Préparation du devoir de vigilance à l'égard de la clientèle en vertu du règlement européen sur la lutte contre le blanchiment d'argent

L'UE AML Le règlement (UE) 2024/1624 (s’ouvre dans un nouvel onglet) s'applique à compter du 10 juillet 2027 et est directement applicable dans tous les États membres (article 90). Pour les obligations de vigilance à l'égard de la clientèle ( CDD ) cela signifie un seul texte au lieu de 27 versions nationales : une liste minimale fixe de données d’identification, deux voies définies pour vérifier l’identité, un test de propriété effective de 25 % qui prend en compte les participations indirectes et des plafonds stricts quant à la durée pendant laquelle les informations client peuvent rester sans mise à jour.

Les entreprises devraient se conformer dès maintenant au règlement plutôt que d'attendre les détails. Le règlement stipule que la nouvelle autorité de l'UE… AMLA , pour livrer le projet CDD normes techniques d'ici le 10 juillet 2026 (article 28(1)). AMLA La page relative aux instruments réglementaires de l'UE, mise à jour le 4 septembre 2026, indique que ces normes ont fait l'objet d'une consultation close, aucun rapport final n'ayant été publié. Le projet donne une indication de l'orientation ; seul le texte du règlement est définitif.

Les exigences varient selon la juridiction et le type d'entreprise, et cet article fournit des informations générales et ne constitue pas un avis juridique.

Qu’est-ce qui est fixé dans le règlement lui-même ?

Quatre parties du règlement modifient la vigilance quotidienne à l’égard de la clientèle. Aucune ne dépend de la finalisation des normes de l’AMLA.

Une liste minimale de données pour chaque client

L’article 22, paragraphe 1, énumère les informations nécessaires à l’identification d’une personne physique : ses nom et prénom, son lieu et date de naissance complète, sa nationalité (le cas échéant, ou le statut d’apatridie, de réfugié ou de personne bénéficiant d’une protection subsidiaire), son numéro d’identification national s’il est applicable, et son domicile habituel. Pour une personne morale, il précise sa forme juridique et sa dénomination sociale, son siège social et son principal établissement, son pays de constitution, ses représentants légaux et, le cas échéant, son numéro d’immatriculation, son numéro d’identification fiscale et son identifiant d’entité juridique.

Deux points posent problème aux équipes. De nombreux formulaires d'inscription demandent une seule nationalité ; or, la réglementation exige plusieurs nationalités. De plus, de nombreux processus ne recueillent pas le numéro d'identification national lorsque le client s'authentifie avec son passeport.

Deux moyens de vérifier son identité

L’article 22(6) prévoit deux moyens d’obtenir les éléments nécessaires à la vérification d’un client :

1. Une pièce d'identité, un passeport ou un équivalent, ainsi que des informations provenant de sources fiables et indépendantes le cas échéant.

2. Identification électronique conforme au règlement eIDAS (UE) n° 910/2014 au niveau d’assurance « substantiel » ou « élevé », et services de confiance qualifiés pertinents.

Bénéficiaires effectifs : 25 %, comptabilisés dans la chaîne

L’article 52, paragraphe 1, fixe le seuil de détention à 25 % ou plus des actions, des droits de vote ou d’autres participations, « directes ou indirectes ». La détention indirecte est calculée en multipliant les participations à travers chaque chaîne et en additionnant les résultats. L’article 22, paragraphe 7, impose la vérification des bénéficiaires effectifs et, en outre, la consultation des registres centraux des bénéficiaires effectifs.

Lorsque personne ne remplit les conditions requises après avoir épuisé tous les moyens, l'article 22(2) stipule que vous devez consigner qu'aucun bénéficiaire effectif n'a été identifié, puis identifier et vérifier tous les hauts responsables de la direction.

Rafraîchir les plafonds

L’article 26(2) précise que la fréquence de mise à jour des informations client dépend du niveau de risque et ne doit pas excéder un an pour les clients à haut risque soumis à une vigilance renforcée, et cinq ans pour tous les autres. L’article 26(3) ajoute des éléments déclencheurs : un changement de situation du client ou la prise de connaissance d’un fait pertinent.

Où AMLA 's CDD Les normes sont-elles maintenues ?

AMLA consulté sur le projet de normes techniques réglementaires ( RTS ) sur CDD Du 9 février 2026 au 8 mai 2026 (s’ouvre dans un nouvel onglet) , sur la base d'un projet publié par l'Autorité bancaire européenne le 30 octobre 2025. La page de consultation indique : « Les résultats suivront. » La page relative aux instruments réglementaires (s’ouvre dans un nouvel onglet) mentionnait encore… CDD RTS La consultation a été clôturée le 4 septembre 2026. Veuillez revérifier les deux informations avant de vous fier aux détails ci-dessous.

Le document de consultation (s’ouvre dans un nouvel onglet) est particulièrement important pour les entreprises qui procèdent à l'intégration à distance. Le projet d'article 7 stipule que, pour la vérification sans contact physique, les entreprises doivent utiliser l'identification électronique eIDAS avec un niveau de sécurité élevé. Ce n'est que lorsque cette identification « n'est pas disponible ou ne peut raisonnablement être obtenue » qu'elles peuvent recourir à une solution à distance, laquelle doit impérativement inclure des garanties telles que :

• contrôles permettant de s'assurer que la personne présentant le document est bien celle qui figure sur la photo ;

• images, vidéos et données capturées dans un format lisible avec une qualité suffisante pour reconnaître la personne sans ambiguïté ;

• interrompre le processus en cas de problèmes techniques ou de doutes sur l'identité ;

• Des copies sont conservées, horodatées et archivées afin de pouvoir être consultées après l'événement.

