenté. L’examen renforcé se distingue ici de la simple détection : détecter une anomalie n’est qu’un commencement ; il faut ensuite en rechercher l’explication, la consigner, et décider si elle emporte réévaluation du profil ou déclaration de soupçon. Le règlement (UE) 2024/1624 durcira ce point à compter du 10 juillet 2027, son article 34 imposant d’examiner l’origine et la destination des fonds ainsi que la finalité de toute transaction présentant un caractère complexe ou un montant inhabituel.

E) La périodicité des revues

Reste la question du rythme. Une connaissance actualisée suppose un calendrier, mais un calendrier ne suffit pas : les événements ne se plient pas au tempo des revues.

1) La fréquence indexée sur le risque

L’article R. 561-12 ne fixe aucune périodicité chiffrée : il subordonne la fréquence de la mise à jour au risque présenté par la relation. Il revient donc à l’assujetti de bâtir son propre plan de mise à jour et d’en justifier l’adéquation. Les principes d’application sectoriels de l’Autorité de contrôle prudentiel et de résolution pour le secteur des assurances l’expriment sans détour : l’organisme détermine, en fonction des risques et du degré de complétude des dossiers, un plan de mise à jour dont il doit pouvoir démontrer la pertinence au regard des risques que portent ses relations d’affaires. En pratique, les cycles retenus s’échelonnent d’une revue annuelle pour les relations les plus sensibles à des rythmes pluriannuels pour la clientèle standard. Ce que le superviseur contrôle n’est pas tant le chiffre retenu que la justification qui le soutient et l’exécution effective du plan.

2) Le déclenchement par événement

Le cycle périodique ne saurait épuiser l’obligation, car il est par construction en retard sur les faits. Aussi la mise à jour doit-elle également se déclencher hors calendrier, dès qu’un événement significatif affecte la relation : changement de bénéficiaire effectif, souscription d’un produit nouveau, modification de l’activité professionnelle, détection d’une opération atypique, transmission d’une déclaration à Tracfin. La décision n° 2014-07 du 24 juillet 2015 rendue à l’égard de la société Generali Vie illustre ce que coûte l’oubli d’un fait générateur : la procédure interne ne prévoyait pas l’actualisation des données de revenus et de patrimoine lors des opérations de sortie de fonds, ni de mise à jour systématique lors de la réactivation d’un contrat, y compris à l’occasion d’un rachat précoce que l’entreprise tenait elle-même pour un facteur de risque élevé. Il y avait là une contradiction interne : classer une opération comme sensible et n’en tirer aucune conséquence sur la connaissance du client.

L’ancienneté de la relation ne fournit pas davantage d’échappatoire dans l’autre sens. Le caractère récent de l’ouverture d’un compte ne dispense de rien : dès lors que les éléments recueillis à la souscription ne suffisent pas à expliquer une opération signalée comme atypique, la mise à jour s’impose sans délai, quand bien même la revue périodique ne serait pas échue. La périodicité est un plancher de diligence, jamais un calendrier d’immunité.

III) Les diligences d’actualisation

Savoir à quelle cadence rouvrir un dossier ne dit encore rien de ce qu’il faut y porter. La périodicité commande le calendrier ; elle ne commande ni la nature des vérifications, ni leur profondeur, ni la manière dont elles doivent être conservées. Or c’est bien là que se joue l’essentiel du contentieux : les manquements retenus par la Commission des sanctions ne portent presque jamais sur l’absence de revue, mais sur son inconsistance — un dossier rouvert pour être aussitôt refermé, un changement constaté sans conséquence tirée, une alerte close sans motif écrit. L’actualisation est un acte, non une case à cocher : encore faut-il en décrire le contenu.

A) La réidentification du client

Une distinction domine la matière et il convient de l’établir d’emblée, car elle départage deux régimes que la pratique confond volontiers. Actualiser la connaissance d’une relation d’affaires n’est pas réidentifier celui qui en est le titulaire. La première opération enrichit et corrige un savoir ; la seconde reconstitue le socle sur lequel ce savoir repose.

1) Les motifs sérieux de doute

Le renvoi du texte n’est pas une commodité de rédaction : il fixe l’étendue de l’obligation. Réidentifier, c’est refaire — recueillir à nouveau les éléments d’identité, les vérifier sur pièce probante, consulter les registres, dans des conditions analogues à celles de l’entrée en relation. Le professionnel ne saurait se contenter d’annoter le dossier ; il doit le reconstituer.

Le déclencheur, en revanche, est étroit. Le texte exige de « bonnes raisons de penser » que les éléments recueillis ne sont plus exacts ou pertinents : un doute sérieux, appuyé sur des indices concrets, et non la simple usure du temps. C’est ici qu’il faut se garder d’un automatisme répandu. La péremption d’un titre d’identité ne rend pas fausse l’identité qu’il constate : elle affecte la valeur probante du document, non l’exactitude de la donnée. Le seul dépassement de la date de validité d’une pièce ne suffit donc pas, à lui seul, à faire naître l’obligation de réidentifier, quand bien même la prudence commanderait souvent d’en solliciter une nouvelle. À l’inverse, une information publique contredisant le dossier, une incohérence révélée par une opération, une déclaration du client démentie par les registres constituent autant de motifs sérieux qui, eux, obligent.

