AML et KYC : définition, différences et obligations LCB-FT

En France, le cadre de référence est la LCB-FT : la lutte contre le blanchiment de capitaux et le financement du terrorisme. C'est le terme employé par le code monétaire et financier, par l'ACPR, par l'AMF et par TRACFIN. Les sigles anglais AML et KYC désignent les mêmes réalités, sous un vocabulaire différent.

• LCB-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme) : le dispositif réglementaire français, organisé aux articles L. 561-1 et suivants du code monétaire et financier.
• AML (Anti-Money Laundering) : l'équivalent anglais de la LCB, employé dans les contextes internationaux et dans les recommandations du GAFI.
• KYC (Know Your Customer), ou connaissance du client : les processus d'identification du client, de vérification de son identité et de connaissance de la relation d'affaires. En droit français, ces obligations correspondent notamment aux articles L. 561-5, L. 561-5-1 et L. 561-6.

Le KYC n'est donc pas une alternative à la LCB-FT : il en constitue l'une des composantes opérationnelles. Un dispositif LCB-FT complet englobe le KYC, mais va au-delà.

Quelle est la différence entre l'AML et le KYC ?

La confusion est fréquente, y compris dans les équipes conformité. La distinction est pourtant simple : le KYC est un processus, la LCB-FT (AML) est un cadre.

Autrement dit : on ne « fait pas du KYC au lieu de la LCB-FT ». Le KYC alimente le dispositif LCB-FT en données fiables et documentées, sur lesquelles reposent ensuite la classification des risques, le screening et, le cas échéant, la déclaration de soupçon.

Qu'englobe un dispositif LCB-FT ?

• une classification des risques élaborée et tenue à jour (article L. 561-4-1) ;
• des obligations de vigilance à l'égard de la clientèle, modulées selon le risque : allégée (L. 561-9), standard ou renforcée (L. 561-10) ;
• le screening des mesures restrictives, des listes de gel des avoirs et des bases PPE ;
• la détection et l'analyse des opérations atypiques ;
• la déclaration de soupçon à TRACFIN (article L. 561-15) ;
• la conservation des documents et pistes d'audit ;
• une organisation interne : procédures, désignation des responsables, contrôle interne et formation des équipes.

La déclaration de soupçon à TRACFIN

TRACFIN est la cellule de renseignement financier française. Les entités assujetties déclarent à TRACFIN les sommes et opérations dont elles savent, soupçonnent ou ont de bonnes raisons de soupçonner qu'elles proviennent d'une infraction ou sont liées au financement du terrorisme (article L. 561-15 du code monétaire et financier).

Point souvent mal compris : le champ de l'obligation déclarative ne se limite pas au blanchiment. Il couvre l'ensemble des infractions punies d'une peine privative de liberté supérieure à un an, la fraude fiscale, ainsi que le financement du terrorisme.

Le Conseil d'État s'est prononcé le 23 janvier 2025 sur la portée de cette obligation, à la suite d'interprétations divergentes parmi les professionnels assujettis. La déclaration de soupçon ne suppose ni preuve ni certitude : le soupçon suffit. Elle est confidentielle et son existence ne peut être révélée à la personne concernée.

Enjeux et conséquences d'un dispositif insuffisant

Les entités assujetties énumérées à l'article L. 561-2 du code monétaire et financier couvrent un périmètre large : établissements de crédit, sociétés de financement, entreprises d'assurance, prestataires de services de paiement, prestataires de services sur actifs numériques, professions juridiques et du chiffre, agents immobiliers, entre autres.

Un dispositif insuffisant expose à quatre catégories de conséquences :

• sanctions disciplinaires et pécuniaires prononcées par l'autorité de contrôle compétente — ACPR, AMF ou autre selon le secteur ;
• risque pénal, notamment en cas de manquement caractérisé ;
• atteinte à la réputation, les décisions de sanction étant publiques ;
• perte de confiance des partenaires, correspondants bancaires et clients.

Les exigences réglementaires se renforcent continuellement, en particulier au niveau européen avec le paquet législatif adopté en 2024.

Bonnes pratiques et automatisation du dispositif

Le KYC n'est pas seulement une obligation réglementaire : c'est un processus structurant de gestion du risque. Son objectif opérationnel est d'établir une compréhension fiable et documentée du client, de ses activités et de son environnement économique, afin de détecter les incohérences et les signaux faibles.

Cinq pratiques différencient un dispositif robuste :

• appliquer une véritable approche par les risques, plutôt qu'un contrôle uniforme appliqué à toutes les relations ;
• centraliser les données clients, pour éviter les silos entre onboarding, conformité et métiers ;
• automatiser la vérification et le screening, en conservant une revue humaine des alertes ;
• documenter chaque étape de manière à reconstituer une piste d'audit complète ;
• former régulièrement les équipes, la formation faisant partie des obligations d'organisation interne.

L'automatisation présente un intérêt particulier dans un contexte de volumes croissants et de complexité réglementaire : elle réduit les erreurs de saisie, accélère les processus d'onboarding, améliore la détection des risques et libère du temps d'analyse pour les dossiers réellement sensibles. Elle ne dispense toutefois pas de l'appréciation humaine : la qualification d'une alerte et la décision de déclarer un soupçon relèvent de la responsabilité de l'entité assujettie.

Des solutions spécialisées comme Nexis Diligence+™ permettent de consolider la collecte d'informations, le screening et la surveillance continue des risques au sein d'un même environnement.

Pourquoi automatiser les processus AML/KYC ?

L’automatisation permet de :

• gagner en efficacité opérationnelle
• réduire les erreurs humaines
• améliorer la détection des risques
• accélérer les processus d’onboarding client

Elle est particulièrement pertinente dans un contexte de volumes de données croissants et de complexité réglementaire.