Procédure KYC : définition, étapes et obligations en France

Points clés à retenir

La procédure KYC représente un pilier fondamental de la conformité réglementaire en France. Voici ce que vous devez savoir avant d’aller plus loin :

• La procédure KYC (« Know Your Customer ») constitue une obligation légale en France depuis les années 1990, visant à lutter contre le blanchiment d’argent et le financement du terrorisme
• Le processus KYC repose sur trois piliers : la collecte des informations clients, la vérification d’identité et la mise à jour continue des données (personnes physiques et morales)
• Le cadre légal combine les directives européennes (4e, 5e, 6e AMLD), le Code monétaire et financier (articles L561-1 et suivants) et le RGPD
• Les risques en cas de manquement sont considérables : amendes pouvant dépasser 5 millions d’euros, sanctions pénales, atteinte grave à la réputation
• La digitalisation (vidéo-identification, signature électronique, IA) est devenue centrale pour un KYC rapide, sécurisé et conforme aux exigences actuelles

Qu’est-ce que la procédure KYC ?

Le KYC, ou « Know Your Customer » (traduit en français par « Connaissance du client »), désigne l’ensemble des mesures permettant aux entreprises de vérifier l’identité et l’intégrité de leurs clients. Cette démarche s’impose comme un prérequis incontournable dans de nombreux secteurs d’activité.

• La procédure KYC englobe l’ensemble des mesures de connaissance client imposées aux banques, assurances, fintech, experts-comptables, commissaires aux comptes, notaires et autres organismes réglementés
• Le KYC consiste à identifier et vérifier l’identité du client, de ses représentants légaux et de ses bénéficiaires effectifs avant et pendant toute relation d’affaires
• L’objectif principal est de prévenir le blanchiment de capitaux, le financement du terrorisme, la fraude fiscale et la corruption
• La procédure s’applique aux personnes physiques (particuliers, dirigeants) et aux personnes morales (sociétés, associations, fondations)
• Plusieurs acronymes gravitent autour du KYC : CDD (Customer Due Diligence) pour la vigilance client, EDD (Enhanced Due Diligence) pour la diligence renforcée, et KYB (Know Your Business) pour la vérification des entreprises partenaires

Cadre légal et réglementaire du KYC en France

Le kyc, ou know your customer, s’inscrit dans un cadre réglementaire à trois niveaux : international, européen et national. Comprendre cette architecture est essentiel pour assurer une conformité totale.

Au niveau international, les recommandations du GAFI (Groupe d’Action Financière) constituent le socle depuis 1989. Ces recommandations imposent des obligations de vigilance et de déclaration de soupçon auprès des cellules de renseignement financier nationales. En France, cette mission revient à Tracfin, le service de renseignement rattaché au ministère de l’Économie.

Au niveau européen, plusieurs directives anti-blanchiment (AML) se sont succédé :

• 3AMLD (2005) : premières bases harmonisées
• 4AMLD (2015) : renforcement des obligations
• 5AMLD (2018) : extension aux crypto-actifs et agents immobiliers
• 6AMLD (2018) : durcissement des sanctions pénales

La 5e directive (UE 2018/843), transposée en France par l’ordonnance du 12 février 2020, a considérablement élargi le périmètre des entités assujetties. Les prestataires de services sur actifs numériques (PSAN) et les agents immobiliers sont désormais pleinement concernés.

Côté français, les règles sont codifiées dans le Code monétaire et financier, articles L561-1 à L561-50 et R561-1 et suivants. Les contrôles sont assurés par l’ACPR (Autorité de Contrôle Prudentiel et de Résolution), l’AMF (Autorité des Marchés Financiers), l’Ordre des experts-comptables et la CNCC (Compagnie Nationale des Commissaires aux Comptes).

Le RGPD (règlement 2016/679) et la loi Informatique et Libertés encadrent strictement le traitement et la conservation des données KYC : finalité déterminée, minimisation des données collectées et durée de conservation limitée.