Deux contextes opérationnels portent en pratique cette diligence. Elle surgit d’abord à l’occasion de la revue périodique du dossier de connaissance client, lorsque la confrontation des données recueillies aux éléments disponibles fait apparaître leur obsolescence. Elle surgit ensuite à l’occasion d’un soupçon : la réidentification devient alors un acte de vigilance renforcée, qui précède ou accompagne la déclaration adressée à Tracfin, et dont l’absence prive cette déclaration d’une part de sa substance.

2) Le changement de nom ou de forme

Les événements qui rendent les éléments d’identification inexacts se laissent ordonner selon la qualité du client. Pour la personne physique, le changement de nom patronymique, l’emploi d’un nom d’usage, la modification des prénoms ou le changement de sexe à l’état civil affectent directement les données recueillies au titre de l’article R. 561-5. Pour la personne morale, la modification de la dénomination sociale, le changement de forme sociale et le transfert du siège social produisent le même effet, puisque ces éléments composent précisément son identification réglementaire. S’y ajoute, propre à l’assurance, l’hypothèse de la cession à un tiers d’un contrat dont l’organisme prend acte ou qui lui est notifiée : le cessionnaire devient partie à la relation d’affaires et doit être identifié comme tel, ainsi que le prévoit l’article R. 561-11-1 du Code monétaire et financier.

3) Le suivi du bénéficiaire effectif

La personne morale n’est jamais qu’un écran : c’est derrière elle que se loge le risque, et c’est pourquoi le suivi du bénéficiaire effectif constitue le point le plus exigeant de l’actualisation.

Le changement d’actionnariat majoritaire, la modification statutaire qui déplace le pouvoir de contrôle, l’interposition d’une nouvelle entité dans la chaîne de détention emportent tous la même conséquence : le bénéficiaire effectif précédemment identifié ne l’est plus, et la vérification doit être reprise. L’exigence porte non seulement sur l’identité de cette personne, mais sur les éléments qui justifient sa qualité — pourcentage de détention, pouvoirs de direction, mécanismes de contrôle indirect.

Le règlement (UE) 2024/1624 du 31 mai 2024, applicable à compter du 10 juillet 2027 — le 10 juillet 2029 pour les seules entités visées à son article 3, points 3) n) et o) —, reprendra cette exigence dans un corps de règles directement applicable. Jusqu’à cette date, le droit positif demeure celui des articles R. 561-5 et suivants du Code monétaire et financier, et c’est à lui seul que se mesure la conformité des dispositifs.

B) Le contenu des informations recueillies

1) Les éléments réglementaires exigibles

Hors le cas du doute sérieux, l’actualisation obéit à un régime propre, celui de l’article R. 561-12 du Code monétaire et financier, complété par l’arrêté du 2 septembre 2009. Ce texte dresse la liste des éléments dans laquelle l’assujetti puise, en fonction du risque, ce qu’il doit recueillir, mettre à jour et analyser pendant toute la durée de la relation.

Y figurent l’identité et la situation personnelle du client — nom, adresse, profession, situation familiale — ainsi que toute modification les affectant ; l’identité du bénéficiaire effectif et les éléments établissant cette qualité ; l’identification des personnes agissant pour le compte du client, mandataires, représentants légaux et titulaires de procurations, dont les pouvoirs doivent être connus autant que l’identité ; les activités professionnelles exercées et les revenus déclarés, sans lesquels aucune appréciation de cohérence n’est possible ; l’objet et la nature de la relation ainsi que les produits et services souscrits, la souscription d’un crédit immobilier ou d’un contrat d’assurance-vie constituant à elle seule un fait nouveau appelant mise à jour ; enfin, lorsque l’appréciation du risque le justifie, l’origine et la destination des fonds.

Le verbe employé par le texte mérite qu’on s’y arrête : les assujettis recueillent, mettent à jour et analysent. La collecte n’épuise pas l’obligation. Constater qu’un client a changé d’activité ne vaut rien si l’on n’en tire pas les conséquences sur le niveau de vigilance ; c’est pourquoi l’analyse conduit, en tant que de besoin, à la réévaluation du profil de risque attribué à la relation.

2) L’origine des fonds et du patrimoine

Deux notions voisines sont ici régulièrement confondues, et cette confusion est sanctionnée. L’origine du patrimoine désigne la manière dont le client a constitué sa surface financière ; l’origine des fonds désigne la provenance des sommes engagées dans une opération déterminée. Documenter la seconde ne dispense pas de connaître la première. La Commission des sanctions de l’ACPR l’a nettement marqué dans sa décision n° 2022-03 du 12 octobre 2023 à l’égard de la société Abeille Vie : dans cinq dossiers, l’organisme disposait d’éléments suffisants sur les fonds impliqués dans l’opération mais d’éléments trop imprécis sur le patrimoine du client, tandis que dans quatre autres les informations faisaient défaut sur l’un comme sur l’autre terrain — le grief fut retenu, dans un périmètre réduit à ces seuls dossiers.

