LCB-FT – Obligations de vigilance pendant la relation d’affaires

La connaissance du client n’est pas un acte d’entrée mais un état à maintenir : dès que la relation d’affaires est nouée, le professionnel assujetti doit conserver de son cocontractant une image fidèle, sans cesse confrontée aux opérations qui la traversent. De cette exigence de suivi naît un dispositif gradué, où l’intensité des diligences se règle sur un profil de risque lui-même appelé à évoluer, et où toute discordance entre le client connu et le client observé oblige à s’expliquer.

I) L’obligation de vigilance constante

L’entrée en relation n’épuise pas la vigilance : elle l’inaugure. On se représente volontiers la lutte contre le blanchiment de capitaux et le financement du terrorisme comme une formalité d’ouverture — un dossier constitué, une pièce d’identité photocopiée, un bénéficiaire effectif identifié — après quoi le professionnel serait quitte. Le code monétaire et financier dit exactement l’inverse : ce qui est recueilli au seuil de la relation n’a de valeur que si l’on en éprouve continûment l’exactitude, et ce qui est exécuté pendant la relation n’a de sens que rapporté à ce que l’on sait du client. La vigilance n’est donc pas un état, c’est un mouvement.

Encore faut-il mesurer ce que ce mouvement exige. L’obligation ne se contente pas d’une surveillance abstraite : elle articule une connaissance que l’on tient à jour, des opérations que l’on confronte à cette connaissance, et une mémoire organisée qui permet, à tout moment, de justifier des diligences accomplies. Ces trois exigences forment un ensemble dont aucun élément ne se soutient seul — une connaissance actualisée sans confrontation aux flux ne détecte rien, une surveillance des flux sans connaissance du client n’a pas d’étalon, et l’une comme l’autre s’évanouissent si rien n’en conserve la trace.

A) La notion de vigilance constante

1) L’actualisation de la connaissance du client

La connaissance du client vieillit. Une situation professionnelle se modifie, un patrimoine se transmet, une personne morale change d’objet ou d’actionnariat, et le dossier constitué à l’ouverture cesse silencieusement de décrire la réalité qu’il prétendait saisir. C’est pourquoi le législateur a fait de l’actualisation une obligation autonome, distincte du recueil initial.

Le texte réglementaire prend soin de ne fixer aucune périodicité uniforme : la nature des informations collectées comme la fréquence de leur mise à jour se règlent sur le risque. Une relation classée en risque élevé commande des révisions sensiblement plus rapprochées qu’une relation à profil faible, et ce n’est pas une tolérance accordée au professionnel — c’est la contrepartie d’une exigence, celle de justifier que la cadence retenue correspond bien au risque encouru.

Deux erreurs se rencontrent avec une constance qui frappe. La première consiste à s’en remettre à la parole du client : la Commission des sanctions de l’ACPR a jugé, dans sa décision n° 2016-05 du 30 mars 2017, à l’égard de la société Lemon Way, qu’un dispositif reposant sur l’auto-déclaration de l’utilisateur, sans consultation des bases de données externes disponibles, ne satisfaisait pas à l’obligation légale — la faculté de recueillir des informations auprès du client, que les lignes directrices mentionnent, n’a jamais eu pour objet d’y suppléer. La seconde consiste à confondre le dossier et le dispositif : dans sa décision n° 2022-03 du 12 octobre 2023, à l’égard de la société Abeille Vie, la Commission a précisé que les dossiers lacunaires n’étaient produits qu’à titre d’illustration, le manquement tenant à l’inadaptation du processus d’actualisation lui-même. Le grief ne se répare donc pas dossier par dossier : c’est l’organisation qui est en cause. La même décision refuse toute valeur à la pratique consistant, pour un groupement gestionnaire, à se satisfaire d’une simple attestation certifiant que les informations ont bien été recueillies.

2) La surveillance continue des opérations

La connaissance actualisée n’est pas une fin : elle est l’étalon auquel les opérations doivent être rapportées. C’est le sens exact du texte fondateur, dont la rédaction mérite d’être lue de près, car elle enferme l’obligation dans une limite que l’on oublie souvent de relever.

L’examen porte ainsi sur la cohérence, et non sur la régularité intrinsèque de l’opération. Quiconque constate qu’une opération s’écarte du profil établi — par sa nature, par son montant, par la provenance ou l’affectation finale des sommes en jeu — se trouve tenu d’en rechercher les raisons, puis, si le doute subsiste, d’enclencher les procédures de signalement appropriées. Certaines de ces anomalies appellent d’ailleurs un traitement spécifique, l’examen renforcé de l’article L. 561-10-2, qui se déclenche dès qu’un seul de quatre critères est rempli : la complexité particulière de l’opération, son montant inhabituellement élevé, l’absence de justification économique, l’absence d’objet licite. La première vise les montages opaques — trusts, cascades de personnes morales, entités implantées dans des juridictions à fiscalité privilégiée — comme les vecteurs technologiques d’anonymisation ; la troisième vise les opérations dans lesquelles l’intérêt financier du client demeure introuvable, telles les renonciations précoces à un contrat d’assurance-vie ou les rachats manifestement défavorables.

Le caractère inhabituel, on le voit, ne se mesure jamais dans l’absolu : une même somme sera banale en gestion de fortune et anormale dans une clientèle de détail. L’anomalie est relative au profil, et c’est en cela que la surveillance des opérations et l’actualisation de la connaissance forment un couple indissociable.

Reste à savoir comment l’anomalie se révèle. Elle procède de deux sources qui ne se substituent pas l’une à l’autre : la vigilance du personnel, au fil de l’eau, qui saisit ce qu’aucun scénario n’avait prévu, et le dispositif automatisé, dont les alertes paramétrées assurent la couverture systématique des flux. La suite est une chaîne dont chaque maillon a sa règle.

Deux enseignements gouvernent cette chaîne. Le premier tient à la qualité des justificatifs. La provenance bancaire des fonds ne dit rien de leur origine économique : un relevé attestant un virement entrant établit un mouvement, non une source licite. Le second tient à l’attitude du client. Son refus de communiquer un justificatif ne vaut pas, par lui-même, déclaration de soupçon — sauf en matière fiscale, où l’article D. 561-32-1 du code monétaire et financier en fait l’un de ses critères ; le professionnel apprécie alors, au regard des éléments dont il dispose déjà, si le doute peut être levé sans lui, et mentionne en tout état de cause ce refus au dossier.

3) La conservation consolidée des informations

Une diligence dont il ne reste rien n’a, aux yeux du superviseur, pas été accomplie. C’est peut-être la règle la plus rude de la matière, et elle explique que la traçabilité y soit traitée non comme un supplément administratif mais comme une composante de l’obligation elle-même. La Commission des sanctions l’a rappelé à propos de l’examen renforcé, dans sa décision n° 2016-09 du 30 juin 2017, à l’égard de la caisse régionale de Crédit agricole M : l’obligation suppose une investigation circonstanciée, appuyée sur une connaissance à jour du client, et l’incapacité de démontrer les diligences accomplies constitue en elle-même un manquement.

Encore la conservation doit-elle être consolidée. Les informations éparpillées entre un outil de gestion commerciale, un applicatif de conformité et une archive papier n’offrent pas cette vision complète de la relation d’affaires sans laquelle la cohérence d’une opération ne peut être appréciée. Le mode de stockage retenu doit permettre un accès rapide et une exploitation aisée de l’ensemble des données — exigence que la Commission a sanctionnée sous l’angle des procédures internes dans sa décision n° 2014-08 du 19 juin 2015, à l’égard de la société A, et sous celui de la charge de la justification dans sa décision n° 2014-07 du 24 juillet 2015, à l’égard de la société Generali Vie. La collecte comme la conservation doivent, selon la formule reprise par la décision n° 2013-06 du 26 janvier 2015, à l’égard de la société Bank of Africa France, être réalisées en adéquation avec l’objectif d’évaluation du risque et de surveillance adaptée à ce risque.

La vigilance constante repose ainsi sur trois piliers dont aucun ne se conçoit sans les deux autres : l’actualisation régulière de la connaissance du client, le suivi continu des opérations au regard du profil de risque, et la détection des anomalies susceptibles de révéler une opération de blanchiment ou de financement du terrorisme. Plus le risque s’élève, plus chacun d’eux doit être renforcé — et c’est cette proportionnalité qui commande toute la suite du dispositif.

B) Les sources du dispositif

Le droit de la vigilance présente cette particularité d’être conçu ailleurs qu’il n’est appliqué. Sa substance vient de standards internationaux, sa forme de l’Union européenne, sa lettre du code monétaire et financier, et sa mise en œuvre concrète d’une doctrine administrative que nul texte ne rend obligatoire mais que tout contrôle prend pour référence.

1) Le socle des directives européennes

L’édifice s’est construit par strates successives depuis la première directive de 1991, chacune élargissant le cercle des assujettis et approfondissant les diligences exigées. La quatrième directive du 20 mai 2015 a consacré l’approche par les risques comme méthode générale ; la cinquième, du 30 mai 2018, a étendu le dispositif aux actifs numériques et durci le traitement des pays tiers à haut risque. Toutes procédaient d’un même instrument, la directive, qui laisse à chaque État le soin de la transposition — et laisse par là subsister des écarts que le législateur européen a fini par juger incompatibles avec l’unité du marché intérieur.

D’où le paquet adopté le 31 mai 2024, dont l’économie est tout autre : un règlement, immédiatement applicable et uniforme, le règlement (UE) 2024/1624, accompagné d’une directive (UE) 2024/1640 réservée à l’organisation des autorités nationales. L’article 26 du règlement énonce, en des termes très proches de ceux de l’article L. 561-6, l’obligation de surveillance continue de la relation d’affaires et des transactions, en exigeant leur cohérence avec la connaissance qu’a l’entité assujettie du client, de ses activités et de son profil de risque, et, le cas échéant, avec les informations relatives à l’origine et à la destination des fonds. L’article 16 y ajoute des exigences à l’échelle du groupe, l’entreprise mère devant procéder à une évaluation des risques consolidée et déployer politiques et contrôles dans l’ensemble de ses succursales et filiales, y compris hors de l’Union.

Encore faut-il ne pas anticiper. Aux termes de son article 90, le règlement n’est applicable qu’à compter du 10 juillet 2027 — et du 10 juillet 2029 pour les entités visées à son article 3, points 3) n) et o). La directive obéit à un calendrier échelonné : transposition au plus tard le 10 juillet 2027, mais dès le 10 juillet 2025 pour son article 74, le 10 juillet 2026 pour ses articles 11 à 13 et 15, et seulement le 10 juillet 2029 pour son article 18. Jusque-là, le droit qui s’applique en France demeure celui du code monétaire et financier.

