L'approche par les risques en LCB-FT : le principe qui structure toute la conformité anti-blanchiment

En bref : l'approche par les risques (ou risk-based approach) est le principe central de la lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). L'idée est simple : au lieu d'appliquer le même contrôle à tous vos clients, vous adaptez l'intensité de la vigilance au niveau de risque réel de chaque relation. Un client à faible risque passe vite, un client à risque élevé fait l'objet d'une vigilance renforcée. On distingue trois niveaux (faible, standard, élevé) évalués à partir de facteurs comme le type de client, le secteur, le pays, le canal ou le statut de personne politiquement exposée (PEP). Sous AML6, cette évaluation devient continue et chaque décision doit être documentée et justifiable devant le superviseur, et le superviseur lui-même contrôle en priorité la méthode qui a produit la décision, pas la décision isolée.

‍

L'approche par les risques, c'est quoi ?

‍

L'approche par les risques part d'un constat de bon sens : tous les clients ne présentent pas le même niveau de risque de blanchiment ou de fraude. Appliquer un contrôle identique à un salarié résident qui ouvre un compte courant et à une société offshore détenue via plusieurs holdings serait à la fois inefficace et coûteux.

‍

Le principe consiste donc à calibrer l'effort de conformité en fonction du risque. Concrètement, une entité assujettie doit :

‍

• Identifier les risques auxquels elle est exposée (par type de client, produit, canal, zone géographique).
• Évaluer le niveau de risque de chaque relation d'affaires.
• Appliquer des mesures de vigilance proportionnées à ce niveau.
• Documenter ses décisions pour pouvoir les justifier.

‍

C'est l'exact inverse d'une logique de case à cocher uniforme. L'approche par les risques est le fil conducteur de toute la réglementation LCB-FT, et AML6 en fait le socle des obligations harmonisées à l'échelle européenne.

‍

Les 3 niveaux de vigilance

‍

En pratique, l'évaluation débouche sur trois niveaux de vigilance, auxquels correspondent trois intensités de contrôle.

‍

Risque faible : vigilance simplifiée

‍

Quand le risque est objectivement bas, vous pouvez appliquer une vigilance simplifiée. Les contrôles restent réels mais allégés : vérification d'identité standard, moins de justificatifs demandés, réévaluation moins fréquente. C'est le cas typique d'un particulier résident, sans exposition politique, souscrivant un produit simple par un canal maîtrisé.

‍

L'objectif : fluidifier le parcours des bons clients sans créer de friction inutile.

‍

Risque standard : vigilance normale

‍

C'est le niveau par défaut, appliqué à la majorité des relations. La vigilance normale couvre l'identification et la vérification du client, la compréhension de la nature de la relation d'affaires et, pour les personnes morales, l'identification des bénéficiaires effectifs. Le suivi est régulier mais ne déclenche pas de mesures exceptionnelles.

‍

Risque élevé : vigilance renforcée (EDD)

‍

Lorsque plusieurs facteurs de risque se cumulent, vous devez déclencher une vigilance renforcée, aussi appelée EDD (Enhanced Due Diligence). Elle implique des contrôles supplémentaires : vérification approfondie de l'origine des fonds et du patrimoine, collecte de justificatifs additionnels, validation par un niveau hiérarchique supérieur et réévaluation plus fréquente. Les clients concernés sont notamment les PEP, les structures opaques ou les relations impliquant des juridictions à risque.

‍

Les facteurs de risque à évaluer

‍

Le niveau de vigilance ne se décide pas au hasard : il résulte de la combinaison de plusieurs facteurs de risque. Les principaux à intégrer dans votre classification des risques clients sont :

‍

• Le type de client : particulier, société, structure complexe, association, trust.
• Le secteur d'activité : certains secteurs (jeux, crypto-actifs, immobilier, négoce de biens de valeur) sont plus exposés.
• Le pays : résidence, nationalité, lieu d'activité et, surtout, exposition à des juridictions à risque (listes de pays sous surveillance ou non coopératifs).
• La nature et l'objet de la relation : montant, fréquence des opérations, cohérence avec le profil déclaré.
• Le canal de distribution : une entrée en relation entièrement à distance appelle une vigilance différente d'un face-à-face.
• Le statut PEP : les personnes politiquement exposées, leurs proches et associés relèvent systématiquement d'une vigilance renforcée.