La doctrine administrative éclaire utilement l’intensité attendue. Les lignes directrices de l’ACPR relatives à la lutte contre le blanchiment dans le domaine de la gestion de fortune indiquent que les mesures renforcées consistent notamment à recueillir des informations et documents additionnels en se renseignant sur l’origine du patrimoine et des revenus, et que le niveau de risque des clients classés comme élevés doit être réévalué périodiquement. Ces recommandations n’ont pas force de loi ; elles décrivent ce que l’autorité de contrôle tient pour une mise en œuvre satisfaisante, et l’établissement qui s’en écarte devra expliquer pourquoi.

La règle n’est pas nouvelle dans son inspiration — le droit français impose déjà l’examen renforcé des opérations dépourvues de justification économique apparente. Sa portée changera néanmoins de nature : ce qui relève aujourd’hui d’un décret d’application relèvera demain d’un règlement d’application directe, uniforme dans l’ensemble de l’Union et soustrait aux variations de transposition.

3) La conservation et la traçabilité

Une diligence accomplie mais non consignée est, devant l’autorité de contrôle, une diligence qui n’a pas eu lieu. L’assujetti doit être en mesure de justifier à tout moment de la mise en œuvre de ses mesures d’identification et de l’adéquation de sa vigilance au risque présenté par chaque relation, et il conserve à cette fin, pendant cinq ans à compter de la clôture des comptes ou de la fin de la relation, les documents relatifs à l’identité de ses clients comme ceux relatifs aux opérations effectuées. Chaque actualisation, chaque analyse, chaque décision de maintien ou de révision du profil doit donc être datée, motivée et archivée.

L’exigence n’est pas formelle. Dans sa décision n° 2015-07 du 4 juillet 2016 à l’égard de la société QUICK CHANGE, la Commission des sanctions a relevé que certaines opérations n’avaient été que partiellement retranscrites dans le fichier de suivi, plusieurs cellules du tableur correspondant aux sommes enregistrées ou converties étant demeurées vides, et que les bordereaux d’opérations n’étaient pas horodatés. La défaillance portait moins sur la vigilance elle-même que sur l’impossibilité d’en rapporter la preuve — et cette impossibilité suffit à fonder le grief.

C) Le dispositif interne de suivi

1) Les procédures et l’organisation

L’actualisation individuelle des dossiers suppose, en amont, une organisation qui la rende possible. L’article L. 561-32 du Code monétaire et financier, complété par l’article R. 561-38, impose aux assujettis de se doter de procédures internes écrites, tenant compte de l’évaluation des risques, et fixant les règles applicables au contrôle des risques, à la mise en œuvre des mesures de vigilance, à la conservation des pièces, à la détection des transactions inhabituelles ou suspectes et au respect de l’obligation déclarative envers Tracfin. Cette organisation doit être adaptée à la taille de l’entreprise, à la nature de ses activités et aux risques identifiés par sa classification, et dotée d’outils ainsi que de moyens matériels et humains permettant la mise en œuvre effective des vigilances. L’arrêté du 6 janvier 2021 précise que les dispositifs de suivi et d’analyse se dimensionnent au regard du profil de risques de l’établissement, de la diversité de ses métiers, de la typologie de sa clientèle et de son implantation géographique. On tient là une obligation de moyens renforcée : il ne suffit pas d’avoir prévu, il faut avoir prévu à la mesure de ce que l’on fait.

2) Le système de détection des alertes

Le dispositif repose sur trois opérations qui s’enchaînent. La vigilance constante, d’abord, s’exerce sur l’ensemble de la relation à partir de la connaissance actualisée que l’on en a, et porte sur le montant, la fréquence, l’origine et la destination des flux. L’examen de cohérence, ensuite, confronte chaque opération à l’activité déclarée, au profil de risque attribué et, lorsque l’appréciation du risque le commande, à la provenance et à la destination des capitaux — c’est l’objet même de l’article R. 561-12-1. La détection des anomalies, enfin, isole les opérations qui s’écartent du profil, pour les soumettre à un examen renforcé et, le cas échéant, à une déclaration de soupçon.

Le maillon faible est presque toujours le second et le troisième, et la sanction s’attache alors au calibrage de l’outil autant qu’à son existence. Dans sa décision n° 2024-06 du 19 mars 2026 à l’égard de MONEYGRAM International SA, la Commission des sanctions a relevé que, sur 8,6 millions d’opérations réalisées en 2022 pour un montant total de 2,6 milliards d’euros transférés, le dispositif de surveillance n’avait généré que 34 351 alertes — la disproportion valant, à elle seule, indice d’un paramétrage défaillant. Dans sa décision n° 2024-02 du 19 juin 2025 à l’égard de la banque Delubac et Cie, elle a retenu que le dispositif de gestion des risques reposait principalement sur un outil de surveillance ex post alimenté par des modèles d’alertes automatisés dont les insuffisances n’avaient pas été corrigées. L’enseignement est constant : un outil dont on ne mesure ni le rendement ni les angles morts n’est pas un dispositif, c’est une apparence de dispositif.