2) La transposition dans le code monétaire

Le titre VI du livre V du code monétaire et financier recueille l’ensemble du dispositif, remanié à chaque transposition — celle de l’ordonnance du 1er décembre 2016 ayant particulièrement redessiné l’architecture des obligations de vigilance. Cette architecture obéit à une logique simple : une évaluation des risques qui commande tout, des diligences d’entrée en relation, une vigilance constante pendant la relation, des mesures complémentaires ou renforcées lorsque le risque s’élève, un examen renforcé pour les opérations atypiques, une déclaration lorsque le doute persiste, et une organisation interne qui rende l’ensemble effectif et démontrable.

La partie réglementaire porte l’essentiel de la mise en œuvre : l’article R. 561-12 pour l’actualisation, l’article R. 561-38 pour l’adéquation de l’organisation aux risques identifiés, l’article R. 561-38-1 pour la qualification et le positionnement hiérarchique des personnes chargées du dispositif, l’article R. 561-22 pour la consignation écrite de l’examen renforcé, l’article D. 561-32-1 pour les critères de la déclaration à Tracfin. Cette répartition n’est pas indifférente : c’est au niveau réglementaire que le contrôle trouve ses points d’appui les plus concrets, et c’est sur ces textes que les griefs se construisent.

3) Les lignes directrices des autorités

Entre la règle et sa pratique s’interpose une doctrine administrative abondante : lignes directrices de l’ACPR, seule ou conjointement avec Tracfin, la direction générale du Trésor ou la direction générale des douanes et droits indirects, principes d’application sectoriels propres à l’assurance ou aux opérations sur or et métaux précieux, orientations communes des autorités européennes de surveillance sur les facteurs de risque. Ces documents ne sont pas normatifs — ils ne créent aucune obligation que la loi n’aurait posée — mais ils sont le lieu des exemples, et le contrôle s’y réfère.

Leur apport est d’ordre pratique, et il est considérable. Les principes sectoriels applicables aux opérations sur métaux précieux suggèrent ainsi, lorsque le client n’est pas physiquement présent, d’exploiter les informations commerciales et transactionnelles disponibles — titulaire du compte client, expéditeur et destinataire des marchandises, coordonnées bancaires — pour renforcer l’efficacité du suivi. Ceux du secteur de l’assurance rappellent que l’obligation de vigilance se poursuit tout au long de la relation et proposent, lorsqu’un souscripteur ne fournit pas les éléments réclamés, un processus de mise en garde assorti d’un délai qui ne saurait être inférieur à trois mois avant résiliation, les opérations liées au contrat étant suspendues dans l’intervalle. Ces standards ne s’imposent pas ; ils s’observent, à peine de devoir expliquer pourquoi l’on s’en écarte. Mais la limite en est nette, et la décision Lemon Way précitée la marque avec netteté : ce qu’une ligne directrice présente comme une modalité possible ne dispense jamais de l’obligation légale elle-même.

C) Le domaine de l’obligation

Savoir ce qu’exige la vigilance constante ne dit pas encore qui la doit, ni à l’égard de qui. Or ces deux questions commandent tout le reste : le débiteur de l’obligation détermine l’autorité qui la contrôle, et la qualification de la relation détermine l’existence même d’un suivi dans la durée.

1) Les professionnels assujettis

L’article L. 561-2 dresse une liste qui a doublé de volume en trente ans. Elle réunit d’abord les acteurs financiers — établissements de crédit, entreprises d’investissement, établissements de paiement et de monnaie électronique, organismes d’assurance et institutions de prévoyance, changeurs manuels, prestataires de services sur actifs numériques appelés à devenir prestataires de services sur crypto-actifs — dont la supervision revient à l’ACPR ou à l’Autorité des marchés financiers. Elle englobe ensuite des professions dont la vocation première est étrangère à la finance : notaires, avocats, commissaires de justice, experts-comptables, agents immobiliers, casinos, marchands de biens précieux, prestataires de domiciliation. Le contrôle se répartit alors entre autorités administratives et instances ordinales.

L’assujettissement de ces professions n’est pas nominal. La première chambre civile en a tiré les conséquences disciplinaires à l’égard du notaire, jugeant que celui-ci doit vérifier l’origine des fonds et saisir Tracfin lorsqu’une opération présente un caractère particulièrement complexe et que les circonstances ne permettent pas d’écarter tout soupçon sur la provenance des sommes (Cass. civ. 1re, 22 mai 2019, n° 18-12.101). La vigilance constante n’est donc pas une spécialité bancaire : elle est le régime commun de tous ceux qui, par leur activité, se trouvent placés sur le trajet des fonds.

2) La notion de relation d’affaires

La vigilance constante suppose une relation qui dure. Le code la définit comme celle qui se noue dans le cadre de l’activité professionnelle de l’assujetti et qui est censée s’inscrire dans une certaine durée — soit qu’un contrat prévoie plusieurs opérations successives, soit qu’une continuité de fait s’installe. Le critère est donc contractuel ou comportemental, jamais purement quantitatif.

La question a reçu une illustration remarquable devant la Commission des sanctions, saisie de l’argument selon lequel les titulaires de comptes de paiement n’ayant jamais enregistré le moindre flux ne pourraient être regardés comme des clients soumis aux obligations de vigilance (décision n° 2020-08 du 14 octobre 2021, à l’égard de la société A). L’argument ne convainc pas, et il ne pouvait pas convaincre : la relation d’affaires se noue par l’établissement du lien, non par son usage. Un compte ouvert est un compte disponible, et c’est précisément la disponibilité inutilisée qui, le jour où elle cesse, offre au blanchisseur un instrument déjà en place. Raisonner autrement reviendrait à subordonner l’obligation de vigilance à la survenance du risque qu’elle a pour objet de prévenir.

3) Le sort du client occasionnel

Hors relation d’affaires, la vigilance change de nature : elle devient ponctuelle. Le client occasionnel — celui qui sollicite une opération isolée — n’est soumis à identification et vérification que lorsque l’opération franchit les seuils fixés par voie réglementaire, ou qu’elle relève de catégories que le pouvoir réglementaire tient pour sensibles quel qu’en soit le montant. Faute de durée, il n’y a ni profil à établir, ni actualisation à conduire, ni cohérence à surveiller dans le temps.

Deux tempéraments doivent pourtant être aussitôt apportés. D’une part, l’examen renforcé de l’article L. 561-10-2 ignore cette distinction : il s’applique à toute opération répondant à l’un de ses quatre critères, qu’elle s’inscrive dans une relation continue ou qu’elle soit exécutée à titre occasionnel. D’autre part, la répétition défait la qualification : des opérations occasionnelles qui se succèdent avec régularité révèlent la continuité qu’elles prétendaient éviter, et le professionnel qui persiste à traiter comme occasionnel un client qui ne l’est plus s’expose à s’être privé, tout ce temps, du profil qui lui aurait permis de détecter l’anomalie.

D) Les frontières de la vigilance

Une obligation de surveillance aussi étendue ne pouvait manquer de rencontrer les principes qui, dans le droit commun des relations professionnelles, protègent le client contre l’immixtion, le silence contre la divulgation, et la personne contre le traitement de ses données. Le législateur n’a pas supprimé ces principes : il a taillé dans chacun une brèche, calibrée sur la finalité du dispositif. C’est cette finalité qui fixe la frontière.

1) Le devoir de non-ingérence

Le banquier n’a pas à s’immiscer dans les affaires de son client : il n’a ni à apprécier l’opportunité économique des opérations qu’on lui demande d’exécuter, ni à en discuter les mobiles. Ce devoir classique paraît contredit par l’examen attentif que la loi impose. L’article L. 561-6 lève l’apparente contradiction par une incise que l’on lit trop vite — la vigilance s’exerce « dans la limite de leurs droits et obligations ». Le professionnel scrute l’opération au regard du risque de blanchiment ; il ne s’érige pas en censeur de la gestion de son client.

C’est en cela que la finalité du dispositif en trace la frontière, et la Cour de cassation en a tiré très tôt une conséquence radicale sur le terrain de la responsabilité.

2) Le secret professionnel du banquier

Le secret bancaire souffre ici une double atteinte, de sens inverse. Vers l’aval, il cède : le professionnel doit transmettre à Tracfin ce que le secret lui commanderait de taire, et répondre au droit de communication de la cellule. Vers l’amont, il se durcit : la déclaration de soupçon est elle-même couverte par une confidentialité renforcée, et sa révélation à la personne qu’elle vise est prohibée. La logique est limpide — un dispositif qui alerterait la personne surveillée s’annulerait lui-même.

Ce cloisonnement connaît toutefois des ouvertures mesurées, que le droit de l’Union entend élargir. L’article 75 du règlement (UE) 2024/1624 autorisera les membres de partenariats de partage d’informations à échanger entre eux, dans la stricte mesure nécessaire au respect de leurs obligations de vigilance et de déclaration, sous réserve d’en informer leurs autorités de surveillance. Cette faculté n’existe pas aujourd’hui en droit français dans cette généralité : elle ne s’ouvrira qu’à compter du 10 juillet 2027.

3) La protection des données personnelles

La vigilance constante est, techniquement, un traitement de données à caractère personnel d’une ampleur peu commune : identité, profession, revenus, patrimoine, habitudes transactionnelles, exposition politique, et jusqu’aux résultats du criblage opéré sur des bases externes. Sa licéité ne fait pas difficulté — le traitement est nécessaire au respect d’une obligation légale — mais elle est étroitement conditionnée par la finalité qui la fonde. Les données collectées au titre de la lutte contre le blanchiment ne peuvent être réemployées à des fins commerciales, et le principe de minimisation se mesure ici à l’aune du risque : ce qui serait excessif pour une relation à faible risque devient nécessaire pour une relation à risque élevé.

La conservation obéit à la même logique de finalité : le code monétaire et financier impose de conserver les documents pendant cinq ans à compter de la clôture de la relation ou de l’exécution de l’opération, durée qui n’est ni un minimum que l’on pourrait allonger à discrétion, ni un plafond que le professionnel serait libre de raccourcir. Quant aux droits de la personne concernée, ils fléchissent devant la confidentialité de la déclaration de soupçon, l’information et l’accès ne pouvant servir de voie détournée à une divulgation prohibée. Enfin, lorsque le criblage ou l’analyse sont confiés à un prestataire, les lignes directrices de l’ACPR exigent que le contrat organise l’accès du professionnel aux informations nécessaires à l’exécution de ses obligations, ainsi que son information préalable — et son accord — en cas de modification de l’outil, de ses algorithmes ou des sources consultées. L’externalisation déplace l’exécution ; elle ne déplace jamais la responsabilité.

