AML/KYC pour les EMI et les établissements de paiement

Un établissement de monnaie électronique (EMI) ou un établissement de paiement se tient entre ses clients et le reste du système financier, et cette position emporte un devoir : savoir qui sont ses clients et tenir l'argent criminel à l'écart des flux qu'il exploite. L'AML — l'ensemble des contrôles qui empêchent une plateforme d'être utilisée pour blanchir de l'argent ou déplacer des fonds à des fins sanctionnées ou illicites — et le KYC — la vérification de l'identité d'un client au moment de son admission — sont la manière dont un établissement s'acquitte de ce devoir. Pour un EMI ou un établissement de paiement, ce ne sont pas des fonctionnalités ajoutées en marge d'un produit ; ce sont les conditions sous lesquelles l'établissement est autorisé à détenir des fonds de clientèle et à les déplacer.

Ces contrôles sont souvent classés parmi les coûts de conformité, mais pour un établissement de paiement ou de monnaie électronique ils tiennent davantage d'une condition d'exploitation que d'un frais général. Ils décident si l'établissement peut admettre un client, s'il peut satisfaire le régulateur qui l'examine, et si les banques et les schemes dont il dépend le maintiendront connecté. Un établissement qui ne peut pas vérifier l'identité de façon fiable, filtrer contre les listes pertinentes et surveiller un risque évolutif ne peut pas démontrer qu'il est un lieu sûr par où l'argent transite, quelle que soit la force de sa proposition commerciale.

Le sujet concerne chaque fonction de direction sous un angle propre. Pour une direction générale, l'AML et le KYC fixent l'équilibre entre admettre des clients sans heurt et admettre un risque que l'établissement ne peut porter. Pour une direction technique, ce sont des contrôles que la plateforme doit être construite pour soutenir — vérification d'identité, filtrage et surveillance câblés dans l'onboarding et dans le ledger, non ajoutés après coup. Pour une fonction conformité ou un MLRO, ce sont une discipline quotidienne et un corpus de preuves qui doit résister à l'examen. Cet article expose comment l'AML et le KYC s'insèrent dans un EMI ou un établissement de paiement au niveau du concept, du contrôle et du risque, et comment juger une plateforme à sa capacité à les soutenir — sans prescrire des seuils de filtrage ni une procédure de diligence.

Ce que signifient l'AML et le KYC pour un EMI ou un établissement de paiement

Le KYC et l'AML sont liés mais distincts. Le KYC est le travail consistant à établir, à l'onboarding, qu'un client est bien celui qu'il prétend être et à réunir assez d'éléments sur lui pour comprendre le risque qu'il représente. L'AML est le programme plus large — filtrage, surveillance, évaluation du risque et escalade des préoccupations — par lequel l'établissement empêche que sa plateforme serve au blanchiment ou au contournement de sanctions sur toute la durée de la relation. Le KYC est la porte ; l'AML est la discipline qui veille au-delà de la porte. Un établissement a besoin des deux et de leur articulation, car une vérification d'identité propre à l'onboarding ne dit rien de la manière dont un compte se comportera un an plus tard, et la surveillance ne vaut que ce que vaut l'identité à laquelle elle est rattachée.

Pour un EMI ou un établissement de paiement, la finalité de ces contrôles est précise : l'établissement tient des comptes et déplace de l'argent pour le compte d'autrui, ce qui en fait exactement le conduit que recherche l'argent criminel. Les contrôles existent pour que l'établissement puisse admettre une clientèle légitime, reconnaître ceux qu'il ne devrait pas admettre et remarquer quand un client légitime commence à se comporter d'une manière qui appelle l'attention. Rien de cela ne s'obtient par une seule vérification. Cela s'obtient par un ensemble de contrôles qui établissent l'identité, la testent contre les listes pertinentes et continuent d'éprouver la relation à mesure qu'elle évolue, chacun répondant à une question différente et aucun n'étant suffisant à lui seul.

Identité et onboarding au point d'entrée

L'onboarding est l'endroit où l'AML et le KYC rencontrent d'abord le client, et l'endroit où se décide une grande part du risque ultérieur. Vérifier une personne physique signifie confirmer qu'une personne réelle est présente, que l'identité qu'elle présente est authentique et que les deux vont ensemble — typiquement par un contrôle documentaire, un contrôle biométrique ou de liveness qui relie le document à la personne vivante, et des données corroborantes. Vérifier une entreprise est un exercice plus large : comprendre l'entité, qui se tient derrière elle et qui la contrôle en dernier ressort, afin que l'établissement n'admette pas une structure opaque dont il ne voit jamais le véritable propriétaire. La profondeur de ce travail devrait suivre le risque que représente le client plutôt qu'une routine unique et fixe appliquée à tous.

L'expérience d'onboarding porte aussi un poids commercial que les discussions AML et KYC négligent parfois. Chaque étape supplémentaire perd une proportion de candidats authentiques, de sorte qu'un établissement a un intérêt réel à une vérification à la fois rigoureuse et rapide plutôt que rigoureuse et lente. C'est là que l'automatisation gagne sa place : une vérification d'identité qui se résout dans le flux, combinant contrôles documentaire, biométrique et de données, admet les bons clients sans friction tout en établissant correctement l'identité. Grumpio aborde cela par un logiciel de vérification KYC qui renvoie un résultat automatisé à partir de contrôles documentaire, NFC, de liveness et de face matching, de sorte que l'onboarding reste rapide sans que l'établissement renonce à la rigueur dont dépend le contrôle.