Le règlement eIDAS (UE n°910/2014) autorise l’utilisation de l’identification électronique, de la signature électronique avancée ou qualifiée, et de la vidéo-identification certifiée dans le processus KYC.

Qui est concerné par la procédure KYC ?

La procédure KYC est obligatoire pour tous les organismes listés à l’article L561-2 du Code monétaire et financier. Cette liste s’est considérablement élargie au fil des années.

Acteurs financiers :

• Établissements de crédit (banques traditionnelles, banques en ligne)
• Établissements de paiement et de monnaie électronique
• Compagnies d’assurance-vie
• Sociétés de gestion de portefeuille
• Plateformes de crowdfunding
• Prestataires de services sur actifs numériques (PSAN)

Professionnels du chiffre et du droit :

• Experts-comptables et commissaires aux comptes
• Notaires et avocats (dans certaines opérations)
• Administrateurs et mandataires judiciaires
• Huissiers de justice

Secteurs soumis pour certains montants ou opérations :

• Agents immobiliers (transactions immobilières)
• Commerçants de métaux précieux ou bijoux
• Négociants en œuvres d’art et antiquités
• Opérateurs de jeux en ligne et casinos

De nombreuses entreprises non directement assujetties mettent en place un KYC volontaire pour se protéger des risques d’intégrité. Cette pratique est particulièrement répandue dans les chaînes d’approvisionnement internationales où les partenaires commerciaux représentent un enjeu de sécurité majeur.

Quand déclencher et mettre à jour la procédure KYC ?

Le timing du KYC est un élément critique. Déclencher les vérifications au bon moment permet d’éviter les risques tout en optimisant l’expérience client.

Déclenchement initial :

• Avant l’entrée en relation d’affaires : ouverture de compte bancaire, signature d’un contrat d’assurance-vie, mandat d’expertise comptable, première transaction importante
• Au-delà de certains seuils réglementaires : opérations en espèces ou virements supérieurs à 10 000 €, transactions immobilières significatives, achats de métaux précieux de forte valeur

Surveillance continue et mise à jour :

• Révision périodique des dossiers clients : tous les 1 à 3 ans pour les clients à haut risque, tous les 3 à 5 ans pour les clients à risque standard
• Toute modification majeure doit déclencher une revue KYC : changement de bénéficiaire effectif, rachat par une holding étrangère, nouvelle activité à risque, pays à haut risque, changement de résidence fiscale

Surveillance des transactions :

• Détection d’opérations inhabituelles en temps réel
• Multiplication de virements internationaux vers des pays sensibles
• Fractionnement de paiements pour rester sous les seuils déclaratifs
• Évolution soudaine du profil transactionnel sans justification économique

Étapes de la procédure KYC : du premier contact à la surveillance continue

Le processus kyc se décompose en quatre grandes phases qui forment un cycle continu. Chaque étape nécessite une approche méthodique et documentée.

• Phase 1 : Identification du client et collecte des informations
• Phase 2 : Vérification des documents et des données
• Phase 3 : Évaluation du risque et due diligence
• Phase 4 : Surveillance continue et mise à jour

La mise en place de procédures internes écrites est indispensable : manuels KYC, matrices de risques, workflows validés par la fonction conformité. Chaque étape doit laisser une « trace d’audit » datée, horodatée et archivée pendant au moins 5 ans après la fin de la relation.

La profondeur des contrôles dépend du niveau de risque attribué : vigilance simplifiée, normale ou renforcée.

Étape 1 : identification du client et collecte des informations

La première étape consiste à rassembler toutes les informations nécessaires à l’identification du client. Les données requises varient selon qu’il s’agit d’une personne physique ou morale.

Pour une personne physique :

• Nom, prénom, date et lieu de naissance
• Nationalité et adresse complète
• Statut fiscal et profession
• Source principale de revenus
• Copie d’une pièce d’identité officielle en cours de validité

Pour une personne morale :

• Raison sociale et forme juridique (SARL, SAS, SA, association loi 1901, etc.)
• Numéro SIREN/SIRET et code NAF
• Adresse du siège social
• Extrait K-bis de moins de 3 mois
• Statuts mis à jour

L’identification des bénéficiaires effectifs est obligatoire : toute personne physique détenant directement ou indirectement plus de 25 % du capital ou des droits de vote doit être déclarée. Les représentants légaux font également l’objet d’une identification systématique.