Ainsi délimitée, l’obligation de vigilance constante reste une exigence de degré : la loi dit qu’il faut surveiller, elle ne dit pas combien. C’est le profil de risque attribué à chaque relation qui fournit cette mesure, et il faut maintenant l’examiner.

II) Le profil de risque, mesure de la vigilance

La vigilance constante, dont on vient d’exposer le principe, ne se conçoit pas comme une intensité uniforme appliquée indistinctement à toute la clientèle : elle se gradue. Encore faut-il disposer d’un instrument de graduation. Cet instrument, le législateur l’a nommé — c’est le profil de la relation d’affaires, que l’article L. 561-32, I, du Code monétaire et financier impose de déterminer précisément « permettant d’exercer la vigilance constante prévue à l’article L. 561-6 ». La formule mérite qu’on s’y arrête : le profil n’est pas une pièce administrative de plus, il est la condition d’exercice de l’obligation elle-même. Sans lui, la vigilance n’a pas d’étalon ; les opérations défilent sans que rien permette de dire qu’elles sont cohérentes ou qu’elles ne le sont pas, puisque la cohérence se mesure toujours par rapport à quelque chose.

Ce profil naît d’un croisement. D’un côté, une appréciation collective et abstraite — la classification des risques que le professionnel élabore pour l’ensemble de son activité, en application de l’article L. 561-4-1 du même code. De l’autre, une appréciation individuelle et concrète — l’évaluation de la relation d’affaires singulière, avec son client, ses opérations, ses flux. Le premier terme donne la grille de lecture, le second l’applique. C’est de leur rencontre que sort la note de risque qui commandera, tout au long de la relation, l’intensité des diligences.

A) La classification générale des risques

Avant de juger un client, le professionnel doit s’être fait une idée de ce qui, dans son propre métier, est exposé. La classification des risques est cet exercice préalable : une cartographie de sa vulnérabilité, dressée activité par activité, produit par produit, canal par canal.

1) Les facteurs de risque légaux

Le code ne laisse pas le professionnel libre de choisir les axes de son analyse : il en fixe les entrées. Cinq familles de facteurs structurent l’appréciation, et chacune trouve son ancrage dans un texte propre. Le client d’abord, saisi à travers son secteur d’activité, sa profession, ses revenus, sa situation financière et son patrimoine, sans oublier la qualité éventuelle de personne politiquement exposée — c’est l’objet des articles L. 561-5-1 et R. 561-12, qui commandent le recueil des éléments de connaissance. Les produits et services ensuite, dont la dangerosité varie considérablement selon qu’ils favorisent ou non l’anonymat, selon qu’ils supportent ou non le maniement d’espèces : l’article L. 561-10, 2°, en tire les conséquences. La zone géographique encore, appréciée au regard de la provenance et de la destination des fonds, à la lumière des listes du Groupe d’action financière, de la liste des pays tiers à haut risque arrêtée par la Commission européenne et des juridictions non coopératives en matière fiscale — l’article L. 561-10, 3°, la vise expressément. Les canaux de distribution enfin, où l’opération à distance, le recours à des intermédiaires et les modèles de banque en tant que service ouvrent des espaces d’opacité que l’article L. 561-4-1 commande d’évaluer. Reste, transversale à toutes les autres, l’analyse des opérations elles-mêmes — leur montant, leur fréquence, leur cohérence avec le profil déclaré, les schémas inhabituels qu’elles dessinent — dont l’article L. 561-6 fait la matière même de la vigilance constante.

Ces facteurs ne se cumulent pas arithmétiquement : ils se pondèrent. Un même produit ne présente pas le même danger selon la clientèle qui le souscrit ; un même pays ne pèse pas identiquement selon qu’il est le siège du client ou le simple lieu de transit d’un virement isolé. C’est pourquoi la classification est un travail d’appréciation, non de comptage — et c’est aussi pourquoi elle est contrôlable.

2) La cartographie propre au professionnel

La classification doit épouser l’entreprise qui l’établit. L’article R. 561-38 énonce que l’organisation du dispositif doit être adaptée à la taille du professionnel, à la nature de ses activités et aux risques que sa propre classification a identifiés — la circularité n’est qu’apparente, car elle dit précisément que le dispositif se calibre sur une analyse faite maison, et non sur un modèle importé.

C’est sur ce terrain que la Commission des sanctions de l’Autorité de contrôle prudentiel et de résolution a rendu ses décisions les plus instructives. Dans sa décision n° 2013-06 du 26 janvier 2015 à l’égard de la société Bank of Africa France, elle a retenu qu’une classification lacunaire — qui ne couvrait pas l’ensemble des activités susceptibles d’exposer l’établissement, et dont les niveaux de risque n’étaient pas correctement établis — constituait par elle-même un manquement, indépendamment de tout blanchiment avéré. Le raisonnement mérite d’être souligné : ce n’est pas le préjudice qui est sanctionné, c’est la carence de l’outil. La décision n° 2016-05 du 30 mars 2017 à l’égard de la société Lemon Way procède de la même logique, en rappelant que la classification doit évaluer le niveau de risque des produits et services offerts, des modalités particulières des opérations, des canaux de distribution utilisés et des caractéristiques de la clientèle ciblée — et qu’elle doit être mise à jour à intervalles réguliers ainsi qu’à la suite de tout événement affectant significativement l’activité.

Une classification n’est donc jamais achevée. Le lancement d’une offre nouvelle, l’ouverture d’une implantation, l’adoption d’un canal de distribution inédit sont autant d’événements qui commandent sa révision. À défaut, elle décrit une entreprise qui n’existe plus.

3) L’apport des analyses nationales et supranationales

Le professionnel n’élabore pas sa cartographie dans le vide. Il doit tenir compte de l’analyse nationale des risques conduite sous l’égide du Conseil d’orientation de la lutte contre le blanchiment, ainsi que de l’évaluation supranationale périodiquement publiée par la Commission européenne : ces travaux identifient les secteurs et les mécanismes les plus exposés, et une classification qui les ignorerait serait difficilement défendable devant le superviseur.

À cette strate s’ajoute la doctrine administrative. Les lignes directrices et principes d’application sectoriels publiés par l’Autorité de contrôle prudentiel et de résolution, seule ou conjointement avec Tracfin, la direction générale du Trésor ou la direction générale des douanes et droits indirects, ne sont pas normatifs — ils sont explicatifs. Mais ils sont suivis, et ils constituent le lieu des illustrations concrètes. Les principes d’application sectoriels relatifs aux opérations sur or et autres métaux précieux, publiés en juillet 2024, en donnent un exemple achevé : ils proposent un tableau de facteurs de risque explicitement présenté comme indicatif et non exhaustif, et prennent soin de distinguer ces illustrations, qui peuvent nourrir des indicateurs d’alerte dans la surveillance des opérations, des facteurs de risque servant à bâtir la classification elle-même. La distinction est fine mais utile : l’indicateur sert à détecter, le facteur sert à qualifier.

Il faut enfin mentionner l’horizon européen. Le règlement (UE) 2024/1620 du 31 mai 2024, applicable depuis le 1^er juillet 2025, charge la nouvelle Autorité de lutte contre le blanchiment d’élaborer et de tenir à jour, avec les autorités de surveillance nationales, une méthode harmonisée détaillant l’approche fondée sur les risques. Ce texte-là ne s’adresse pas directement aux assujettis ; il façonne la doctrine de leurs superviseurs, ce qui revient, en pratique, à façonner les attentes auxquelles ils devront répondre.

B) L’individualisation du profil

La classification donne la règle ; le profil l’applique à un cas. C’est ici que l’exercice cesse d’être théorique : il s’agit d’attribuer à chaque relation d’affaires une note qui gouvernera, concrètement, l’intensité de la surveillance dont elle fera l’objet.

La construction de cette note suppose un travail d’information. Le professionnel interroge son client, mais il ne s’en tient pas là : il mobilise des sources tierces fiables — presse et médias, bases de données spécialisées, informations communiquées par les autorités, appels à vigilance de Tracfin — dans les conditions que fixent les articles R. 561-38 et R. 561-38-1. La doctrine administrative précise utilement la mécanique. Les principes d’application sectoriels relatifs aux métaux précieux exposent que le profil, ou note de risque, tient compte tout à la fois des différents axes de la classification et de la connaissance actualisée de la relation d’affaires. Les principes relatifs à la correspondance bancaire disent la même chose pour un métier fort différent : l’établissement correspondant recueille sur son établissement client des informations suffisantes pour l’identifier, pour connaître l’objet et la nature de la relation, et pour déterminer ainsi son profil de risque au regard des critères de sa propre classification.

1) Les critères tenant au client

La personne du client est le premier foyer d’appréciation. Sa profession et son secteur d’activité renseignent sur la vraisemblance des flux attendus ; ses revenus, son patrimoine et sa situation financière fournissent l’ordre de grandeur au-delà duquel une opération devient anormale. La structure juridique compte autant que la personne : une chaîne de participations opaque, un bénéficiaire effectif difficile à identifier, un objet social sans rapport avec l’activité réellement exercée sont des signaux dont l’article D. 561-32-1 fait d’ailleurs, s’agissant des sociétés écran, un critère explicite de déclaration.

L’exigence documentaire suit le risque. Les lignes directrices relatives à l’identification, la vérification de l’identité et la connaissance de la clientèle l’expriment avec netteté : lorsque le risque est faible, de simples informations déclaratives peuvent suffire ; lorsqu’il est élevé, l’organisme financier ne saurait en principe s’en satisfaire et doit recueillir les documents qui corroborent les déclarations. C’est la traduction pratique de l’approche par les risques — non pas moins de vigilance ici et plus là par commodité, mais un effort de preuve proportionné à ce qui est en jeu.

2) Les critères tenant aux opérations

L’opération, elle, s’apprécie par comparaison. Son montant, sa fréquence, sa nature, son mode de règlement ne sont ni normaux ni anormaux en soi : ils le deviennent au regard du profil. Un virement de cent mille euros n’a pas la même signification chez un dirigeant de groupe et chez un salarié dont les revenus déclarés sont modestes. C’est pourquoi l’article L. 561-6 ne demande pas d’examiner les opérations, mais de veiller à ce qu’elles soient cohérentes avec la connaissance actualisée de la relation d’affaires.

