Un nouveau client arrive, un contrat est prêt à être signé — et personne, dans l'entreprise, ne sait vraiment si une vérification d'identité est obligatoire avant de démarrer. C'est une situation très courante : beaucoup de dirigeants de PME découvrent leurs obligations KYC au moment d'un contrôle, pas avant. Voici ce qu'il faut savoir pour ne pas être pris au dépourvu.
Qui est concerné par l'obligation de KYC ?
Le KYC (Know Your Customer) n'est pas une obligation générale qui s'applique à toutes les entreprises. Il découle du dispositif LCB-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme), encadré par l'article L.561-2 du Code monétaire et financier, qui liste les professions assujetties : établissements financiers, notaires, avocats dans certains actes, experts-comptables, agents immobiliers, prestataires de services sur crypto-actifs (PSAN), et plus largement toute entité fournissant des services aux sociétés au sens de cet article.
Une société de services classique (SaaS B2B, agence, cabinet de conseil non réglementé) n'est pas assujettie automatiquement : tout dépend de l'activité exercée, pas de la taille de l'entreprise ou du chiffre d'affaires. Si vous avez un doute sur votre propre assujettissement, la première étape est de vérifier si votre activité figure dans la liste de l'article L.561-2 ou dans les textes sectoriels qui s'y rattachent.
Ce qu'il faut vérifier avant d'entrer en relation d'affaires
Pour une entreprise assujettie, la vigilance client se décline en trois niveaux, à adapter au profil de risque du client :
- Vigilance simplifiée — pour les clients à risque faible identifié (ex. entité publique cotée). Identification allégée, sans vérification renforcée.
- Vigilance standard — le cas de base : identification du client et du bénéficiaire effectif, compréhension de l'objet de la relation d'affaires, suivi des opérations.
- Vigilance renforcée — obligatoire pour les Personnes Politiquement Exposées (PPE), les relations impliquant un pays à risque élevé selon les listes du GAFI, ou toute relation jugée à risque élevé. Elle implique des pièces complémentaires, une approbation hiérarchique et un suivi renforcé.
Pour une personne morale, l'identification ne s'arrête pas à la société elle-même : il faut aussi identifier le bénéficiaire effectif (UBO), c'est-à-dire toute personne physique détenant directement ou indirectement plus de 25 % du capital ou des droits de vote, ou exerçant un contrôle effectif sur la structure — même à travers plusieurs niveaux de filiales.
| Niveau de vigilance | Quand l'appliquer | Ce qui est exigé |
|---|---|---|
| Simplifiée | Risque faible identifié | Identification allégée |
| Standard | Cas général | Identité + bénéficiaire effectif + objet de la relation |
| Renforcée | PPE, pays à risque, relation à risque élevé | Pièces complémentaires + validation hiérarchique + suivi renforcé |
Conservation des documents et sanctions
Les documents d'identification et de vérification collectés lors du KYC doivent être conservés 5 ans après la fin de la relation d'affaires (article L.561-12 du Code monétaire et financier). Cette durée s'applique aussi aux informations relatives aux opérations, décomptée cette fois à partir de leur exécution. C'est une durée d'ordre public : elle ne peut être ni réduite par contrat, ni justifier à elle seule une conservation plus longue au titre de la seule LCB-FT.
En cas de manquement — absence de vérification, dossier incomplet, défaut de déclaration de soupçon à TRACFIN — les sanctions administratives peuvent atteindre plusieurs millions d'euros ou un pourcentage du chiffre d'affaires selon les textes applicables au secteur, avec dans les cas les plus graves des poursuites pénales possibles. Le montant exact et la procédure dépendent de l'autorité de contrôle compétente pour votre secteur (ACPR, AMF, DGCCRF, ordre professionnel…) : il est recommandé de vérifier ce point précis avec un professionnel du droit ou l'autorité concernée avant de bâtir sa cartographie des risques.
En résumé
Le KYC n'est obligatoire que pour les activités listées à l'article L.561-2 du Code monétaire et financier — vérifiez d'abord si vous êtes concerné. Si vous l'êtes, l'entrée en relation d'affaires suppose une identification adaptée au risque, l'identification du bénéficiaire effectif au-delà de 25 %, et une conservation des justificatifs pendant 5 ans. En cas de doute sur votre assujettissement ou sur les sanctions applicables à votre secteur, un avis juridique reste la référence la plus fiable.