La collecte peut se faire physiquement (en agence, cabinet) ou à distance via un formulaire en ligne sécurisé. Dans tous les cas, les obligations d’information RGPD doivent être respectées : notice de confidentialité, bases légales du traitement et durées de conservation.

Étape 2 : vérification des documents et des données clients

Une fois les informations collectées, la vérification constitue l’étape critique pour s’assurer de leur authenticité.

Justificatifs couramment demandés :

• Carte nationale d’identité française ou passeport UE
• Titre de séjour valide pour les ressortissants hors UE
• Permis de conduire (pour certains usages limités)
• Justificatif de domicile récent (facture d’énergie, avis d’imposition)
• Relevé d’identité bancaire (RIB)
• Extrait K-bis pour les entreprises

Méthodes de vérification :

• Contrôle de la validité : date d’expiration, intégrité visuelle du document
• Vérification de la cohérence des données : adresse, orthographe, date de naissance
• Consultation de bases officielles : RNIPP (Répertoire National d’Identification des Personnes Physiques), registre du commerce, registre des bénéficiaires effectifs

Solutions technologiques :

• OCR (reconnaissance optique de caractères) pour extraire les données automatiquement
• Détection de faux documents par analyse algorithmique
• Vérification biométrique : reconnaissance faciale, contrôle de « liveness »
• Signature électronique avancée ou qualifiée

Le traitement des personnes politiquement exposées (PPE) nécessite un filtrage spécifique via des listes dédiées. Le screening contre les listes de sanctions internationales (ONU, UE, OFAC) est également obligatoire pour lutter contre la criminalité financière.

Étape 3 : évaluation du risque et due diligence

L’approche par les risques constitue le cœur de la réglementation LCB-FT. Chaque client se voit attribuer un profil de risque qui détermine le niveau de vigilance à appliquer.

Facteurs d’évaluation du risque :

• Facteurs liés au client : activité professionnelle, pays d’origine, structure de propriété
• Facteurs liés aux produits : compte courant (risque faible), assurance-vie (risque moyen), crypto-actifs (risque élevé)
• Facteurs comportementaux : volume et fréquence des transactions, cohérence avec l’activité déclarée

Trois niveaux de vigilance :

La customer due diligence renforcée implique des contrôles supplémentaires : demande d’informations sur l’origine des fonds, justification de la finalité économique des opérations, validation par un niveau hiérarchique supérieur ou la compliance.

L’évaluation doit être documentée (grille de scoring, justification écrite) et réexaminée régulièrement ou à l’apparition de signaux d’alerte.

Étape 4 : surveillance continue et mise à jour du dossier

Le KYC ne s’arrête pas à l’entrée en relation. La surveillance continue garantit que le profil client reste cohérent dans le temps.

Surveillance automatisée des transactions :

• Paramétrage de scénarios d’alerte dans les outils de monitoring
• Détection des montants inhabituels ou des flux récurrents vers des pays listés
• Identification des opérations fractionnées visant à contourner les seuils déclaratifs

Mise à jour régulière des dossiers :

• Relance pour obtenir un nouveau justificatif d’identité ou d’adresse à l’expiration
• Mise à jour de l’actionnariat en cas de modification
• Vérification annuelle de la qualité de bénéficiaire effectif

Toute opération ou comportement suspect doit donner lieu à une analyse renforcée. Le cas échéant, une déclaration de soupçon doit être transmise à Tracfin dans les meilleurs délais.

La conservation des données KYC est limitée dans le temps : en général 5 ans après la fin de la relation d’affaires, conformément au Code monétaire et financier et au RGPD.

Personnes politiquement exposées (PPE) et cas à risque élevé

Les PPE représentent une catégorie de clients nécessitant une attention particulière dans le cadre du KYC. Leur exposition potentielle à la corruption justifie des mesures de vigilance renforcée.