La décision n° 2022-01 de la Commission des sanctions, rendue à l’égard d’Axa Banque, rappelle cette exigence de mise en rapport : les mesures de surveillance doivent permettre de s’assurer que les opérations effectuées sont cohérentes avec les activités professionnelles du client, avec le profil de risque de la relation d’affaires et, lorsque l’appréciation du risque le commande, avec l’origine et la destination des fonds — l’établissement devant être en mesure d’en justifier auprès de l’autorité de contrôle. Le manquement, ici, ne consiste pas à n’avoir rien vu : il consiste à n’avoir pas construit l’instrument qui aurait permis de voir.

3) Les critères tenant au territoire

Le territoire est le troisième axe. Il s’apprécie tantôt par la résidence du client, tantôt par le lieu d’exercice de son activité, tantôt par la provenance ou la destination des fonds — trois rattachements distincts, qui peuvent pointer vers trois États différents et dont aucun ne peut être négligé au profit des autres. L’article L. 561-10, 3°, y attache des mesures de vigilance complémentaires ; les listes du Groupe d’action financière et la liste européenne des pays tiers à haut risque en fournissent la référence opérationnelle. On observera que le règlement (UE) 2024/1624, en son article 29, reprendra cette logique lorsqu’il deviendra applicable le 10 juillet 2027 — mais à ce jour, c’est bien le seul article L. 561-10, 3°, qui fonde l’obligation.

C) L’évolution du profil

Un profil figé est un profil faux. La relation d’affaires vit, le client change de situation, l’activité se déplace ; l’appréciation initiale, si soignée fût-elle, se périme d’elle-même. C’est pourquoi l’actualisation n’est pas une formalité de maintenance : elle est la condition de survie du dispositif.

1) Les événements déclencheurs de réexamen

Certains événements imposent de rouvrir le dossier sans attendre l’échéance de la révision périodique. Les principes d’application sectoriels relatifs aux métaux précieux en donnent des illustrations parlantes : le constat que les éléments d’identification précédemment obtenus ne sont plus exacts ou pertinents — un simple changement de coordonnées de facturation peut le révéler —, ou encore la découverte d’un changement de bénéficiaire effectif à l’occasion d’une mise à jour des éléments de connaissance.

D’autres déclencheurs tiennent au dispositif lui-même. L’aboutissement d’un examen renforcé, l’émission d’une déclaration de soupçon à Tracfin, la réception d’un appel à vigilance sont autant d’occasions où la connaissance du client s’enrichit brutalement et où le profil antérieur devient obsolète dans l’instant. Une modification substantielle de la situation du client — cession d’entreprise, changement d’activité, expatriation — produit le même effet.

2) La périodicité de l’actualisation

En dehors de ces événements, l’actualisation obéit à une fréquence que le professionnel détermine lui-même — mais qu’il détermine selon l’approche par les risques, et non selon sa commodité.

La conséquence est simple et rarement tirée jusqu’au bout : une périodicité unique appliquée à toute la clientèle est, en elle-même, un indice de non-conformité, puisqu’elle révèle que la fréquence n’a pas été modulée sur le risque. La doctrine administrative l’illustre à l’envers, en décrivant ce que la modulation autorise : pour un client au profil moins risqué, le professionnel peut se contenter d’informations déclaratives sur les revenus sans exiger de justificatifs, espacer la mise à jour de la connaissance client et retenir des seuils de surveillance moins stricts. L’allègement est donc licite — à condition d’être motivé par une appréciation, non par une absence d’appréciation.

3) Le reclassement du niveau de risque

L’actualisation ne joue pas dans un seul sens. Le profil peut être revu à la hausse lorsque l’analyse confirme le soupçon ou révèle une exposition jusque-là ignorée ; il peut l’être à la baisse lorsque l’examen établit que le risque avait été surévalué et que les éléments recueillis dissipent l’inquiétude initiale. Refuser par principe tout reclassement descendant serait aussi fautif que de ne jamais réévaluer à la hausse : dans les deux cas, le profil cesse de décrire la relation pour ne plus décrire qu’une décision ancienne.

Encore le mouvement descendant obéit-il à une limite absolue, dont on mesurera plus loin toute la portée : dès qu’un soupçon pèse sur la relation d’affaires, fût-ce un soupçon naissant, le retour vers un régime allégé est exclu. Le soupçon, tant qu’il n’est pas levé, verrouille le profil vers le haut, quand bien même le client et les produits présenteraient par ailleurs des caractéristiques objectivement rassurantes.

La décision n° 2022-03 du 12 octobre 2023, rendue à l’égard de la société Abeille Vie, montre ce que coûte l’absence de niveau de vigilance correctement défini : la poursuite avait relevé un taux de défaillance de quarante-cinq pour cent sur les cent quarante-trois dossiers analysés, et le grief a été retenu — quoique dans un périmètre réduit, la défense ayant établi sans être contredite que la carence n’avait affecté que quinze cents des cent un mille cent sept opérations exécutées sur la période. On retiendra les deux enseignements : le manquement est constitué dès lors que le profil n’a pas été défini, mais son étendue réelle est discutée et pèse sur la sanction.

D) La traçabilité des appréciations

Une appréciation qui ne laisse pas de trace n’a, devant le contrôle, aucune existence. C’est là le point où la matière bascule du jugement professionnel vers la preuve, et où bien des dispositifs pourtant sérieux se sont effondrés.

1) La formalisation des diligences accomplies

Le professionnel doit pouvoir justifier auprès de son autorité de contrôle de la mise en œuvre de ses mesures et de leur adéquation au risque présenté par la relation. Cela suppose que le raisonnement soit écrit : quels éléments ont été recueillis, quelle note en a été déduite, quelle diligence en a découlé, qui a décidé et quand. Un profil de risque qui apparaît dans un système d’information sans que rien ne permette de reconstituer ce qui l’a produit ne prouve rien — il affirme.

L’exigence remonte à l’organisation elle-même. L’article R. 561-38 impose que le dispositif soit doté d’outils et de moyens, matériels et humains, permettant la mise en œuvre effective des obligations de vigilance, et singulièrement la détection, le suivi et l’analyse des opérations. La Commission des sanctions en a tiré des conséquences concrètes dans sa décision n° 2015-07 du 4 juillet 2016 à l’égard de la société Quick Change, où le suivi des opérations de change reposait sur un tableur incomplètement renseigné et sur des bordereaux dépourvus d’horodatage : l’outil existait, mais il ne permettait ni de reconstituer les opérations ni de les situer dans le temps. Sa décision n° 2014-08 du 19 juin 2015 procède du même esprit en rappelant l’obligation, posée au 4° du I de l’article R. 561-38, de définir les procédures applicables au contrôle des risques, à la mise en œuvre des mesures de vigilance, à la conservation des pièces, à la détection des transactions inhabituelles ou suspectes et au respect de l’obligation déclarative.

2) La conservation des pièces justificatives

Encore faut-il que ce qui a été formalisé demeure accessible. Les informations recueillies doivent être conservées de manière consolidée, c’est-à-dire rassemblées de façon à offrir une vision complète de la relation d’affaires plutôt qu’une collection de fragments épars entre des applications qui s’ignorent. Le mode de stockage retenu doit permettre un accès rapide et une exploitation aisée de l’ensemble des données : c’est l’exigence de piste d’audit, qui n’est pas un raffinement documentaire mais la condition pour qu’un contrôle puisse être conduit dans un délai utile.

La difficulté est particulièrement aiguë lorsque plusieurs outils coexistent, ou lorsque la relation se déploie à l’échelle d’un groupe. Le professionnel doit alors disposer d’une vision d’ensemble, tant au niveau de l’entité qu’à celui du groupe — un même client vu par trois filiales sous trois angles partiels n’est vu par personne. Les lignes directrices relatives à la gestion de fortune insistent d’ailleurs sur la nécessité que le dispositif de contrôle interne couvre les implantations à l’étranger et que les mesures de vigilance y soient effectivement mises en œuvre.

3) L’opposabilité au contrôle

Reste à mesurer ce que produit, en droit, un dossier bien tenu. Devant le superviseur, il est la seule défense possible : la charge de justifier pèse sur l’assujetti, et la jurisprudence de la Commission des sanctions montre qu’un manquement peut être établi sans qu’aucun blanchiment ait été identifié — la carence de l’outil se suffit à elle-même. La décision n° 2013-01 du 25 novembre 2013, rendue à l’égard d’une caisse d’épargne et de prévoyance, en offre une démonstration nuancée : le paramétrage trop général du dispositif était une carence sanctionnable en elle-même, alors même qu’il n’était pas démontré qu’il eût conduit à manquer des opérations atypiques — mais ce défaut de démonstration a conduit la Commission à relativiser la portée du grief. La traçabilité ne fait donc pas seulement gagner ou perdre le principe du manquement ; elle en calibre l’étendue.

Hors du contrôle prudentiel, en revanche, la portée de ces diligences se rétrécit brutalement. La Cour de cassation a jugé que l’obligation de vigilance des articles L. 561-4-1 à L. 561-14-2 poursuit la seule finalité de lutte contre le blanchiment et le financement du terrorisme, de sorte que la victime d’agissements frauduleux ne peut se prévaloir de son inobservation pour obtenir réparation de l’organisme financier.

Le profil ainsi construit, actualisé et documenté n’est pourtant qu’un instrument de mesure : il indique l’intensité requise, il ne la met pas en œuvre. Reste à examiner ce que le professionnel doit faire, concrètement, une fois la mesure prise — allégement lorsque le risque est faible, renforcement lorsqu’il est élevé.

III) La modulation des mesures de vigilance

Le profil de risque ne vaut que par ce qu’il commande : il n’est pas un constat dressé pour mémoire, mais la mesure à laquelle s’ajuste l’intensité de la surveillance. Tout le dispositif repose sur cette idée — la vigilance n’est pas un bloc uniforme, c’est une grandeur variable dont le professionnel doit régler le niveau. De là trois mouvements, qui ne s’excluent pas : l’allègement lorsque le risque est faible, le renforcement lorsqu’il est élevé, et, à côté de ces deux régimes gouvernés par l’appréciation, un socle de mesures que la loi impose d’elle-même dans des situations qu’elle tient pour intrinsèquement dangereuses.

Encore faut-il ne pas se méprendre sur la nature de cette modulation. Elle n’autorise jamais à ne rien faire, pas davantage qu’elle ne commande de tout faire indistinctement : elle oblige à justifier, dossier par dossier, le niveau retenu. C’est en cela que l’approche par les risques est redoutable pour l’assujetti — elle lui transfère la charge de démontrer que son calibrage était le bon, et le silence de ses dossiers se retourne contre lui.

A) L’allègement en cas de risque faible

La simplification est le premier des trois mouvements, et le plus mal compris. On y voit volontiers une dispense ; elle n’est qu’une modulation à la baisse, consentie sous conditions et toujours révocable.

