Customer due diligence : obligations KYC

Le customer due diligence (CDD) est le processus d'identification et d'évaluation des clients que toute entreprise soumise aux règles anti-blanchiment doit appliquer. Il est obligatoire pour toutes les institutions financières. Il couvre la vérification de l'identité, l'évaluation du profil de risque, la compréhension de l'origine des fonds et la surveillance continue des relations d'affaires. Cet article détaille vos obligations, les contrôles concrets à mettre en place et les conséquences d'un dispositif défaillant.

Résumé rapide des obligations de Customer Due Diligence (CDD)

Le customer due diligence CDD désigne l'ensemble des mesures de vigilance à l'égard de la clientèle qu'une organisation doit appliquer pour identifier ses clients, vérifier leur identité, comprendre la finalité de la relation d'affaires et surveiller les transactions dans le temps. Le CDD aide à prévenir le blanchiment d'argent et le financement du terrorisme.

• La diligence raisonnable à l'égard de la clientèle est obligatoire pour les institutions financières de l'UE depuis la 3e directive anti-blanchiment (2005/60/CE). La 4e, la 5e et la 6e directives ont renforcé ces obligations, notamment sur les bénéficiaires effectifs, les crypto-actifs et les sanctions pénales.

• Les quatre piliers du processus CDD sont : identification du client, vérification avec des sources fiables, compréhension de la relation d'affaires (nature, objet, flux attendus), et surveillance continue.

• Les amendes pour non-conformité CDD ont atteint 6,6 milliards de dollars en 2023 au niveau mondial, en hausse de 57 % par rapport à 2022. En octobre 2024, la FCA a infligé une amende de 28,96 millions de livres à Starling Bank pour des défaillances de son dispositif de criblage des sanctions et pour avoir ouvert plus de 54 000 comptes à 49 000 clients à haut risque en dépit d'une restriction imposée par le régulateur.

• Si vous êtes analyste M&A, investisseur ou fondateur, vous devez vérifier le dispositif CDD d'une cible ou d'un partenaire dès la phase de due diligence. Un programme de conformité défaillant affecte directement la valorisation, la structuration et le risque réglementaire d'une transaction.

Définition du Customer Due Diligence et lien avec KYC

La diligence raisonnable des clients est le processus d'identification et d'évaluation des clients. Plus précisément, le customer due diligence regroupe l'ensemble des contrôles pour connaître et vérifier l'identité du client, son profil de risque, l'origine des fonds et le but de la relation, dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). La diligence raisonnable est essentielle pour la conformité réglementaire.

• Le know your customer (KYC) est le principe global de connaissance du client. Le customer due diligence est sa mise en œuvre opérationnelle standardisée. KYC définit le « pourquoi ». La CDD détaille le « comment » : les procédures, les documents, les outils, les seuils de risque.

• La vigilance à l'égard de la clientèle ne se limite pas à l'ouverture de compte. Elle s'applique tout au long de la relation d'affaires, y compris lors de transactions ponctuelles significatives ou de changements dans le profil du client.

• Le customer due diligence s'applique aussi à des clients non bancaires. Assureurs, fintech, plateformes de crypto-actifs, notaires, agents immobiliers, casinos, organisations de crédit : tous sont concernés par les obligations de connaissance client et de vigilance.

• Le CDD est requis par les lois sur la lutte contre le blanchiment d'argent dans toutes les juridictions alignées sur les standards du GAFI.

Cadre réglementaire : UE, France, FinCEN et GAFI

Le cadre réglementaire et les exigences doivent être définis pour la mise en œuvre de la diligence raisonnable. Voici les principaux textes et institutions qui structurent les obligations de customer due diligence.

• Le Groupe d'action financière (GAFI / FATF) fixe les standards mondiaux. Sa Recommandation 10 définit la vigilance à l'égard de la clientèle et le processus CDD fondé sur les risques : identification, vérification, compréhension de la relation, surveillance continue.

• Les directives européennes anti-blanchiment ont structuré les obligations pour les états membres. La 3AMLD (2005/60/CE) a posé les bases. La 4AMLD (2015/849) a introduit l'approche par les risques, les registres UBO et les lignes directrices de diligence simplifiée. La 5AMLD (2018/843) a étendu le périmètre aux crypto-actifs. La 6AMLD (2018/1673) a renforcé les sanctions pénales. Le Règlement (UE) 2024/1624 s'appliquera à partir du 10 juillet 2027 avec des règles uniformes sur les bénéficiaires effectifs.