3) Le contrôle interne et la formation

Encore faut-il vérifier que ce qui est prescrit est exécuté. Les organismes doivent mettre en place des mesures de contrôle interne propres à s’assurer du respect effectif de l’obligation d’actualisation, et cette exigence ne se satisfait pas de mécanismes purement incitatifs : ni l’écoute supervisée des échanges téléphoniques, ni l’intéressement financier des collaborateurs indexé sur la collecte de données ne démontrent, à eux seuls, que les dossiers sont tenus à jour. Il faut un contrôle qui constate, non un stimulant qui espère.

La fiabilité de la fonction de contrôle se mesure aussi à l’exactitude de ce qu’elle remonte. Dans sa décision n° 2015-08 du 8 décembre 2016 à l’égard d’AXA FRANCE VIE, la Commission des sanctions a retenu que l’organisme avait reconnu avoir communiqué à l’ACPR, au titre de deux exercices successifs, une réponse erronée dans le questionnaire annuel relatif à la lutte contre le blanchiment, portant sur le nombre d’examens renforcés effectués. À cette chaîne s’ajoute la formation des personnels, condition première de la détection : l’anomalie que le chargé de clientèle ne sait pas reconnaître ne remontera jamais jusqu’à l’analyste.

D) Le concours attendu du client

1) La demande de pièces justificatives

L’actualisation n’est pas un travail que l’assujetti mène seul : elle suppose un concours du client, dont l’étendue varie avec le risque. Sur une relation standard, la déclaration du client peut suffire à rafraîchir une donnée de situation ; dès que le risque s’élève, la déclaration doit être étayée par des pièces probantes — justificatifs de la nouvelle activité professionnelle, avis d’imposition, actes établissant la provenance d’un capital, documents sociaux révélant la structure de détention. Le règlement (UE) 2024/1624 ouvrira par ailleurs, à compter du 10 juillet 2027, la faculté pour les entités assujetties d’échanger entre elles au sein de partenariats de partage d’informations, dans la stricte mesure nécessaire au respect de leurs obligations de vigilance et sous information de leurs autorités de surveillance ; ce canal n’existe pas aujourd’hui dans cette forme, et l’on ne saurait s’en prévaloir avant cette date.

2) Le refus de communication

Que faire du client qui se dérobe ? Le silence, ici, n’est pas neutre : il est une information. Les lignes directrices de l’ACPR relatives à la gestion de fortune rangent expressément parmi les critères d’alerte le refus du client de produire des pièces justificatives quant à la provenance des fonds reçus ou quant aux motifs avancés des paiements, comme l’impossibilité pour lui de les produire. Le refus n’établit évidemment pas la fraude ; il prive l’assujetti de la connaissance qui lui permettrait d’écarter le soupçon, et cette privation compte pour elle-même dans l’appréciation du risque.

3) La cessation de la relation

Lorsque l’assujetti n’est pas en mesure d’identifier son client, de vérifier son identité ou celle du bénéficiaire effectif, ou d’obtenir les informations relatives à l’objet et à la nature de la relation, l’article L. 561-8 du Code monétaire et financier lui interdit d’exécuter l’opération et lui commande de ne pas nouer la relation ou d’y mettre un terme lorsqu’elle est déjà engagée. L’échec de l’actualisation débouche donc, à son terme, sur une obligation d’abstention doublée, s’il existe un soupçon, d’une déclaration à Tracfin — la clôture ne dispensant jamais de la déclaration. Les conditions de cette rupture et les responsabilités qu’elle expose relèvent des suites du manquement, sur lesquelles il faudra revenir.

E) Le différé propre à la monnaie électronique

1) Les conditions de la dérogation

Un aménagement singulier vient tempérer cette architecture, au profit des émetteurs de monnaie électronique mentionnés aux 1°, 1° ter et 1° quater de l’article L. 561-2 du Code monétaire et financier. L’article R. 561-14-1-1 leur permet de différer la vérification de l’identité du détenteur, afin de concilier les exigences de la vigilance avec un instrument dont l’usage suppose une souscription immédiate. La dérogation ne se présume pas : elle est subordonnée à un faisceau de conditions cumulatives.