1) Les situations de risque présumé faible

Lorsque le professionnel identifie un risque faible, tant au titre de sa classification générale qu’au regard de l’analyse individuelle de la relation, il lui est permis d’alléger les diligences qu’il met habituellement en œuvre. La faculté est ouverte par la loi selon deux voies distinctes qu’il importe de ne pas confondre : l’une repose sur l’appréciation du professionnel lui-même, l’autre sur une liste réglementaire de clients, services et produits que le pouvoir réglementaire a tenus pour peu risqués.

Les articles R. 561-14 à R. 561-16-2 du même code déclinent cette faculté et dressent la liste des produits éligibles. La monnaie électronique de faible valeur en offre l’illustration la plus poussée : lorsque les conditions de l’article R. 561-16-1 sont réunies — un plafond de stockage de 150 euros et l’impossibilité d’un chargement en espèces, notamment —, l’émetteur échappe aux obligations classiques de vigilance à l’entrée en relation. L’exemption cesse pourtant à la frontière que le texte lui assigne : les retraits et remboursements en espèces supérieurs à 50 euros, comme les paiements initiés à distance au-delà de ce même seuil, retournent au droit commun.

Le règlement (UE) 2024/1624 du 31 mai 2024 reprend cette économie à son article 33, mais il ne gouvernera les relations d’affaires qu’à compter du 10 juillet 2027 — et du 10 juillet 2029 pour les entités visées à son article 3, points 3) n) et o). Jusqu’à cette date, c’est bien l’article L. 561-9 qui commande, et lui seul : le règlement éclaire l’avenir, il ne fonde aucune diligence présente.

2) Le contenu des mesures simplifiées

La loi n’énumère pas les allègements ; elle en ouvre la possibilité et laisse au professionnel le soin de les calibrer à la nature comme à la taille de son activité. La doctrine administrative de l’Autorité de contrôle prudentiel et de résolution est ici d’un secours décisif, car elle descend au concret. Ses lignes directrices consacrées à la connaissance de la clientèle admettent qu’en présence d’un risque faible, l’organisme financier puisse se satisfaire de simples informations déclaratives — le client renseigne ses revenus, sa profession, son patrimoine, sans que des justificatifs soient systématiquement exigés.

L’allègement porte tout autant sur le rythme que sur le contenu. Les principes d’application sectoriels relatifs aux opérations sur or et métaux précieux, arrêtés conjointement par l’Autorité et l’administration des douanes, l’énoncent sans détour : pour un client au profil moins risqué, la mise à jour des éléments de connaissance peut intervenir à une fréquence moins soutenue, et des seuils ou critères moins stricts peuvent être appliqués au dispositif de surveillance des opérations. La modulation joue donc sur trois registres à la fois — la nature des informations recueillies, leur mode de corroboration, la périodicité de leur actualisation.

Une précaution s’impose toutefois quant à la source de ces assouplissements. Les lignes directrices et les principes d’application sectoriels ne sont pas la loi : ils expriment la lecture que l’autorité de contrôle fait des textes et l’usage qu’elle en attend. Ils sont suivis en pratique, et un professionnel qui s’en écarte devra s’en expliquer ; ils ne créent pas pour autant l’obligation, dont le siège demeure le code.

3) Les limites de l’allègement

La première limite est une condition, et elle est impérative : dès qu’un soupçon apparaît, la simplification s’évanouit. Le 2° de l’article L. 561-9 le dit expressément pour les produits listés, et la logique du dispositif l’impose pour l’appréciation autonome du 1° — un risque ne saurait demeurer faible quand un doute s’est levé. Le professionnel doit alors revenir au droit commun de la vigilance, voire au régime renforcé, sans qu’aucune qualification antérieure ne puisse lui être opposée.

La seconde limite tient à la permanence du dispositif de détection. Alléger les diligences relatives à un client ne dispense jamais de conserver une capacité générale à repérer l’opération inhabituelle : la surveillance des flux prescrite par l’article L. 561-6 demeure due, fût-elle exercée avec des seuils moins serrés. La présomption légale de faible risque porte sur l’intensité des mesures, non sur leur existence.

La troisième limite, enfin, est probatoire. Le professionnel qui s’est allégé doit pouvoir démontrer que sa classification des risques justifiait cet allègement et que l’analyse individuelle de la relation le confirmait. Une simplification non documentée n’est pas une simplification : c’est une carence de vigilance, et elle sera qualifiée comme telle devant la commission des sanctions.

B) Le renforcement en cas de risque élevé

À rebours de la simplification, la détection d’un risque élevé commande d’élever l’intensité des diligences. Le droit français ordonne ce renforcement autour de trois mécanismes qu’il faut distinguer avec soin, parce qu’ils n’ont ni le même fait générateur ni le même contenu.

1) L’appréciation autonome du professionnel

La vigilance renforcée procède d’un jugement, et ce jugement appartient à l’assujetti. Le législateur n’a pas défini a priori les situations qui l’appellent, ni la nature des mesures qu’elle recouvre : il s’est borné à poser que, lorsque le risque paraît élevé, les obligations d’identification, de connaissance et de surveillance continue doivent être exécutées sous une forme renforcée.

Cette liberté de calibrage n’est pas une zone de non-droit ; elle est une compétence liée par le principe de proportionnalité, et son inexécution se sanctionne. La commission des sanctions de l’Autorité l’a jugé sans ambiguïté dans sa décision du 10 janvier 2019 à l’égard de l’établissement de paiement A, procédure n° 2017-10 : l’absence de toute mesure prise en application de ces dispositions peut être sanctionnée. Elle y a ajouté une précision de procédure qui mérite d’être retenue — le silence du rapport de contrôle sur un défaut de vigilance renforcée ne lie pas le collège, à qui il revient de retenir, sur les constatations qui lui sont soumises, la qualification qui lui paraît appropriée.

2) L’intensification des diligences

Renforcer, c’est d’abord cesser de croire le client sur parole. Là où le risque faible tolérait le déclaratif, le risque élevé impose la corroboration : les lignes directrices de l’Autorité relatives à l’identification et à la connaissance de la clientèle énoncent qu’en pareille hypothèse l’organisme financier ne saurait en principe se satisfaire de simples déclarations et doit recueillir les documents qui les étayent. L’arrêté du 2 septembre 2009, pris pour l’application de l’article R. 561-12, offre à cet égard une liste indicative des éléments d’information mobilisables.

Le renforcement porte ensuite sur la surveillance elle-même : abaissement des seuils d’alerte, resserrement de la périodicité d’actualisation, examen individualisé des opérations atypiques, extension du champ des informations à collecter sur l’origine des fonds. Le droit de l’Union en fournit une grille utile par anticipation : l’article 34 du règlement (UE) 2024/1624 désigne quatre catégories d’opérations justifiant une vigilance accrue — celles qui présentent un caractère complexe, celles d’un montant anormalement élevé, celles qui suivent un schéma inhabituel et celles qui paraissent dépourvues d’objet économique ou licite. Ces critères ne s’imposeront comme tels qu’au 10 juillet 2027 ; ils recoupent toutefois, dès aujourd’hui, ceux que l’article L. 561-10-2 assigne à l’examen renforcé.

3) La décision hiérarchique de maintien

Un risque élevé ne se traite pas seulement par des diligences supplémentaires : il se traite par une décision, et cette décision remonte. Nouer ou maintenir une relation d’affaires à risque plus élevé, ou exécuter à titre occasionnel une transaction de cette nature, suppose l’accord d’un membre de l’organe exécutif, du responsable du dispositif de lutte contre le blanchiment ou d’une personne spécialement habilitée — les lignes directrices consacrées au pilotage consolidé des groupes exigent que le titulaire de cette habilitation dispose d’un niveau hiérarchique suffisamment élevé au regard des risques en cause.

L’exigence rejoint celle de l’article R. 561-38-1 du code, qui commande de s’assurer que les personnes participant à la mise en œuvre des obligations disposent d’une expérience, d’une qualification et d’une position hiérarchique adéquates. Le renforcement n’est donc pas seulement une affaire de dossiers plus épais : il est une affaire de gouvernance, et l’insuffisance du niveau auquel la décision est prise constitue à elle seule un manquement.

C) Les mesures complémentaires imposées

À côté du renforcement laissé à l’appréciation du professionnel, le législateur a identifié des situations qu’il tient pour intrinsèquement risquées et pour lesquelles il prescrit lui-même les contrôles. Ces mesures ne se substituent pas aux précédentes : l’article L. 561-10-1, II, prend soin de dire qu’elles ne font pas obstacle à la vigilance renforcée, de sorte que les deux régimes peuvent se superposer sur une même relation.

1) Les personnes politiquement exposées

Le régime des personnes politiquement exposées procède du droit dérivé de l’Union : la troisième directive du 26 octobre 2005, puis la quatrième du 20 mai 2015, ont successivement introduit puis étendu la surveillance renforcée due à ces personnes. Cantonnée à l’origine aux seules personnalités étrangères, l’exigence couvre désormais les personnes exerçant en France des fonctions politiques, juridictionnelles ou administratives de premier plan.

Les mesures prescrites aux articles R. 561-18 à R. 561-20-3 forment un ensemble cohérent. La décision d’entrer en relation, ou de la maintenir, est confiée à un membre de l’organe exécutif ou à son délégué ; des investigations sont menées sur la provenance du patrimoine et des capitaux engagés ; la surveillance de la cohérence des opérations avec la connaissance actualisée du client est intensifiée. Les entreprises d’assurance y ajoutent une exigence propre : informer l’organe exécutif avant tout versement de prestation ou toute cession de contrat lorsque le bénéficiaire est une personne politiquement exposée. La commission des sanctions a fait application de ce corps de règles dans sa décision n° 2015-08 du 8 décembre 2016 à l’égard d’AXA France Vie, où le grief tenait à l’absence de procédures permettant de déterminer si le client relevait de l’article R. 561-18.

Une dérogation, souvent négligée, figure au cinquième alinéa de l’article L. 561-10 : les mesures complémentaires liées à cette qualité peuvent ne pas être appliquées lorsque la relation d’affaires est exclusivement établie pour des produits soumis aux mesures de vigilance simplifiées, à la condition qu’aucun soupçon n’existe. La condition est capitale — elle rappelle que la simplification et la complémentarité se répondent, et que le soupçon fait tomber l’une comme il déclenche l’autre.