Le projet prévoit également que les entreprises pourront justifier auprès de leur autorité de contrôle pourquoi un client n'a pas pu être vérifié par identité électronique. Par ailleurs, le considérant 25 du projet stipule que les périodes de renouvellement d'un et cinq ans ne devraient commencer pour les clients existants qu'à compter de la date d'entrée en vigueur du règlement délégué, ce qui, s'il est adopté, étalera la première vague de renouvellement au lieu de fixer l'échéance pour l'ensemble du portefeuille en juillet 2027.

Considérez tout cela comme un brouillon jusqu'à ce que AMLA elle soumet une version finale et la Commission l'adopte.

Que devez-vous faire avant juillet 2027 ?

Comblez les lacunes que le règlement crée, quelle que soit la manière dont RTS Cela se termine. Une séquence pratique :

1. Cartographiez vos champs de données conformément à l'article 22, paragraphe 1. Prenez un fichier client individuel et un fichier entreprise et indiquez si chaque élément requis est détenu, déductible ou manquant. Les nationalités et numéros d'identification nationaux manquants constituent les lacunes les plus fréquentes.

2. Définissez votre procédure de vérification pour chaque canal. Si vous vous implantez sur des marchés où l'identité électronique eIDAS est largement répandue, prévoyez comment vous l'accepterez. Si vous utilisez des documents et des selfies, expliquez pourquoi l'identité électronique n'est pas disponible pour cette population, conformément à la version préliminaire. RTS attend cette justification.

3. Vérifiez que votre flux de travail à distance est conforme aux mesures de protection proposées. Pouvez-vous prouver que le visage correspond au document ou à un enregistrement officiel ? La capture vidéo est-elle en direct et suffisamment nette pour permettre l’identification de la personne ? Conservez-vous des preuves horodatées que vous pouvez visionner pour un superviseur ?

4. Recalculez la propriété effective pour les structures complexes. Multipliez par chaque chaîne et additionnez les résultats. Une personne détenant 60 % d'une société qui détient elle-même 40 % de votre client possède une participation indirecte de 24 %, calculée uniquement sur cette chaîne. Si cette même personne détient également 5 % directement, le total est de 29 % et elle est considérée comme propriétaire effectif.

5. Décrivez votre procédure en cas d'absence de bénéficiaire effectif. Consignez la constatation, puis identifiez et vérifiez les principaux dirigeants.

6. Créez un calendrier de mise à jour. Attribuez à chaque client une cote de risque et une date de prochain examen qui ne dépasse jamais 1 ou 5 ans, ainsi que des déclencheurs d'événements pour les changements dont vous avez connaissance.

Exemple concret pour l'étape 6 : un établissement de paiement comptant 40 000 clients, dont 2 000 présentent un risque élevé, a besoin d'un processus permettant de mettre à jour ces informations au moins une fois par an. Si le processus actuel consiste en une campagne d'e-mailing manuelle, c'est cette lacune qu'il faut combler en priorité.

Comment Toden aide avec les parties qu'il couvre

La vérification d'entreprise identifie les administrateurs, actionnaires et bénéficiaires effectifs auprès des registres du commerce, les compare à la liste fournie par le demandeur et signale les personnes figurant dans le registre mais non déclarées par le demandeur. Le seuil de participation est configurable et est fixé par défaut à 25 % hors du Nigéria, conformément à l'article 52. Les actionnaires personnes morales ne sont jamais considérés comme des bénéficiaires effectifs ; le demandeur effectue lui-même la vérification d'identité et est comparé aux dirigeants désignés. Le suivi de la participation dans le registre des actionnaires personnes morales (consultation directe) est optionnel et désactivé par défaut ; il convient donc de vérifier comment vous gérerez les participations indirectes. Consultez la documentation relative aux personnes clés (s’ouvre dans un nouvel onglet) .

Pour les particuliers, la vérification d'identité combine la capture de documents, un selfie avec confirmation de présence et, sur les marchés concernés, une vérification auprès des autorités compétentes. Le contrôle d'identité est effectué lors de l'inscription et de nouveau selon un calendrier basé sur les risques. Nous ne décrivons pas actuellement la prise en charge de l'identification électronique eIDAS ; les entreprises souhaitant se conformer à l'article 22, paragraphe 6, point b), doivent donc prévoir cette solution séparément.

La règle de décision

Construisez dès maintenant en vous basant sur le texte du règlement, car il est définitif et directement applicable à compter du 10 juillet 2027. Conservez une liste restreinte de RTS -les choix dépendants (mesures de sécurité pour la vérification à distance, dates de début de mise à jour pour les clients existants) et les réexaminer lorsque AMLA L'UE publie sa version finale. Les États membres ont également jusqu'au 10 juillet 2027 pour transposer la directive (UE) 2024/1640 d'accompagnement, conformément à son article 78. (s’ouvre dans un nouvel onglet) Il convient donc de suivre les recommandations de votre autorité de contrôle nationale en parallèle des textes européens.