• En France, le Code monétaire et financier (articles L.561-2 et suivants) impose les mesures de vigilance et la surveillance continue de la relation d'affaires. L'ensemble des personnes assujetties (banques, assureurs, agents, notaires, plateformes) y sont listées.

• Aux États-Unis, la règle CDD de FinCEN, dont la date de mise en conformité était le 11 mai 2018, impose quatre exigences : identification et vérification de l'identité du client, identification des bénéficiaires effectifs des entités juridiques, compréhension de la nature et de l'objet de la relation pour développer un profil de risque, et surveillance continue.

• De 2020 à 2023, les autorités (ACPR, FCA, FinCEN) ont multiplié les sanctions liées à des défaillances KYC et customer due diligence CDD. C'est devenu un point central de toute analyse de conformité, y compris lors des due diligence transactionnelles.

Les trois niveaux de diligence raisonnable client (SDD, CDD, EDD)

L'approche fondée sur les risques (Risk-Based Approach) impose de calibrer le niveau de vigilance en fonction du profil du client. Il existe trois types de diligence.

• La due diligence simplifiée (SDD) s'applique aux clients à faible risque. Exemples : organismes publics de l'UE, certaines institutions financières déjà régulées dans des juridictions équivalentes. La diligence raisonnable simplifiée a des exigences allégées : documentation réduite, fréquence de mise à jour espacée, utilisation possible de registres publics sans vérification complémentaire.

• Le CDD standard s'applique aux clients à risque normal. C'est le niveau de base pour la majorité des clients particuliers et PME. La diligence raisonnable standard exige une vérification complète des données : identité, adresse, activité, source des fonds, bénéficiaires effectifs pour les entités juridiques, profil de risque documenté à l'ouverture de la relation.

• Les clients à haut risque nécessitent une diligence renforcée (Enhanced Due Diligence, EDD). Les clients PEP (personnes politiquement exposées) nécessitent une diligence raisonnable renforcée. Elle s'applique aussi aux juridictions à haut risque listées par le GAFI, aux secteurs sensibles (crypto non régulée, jeux d'argent à distance), et aux structures de propriété opaques. L'EDD implique un approfondissement de la source des fonds, des revues plus fréquentes, une approbation senior et une intervention manuelle. Le CDD permet d'identifier les clients à haut risque et de leur appliquer le niveau de vigilance approprié.

• Le choix entre due diligence simplifiée, standard ou renforcée doit être formellement documenté dans les politiques internes et justifié par l'évaluation des risques.

• Conservez une trace écrite de la justification du niveau retenu. En cas d'audit ou de contrôle ACPR / AMF, cette documentation est la première chose examinée.

Étapes clefs du processus CDD dans la relation d'affaires

Le processus CDD suit quatre grandes étapes. Le CDD implique l'identification et la vérification des clients à chaque phase.

• (1) Identification du client : collecte des informations et données de base. Pour un particulier : nom complet, date et lieu de naissance, adresse, nationalité, activité professionnelle, source de revenus. Pour une personne morale : raison sociale, numéro d'immatriculation, siège social, organes de direction, structure actionnariale.

• (2) Vérification avec des sources fiables et indépendantes : pièce d'identité officielle, justificatifs de domicile, extraits de registres pour les entreprises, consultation du registre des bénéficiaires effectifs. Les solutions de vérification d'identité garantissent la conformité réglementaire lorsqu'elles sont intégrées correctement.

• (3) Évaluation et classification du risque : scoring initial selon le type de client, le pays d'origine, le secteur d'activité, les produits utilisés, les canaux de transactions. Le résultat détermine le niveau de vigilance (SDD, CDD, EDD).

• (4) Surveillance continue et mise à jour : contrôle des transactions par rapport au profil attendu, détection de signaux faibles, revues périodiques, déclencheurs de mise à jour.

• Les entreprises doivent identifier les bénéficiaires effectifs pour une meilleure diligence raisonnable. L'identification du bénéficiaire effectif (UBO) détenant plus de 25 % du capital ou du contrôle est obligatoire, conformément aux directives européennes.

• Exemple concret : une fintech B2C en 2024 automatise la collecte KYC (pièce d'identité, selfie), valide via des prestataires tiers, applique un scoring de risque initial basé sur le pays et le volume transactionnel, puis intègre les alertes sanctions/PEP dans un outil de surveillance des transactions.

Surveillance continue et mise à jour des dossiers CDD

Le processus CDD ne s'arrête jamais pendant la relation d'affaires. Il est crucial de suivre en continu les activités des clients après la mise en place de la diligence raisonnable. La diligence raisonnable doit être intégrée aux opérations quotidiennes des entreprises.