Filtrage contre les sanctions, les PEP et les adverse media

Une fois un client identifié, l'établissement doit tester cette identité contre ce que l'on sait du risque dans le monde plus large. Le filtrage des sanctions vérifie si un client ou une contrepartie figure sur les listes qui rendent tout rapport avec lui interdit ou restreint ; ce n'est pas fondé sur les risques mais absolu, car une violation de sanctions est une violation quelle que soit l'intention. Le filtrage PEP établit si un client est une personne politiquement exposée, dont la position appelle une attention accrue plutôt qu'une exclusion. Le filtrage des adverse media fait remonter des informations négatives crédibles publiquement associées à un client, qui peuvent signaler un risque que les listes ne reflètent pas encore. Chacun répond à une question différente, et ensemble ils transforment une identité vérifiée en une identité évaluée.

Ce que le filtrage produit, ce sont des signaux, non des verdicts. Un nom correspondant à une entrée de sanctions peut être la partie sanctionnée ou une personne étrangère portant le même nom ; une correspondance PEP désigne un statut, non une faute ; un résultat d'adverse media rapporte une association, non un fait prouvé. La discipline consiste à résoudre ce que signifie une correspondance avant d'agir, et à le faire de façon constante et documentée. Regrouper ces contrôles dans un seul flux, plutôt que de mener l'identité dans un système et le filtrage dans un autre, permet à un établissement de voir un client dans son ensemble et de garder ses preuves en un seul endroit. Le logiciel de contrôle AML de Grumpio réunit le filtrage de personnes et d'entreprises, les contrôles sanctions, PEP et adverse media ainsi que le scoring de risque des wallets blockchain dans un flux unique avec accès API et panneau web et re-filtrage périodique ; les détails sont exposés sur legichain.com. Le filtrage établit ce que disent les listes et le domaine public ; l'établissement décide toujours de ce que signifie un signal.

L'approche fondée sur les risques

L'AML et le KYC dans un établissement de paiement ou de monnaie électronique sont régis par une approche fondée sur les risques plutôt qu'uniforme. Le principe est que les contrôles doivent être proportionnés au risque que représente un client, un produit ou une transaction : un client à faible risque utilisant un service à faible risque est vérifié et surveillé selon un standard plus léger qu'un client à haut risque, et la ressource se concentre là où le risque est le plus grand. Ce n'est pas une permission d'en faire moins ; c'est l'exigence d'en faire la juste mesure au bon endroit, et de pouvoir expliquer pourquoi un client donné a reçu le traitement qu'il a reçu. Un établissement appliquant le même processus lourd à tous gaspille des efforts et perd de bons clients ; un établissement appliquant le même processus léger à tous laisse ses pires risques sous-examinés.

Rendre réelle l'approche fondée sur les risques dépend de la capacité de l'établissement à attribuer et à consigner le risque, et à faire varier ses contrôles en conséquence. Cela signifie saisir les facteurs qui pèsent sur le risque d'un client, parvenir à une évaluation, et appliquer une diligence, une fréquence de filtrage et une intensité de surveillance qui en découlent — puis tenir un enregistrement de l'évaluation et du traitement afin que la logique puisse être montrée plus tard. Les facteurs, pondérations et seuils précis qu'un établissement utilise relèvent de sa propre méthodologie de risque et dépassent le cadre de cet article ; le rôle de la plateforme est de rendre une approche fondée sur les risques exploitable et attestable, plutôt que de forcer chaque client dans un chemin identique.

Surveillance continue et revue périodique

Une identité vérifiée à l'onboarding et un filtrage exécuté au premier jour décrivent un client à un instant unique. Le risque, lui, bouge. Un client peut apparaître sur une liste de sanctions après son admission, devenir une PEP par un changement de fonction, ou commencer à se comporter d'une manière qui ne correspond plus au profil sur lequel il a été onboardé. La surveillance continue et le re-filtrage périodique existent parce qu'un contrôle exécuté seulement au début se périme, et qu'un établissement qui ne regarde plus jamais ne peut prétendre connaître ses clients avec le temps. Re-filtrer contre des listes mises à jour, et revoir les clients à une cadence qui suit leur risque, est ce qui maintient la connaissance à jour plutôt que figée au point d'entrée.

La surveillance couvre deux choses liées : garder à jour les contrôles permanents, et observer comment un compte se comporte réellement. La première est le re-filtrage périodique — tester les clients existants contre des listes qui changent sans cesse, afin qu'une partie nouvellement sanctionnée soit saisie plutôt que manquée. La seconde est l'attention à une activité qui s'écarte de ce que le profil d'un client laisserait prévoir, et qui peut appeler une revue. Cet article n'expose pas comment concevoir les règles de surveillance des transactions ou les cadences de revue — ce sont des questions opérationnelles façonnées par l'appétit au risque d'un établissement — mais la plateforme doit rendre la surveillance continue et la revue périodique exploitables et attestables, car un programme AML qui s'arrête à l'onboarding n'est pas un programme AML.