‍

C'est le croisement de ces facteurs, et non un seul critère isolé, qui fixe le niveau de risque et donc l'intensité des contrôles. Un score de fraude et une vérification d'identité automatisés permettent de pondérer ces facteurs en temps réel et d'attribuer un niveau de risque cohérent dès l'entrée en relation.

‍

Ce qu'AML6 renforce

‍

L'approche par les risques n'est pas nouvelle, mais AML6 en durcit sensiblement les exigences opérationnelles.

‍

La vérification devient continue. Auparavant souvent perçue comme un contrôle ponctuel à l'entrée en relation, la vigilance devient un processus permanent. Le niveau de risque d'un client peut évoluer : un changement de bénéficiaire effectif, une nouvelle exposition politique ou une opération inhabituelle doit déclencher une réévaluation. Les clients à risque élevé sont réévalués plus souvent que les autres.

‍

Chaque décision doit être documentée et justifiable. Sous AML6, il ne suffit plus d'avoir appliqué la bonne mesure : il faut pouvoir prouver pourquoi vous avez classé un client à tel niveau et quels contrôles en ont découlé. Chaque décision doit être traçable et défendable devant le superviseur (l'AMLA au niveau européen et les autorités nationales). Une piste d'audit complète devient donc indispensable.

‍

En pratique, cela signifie que la classification des risques ne peut plus reposer sur des tableurs isolés ou des jugements non tracés. Elle doit s'appuyer sur des critères explicites, historisés et reproductibles.

‍

Où l'approche par les risques est écrite, précisément

‍

Le principe ne relève pas de la bonne pratique de place. Il est écrit, et à trois niveaux.

‍

Au niveau international. C'est la Recommandation 1 du GAFI, intitulée « Assessing risks and applying a risk-based approach ». Elle demande aux États d'identifier, d'évaluer et de comprendre leurs risques, puis d'appliquer des mesures proportionnées : renforcées en cas de risque élevé, simplifiées lorsque le risque est faible. Les entités assujetties doivent conduire le même exercice pour elles-mêmes.

‍

Au niveau européen. Le règlement AMLR, règlement (UE) 2024/1624 du 31 mai 2024, applicable à partir du 10 juillet 2027, en fait une architecture complète :

‍

• l'article 10 impose une évaluation des risques à l'échelle de l'entité ;
• l'article 20 fixe les mesures de vigilance à l'égard de la clientèle ;
• l'article 33 encadre la vigilance simplifiée ;
• l'article 34 définit le champ de la vigilance renforcée, développée jusqu'à l'article 46 ;
• l'article 42 traite spécifiquement des personnes politiquement exposées ;
• les articles 29 à 31 organisent l'identification des pays tiers à haut risque.

‍

Trois annexes fournissent la matière de l'évaluation : l'annexe I liste les variables de risque, l'annexe II les facteurs de risque moins élevé, l'annexe III les facteurs de risque plus élevé.

‍

Un point mérite d'être lu attentivement, parce qu'il est souvent mal repris : l'annexe III n'établit pas une liste de cas où la vigilance renforcée serait obligatoire. Les cas obligatoires sont ceux que désignent les articles 29, 30, 31 et 36 à 46. L'annexe III fournit les facteurs que l'entité doit prendre en compte, au minimum, dans son évaluation. Elle alimente le jugement, elle ne le remplace pas.

‍

Au niveau français. Le code monétaire et financier porte le même raisonnement depuis des années. L'article L. 561-4-1 impose d'identifier et d'évaluer les risques et d'établir une classification des risques. L'article L. 561-5 porte l'identification et la vérification avant l'entrée en relation, l'article L. 561-6 une vigilance constante pendant toute la relation, l'article L. 561-9 la vigilance simplifiée en cas de risque faible, l'article L. 561-10 les mesures complémentaires (client non physiquement présent, personne politiquement exposée, lien avec un pays listé) et l'article L. 561-10-1 la vigilance renforcée lorsque le risque paraît élevé.