• Surveillance continue : contrôle des transactions par rapport au profil attendu. Un changement brutal de montants, de pays de contrepartie, de nombre de transactions ou de flux transfrontières doit déclencher une alerte et une revue.

• La diligence raisonnable nécessite des mises à jour régulières des informations client. Fréquence recommandée : tous les ans pour les clients à haut risque, tous les 2 à 3 ans pour les profils standard, et à chaque événement significatif (changement de structure de propriété, nouvelle juridiction à risque, volume inhabituel). Mettre à jour les dossiers est une obligation, pas une option.

• Conservation des documents et informations CDD : au minimum 5 ans après la fin de la relation d'affaires, en cohérence avec les pratiques LCB-FT et les exigences du Code monétaire et financier.

• L'utilisation d'outils de screening (sanctions, PEP, médias négatifs) intégrés, avec des alertes revues par des analystes humains, permet d'éviter les faux positifs tout en maintenant un environnement de contrôle efficace.

Contrôles concrets : documents, sources et vérifications

Voici les documents et sources à collecter, séparés par type de client.

Pour les particuliers :

• Pièce d'identité officielle : carte nationale d'identité, passeport, titre de séjour en cours de validité.

• Justificatif de domicile de moins de 3 mois : facture de services (eau, électricité, téléphone), avis d'imposition.

• Justificatif de revenus ou d'activité : bulletin de salaire, avis d'imposition, extrait de registre pour indépendants, relevés bancaires si nécessaire pour la source des fonds.

Pour les personnes morales :

• Extrait Kbis (France) ou équivalent étranger, daté de moins de 3 mois.

• Statuts à jour, pactes d'associés si pertinents.

• Registre des bénéficiaires effectifs, organigrammes pour les structures complexes.

• RIB, identité des dirigeants et des partenaires clés.

Sources externes :

• Registres de commerce, registres UBO nationaux.

• Listes de sanctions (UE, OFAC, ONU), bases PEP.

• Bases de presse, de contentieux et de médias négatifs.

Vérification à distance :

• Vidéo-identification, PVID certifiés ANSSI en France. La technologie doit être alignée avec les exigences des régulateurs. Les solutions IDP vérifient automatiquement les documents en quelques secondes, ce qui accélère l'ouverture de compte tout en maintenant la conformité.

Risques, sanctions et coûts en cas de non-conformité CDD

Le risque financier dépasse largement le coût d'un programme de CDD sérieux. Une mauvaise diligence raisonnable peut exposer à des risques financiers et réputationnels considérables.

• Sanctions administratives : en France, la commission des sanctions de l'ACPR peut prononcer une sanction pécuniaire allant jusqu'à 100 millions d'euros ou 10 % du chiffre d'affaires annuel net (article L.612-39 du Code monétaire et financier).

• Sanctions pénales : le blanchiment simple est puni de 5 ans d'emprisonnement et 375 000 euros d'amende (article 324-1 du code pénal), et le blanchiment aggravé de 10 ans et 750 000 euros (article 324-2).

• Sanctions disciplinaires : perte d'agrément, interdiction d'exercer, retrait de licence.

• Les amendes pour non-conformité aux règlements de CDD ont atteint 6,6 milliards de dollars en 2023 au niveau mondial. La même année, LexisNexis Risk Solutions estimait le coût mondial de la conformité à la criminalité financière pour les institutions financières à plus de 206 milliards de dollars. En mars 2026, la cellule de renseignement financier sud-coréenne a infligé à la plateforme Bithumb une amende de 36,8 milliards de wons (environ 25 millions de dollars) et une suspension partielle de six mois pour manquements aux obligations d'identification des clients (Korea Herald). Al Rayan Bank a reçu une amende de 4 millions de livres pour défaut de vérification de la source des fonds.

• Coûts cachés : gel d'opérations, perte de partenaires bancaires correspondants, dégradation de la notation du risque, atteinte durable à la réputation auprès des régulateurs et des investisseurs. La gestion de ces conséquences prend des années.

• Lors d'une due diligence M&A ou d'un investissement, exigez une vision claire des contrôles CDD existants, des rapports d'audit internes et des interactions récentes avec les autorités de supervision. C'est un signal d'alerte ou de confiance immédiat.

Digitalisation du processus CDD et automatisation intelligente

L'automatisation vise à réduire les délais et les erreurs tout en renforçant la conformité. L'automatisation accélère le processus d'intégration des clients et réduit les frictions à l'onboarding.