Il faut, d’abord, qu’aucun soupçon de blanchiment ou de financement du terrorisme n’existe. Il faut, ensuite, que le client ne détienne pas déjà un instrument de même nature auprès du même émetteur, condition qui fait obstacle au fractionnement. Il faut encore que le chargement s’opère exclusivement par un moyen de paiement émis par un organisme financier ayant identifié son détenteur selon les règles de droit commun, ou par un transfert provenant d’un instrument émis par le même émetteur — de sorte que l’identification, différée chez l’émetteur, demeure acquise en amont de la chaîne. Il faut enfin que l’instrument soit réservé aux personnes physiques et cantonné à des usages limitativement définis : transferts internes, achats auprès de professionnels identifiés, dons au profit d’associations reconnues d’utilité publique, transferts vers un compte situé dans l’Espace économique européen. Le contrat conclu entre l’émetteur et le détenteur doit, au surplus, mentionner expressément le régime dérogatoire applicable. La vérification de l’identité intervient alors au plus tard douze mois après l’émission de l’instrument.

2) Les seuils de déchéance du différé

Ce délai n’est qu’un plafond, et il tombe dès que l’usage de l’instrument révèle une intensité qui excède celle d’un moyen de paiement d’appoint. Le franchissement de l’un des seuils réglementaires oblige l’émetteur à procéder immédiatement à la vérification, sans attendre l’échéance annuelle.

La règle se résume en une proposition simple : le différé est une dérogation strictement conditionnée, et non un régime allégé. Dès que l’une des conditions cesse d’être remplie — apparition d’un soupçon, détention d’un second instrument, chargement par un canal non conforme — comme dès que l’un des seuils est atteint, l’émetteur doit vérifier l’identité du détenteur sans délai et dans les mêmes conditions qu’à l’entrée en relation d’affaires. La dérogation ne modifie pas le contenu de la diligence ; elle en déplace seulement le moment, et ce déplacement cesse aussitôt que le risque se manifeste.

IV) Les suites du défaut d’actualisation

L’obligation d’actualisation n’aurait qu’une valeur d’exhortation si son inobservation demeurait sans conséquence. Or elle en emporte de considérables, et de natures fort différentes : disciplinaires d’abord, car l’assujetti répond de sa vigilance devant l’autorité qui le supervise ; civiles ensuite, parce que la mise à jour se heurte parfois à un client qui la refuse et que la relation doit alors se dénouer ; pénales enfin, dans l’hypothèque — rare mais réelle — où la carence de connaissance se mue en participation au blanchiment. Encore ces trois ordres de responsabilité ne se laissent-ils saisir qu’à travers une même question, qui les traverse toutes : celle de la preuve des diligences accomplies. C’est elle qui, en pratique, décide de l’issue.

A) La répression disciplinaire

Le contentieux de la connaissance client n’est presque jamais judiciaire : il est administratif. L’Autorité de contrôle prudentiel et de résolution, par sa Commission des sanctions, en constitue le juge naturel pour les organismes financiers, et c’est dans ses décisions — motivées, chiffrées, publiées — que se lit la portée réelle des articles L. 561-5-1 et L. 561-6 du Code monétaire et financier. Deux types de griefs s’y rencontrent, qu’il importe de distinguer car ils n’appellent ni la même démonstration ni la même défense.

1) La carence du dispositif interne

Le premier grief vise l’organisation elle-même. L’article L. 561-32 du Code monétaire et financier impose à l’assujetti de se doter de procédures internes et d’un profil de la relation d’affaires permettant d’exercer la vigilance constante ; l’insuffisance de cet appareil est, en soi, un manquement, indépendamment de tout dommage et sans qu’il soit besoin d’établir qu’une opération de blanchiment a effectivement prospéré.

La physionomie de ces carences est constante. Tantôt le manuel de procédures ne descend pas au niveau de précision qu’exige l’acte à accomplir : la Commission des sanctions a ainsi retenu, dans sa décision n° 2016-03 du 15 décembre 2016 à l’égard de la Société d’exploitation MERSON, qu’un corps de règles internes qui n’énonce pas les diligences concrètes d’identification d’un client personne morale ni les critères de détermination du bénéficiaire effectif demeure incomplet et peu opérationnel — le défaut de procédure s’y donnait d’ailleurs à voir dans les dossiers, plusieurs d’entre eux ne comportant aucun extrait d’immatriculation récent. Tantôt c’est un pan entier du dispositif qui manque : la décision n° 2013-06 du 26 janvier 2015 à l’égard de la société BANK OF AFRICA FRANCE censure l’absence de règles écrites sur les modalités d’acceptation des clients exposés à des risques particuliers et sur les vigilances complémentaires que leur situation commande, et la décision n° 2014-07 du 24 juillet 2015 à l’égard de la société GENERALI VIE constate qu’à la date du contrôle l’entreprise ne disposait d’aucune procédure de détection des personnes politiquement exposées ni d’aucun protocole des diligences renforcées à mettre en œuvre à leur endroit, tout au long de la relation.

Le grief atteint aussi la matière première du dispositif. La décision n° 2023-01 du 27 juin 2024 à l’égard de la Banque régionale d’escompte et de dépôts en offre l’illustration la plus instructive, parce que l’établissement y avait tenté de compenser l’incomplétude de sa base clients par un artifice : à défaut de connaître les revenus ou le chiffre d’affaires de ses clients, il les rangeait par défaut dans la tranche la plus basse. La Commission a refusé d’y voir un palliatif acceptable. Classer artificiellement des clients dans une catégorie dont ils ne relèvent pas ne comble pas la lacune : elle la déplace en aval, en multipliant les alertes inutiles, et affecte par là l’efficacité même de la surveillance. La leçon dépasse l’espèce — un paramétrage conservateur n’est pas une connaissance, et le nombre d’alertes n’est pas la mesure de la vigilance.