‍

L'approche par les risques s'applique aussi au superviseur

‍

Point moins connu, et pourtant décisif pour anticiper un contrôle : la directive AMLD6, directive (UE) 2024/1640, soumet les autorités de supervision à la même logique. Son article 40, intitulé « surveillance fondée sur les risques », prévoit que la fréquence et l'intensité des contrôles reflètent le profil de risque des entités, que les superviseurs établissent des programmes de surveillance annuels, et qu'ils examinent les évaluations de risques sur lesquelles les entités fondent leurs décisions.

‍

La conséquence pratique est directe. Ce que le superviseur regarde en premier, ce n'est pas la décision prise sur un client donné, c'est la méthode qui a produit cette décision. Une classification des risques cohérente et documentée pèse plus lourd qu'un dossier parfait sur un client et vide sur les autres.

‍

S'y ajoute un nouvel acteur. L'Autorité de lutte contre le blanchiment de capitaux et le financement du terrorisme, l'AMLA, instituée par le règlement (UE) 2024/1620, a son siège à Francfort-sur-le-Main et a démarré ses activités le 1er juillet 2025. Elle exercera une supervision directe sur un ensemble d'entités, au moins 40, sélectionnées précisément sur leur profil de risque, à partir de 2028.

‍

Le piège des listes de pays

‍

Un détail opérationnel coûte plus cher qu'il n'en a l'air. Le facteur géographique repose en partie sur la liste européenne des pays tiers à haut risque, fixée par un règlement délégué de la Commission, le règlement (UE) 2016/1675, régulièrement modifié. À partir du 10 juillet 2027, le mécanisme bascule sur les articles 29 à 31 de l'AMLR.

‍

Cette liste change plusieurs fois par an : des pays y entrent, d'autres en sortent. Un contrôle qui s'appuie sur une copie figée de la liste produit donc mécaniquement deux erreurs. Il manque les pays ajoutés depuis, et il sur-contrôle les pays retirés. Dans les deux cas, la décision n'est pas défendable.

‍

La bonne pratique tient en une phrase : la liste doit être lue à la date de la décision, et cette date doit être conservée avec la décision.

‍

Comment l'appliquer sans tout ralentir

‍

La crainte fréquente est qu'une conformité renforcée alourdisse l'expérience client. Bien calibrée, l'approche par les risques produit l'effet inverse : elle réduit la friction pour les bons clients tout en concentrant l'effort sur les cas réellement risqués.

‍

Quelques principes pour y parvenir :

‍

• Segmentez dès l'entrée en relation. Un scoring de risque dynamique oriente automatiquement chaque client vers le bon niveau de vigilance, sans traitement manuel systématique.
• Automatisez les cas simples. La grande majorité des clients à risque faible ou standard peut être traitée en quelques secondes, sans intervention humaine.
• Réservez l'effort humain aux cas à risque élevé. Vos équipes conformité se concentrent sur les dossiers qui le justifient réellement, où leur expertise a le plus de valeur.
• Intégrez le screening PEP et sanctions en continu, pour détecter tout changement de statut au fil de la relation.
• Gardez une piste d'audit complète afin que chaque décision soit documentée sans effort de saisie supplémentaire.

‍

C'est précisément ce que permet une plateforme comme Meelo : une décision de risque en 2 à 5 secondes, documentée et auditable, qui accélère les bons clients et réserve la vigilance renforcée à ceux qui en relèvent.

‍

En conclusion

‍

L'approche par les risques est le cœur de la LCB-FT : elle remplace un contrôle uniforme et coûteux par une vigilance proportionnée au risque réel de chaque client. Trois niveaux (faible, standard, élevé), une poignée de facteurs à croiser (type de client, secteur, pays, canal, PEP), et une exigence renforcée par AML6 : une vérification continue et des décisions documentées et justifiables devant le superviseur.

‍

Bien menée, elle n'est pas un frein mais un levier : elle fluidifie l'onboarding des bons clients et concentre les ressources là où le risque l'exige.

‍

FAQ

‍

Qu'est-ce que l'approche par les risques en anti-blanchiment ?