• Cas d'usage typiques : extraction automatique des données de documents (pièce d'identité, Kbis), pré-remplissage des dossiers clients, classification des pièces, détection de documents incomplets ou périmés. L'automatisation réduit les erreurs d'extraction de données de manière significative.

• Des workflows numériques standardisent le processus CDD, réduisent les différences entre équipes locales et facilitent les audits grâce à des pistes d'audit complètes et des journaux des décisions.

• L'analyse automatique détecte les anomalies et fraudes documentaires. Mais la règle « human-in-the-loop » reste indispensable : la machine prépare et filtre, les analystes CDD valident les cas complexes, surtout pour la due diligence renforcée (EDD).

• Il est important de contrôler les biais et les règles des moteurs de scoring, et de documenter les modèles d'évaluation du risque pour les régulateurs. Un modèle opaque n'est pas défendable en cas de plaintes ou d'audit.

Customer Due Diligence vu par un analyste M&A, un investisseur ou un fondateur

Le CDD n'est pas qu'un sujet de conformité interne. C'est un indicateur de maturité opérationnelle qui impacte directement le risque et le prix d'une transaction.

• Pour un analyste M&A ou un associé PE/VC, les questions clés lors de la revue d'une cible : existence de politiques CDD écrites et mises à jour, gouvernance conformité (qui valide, qui escalade), nombre de fausses alertes et taux de résolution, incidents déclarés aux autorités, enquêtes ou menaces réglementaires entre 2020 et 2026, volumes de plaintes clients liées aux contrôles.

• Pour un fondateur de fintech ou de plateforme de paiements, les attentes minimales des banques partenaires et régulateurs en matière de know your customer et de surveillance continue existent dès les premières années d'activité. Un dispositif KYC/AML improvisé bloque l'accès aux partenaires bancaires et aux investisseurs de série A.

• Vérifiez le dimensionnement des équipes conformité, la qualité des solutions (screening, case management), et l'intégration entre CRM, core banking/core platform et outils AML. Un secteur où la technologie est absente ou obsolète multiplie les risques.

• Comprendre la maturité CDD d'une entreprise aide à ajuster le prix, le timing et la structuration d'une transaction : conditions suspensives de remédiation, covenants de conformité, mise en place de programmes de mise à jour post-closing. C'est un levier direct de négociation.

Comment FieldSignal peut vous aider sur le sujet CDD et KYC

FieldSignal n'est pas un fournisseur de KYC. C'est une source d'intelligence qualitative sur la réalité des processus CDD chez vos cibles ou partenaires.

• Vous pouvez utiliser FieldSignal pour organiser des entretiens confidentiels avec d'anciens employés conformité, responsables KYC, auditeurs internes ou consultants ayant travaillé chez la cible. L'objectif : comprendre comment la vigilance à l'égard de la clientèle est réellement appliquée, au-delà des documents de politique interne.

• Des études rapides (quelques entretiens ciblés) permettent de vérifier : temps moyen d'onboarding, pression commerciale sur les équipes CDD, qualité perçue des outils, cas récents de blocages clients ou d'alertes régulateur. Ces informations ne figurent dans aucun data room.

• Le modèle FieldSignal est à l'utilisation, sans engagement annuel ni minimum d'achat, avec les honoraires d'experts refacturés sans marge. Chaque projet fait l'objet d'un devis avant démarrage. Notre processus : sélection et vérification des experts avant chaque mission, engagements de confidentialité signés, exclusion des sujets couverts par un NDA, et un contrôle documenté par mission.

• La diligence raisonnable contribue à la prise de meilleures décisions commerciales. Les enseignements CDD obtenus grâce à FieldSignal vous donnent un avantage concret pour ajuster vos décisions d'investissement, de partenariat ou de lancement produit.

Conclusion et prochaine étape

• Le customer due diligence CDD est au cœur des obligations KYC et AML. Il repose sur une approche par les risques, des contrôles documentés et une surveillance continue.

• Intégrez l'évaluation des dispositifs CDD dans toutes vos analyses : investissement, acquisition, partenariat, ouverture d'un nouveau compte ou lancement d'un nouveau produit financier. La lecture des politiques ne suffit pas. Ce qui compte, c'est la réalité opérationnelle.

• Pour obtenir de l'intelligence de terrain sur la façon dont une cible ou un concurrent gère réellement son CDD, contactez FieldSignal. Quelques entretiens ciblés suffisent à identifier les menaces cachées ou à confirmer la solidité d'un dispositif.