2) Les défaillances de dossiers individuels

Le second grief se place à l’échelle du dossier. Il est plus redoutable qu’il n’y paraît, car il survit à la conformité de l’organisation : le Conseil d’État a jugé, le 5 février 2024 (n° 470957), qu’un établissement de crédit peut être sanctionné pour quelques défaillances ponctuelles de son dispositif de suivi et d’analyse sans que la conformité globale de celui-ci soit remise en cause. La responsabilité s’apprécie donc opération par opération, dossier par dossier ; l’assujetti ne saurait opposer la qualité d’ensemble de son appareil à la carence d’un cas particulier.

Encore faut-il, en sens inverse, que le grief soit établi sur ce qu’il prétend atteindre. La même décision n° 2023-01 du 27 juin 2024 écarte l’un des reproches formulés au motif qu’il visait la complétude de la base clients quand les éléments produits concernaient la périodicité des revues : la charge de la preuve pèse sur la poursuite, et un manquement ne s’induit pas d’un autre. La décision n° 2021-05 du 1er décembre 2022 à l’égard d’une caisse régionale de Crédit agricole marque la même exigence : des pourcentages de dossiers comportant des données trop anciennes sur la profession ou les revenus des clients peuvent donner à penser que le manquement dépasse les dossiers nommément identifiés, ils ne suffisent pas à caractériser une carence du dispositif de connaissance actualisée pris comme composante du dispositif de lutte contre le blanchiment. Le grief individuel et le grief systémique ne se déduisent pas l’un de l’autre : chacun se prouve pour ce qu’il est.

Reste que la démonstration, lorsqu’elle aboutit, est accablante. La décision n° 2018-06 du 11 juillet 2019 retient qu’un établissement ne se conformait pas de manière satisfaisante à son obligation de connaissance de la clientèle en relation d’affaires, faute de réunir des informations précises sur les revenus et le patrimoine, étayées par des pièces ; la Commission y écarte expressément l’argument, souvent avancé en banque privée, tiré de l’ancienneté et de la proximité des liens noués avec le client ou sa famille. La familiarité n’est pas la connaissance au sens du Code monétaire et financier — la seconde se documente, la première se raconte. Et cette carence, souligne la décision, avait eu des conséquences dans plusieurs dossiers : faute de connaître, l’établissement n’avait pu analyser.

3) L’échelle des sanctions prononcées

La sanction se module sur la gravité et sur l’ampleur du manquement. Elle peut se limiter à l’avertissement ou au blâme, s’accompagner d’une interdiction temporaire d’effectuer certaines opérations — mesure redoutée, car elle touche l’exploitation — et se doubler d’une sanction pécuniaire dont le quantum tient compte de la taille de l’établissement et de sa capacité contributive. La publication de la décision, nominative ou anonymisée, constitue en pratique une peine à part entière, le préjudice de réputation excédant fréquemment le montant de l’amende. La sévérité observée face à l’absence d’un dispositif de suivi et d’analyse adapté aux risques, aux activités et à la clientèle de l’entreprise — dont la décision n° 2017-08 du 23 mars 2018 offre l’illustration — s’explique par la place de ce dispositif dans l’économie du système : il est le point où la connaissance du client se convertit en détection.

Deux circonstances aggravent régulièrement la répression. La première tient au retard : les lignes directrices conjointes de l’Autorité et de Tracfin rappellent, en s’appuyant sur les décisions rendues en la matière, que le caractère tardif d’une déclaration de soupçon s’apprécie à la date à laquelle les opérations pouvaient apparaître comme suspectes, et non à celle du déclenchement d’une alerte interne lorsque cette alerte est elle-même tardive. Autrement dit, la carence d’actualisation qui retarde l’alerte ne saurait servir d’excuse au retard de la déclaration : le manquement amont ne purge pas le manquement aval, il l’aggrave. La seconde tient à la sous-dotation des équipes — l’adéquation entre le volume d’alertes à traiter et les moyens humains qui leur sont consacrés est elle-même un objet de contrôle.

B) Les conséquences civiles

La sanction disciplinaire n’épuise pas le sujet, car l’actualisation se joue d’abord dans le rapport contractuel qui unit l’assujetti à son client. Lorsque celui-ci se dérobe, l’assujetti se trouve pris entre deux exigences : celle du droit de la lutte contre le blanchiment, qui lui commande de ne pas poursuivre une relation qu’il ne connaît plus, et celle du droit des contrats, qui lui interdit de rompre à la légère.