L'AML et le KYC comme contrôle documenté

L'AML et le KYC ne sont pas seulement des activités ; ce sont des contrôles, et un contrôle qui ne peut être attesté offre peu d'assurance, si diligemment qu'il ait été exécuté. Il ne suffit pas qu'un établissement vérifie l'identité, filtre et surveille ; il doit pouvoir montrer qu'il l'a fait, pour qui, quand et avec quel résultat, et conserver cet enregistrement aussi longtemps que la relation et les règles l'exigent. La preuve est ce qui transforme un ensemble d'actions internes en quelque chose sur quoi un régulateur, un auditeur ou une banque partenaire peut se fier. Un établissement qui exécute des contrôles solides mais ne peut en produire l'enregistrement est, vu de l'extérieur, indiscernable d'un établissement qui ne les a pas exécutés du tout.

C'est pourquoi la manière dont une plateforme saisit et conserve les preuves AML et KYC compte autant que les contrôles eux-mêmes. Un résultat de vérification, une issue de filtrage, la résolution d'une correspondance, une évaluation de risque et une décision de surveillance doivent chacun être enregistrés sous une forme durable et récupérable, afin que l'établissement puisse reconstituer pourquoi un client a été admis et comment il a été traité ensuite. Un rapport de preuve structuré pour chaque contrôle, conservé et récupérable, fait partie de ce qui rend un programme AML examinable plutôt que simplement affirmé. Juger une plateforme EMI ou de paiement à sa capacité à soutenir l'AML et le KYC comme des contrôles documentés — et pas seulement à exécuter les contrôles — est l'un des tests les plus révélateurs qu'un opérateur puisse appliquer.

L'AML, le KYC et le cadre réglementaire

Pour un EMI ou un établissement de paiement, ces contrôles se situent à l'intérieur d'une attente réglementaire, non à côté d'elle. Au Royaume-Uni, les établissements de monnaie électronique et de paiement opèrent sous les réglementations relatives à la monnaie électronique et aux services de paiement ainsi que sous les règles de la FCA, et leurs obligations AML naissent des réglementations sur le blanchiment, qui exigent une diligence à l'égard de la clientèle, un filtrage des sanctions et des PEP, et une surveillance continue appliquée sur une base fondée sur les risques. L'enregistrement sous un régime n'est pas l'agrément sous un autre, et un établissement doit pouvoir démontrer ses contrôles AML et KYC à l'organe qui l'examine. La position de Grumpio ici est délibérément circonscrite. Nous ne fournissons pas d'avis juridiques et ne garantissons aucun agrément. Nous mettons en œuvre les exigences réglementaires et d'audit dans la technologie, l'infrastructure et l'exploitation.

Dans l'Union européenne, les établissements de monnaie électronique et de paiement opèrent dans le cadre établi des services de paiement et de la monnaie électronique, une réforme supplémentaire des services de paiement étant à venir plutôt que déjà en vigueur, de sorte qu'une plateforme devrait être bâtie autour des exigences actuelles tout en restant adaptable. Le cadre AML de l'UE se consolide également : une autorité AML dédiée est désormais opérationnelle et a repris les tâches de lutte contre le blanchiment au niveau de l'UE au début de 2026, avec un corpus de règles AML unique dont les principales dispositions s'appliquent à partir de mi-2027 et une supervision directe d'établissements sélectionnés attendue à partir de 2028. L'implication pratique n'est pas d'attendre mais de bâtir des contrôles qui satisfont déjà aux obligations actuelles et peuvent absorber un régime plus strict et harmonisé. La manière dont l'AML et le KYC s'inscrivent dans une posture plus large est développée dans les pages de préparation réglementaire, qui traitent la capacité à attester ces contrôles comme une composante de la préparation et non comme un rapport produit après coup.

Résumé et prochaines étapes

L'AML et le KYC sont la manière dont un EMI ou un établissement de paiement gagne le droit de détenir et de déplacer des fonds de clientèle : le KYC établit qui est un client, et l'AML empêche la plateforme d'être utilisée contre sa finalité sur la durée de la relation. Ils reposent sur une identité vérifiée correctement à l'onboarding, sur un filtrage contre les sources de sanctions, de PEP et d'adverse media, sur une approche fondée sur les risques qui met l'effort là où le risque est le plus grand, et sur une surveillance continue qui maintient la connaissance à jour. Comme contrôles, ils tirent leur valeur de la constance et de la preuve, et ils comptent parmi les signaux les plus clairs qu'un auditeur, un régulateur ou une banque partenaire lit de la qualité de gestion d'un établissement. Une plateforme se juge non seulement à sa capacité à exécuter les contrôles, mais à sa capacité à rendre l'AML et le KYC, et leur preuve, simples à exploiter. La position la plus forte est celle où un opérateur possède et comprend la plateforme dont dépendent ses contrôles, avec vérification d'identité et filtrage regroupés dans un flux qu'il peut attester à tout moment.