Définition des PPE :

• Personnes occupant ou ayant occupé récemment (généralement dans les 12 derniers mois) des fonctions publiques importantes
• Proches et associés : famille directe, partenaires d’affaires connus

Exemples de fonctions concernées :

• Chefs d’État et de gouvernement
• Ministres et secrétaires d’État
• Parlementaires nationaux ou européens
• Hauts magistrats (Cour de cassation, Conseil d’État, Cour des comptes)
• Membres des organes de direction de banques centrales
• Dirigeants d’entreprises publiques

Risques spécifiques : Les PPE présentent un risque accru de corruption, détournement de fonds publics et blanchiment de capitaux. Cette exposition justifie une vigilance renforcée systématique.

Mesures KYC spécifiques aux PPE :

• Identification systématique du statut PPE via des bases de données spécialisées
• Validation de l’entrée en relation par un cadre dirigeant
• Collecte d’informations détaillées sur l’origine du patrimoine et des fonds
• Surveillance plus fréquente des transactions
• Documentation renforcée de toutes les décisions

Les institutions utilisent des bases de données spécialisées et des solutions tierces pour détecter et suivre les PPE à l’échelle du monde entier.

Digitalisation du KYC : vers des procédures 100 % en ligne

La digitalisation transforme profondément les procédures KYC. L’intégration de nouvelles technologies permet d’accélérer les processus tout en renforçant la sécurité.

Parcours client digital typique :

1. Création de compte sur une application mobile ou un site web
2. Saisie des données personnelles via formulaire sécurisé
3. Prise de photo du document d’identité (carte d’identité, passeport, titre de séjour)
4. Selfie vidéo ou session de vidéo-identification avec un opérateur
5. Signature électronique du contrat ou des conditions générales

Bénéfices pour l’entreprise :

• Réduction drastique des délais d’onboarding : quelques minutes au lieu de plusieurs jours
• Diminution des erreurs manuelles grâce à l’automatisation
• Meilleure traçabilité et auditabilité de l’ensemble du processus
• Capacité de traitement de volumes importants sans multiplier les ressources

Avantages pour le client :

• Processus accessible 24/7 depuis n’importe quel appareil
• Moins de déplacements en agence
• Expérience utilisateur fluide et moderne
• Réponse rapide sur l’acceptation du dossier

Exigences de sécurité :

• Chiffrement des données en transit et au repos
• Hébergement sur des serveurs certifiés
• Contrôle d’accès strict basé sur les rôles
• Journalisation détaillée de toutes les actions

L’utilisation de l’IA et du machine learning permet de détecter plus rapidement les documents falsifiés, d’identifier les comportements suspects et d’adapter dynamiquement le niveau de vigilance. Grâce à ces technologies, les entreprises peuvent traiter des milliers de vérifications quotidiennes tout en maintenant un niveau de contrôle élevé.

Sanctions et risques en cas de non-respect de la procédure KYC

Le non-respect des obligations de vigilance expose les entreprises à des sanctions sévères. Comprendre ces risques permet de mesurer l’importance d’une procédure KYC robuste.

Sanctions administratives :

• Amendes prononcées par l’ACPR ou l’AMF
• Montants pouvant dépasser 5 millions d’euros pour les cas graves
• Blâmes et avertissements publics
• Retrait partiel ou total de l’agrément

Sanctions pénales :

• Jusqu’à 5 ans d’emprisonnement pour blanchiment simple
• Amende de 375 000 € pour les personnes physiques
• Sanctions aggravées en cas de blanchiment en bande organisée ou récidive
• Responsabilité pénale des dirigeants

Impact réputationnel :

• Retrait de licence bancaire ou financière
• Interdiction temporaire d’exercer certaines activités
• Perte de confiance des clients et partenaires
• Couverture médiatique négative durable

Des banques internationales ont été condamnées à des amendes de plusieurs centaines de millions, voire milliards d’euros, pour manquements graves au KYC et à la lutte contre le blanchiment de capitaux.