1) La rupture des relations contractuelles

L’article L. 561-8 du Code monétaire et financier tranche le conflit au profit de la première : l’assujetti qui n’est pas en mesure d’identifier son client ou d’obtenir les informations nécessaires à la connaissance de la relation d’affaires doit s’abstenir de la nouer et, si elle est déjà nouée, y mettre un terme. La cessation n’est donc pas une faculté que la prudence conseillerait — c’est une obligation dont l’inobservation constitue un manquement autonome, susceptible de s’ajouter au manquement d’actualisation et d’en aggraver la sanction. Les principes d’application sectoriels de l’Autorité en matière de droit au compte le disent sans détour : lorsque la connaissance de la relation doit être actualisée — parce que l’identité du titulaire a changé, ou parce que les éléments essentiels de son profil, ses ressources, la nature ou le montant de ses opérations ont évolué — et que l’établissement n’y parvient pas, il refuse l’exécution de toute opération et clôture le compte, en procédant sans attendre à la déclaration de soupçon si les conditions en sont réunies.

Cette rigueur se tempère par la procédure. La doctrine administrative attend de l’assujetti qu’il ne surprenne pas son client : les lignes directrices relatives à l’identification et à la connaissance de la clientèle décrivent, pour l’assurance, un dispositif de mise en garde préalable laissant au souscripteur un délai raisonnable — qui ne saurait être inférieur à trois mois — pour communiquer les éléments réclamés, les opérations liées au contrat étant suspendues dans l’intervalle. Le refus doit ainsi être constaté, non présumé, et la rupture précédée d’une demande formalisée et d’une relance. À compter du 10 juillet 2027, cette solution recevra en droit de l’Union une formulation directement applicable : l’article 21 du règlement (UE) 2024/1624 prévoit que l’entité assujettie qui n’est pas en mesure d’appliquer les mesures de vigilance s’abstient d’exécuter la transaction ou de nouer la relation, met un terme à la relation d’affaires et envisage de déclarer au service de renseignement financier une transaction suspecte. Le règlement précise que cette cessation n’interdit pas la réception des fonds dus — précaution utile, la clôture ne devant pas se retourner contre le client de bonne foi.

2) La responsabilité envers le client

Le client évincé conteste rarement le principe de la vigilance ; il conteste la manière. De là un contentieux de la rupture où se discutent le respect du préavis contractuel, la réalité du refus qui lui est imputé et la loyauté de la demande qui lui a été adressée. L’assujetti qui rompt sans avoir sollicité les pièces, sans avoir laissé un délai utile ou sans avoir motivé sa décision au regard des éléments manquants s’expose à voir sa responsabilité engagée : l’obligation légale de mettre fin à la relation le protège dans son principe, non dans ses modalités d’exécution. Symétriquement, la demande d’actualisation doit rester proportionnée à ce que le risque commande — exiger d’un client au profil standard des justificatifs qui ne se conçoivent que pour une relation à risque élevé ne relève plus de la vigilance mais de son excès.

3) L’articulation au devoir de non-immixtion

Le banquier n’a pas à s’immiscer dans les affaires de son client : la règle est ancienne, et l’on a parfois cru y trouver une limite aux diligences d’actualisation. C’est une méprise. Le devoir de non-immixtion interdit au banquier de s’ériger en censeur de l’opportunité économique des opérations qu’il exécute ; il ne le dispense pas de vérifier leur cohérence avec la connaissance qu’il a de la relation, laquelle procède d’une obligation légale distincte. Les deux exigences ne se recouvrent pas : l’une porte sur le jugement à formuler quant à l’intérêt de l’opération, l’autre sur la compréhension à acquérir de sa logique. Aussi la Commission bancaire avait-elle pu retenir, dès sa décision du 1er février 2010 rendue à l’égard de la Bred Banque populaire, que face à un fonctionnement de compte suscitant des interrogations, l’établissement ne peut se satisfaire des déclarations de l’intéressé sans en contrôler le bien-fondé par des vérifications effectives. La doctrine administrative en tire des conséquences précises quant à la valeur probante des justificatifs : une attestation d’expert-comptable dépourvue d’information précise sur l’origine des fonds, ou celle d’un conseiller en gestion de patrimoine, ne suffit pas lorsque les autres éléments du dossier ne permettent pas d’établir la cohérence de l’opération. Recevoir un document n’est pas l’analyser.

C) L’exposition pénale

Au-delà de la discipline et du contrat, la carence d’actualisation dessine une troisième zone de risque, plus étroite mais autrement grave, où l’assujetti cesse d’être le gardien du dispositif pour en devenir le maillon.

1) La preuve de la connaissance de l’origine

Le blanchiment suppose, chez celui qui apporte son concours à l’opération, la connaissance de l’origine frauduleuse des fonds. Cette connaissance ne se présume pas d’un manquement réglementaire : la méconnaissance des obligations de vigilance n’est pas, en elle-même, une infraction pénale, et l’assujetti négligent n’est pas pour autant complice. Mais l’élément intentionnel se déduit de circonstances de fait objectives, et l’accumulation d’anomalies non traitées, d’alertes classées sans analyse ou de justificatifs manifestement invraisemblables accepté sans vérification peut, à un certain degré, ne plus se laisser expliquer par la seule négligence. Le dossier d’actualisation devient alors une pièce à charge : il montre ce que l’établissement savait, ou ne pouvait ignorer.