‍

C'est le principe selon lequel l'intensité de la vigilance doit être proportionnée au risque réel de chaque relation d'affaires, au lieu d'être identique pour tous les clients. Une entité assujettie identifie les risques auxquels elle est exposée, évalue le niveau de risque de chaque relation, applique des mesures proportionnées à ce niveau, et documente ses décisions pour pouvoir les justifier. Le principe est posé par la Recommandation 1 du GAFI et repris en droit français à l'article L. 561-4-1 du code monétaire et financier.

‍

Quels sont les 3 niveaux de vigilance en LCB-FT ?

‍

La vigilance simplifiée pour les relations à risque faible, la vigilance normale pour la majorité des relations, et la vigilance renforcée, ou EDD, pour les relations à risque élevé. Ces niveaux ne sont pas des cases choisies librement : ils découlent du croisement de facteurs de risque portant sur le client, le produit, le canal de distribution et la géographie.

‍

Quelle différence entre vigilance simplifiée et vigilance renforcée ?

‍

La vigilance simplifiée allège les contrôles sans les supprimer : vérification d'identité standard, moins de justificatifs, réévaluation moins fréquente. La vigilance renforcée ajoute des contrôles : vérification de l'origine des fonds et du patrimoine, justificatifs supplémentaires, validation par un niveau hiérarchique supérieur et réévaluation plus fréquente. Dans le règlement AMLR, la première relève de l'article 33 et la seconde des articles 34 et suivants.

‍

Quand la vigilance renforcée est-elle obligatoire ?

‍

Dans les cas que la réglementation désigne expressément, notamment les relations impliquant un pays tiers à haut risque et les personnes politiquement exposées. Il faut distinguer ces cas obligatoires des facteurs de risque plus élevé listés à l'annexe III du règlement AMLR : ces derniers doivent être pris en compte dans l'évaluation, mais ne déclenchent pas automatiquement une vigilance renforcée. En droit français, les mesures complémentaires relèvent de l'article L. 561-10 et la vigilance renforcée en cas de risque élevé de l'article L. 561-10-1.

‍

Les personnes politiquement exposées relèvent-elles automatiquement de la vigilance renforcée ?

‍

Oui, le statut de personne politiquement exposée déclenche des mesures spécifiques, qui s'étendent aux membres de la famille et aux personnes connues pour être étroitement associées. Le règlement AMLR y consacre les articles 42 à 46. La difficulté opérationnelle n'est pas la règle, elle est la détection : un client peut le devenir en cours de relation, ce qui suppose un screening continu et non un contrôle unique à l'entrée en relation.

‍

Que change AML6 pour l'approche par les risques ?

‍

Deux choses, surtout. La vigilance devient un processus continu plutôt qu'un contrôle ponctuel à l'entrée en relation, avec une réévaluation plus fréquente des clients à risque élevé. Et chaque décision doit être documentée et justifiable, parce que la directive AMLD6 impose aux superviseurs d'examiner les évaluations de risques elles-mêmes, et pas seulement leurs résultats. Le paquet s'applique à partir du 10 juillet 2027.

‍

Sources : GAFI, Recommandation 1, « Assessing risks and applying a risk-based approach », normes internationales adoptées en février 2012 et mises à jour depuis ; règlement (UE) 2024/1624 du 31 mai 2024 (AMLR), notamment articles 10, 20, 29 à 31, 33, 34 et 42 à 46 et annexes I, II et III, applicable à partir du 10 juillet 2027 ; directive (UE) 2024/1640 du 31 mai 2024 (AMLD6), notamment article 40 sur la surveillance fondée sur les risques, à transposer pour le 10 juillet 2027 ; règlement (UE) 2024/1620 du 31 mai 2024 instituant l'AMLA ; règlement délégué (UE) 2016/1675 de la Commission du 14 juillet 2016 fixant la liste des pays tiers à haut risque, dans sa version modifiée applicable à la date de consultation ; code monétaire et financier, articles L. 561-4-1, L. 561-5, L. 561-6, L. 561-9, L. 561-10, L. 561-10-1 et L. 561-10-2 ; AMF, position-recommandation DOC-2019-15, lignes directrices sur l'approche par les risques, du 29 novembre 2019, modifiée le 18 janvier 2021 ; ACPR, lignes directrices relatives à l'identification, la vérification de l'identité et la connaissance de la clientèle, du 16 décembre 2021, et annexe sur les personnes politiquement exposées du 5 juillet 2024.