Des manquements répétés peuvent déclencher des audits renforcés, des plans de remédiation imposés par les autorités et une surveillance accrue sur plusieurs années.

Comment optimiser et sécuriser votre procédure KYC ?

Voici des conseils pratiques pour renforcer votre dispositif KYC et garantir une conformité durable.

Formaliser une politique KYC claire :

• Établir une cartographie des risques propre à votre activité
• Rédiger des procédures écrites validées par la direction
• Définir des seuils de déclenchement de la vigilance renforcée
• Documenter les modes opératoires pour les déclarations de soupçon

Désigner un responsable conformité :

• Nommer un référent LCB-FT même dans les petites structures
• Confier la veille réglementaire à un professionnel formé
• Assurer le contrôle interne et le reporting aux instances dirigeantes

Former régulièrement les équipes :

• Organiser des sessions de formation au moins une fois par an
• Sensibiliser aux risques de blanchiment et aux signaux d’alerte
• Présenter les nouveaux schémas de fraude identifiés sur le marché
• Tester les connaissances via des quiz ou mises en situation

Adopter des solutions technologiques :

• Investir dans des plateformes KYC/KYB intégrées
• Automatiser le screening sanctions et PPE
• Mettre en place un monitoring des transactions en temps réel
• Intégrer ces outils au système d’information existant

Réaliser des audits internes périodiques :

• Planifier des revues tous les 12 à 24 mois
• Tester l’efficacité du dispositif par échantillonnage
• Corriger les failles identifiées et documenter les actions correctrices
• Préparer les contrôles des autorités de tutelle

FAQ sur la procédure KYC

Comment se déroule concrètement un KYC pour une petite entreprise en 2025 ?

Pour une petite entreprise, le KYC suit un parcours simplifié mais rigoureux. L’entreprise transmet son extrait K-bis de moins de 3 mois, ses statuts à jour, les pièces d’identité des dirigeants et bénéficiaires effectifs, ainsi qu’un relevé d’identité bancaire. Un questionnaire sur l’activité, le chiffre d’affaires prévisionnel et les pays d’intervention complète le dossier. Si le risque est standard, la validation intervient généralement en quelques jours ouvrés.

Combien de temps l’entreprise peut-elle conserver les documents KYC de ses clients ?

La règle générale prévue par le Code monétaire et financier impose une conservation de 5 ans après la clôture de la relation d’affaires. Cette durée peut être ajustée en fonction des exigences du RGPD et des prescriptions légales spécifiques à certains secteurs. Au-delà de ce délai, les données doivent être supprimées ou anonymisées de manière irréversible.

Le client peut-il refuser de fournir certains documents KYC ?

Le client est libre de refuser de communiquer les documents demandés. Cependant, l’établissement a alors l’obligation de ne pas entrer en relation d’affaires avec lui. Si des éléments laissent supposer une tentative de blanchiment ou de contournement, la situation peut faire l’objet d’une déclaration de soupçon auprès de Tracfin, même en l’absence de relation formalisée.

Un auto-entrepreneur doit-il aussi passer par une procédure KYC ?

Oui, un auto-entrepreneur est soumis aux mêmes vérifications que les autres clients professionnels. En tant que personne physique exerçant une activité professionnelle, il doit fournir une pièce d’identité valide, un justificatif de domicile, un extrait d’inscription au répertoire des entreprises et parfois un justificatif d’activité. Le niveau de contrôle dépend ensuite du risque évalué par l’établissement.

Quels documents KYC sont généralement acceptés pour un client non-résident en France ?

Pour un client non-résident, les établissements demandent généralement un passeport en cours de validité, un justificatif de domicile récent à l’étranger (facture de services, relevé bancaire) et parfois un certificat de résidence fiscale. Selon le pays d’origine et le niveau de risque, des documents supplémentaires peuvent être exigés : attestation bancaire, justificatif de source de revenus ou certification par une autorité locale. Les pays figurant sur les listes de pays à haut risque font l’objet de contrôles renforcés.