2) L’immunité attachée à la déclaration

À cette exposition répond un mécanisme de protection : l’assujetti qui déclare de bonne foi un soupçon à Tracfin bénéficie d’une immunité qui le met à l’abri des poursuites pénales du chef de blanchiment, comme des actions en responsabilité civile fondées sur la déclaration ou sur les mesures conservatoires qui la suivent. L’articulation avec l’actualisation est directe, et elle éclaire l’ensemble : la déclaration ne se conçoit que sur une connaissance à jour, puisque le soupçon naît de l’écart entre l’opération et le profil. Un profil périmé ne produit ni écart ni soupçon — il produit du silence, et ce silence n’ouvre droit à aucune immunité. La bonne foi exigée pour bénéficier de la protection ne saurait d’ailleurs s’accommoder d’une déclaration tardive, dont on a vu que la date s’apprécie au regard du moment où l’opération pouvait apparaître comme suspecte.

D) La preuve des diligences accomplies

Toutes ces responsabilités convergent vers une même question, qui commande leur issue : celle de savoir qui doit démontrer quoi. Car en cette matière, le débat ne porte presque jamais sur la règle — nul ne conteste devoir actualiser — mais sur ce que l’assujetti est capable d’établir.

1) La charge de la démonstration

La règle est posée par l’article R. 561-7 du Code monétaire et financier, qui impose aux assujettis d’être en mesure de justifier à tout moment aux autorités de contrôle de la mise en œuvre des mesures d’identification et de l’adéquation des mesures de vigilance au risque présenté par chaque relation d’affaires. La formule est exigeante à deux titres. D’abord parce qu’elle porte sur l’adéquation, et non sur la seule existence : il ne suffit pas d’avoir accompli des diligences, il faut pouvoir montrer qu’elles étaient proportionnées au risque. Ensuite parce qu’elle vaut à tout moment : la démonstration ne se prépare pas à l’annonce du contrôle, elle se constitue au fil de la relation. Cette charge n’ôte rien à celle de la poursuite, sur qui pèse l’établissement du grief — les décisions rappelées plus haut le montrent assez. Mais elle en déplace le point d’application : l’autorité n’a pas à prouver que le client était mal connu, il lui suffit de constater que l’établissement ne peut prouver l’avoir connu.

2) La formalisation comme moyen de défense

De là une conséquence pratique que l’on ne saurait trop souligner : ce qui n’est pas tracé est réputé n’avoir pas eu lieu. Chaque actualisation, chaque analyse d’alerte, chaque décision de maintenir ou de réviser le profil de risque, chaque diligence engagée auprès d’un client qui n’a pas répondu doit laisser une empreinte datée dans le dossier. Le contrôle interne n’y échappe pas : il ne suffit pas d’inciter les collaborateurs à collecter des données — par l’écoute supervisée des échanges téléphoniques ou par des mécanismes d’intéressement liés à cette collecte — encore faut-il vérifier que la mise à jour est effectivement régulière et exhaustive, et pouvoir en administrer la preuve. Un examen renforcé, en particulier, se clôture par un écrit : la doctrine administrative attend qu’il réunisse l’origine et la destination des fonds, l’objet de l’opération et l’identité du bénéficiaire, ainsi que l’analyse qui conduit à le clore lorsqu’il n’y a pas lieu à déclaration — la décision n° 2024-06 du 19 mars 2026 à l’égard de MONEYGRAM International SA rappelle cette exigence, en précisant qu’un dossier client déjà à jour dispense de recontacter le client au moment de l’examen. C’est là que l’actualisation révèle sa véritable économie : bien tenue, elle allège les diligences ultérieures autant qu’elle protège l’établissement.

Ainsi l’actualisation de la connaissance client apparaît-elle pour ce qu’elle est : le cœur vivant du dispositif de lutte contre le blanchiment et le financement du terrorisme. Elle repose sur trois appuis indissociables — la ré-identification lorsque les éléments recueillis ne sont plus exacts ou pertinents, la mise à jour continue de la connaissance selon une intensité proportionnée au risque, et le dispositif organisationnel de suivi et d’analyse qui convertit cette connaissance en détection d’anomalies. Elle ne connaît aucune exception tirée de l’ancienneté de la relation, de la dormance du compte ou de la modicité des opérations, et ce depuis l’entrée en relation jusqu’à sa clôture. À compter du 10 juillet 2027, l’article 26 du règlement (UE) 2024/1624 substituera au dispositif national une surveillance continue directement applicable, dont l’économie est celle-là même que le droit français a construite. Le professionnel qui néglige cette exigence s’expose à une répression dont la sévérité mesure l’importance que le législateur attache à l’effectivité de la vigilance permanente — et dont il ne pourra se défendre qu’avec les traces qu’il aura su conserver.