Le règlement de 2024 élargira sensiblement ce périmètre à compter du 10 juillet 2027 : y entreront les chefs des exécutifs des collectivités locales d’au moins cinquante mille habitants, les dirigeants d’entreprises publiques locales réalisant plus de huit millions d’euros de chiffre d’affaires, ainsi que les frères et sœurs des chefs d’État, de gouvernement et des ministres. Surtout, les mesures spécifiques s’appliqueront à toute transaction réalisée au profit d’une telle personne, et non plus aux seules relations d’affaires continues — extension dont la portée opérationnelle, pour les dispositifs de filtrage, est considérable.

2) Les relations de correspondance bancaire

La correspondance bancaire transfrontalière repose sur une architecture à trois termes : un établissement correspondant met à la disposition d’un établissement client des services — tenue de trésorerie, transferts internationaux, compensation, change — qui permettent à ce dernier de servir sa propre clientèle. Il en résulte un décalage structurel : le correspondant exécute des opérations au bénéfice indirect de tiers qu’il ne connaît pas et avec lesquels aucun lien contractuel ne l’unit.

Les articles R. 561-21 à R. 561-24 détaillent ces diligences, dont l’intensité varie selon une approche par les risques : recueillir sur l’établissement cocontractant des informations suffisantes pour connaître la nature de ses activités, apprécier sa réputation et la qualité de la surveillance dont il fait l’objet, y compris les sanctions disciplinaires prononcées à son encontre. Le partage des rôles est net, et les principes d’application sectoriels consacrés à cette activité en tracent la ligne : le correspondant s’enquiert de la qualité du dispositif de son cocontractant et l’évalue, mais il n’exerce pas une vigilance continue sur les clients de celui-ci ni ne réclame systématiquement des informations à leur sujet. Il ne les demande qu’en présence d’une anomalie. La maîtrise du risque tenant aux clients finaux repose, pour l’essentiel, sur le dispositif de l’établissement client.

Une exception mérite d’être signalée, celle des comptes de correspondant utilisés directement par des tiers pour l’exécution d’opérations pour leur propre compte : le correspondant doit alors s’assurer que le cocontractant a vérifié l’identité de ces tiers, qu’il leur applique des mesures de vigilance conformes aux articles L. 561-5 à L. 561-6, et qu’il pourra, sur demande, communiquer les données pertinentes. Le Groupe d’action financière et le Comité de Bâle tiennent d’ailleurs cette activité pour intrinsèquement risquée, sans y voir un bloc homogène — la diversité des services et l’implantation géographique de l’établissement client commandent la gradation. C’est précisément cette gradation qu’un établissement avait manquée dans l’affaire ayant donné lieu à la décision n° 2024-02 du 19 juin 2025 à l’égard de la banque Delubac et Cie : la surveillance ex post des opérations de correspondance ne visait que les pays classés « très élevés », laissant hors du champ ceux qui, seulement « élevés », figuraient sur la liste du Groupe d’action financière ou sur celle de l’Union relative aux territoires non coopératifs.

3) L’entrée en relation à distance

Le 2° de l’article L. 561-10 vise les produits et opérations favorisant l’anonymat, et l’article R. 561-19 en tire les conséquences en prescrivant des mesures adaptées au risque d’opacification. L’entrée en relation à distance relève de cette logique : l’absence de présence physique prive le professionnel des indices que lui donnerait un entretien et facilite l’interposition. Les principes d’application sectoriels suggèrent d’y suppléer par l’exploitation croisée des informations commerciales — titulaire du compte, expéditeur et destinataire des marchandises — et des données de la transaction, notamment les coordonnées bancaires et le titulaire du compte de règlement.

La décision n° 2020-06 du 12 juillet 2021 à l’égard de la société A en donne une illustration parlante, puisque le client dont le dossier a fondé le grief était entré en relation par internet et avait exécuté des opérations pour plus de quinze mille dollars des États-Unis sans que les mesures dues aient été mises en œuvre. Le canal de distribution n’est donc pas un paramètre secondaire de la classification : il est un facteur de risque à part entière, au même titre que le client, le produit ou le territoire.

4) Les pays tiers à haut risque

Le 3° de l’article L. 561-10, complété par l’article R. 561-20-4, impose des mesures complémentaires aux opérations impliquant un pays tiers à haut risque : décision prise au niveau exécutif, recueil d’informations supplémentaires sur l’origine des fonds et l’objet de l’opération, accroissement de la fréquence de mise à jour des données, suivi renforcé de la relation. La liste pertinente est celle qu’établit la Commission européenne, que complètent utilement les travaux du Groupe d’action financière ; l’article 29 du règlement de 2024 en reprendra le mécanisme à compter du 10 juillet 2027.

Deux décisions montrent ce que coûte l’inattention à ce critère. Dans la décision n° 2019-08 du 27 janvier 2021 à l’égard de la société A, une plateforme de financement participatif avait affirmé dans sa procédure ne pas travailler avec les pays sous embargo ou sensibles, sans en dresser la liste, cependant que certains projets finançaient des opérations à destination d’États inscrits sur la liste du Groupe d’action financière et sur celle de la Commission. Dans la décision n° 2020-06 du 12 juillet 2021 à l’égard de la société A, un pays classé à haut risque par un règlement délégué de la Commission n’avait été retenu qu’au titre du risque de corruption, ce qui avait privé la relation des mesures complémentaires qui lui étaient dues. Une classification qui ignore une liste officielle n’est pas une classification incomplète : c’est une classification fausse.

D) L’examen renforcé des opérations

Les régimes qui précèdent modulent la vigilance due à une relation ; l’examen renforcé, lui, se concentre sur une opération. Il est le point où la surveillance cesse d’être un réglage d’intensité pour devenir une investigation ponctuelle, déclenchée par un fait précis et close par un écrit.

1) Les critères légaux de déclenchement

Trois critères, et la conjonction « ou » entre eux : ils sont alternatifs, non cumulatifs. Une opération d’un montant modeste mais dépourvue de justification économique appelle l’examen aussi sûrement qu’un virement considérable parfaitement documenté. Le caractère inhabituel s’apprécie, au demeurant, non dans l’absolu mais au regard du profil : c’est la connaissance actualisée de la relation qui donne son étalon au montant comme au schéma. Le dispositif rejoint ici les critères de l’article D. 561-32-1, qui désignent notamment l’usage de sociétés écran dont l’activité n’est pas cohérente avec l’objet social — indice classique d’une opération à disséquer.

2) L’obligation de se renseigner

Le texte ne se contente pas d’imposer un examen : il en fixe le contenu. Le professionnel doit interroger le client sur l’origine des fonds, sur leur destination, sur l’objet de l’opération et sur l’identité du bénéficiaire. L’obligation est active — elle ne se satisfait ni d’une observation passive des flux, ni du constat que le client n’a rien dit. Elle constitue, avec la surveillance continue de l’article L. 561-6, l’une des deux exceptions les plus nettes au devoir de non-ingérence évoqué plus haut : le banquier qui s’abrite derrière ce devoir pour ne pas questionner une opération atypique inverse le rapport que la loi a établi.

Reste que l’obligation est de moyens quant à son résultat. Le professionnel doit interroger, recouper, apprécier la vraisemblance de la réponse ; il n’a pas à établir la licéité de l’opération, ce qui excéderait ses pouvoirs comme ses moyens. Ce qui lui est demandé, c’est de ne pas s’en tenir à la première explication venue lorsque celle-ci ne cadre pas avec ce qu’il sait de son client.

3) La formalisation du résultat

Un examen renforcé qui ne laisse pas de trace n’a, du point de vue du contrôle, jamais eu lieu. Les diligences accomplies, les questions posées, les réponses reçues et l’appréciation portée doivent être consignées et conservées, de manière à reconstituer le cheminement suivi. L’exigence procède directement de l’article L. 561-32, qui impose une organisation et des procédures internes tenant compte de l’évaluation des risques, et elle rejoint la piste d’audit dont les autorités font la clef de leurs contrôles.

L’issue de l’examen commande ensuite deux voies. Si le doute est levé, l’opération est classée et la trace conservée ; si le doute persiste, la déclaration de soupçon à Tracfin s’impose, et le profil de risque de la relation doit être revu à la hausse. C’est par cette bascule que la vigilance rejoint le versant déclaratif du dispositif — et que se pose la question, décisive, de son effectivité réelle.

IV) L’effectivité du dispositif de vigilance

Les développements qui précèdent ont décrit une architecture : une classification des risques, un profil individuel, une intensité de vigilance graduée selon ce profil, un examen renforcé déclenché par quatre critères légaux. Reste que cette architecture n’a de valeur qu’à raison de ce qu’elle produit. Une classification impeccable sur le papier, un profil scrupuleusement renseigné, une procédure d’examen renforcé rédigée dans les règles ne servent de rien si aucune opération atypique n’est jamais détectée, si les alertes s’accumulent sans être traitées, ou si le professionnel se révèle incapable de démontrer les diligences qu’il prétend avoir accomplies. C’est en cela que le dispositif de vigilance se juge moins sur son architecture que sur son effectivité — et c’est précisément sur ce terrain que se noue le contentieux.

L’article L. 561-32 du Code monétaire et financier commande cette effectivité en imposant à l’organisme financier de se doter d’une organisation et de procédures internes tenant compte de l’évaluation de ses risques, dont l’arrêté du 6 janvier 2021 précise les modalités. L’article R. 561-38 en tire la conséquence pratique : l’organisation ne vaut que dotée d’outils et de moyens, matériels et humains, permettant la mise en œuvre effective des obligations de vigilance et, en particulier, la détection et l’analyse des opérations atypiques.

La proportionnalité est ici la clé de lecture : le texte n’impose pas un dispositif standard, il exige un dispositif adapté. Un établissement de taille modeste, aux activités homogènes et à la clientèle stable, ne saurait être tenu aux mêmes moyens qu’un groupe bancaire traitant des flux internationaux en volume. Mais cette souplesse a sa contrepartie — l’adaptation se mesure à la charge réellement supportée, et non aux moyens dont le professionnel a bien voulu se doter.

A) La détection des anomalies

Détecter suppose deux regards, qui ne voient pas la même chose. Le premier est celui du collaborateur qui reçoit le client, connaît son dossier et perçoit ce qui détonne ; le second est celui de la machine, qui ne connaît rien mais compare tout. Aucun ne se substitue à l’autre : le dispositif tient de leur articulation.

1) La vigilance humaine au fil de l’eau

La détection des opérations atypiques incombe au premier chef à l’ensemble du personnel en contact avec la clientèle. Cette évidence mérite d’être rappelée, tant la sophistication croissante des outils informatiques tend à faire oublier que l’anomalie se voit souvent avant de se calculer : un discours qui ne concorde pas avec le dossier, une hâte inexpliquée, une opération dont le client peine à dire la finalité. Rien de tout cela ne déclenche d’alerte automatique, et tout cela se remarque au guichet.

