KYC perpétuel

L’article 10(1), numéro 5 du Geldwäschegesetz impose la surveillance continue de la relation commerciale, transactions comprises, et l’actualisation des documents, données et informations recueillis à une fréquence adaptée au risque. Les mots déterminants sont continu et adapté au risque.

Cette disposition ne fixe aucun intervalle. Les orientations d’interprétation et d’application du GwG de la BaFin fondent les attentes sur le risque et non le calendrier, si bien qu’un établissement choisissant un cycle fixe doit le justifier, et qu’un passage aux mises à jour sur événement ne demande pas de dérogation. L’établissement applique la disposition plus directement qu’avec le cycle.

Un cycle de trois ans présente un défaut structurel: un client dont le risque change au quatrième mois est revu 32 mois plus tard, tandis qu’un client au risque inchangé consomme tout de même une revue complète. Les revues arrivent aussi en bloc, d’où des projets de remise en conformité KYC avec des contractuels plutôt qu’un processus.

Le client le remarque aussi. Une revue périodique demande des documents déjà détenus, car la demande vient du calendrier et non d’une lacune. Cet argument pratique finance le KYC perpétuel et explique pourquoi le premier résultat mesurable est généralement une baisse des sollicitations, plutôt qu’un changement de couverture du risque.

Quatre groupes de déclencheurs assurent l’essentiel du travail. Changements des données clients: nouvelle adresse, forme juridique, représentant habilité ou bénéficiaire effectif. Changements de relation: nouveau produit, nouveau pays dans les flux de paiement, restructuration plaçant une nouvelle société mère au-dessus du client.

Les déclencheurs comportementaux viennent du système de surveillance: volumes hors fourchette attendue pour l’objet déclaré, contrepartie dans une juridiction plus risquée, schéma signalé même après clôture de l’alerte. Les déclencheurs externes arrivent sans action du client: information médiatique défavorable, changement de sanctions ou de liste PPE, dépôt d’insolvabilité, actualisation d’un registre. La surveillance des transactions fournit le troisième groupe.

Le droit allemand fournit un déclencheur échappant au contrôle de l’établissement. L’article 23a du GwG oblige une entité constatant une divergence entre les informations sur les bénéficiaires effectifs du Transparenzregister et celles établies par sa propre vigilance à signaler cet écart à l’autorité du registre.

Pour un KYC perpétuel, la connexion est bidirectionnelle: le registre fournit des données au déclencheur, et la constatation de l’établissement crée sa propre obligation de signalement. Une conception consultant le registre seulement à l’entrée en relation manque les deux aspects. Le KYC en Allemagne couvre le registre et les obligations d’identification associées.

Le KYC perpétuel est un problème de données avant d’être un problème de conformité. L’établissement a besoin d’une vue unique du client dans ses produits et entités, car un changement enregistré dans un système doit atteindre la revue d’un autre. La structure de propriété doit être identifiée pour qu’un changement deux niveaux au-dessus du client apparaisse comme un changement de ce client.

La couche de données du KYC perpétuel exige aussi une traçabilité. Lorsqu’une mise à jour vient d’une source externe, l’établissement doit savoir quelle source a dit quoi et quand, car l’auditeur demandera ensuite pourquoi le dossier contient ces affirmations. Lorsque le rapprochement d’un client avec des données externes est automatisé, il devient lui-même un modèle soumis à validation, traité sur la validation des modèles.

La surveillance continue rencontre le principe de limitation des finalités. L’article 5 du RGPD impose de collecter les données personnelles pour des finalités déterminées, de les traiter de manière compatible et de les limiter à ce qui est adéquat, pertinent et nécessaire. La surveillance répondant au GwG a une base juridique; réutiliser ces données pour le marketing ou la tarification n’en hérite pas.

Deux conséquences de conception en découlent. Le périmètre du filtrage est documenté selon la finalité antiblanchiment, excluant de collecter tout ce qui existe sur un client parce que cela pourrait servir. La conservation suit les règles antiblanchiment et non la durée de vie du système, si bien qu’un processus perpétuel doit toujours effacer.

Le règlement (UE) 2024/1624, AMLR, s’applique dès le 10 juillet 2027 et harmonise les règles de vigilance client aujourd’hui nationales, avec des normes techniques de l’AMLA. L’obligation de surveillance continue ne disparaît pas; d’allemande, elle devient européenne, appliquée de la même façon dans chaque État membre.

Pour un établissement construisant son KYC perpétuel, la préparation utile consiste à séparer déclencheurs et logique de revue des références juridiques nationales, pour réorienter les règles sans reconstruire le processus. La page AMLA à Francfort présente l’autorité et celle du paquet antiblanchiment européen ses trois instruments.

Le KYC perpétuel est une vigilance client actualisée lors de changements plutôt que selon un cycle fixe. Les déclencheurs viennent des données clients, de la relation, des comportements signalés par la surveillance des transactions et de sources externes comme les registres, sanctions et informations médiatiques défavorables. En Allemagne, il applique la surveillance continue de l’article 10(1), numéro 5 du GwG, qui ne fixe aucun intervalle.

Non. Le GwG impose une surveillance continue et une actualisation adaptée au risque, sans nommer d’intervalle. Les cycles courants de trois et cinq ans relèvent d’une convention sectorielle et d’une lecture des pratiques fondées sur le risque, pas d’une exigence légale. Un établissement peut utiliser un cycle et doit alors justifier la durée retenue pour chaque classe de risque.

Non. La plupart des conceptions gardent une revue de sécurité à long intervalle pour les clients les moins risqués, car l’absence de déclencheur durant plusieurs années mérite confirmation, et un cycle plus court pour les relations à risque élevé en complément des actualisations sur événement. La revue en bloc des risques moyens, source des projets de remise en conformité, disparaît.

Le coût se déplace plus qu’il ne baisse. Les sollicitations clients et reconstructions manuelles de dossiers diminuent; intégration des données, abonnements externes et validation continue des rapprochements et notations augmentent. Le chiffre à suivre est la part des déclencheurs clos sans travail humain, car un ensemble envoyant tout à un analyste reproduit la revue périodique avec des étapes supplémentaires.