Cette responsabilité ne s’arrête pas aux salariés de l’entreprise. Elle s’étend à ceux auxquels le professionnel a recours pour distribuer ses produits — agents de prestataires de services de paiement, distributeurs de monnaie électronique, agents généraux d’assurance —, qui interviennent sous son entière responsabilité. L’externalisation de la distribution n’externalise pas la vigilance : le professionnel répond de la chaîne qu’il a construite, jusqu’à son dernier maillon.

Encore faut-il que ce maillon sache ce qu’il doit voir. C’est l’objet de l’article L. 561-34 du Code monétaire et financier, qui impose l’information régulière du personnel et la mise en place de toute action de formation utile, en assimilant expressément aux personnels les agents et les distributeurs de monnaie électronique. La formation n’est pas ici une obligation de façade dont on s’acquitte par un module annuel : elle conditionne l’aptitude effective de chaque intervenant à reconnaître un signal d’alerte, et se mesure donc à la montée en compétences réelle de ceux qui sont exposés au risque.

2) Les outils automatisés de surveillance

Aucun texte n’impose formellement le recours à un système informatique de détection. Mais la réalité opérationnelle — le volume des opérations, la taille de l’organisation, la diversité des activités — rend ce recours inévitable dès que la charge excède ce qu’un œil humain peut embrasser. La Commission des sanctions de l’ACPR l’a jugé sans détour : un établissement qui traite un nombre significatif d’opérations ne peut prétendre s’en dispenser. Ce qui est facultatif dans le texte devient obligatoire par l’effet de la volumétrie, et le professionnel qui s’en affranchit ne discute pas un choix d’outil, il expose une carence de moyens au sens de l’article R. 561-38.

L’ACPR a précisé, à l’occasion d’une revue thématique consacrée aux dispositifs automatisés dont les enseignements irriguent ses lignes directrices conjointes avec Tracfin, les exigences auxquelles un tel système doit satisfaire. Elles se laissent ramener à cinq.

La première tient à la couverture. Le dispositif embrasse l’intégralité de la clientèle et des opérations, y compris occasionnelles ; écarter systématiquement une catégorie entière de clients ou une famille d’opérations du périmètre surveillé est prohibé. L’exclusion n’est admissible que motivée par une analyse de risque, jamais par la commodité technique. La deuxième tient au paramétrage, qui procède de la connaissance du client et de la classification des risques : seuils et périodes doivent être calibrés pour révéler l’incohérence, soit par rapport au profil de la relation, soit par rapport aux groupes de pairs. La troisième tient aux tests : la pertinence et la volumétrie des scénarios se valident avant la mise en production, puis se suivent en continu par des indicateurs de performance. La quatrième tient à l’interopérabilité — le professionnel qui recourt à plusieurs outils doit néanmoins disposer d’une vision d’ensemble de la relation d’affaires, au niveau de l’entité comme du groupe. La cinquième, enfin, tient au rattachement du dispositif au contrôle interne, tout dysfonctionnement commandant des mesures correctrices dans les meilleurs délais.

Le défaut d’interopérabilité est de ceux que la pratique révèle le plus cruellement. La Commission des sanctions a ainsi retenu, à l’encontre d’un organisme d’assurance, que la surveillance était appliquée par numéro de client et non par relation d’affaires : or une même relation peut porter plusieurs numéros lorsqu’elle souscrit par différents intermédiaires. Le cloisonnement rendait l’analyse des opérations structurellement impuissante — l’outil fonctionnait, mais il regardait des fragments (Commission des sanctions de l’ACPR, décision n° 2022-03 du 12 octobre 2023 à l’égard de la société Abeille Vie).

Les techniques avancées de traitement des données — apprentissage automatique, intelligence artificielle générative — ouvrent à cet égard des perspectives réelles : segmentation plus fine des portefeuilles, affinage des scénarios, mise au jour de circuits organisés de recyclage que les méthodes classiques laissent échapper, attribution de scores d’anomalie permettant de hiérarchiser le traitement des alertes. Leur déploiement appelle pourtant un pilotage rigoureux — fiabilisation des données d’entrée, évaluation de la conformité, explicabilité des algorithmes — et ne dispense jamais du contrôle humain approprié, singulièrement pour conduire les examens renforcés et rédiger les déclarations de soupçon. Un score n’est pas une analyse ; il désigne un dossier, il ne le juge pas.

3) Le calibrage des scénarios d’alerte

Un scénario mal calibré est pire qu’un scénario absent, car il rassure. La Commission des sanctions a relevé le cas d’un seuil de détection mensuel fixé à 8 000 euros par opération pour la clientèle placée sous surveillance renforcée, seuil qui n’avait déclenché aucune alerte au cours d’une année entière. Le grief ne portait pas sur un défaut de vigilance constante mais sur le paramétrage lui-même : un dispositif dont le silence est total sur une population réputée à risque révèle son propre réglage (Commission des sanctions de l’ACPR, décision n° 2016-09 du 30 juin 2017 à l’égard de la caisse régionale de Crédit agricole M).

Symétriquement, c’est l’absence de scénario qui se sanctionne lorsqu’un risque identifié demeure hors du champ de la détection. Ainsi de l’omission d’un scénario relatif au nantissement d’un contrat au profit d’un tiers, dont il est résulté la non-détection d’opérations qui auraient dû être déclarées (décision n° 2022-03 précitée) ; ainsi encore de l’absence de tout scénario visant les retraits d’espèces consécutifs à l’octroi d’un crédit à la consommation, alors que le prêteur doit s’intéresser à l’usage des fonds prêtés et que les espèces se trouvent au cœur des opérations de micro-financement du terrorisme (Commission des sanctions de l’ACPR, décision n° 2017-08 du 22 mars 2018 à l’égard de l’établissement de crédit B). La leçon est constante : le scénario se déduit de la cartographie des risques, et tout risque cartographié sans scénario correspondant est une porte laissée ouverte.

B) Le traitement des alertes

Détecter n’est que la moitié du chemin. Une alerte qui n’est pas analysée ne vaut pas mieux qu’une opération non détectée — elle vaut moins, puisqu’elle atteste que le professionnel savait où regarder et ne l’a pas fait.

1) Le délai raisonnable d’analyse

Aucun texte ne fixe en jours le délai dans lequel une alerte doit être traitée. La Commission des sanctions en a tiré une règle d’interprétation plutôt qu’une tolérance : si l’arrêté du 6 janvier 2021 ne fixe pas de délai, ses dispositions ne peuvent être lues par un professionnel avisé et de bonne foi qu’au regard de leur objet, qui est de permettre l’examen renforcé et, le cas échéant, la déclaration de soupçon en temps utile. Elle a ainsi retenu le grief à l’encontre d’un établissement dont un quart des alertes non traitées au jour du contrôle avaient été déclenchées plus de quatre mois auparavant (Commission des sanctions de l’ACPR, décision n° 2024-02 du 19 juin 2025 à l’égard de la banque Delubac et Cie). L’absence de délai réglementaire ne libère donc pas : elle renvoie à la finalité de l’obligation, laquelle commande la célérité.

Ce délai raisonnable est d’abord une affaire de moyens. Le rapprochement entre le flux d’alertes et les effectifs qui les traitent est devenu un point de contrôle à part entière : une société dotée de 6,8 équivalents temps plein traitait cent trente alertes par jour quand son dispositif en déclenchait quatre cent soixante-dix, d’où un stock de cent mille alertes en souffrance et neuf cents dossiers susceptibles d’appeler une déclaration (Commission des sanctions de l’ACPR, décision n° 2020-05 du 7 mai 2021 à l’égard de la société A). L’arithmétique est ici accablante par elle-même : un dispositif dont le débit de traitement est structurellement inférieur au débit de détection accumule mécaniquement une dette qu’aucun plan de remédiation ne résorbe à bref délai — le même engorgement, dans une autre affaire, n’a été résorbé que progressivement sur plusieurs années (Commission des sanctions de l’ACPR, décision n° 2020-03 du 29 avril 2021 à l’égard de la société A).

Les lignes directrices conjointes de l’ACPR et de Tracfin admettent à cet égard que les responsables du dispositif hiérarchisent les alertes et décident de l’ordre dans lequel elles seront analysées ; mais cette faculté de priorisation suppose précisément l’adéquation entre le volume à traiter et les moyens humains dédiés — elle organise le traitement, elle ne l’ajourne pas. Ces mêmes lignes directrices rappellent, sur le fondement de l’article R. 561-38-1, que le personnel chargé des alertes doit avoir accès à l’ensemble des informations nécessaires à l’exercice de sa mission : une alerte confiée à un analyste privé du dossier client ne peut donner lieu qu’à un classement de principe.

2) Les appels à vigilance de Tracfin

Le dispositif de détection n’est pas une construction solitaire : il se nourrit d’informations extérieures, dont les appels à vigilance constituent la forme la plus directe. En application de l’article L. 561-26 du Code monétaire et financier, Tracfin peut, par la plateforme ERMES, signaler à un ou plusieurs organismes financiers un risque important de blanchiment ou de financement du terrorisme. L’appel — d’une durée maximale de six mois, renouvelable — peut viser des personnes physiques ou morales déterminées, un type d’opérations ou des zones géographiques.

Sa réception n’est pas une simple information : elle oblige le professionnel à adapter son dispositif de gestion des risques, en ajustant ses critères de détection, en révisant les profils de risque concernés et en redéfinissant les éléments de connaissance client à recueillir. Un appel à vigilance archivé sans conséquence sur le paramétrage manque son objet. La pratique en atteste : un établissement de paiement a précisément fait valoir, pour justifier son dispositif, qu’il combinait criblage, scénarios et prise en compte des appels à vigilance (Commission des sanctions de l’ACPR, décision n° 2022-02 à l’égard de la Financière des paiements électroniques) — signe que l’intégration de ces signaux est devenue l’un des éléments au regard desquels s’apprécie la qualité de la surveillance.

Le contenu nominatif d’un appel à vigilance est enfin couvert par un secret absolu. Toute divulgation — au client visé, à un tiers, à quiconque n’est pas habilité — est prohibée à peine des sanctions pénales de l’article L. 574-1 du Code monétaire et financier. La règle n’est pas propre aux appels à vigilance : elle procède de la même logique que l’interdiction de révéler l’existence d’une déclaration de soupçon, et rappelle que la vigilance s’exerce à l’insu de celui qu’elle concerne, sous peine de ruiner l’exploitation du renseignement.

3) Le passage à la déclaration de soupçon

L’analyse d’une alerte ne connaît que deux issues. Si le doute est levé, l’opération est classée et le classement motivé. S’il persiste malgré les diligences accomplies, l’incertitude change de nature : elle devient un soupçon caractérisé, qui commande la transmission d’une déclaration à Tracfin sur le fondement de l’article L. 561-15, III, du Code monétaire et financier. Il n’existe pas de troisième voie — le dossier laissé en suspens n’est pas une position, c’est un manquement, et c’est pourquoi la Commission des sanctions juge que l’incapacité à démontrer les diligences accomplies est en elle-même sanctionnable (Commission des sanctions de l’ACPR, décision n° 2016-09 du 30 juin 2017 précitée).

À côté de ce soupçon apprécié in concreto, l’article L. 561-15, II, institue une déclaration fondée sur des critères objectifs, dont l’article D. 561-32-1 dresse la liste — utilisation de sociétés écran dont l’activité ne concorde pas avec l’objet social ou dont le siège se situe dans un État n’ayant pas adhéré à la norme d’échange de renseignements, entre autres. Ce texte prend soin de préciser que la déclaration s’effectue en fonction de la spécificité de la profession concernée, conformément aux obligations de vigilance exercées et au regard des pièces réunies à cet effet : le critère objectif ne dispense pas de l’analyse, il en oriente le déclenchement.

La qualité de la chaîne suppose enfin que quelqu’un en réponde. Aux termes de l’article R. 561-24, les organismes communiquent à Tracfin et à leur autorité de contrôle l’identité du dirigeant ou du préposé chargé de répondre aux demandes et d’assurer la diffusion interne des informations et recommandations générales qui en émanent. Les lignes directrices précisent la portée de cette désignation pour certains acteurs, le représentant permanent devant être spécialement désigné, ne pouvant exécuter lui-même d’opérations de paiement ni gérer de monnaie électronique, et se trouvant chargé de transmettre déclarations et communications systématiques d’information pour le compte de l’organisme. L’incompatibilité fonctionnelle ainsi posée dit assez que la déclaration suppose un regard extérieur à la production.

C) Le contrôle des autorités

Un dispositif ne se juge effectif que parce qu’un tiers peut en vérifier le fonctionnement. C’est la fonction du contrôle administratif, dont la matière tire son originalité : la jurisprudence de ces obligations n’est pas celle des juridictions judiciaires, mais celle d’une commission des sanctions.

1) Les pouvoirs de l’ACPR

Autorité de contrôle des organismes financiers au sens de l’article L. 561-36 du Code monétaire et financier, l’ACPR conduit des contrôles sur pièces et sur place au terme desquels un rapport peut fonder l’ouverture d’une procédure disciplinaire devant sa commission des sanctions. Son office ne se limite pas à la répression : elle édicte des lignes directrices, seule ou conjointement avec Tracfin, la direction générale du Trésor ou l’administration des douanes, ainsi que des principes d’application sectoriels. Ces documents n’ont, de leur propre aveu, aucun caractère contraignant — ils sont explicatifs. Il serait toutefois naïf d’en déduire qu’ils sont indifférents : ils énoncent ce que l’Autorité attend, et cette attente devient le standard au regard duquel les manquements sont appréciés. Ainsi des principes sectoriels applicables au secteur de l’assurance, qui exposent ce qui est attendu d’un dispositif efficace de surveillance des opérations couvrant l’ensemble des activités de l’organisme.

Le contrôle se double d’une dimension européenne appelée à croître. Le règlement (UE) 2024/1620, applicable depuis le 1er juillet 2025, institue une autorité de lutte contre le blanchiment chargée de suivre les évolutions du marché intérieur et des pays tiers, d’évaluer menaces et vulnérabilités, et de recueillir auprès des superviseurs nationaux les informations relatives aux faiblesses constatées dans l’application des règles. À droit constant, le contrôle des organismes français demeure celui de l’ACPR ; l’échelon européen s’ajoute, en surveillance et en coordination, sans se substituer à lui.

2) Les griefs récurrents des sanctions

La lecture des décisions révèle une typologie stable, et cette stabilité est instructive : les manquements sanctionnés ne portent presque jamais sur l’ignorance de la règle, mais sur la défaillance de sa mise en œuvre. Trois familles se dégagent. La première est celle de l’insuffisance de moyens, humains ou techniques, dont l’engorgement des alertes constitue la manifestation la plus visible. La deuxième est celle du paramétrage défectueux — seuil aveugle, scénario manquant, surveillance cloisonnée. La troisième, la plus redoutable, est celle du défaut de traçabilité : le professionnel qui ne peut établir ce qu’il a fait est traité comme n’ayant rien fait.

Les décisions montrent aussi que les carences se cumulent et se persistent. La Commission a ainsi relevé, au terme d’un contrôle, la persistance de plusieurs carences majeures et l’apparition, depuis la précédente mission, d’insuffisances nouvelles affectant le dispositif de gestion des risques — retenant au surplus qu’une mise à jour procédurale intervenue tardivement, en cours de procédure, ne pouvait faire disparaître le grief (décision n° 2024-02 précitée). La remédiation postérieure au contrôle n’efface pas le manquement ; elle influe, tout au plus, sur la sanction.

3) La proportionnalité de la répression

La sanction se mesure à la gravité du manquement, à la taille de l’établissement et à ses ressources, mais aussi à l’attitude adoptée : l’engagement d’un plan de remédiation, sa profondeur et sa rapidité sont pris en considération. La Commission a par ailleurs été saisie du moyen tiré de ce que plusieurs griefs ne pourraient reposer sur un même élément matériel, dans une affaire où le retard de traitement des alertes et le retard des déclarations à Tracfin procédaient des mêmes dysfonctionnements (décision n° 2020-03 précitée). La discussion mérite d’être signalée : elle montre que le contentieux disciplinaire, loin d’être un contentieux d’opportunité, se plaide avec les instruments ordinaires de la répression.

D) Les responsabilités du professionnel

Le manquement de vigilance expose à trois responsabilités qu’il faut se garder de confondre, car elles n’ont ni le même juge, ni la même mesure, ni les mêmes conditions.

1) La responsabilité disciplinaire

Elle est la sanction naturelle du manquement, et de loin la plus fréquente. Sa physionomie est propre : le manquement s’apprécie objectivement, indépendamment de tout préjudice et de toute infraction commise par le client. Il suffit que le dispositif ait été défaillant. C’est ce qui explique qu’un établissement puisse être sanctionné alors même qu’aucun blanchiment n’a été caractérisé — la vigilance est une obligation de moyens renforcée dont l’inexécution se constate en elle-même.

2) La responsabilité pénale

Le terrain pénal obéit à une logique tout autre, et c’est ici que la Cour de cassation intervient, rarement mais décisivement. Le manquement aux obligations de vigilance n’est pas, par lui-même, un fait de complicité de blanchiment : les deux qualifications reposent sur des éléments distincts, l’une sur une défaillance objective, l’autre sur un concours apporté en connaissance de cause.

Cette solution est capitale pour la sécurité juridique des établissements : elle interdit de déduire mécaniquement une infraction intentionnelle d’une carence organisationnelle. Elle n’immunise pas pour autant, puisque les mêmes faits matériels — ouverture de compte, exécution de virements — deviennent punissables dès que la connaissance est démontrée. À quoi s’ajoutent les incriminations propres au dispositif, au premier rang desquelles la divulgation prohibée de l’article L. 574-1, déjà évoquée à propos des appels à vigilance.

3) La responsabilité civile envers les tiers

La question la plus délicate est celle de savoir si la victime d’une escroquerie peut reprocher au banquier de son auteur d’avoir manqué de vigilance. La réponse tient à la finalité du dispositif : les obligations des articles L. 561-5 et suivants sont instituées dans un intérêt général de protection du système financier, non dans l’intérêt particulier des tiers. Leur méconnaissance ne fonde donc pas, par elle-même, un droit à réparation au profit de la victime. Cette solution s’articule avec le devoir de non-ingérence exposé plus haut : le banquier ne répond pas de n’avoir pas surveillé une opération régulière en apparence.

Il en va différemment lorsque le tiers établit une anomalie apparente que le banquier ne pouvait ignorer et qui commandait une réaction. La responsabilité se fonde alors sur cette anomalie, saisie par le droit commun, et non sur le manquement au dispositif de lutte contre le blanchiment. La distinction n’est pas byzantine : elle détermine la charge de la preuve et la nature du fait générateur, la victime ne pouvant se contenter d’exciper d’une carence relevée par l’autorité de contrôle.

E) La logique d’ensemble du dispositif

Au terme de ce parcours, le système de vigilance pendant la relation d’affaires apparaît pour ce qu’il est : un continuum adaptatif. Adossé à la cartographie des risques propre à l’entité et à l’évaluation individualisée de chaque relation, il conduit le professionnel à moduler l’intensité de sa surveillance — de la vigilance simplifiée pour les risques faibles à l’examen renforcé pour les opérations qui échappent à l’explication — tout en maintenant en permanence une capacité de détection des anomalies. Cette modulation, gouvernée par l’approche par les risques, trouve son terme naturel dans la déclaration de soupçon lorsque le doute résiste aux diligences. Rien n’y est mécanique : à chaque étage, c’est une appréciation qui est demandée, et c’est la qualité de cette appréciation, documentée, que le contrôle vient éprouver.

Cet équilibre est à la veille d’être refondu. Le paquet européen de 2024 substituera pour l’essentiel au droit national un règlement d’application directe : le règlement (UE) 2024/1624 sera applicable à compter du 10 juillet 2027 — et du 10 juillet 2029 pour les entités visées à son article 3, points 3) n) et o) —, tandis que la directive (UE) 2024/1640 doit être transposée au plus tard le 10 juillet 2027, certaines de ses dispositions l’étant plus tôt, notamment ses articles 11 à 13 et 15 au 10 juillet 2026 et son article 10 relatif aux registres centraux des bénéficiaires effectifs selon le calendrier qu’elle fixe. D’ici là, et cela mérite d’être souligné, le droit applicable demeure entièrement celui du Code monétaire et financier.

On mesure à ce tableau que la réforme ne renversera pas la logique de l’approche par les risques : elle l’uniformisera. Les exigences d’effectivité qui viennent d’être exposées — couverture intégrale, paramétrage motivé, traitement diligent, traçabilité opposable — n’en seront pas abolies mais consolidées, et le professionnel qui les satisfait aujourd’hui aura, pour l’essentiel, préparé le passage. C’est là, au reste, le meilleur argument en faveur d’un dispositif construit sur la mesure du risque plutôt que sur la conformité formelle : la mesure survit aux textes qui la commandent.