KYC et KYB sous AML6 : ce qui change à l'onboarding

En bref : AML6 (le paquet AML 2024, porté par le règlement AMLR) harmonise dans toute l'Union européenne les obligations de connaissance du client (KYC) et de connaissance de l'entreprise (KYB). Son application est fixée au 10 juillet 2027. Concrètement, l'onboarding ne se résume plus à un contrôle d'identité à l'entrée en relation : il devient un dispositif continu, fondé sur les risques, qui remonte jusqu'aux bénéficiaires effectifs et laisse une piste d'audit complète. Pour tenir cette exigence sans faire fuir les clients, l'automatisation devient incontournable.

‍

Ce que KYC et KYB veulent dire

‍

Le KYC (Know Your Customer) désigne l'ensemble des obligations de connaissance et de vérification d'un client personne physique : identifier la personne, vérifier son identité à partir de sources fiables et comprendre la nature de la relation d'affaires.

‍

Le KYB (Know Your Business) applique la même logique à un client personne morale : identifier l'entreprise, vérifier son existence légale et sa situation, puis remonter jusqu'aux personnes physiques qui la contrôlent réellement.

‍

Sous AML6, ces deux volets ne sont plus des cases à cocher à l'ouverture d'un compte. Ils forment un socle de vigilance que l'entité assujettie doit entretenir pendant toute la durée de la relation. Pour aller plus loin, consultez notre guide complet du KYC et notre guide complet du KYB.

‍

Ce qu'AML6 renforce

‍

Le règlement AMLR précise et durcit les obligations de vigilance. Quatre exigences structurent le nouvel onboarding.

‍

Identité du client

‍

L'identification et la vérification de l'identité restent le point de départ. AML6 attend des sources fiables et indépendantes, une couverture homogène dans tous les États membres et une qualité de preuve documentée. Le contrôle d'identité doit résister à la fraude documentaire comme à l'usurpation.

‍

Bénéficiaires effectifs

‍

C'est l'un des points les plus exigeants du KYB. L'entité doit identifier les bénéficiaires effectifs, c'est-à-dire les personnes physiques qui détiennent ou contrôlent l'entreprise, au seuil de 25 % ou plus de détention. Il faut remonter la chaîne de détention jusqu'aux personnes physiques finales, y compris lorsque des sociétés holding s'intercalent. Les registres nationaux interconnectés (système BORIS) facilitent ce travail de recoupement à l'échelle européenne. Notre article sur AML6 détaille le cadre d'ensemble.

‍

Vérification continue

‍

Le changement le plus profond est le passage d'un contrôle ponctuel à une vérification continue. Il ne suffit plus de vérifier un client à l'entrée en relation : les informations doivent être mises à jour selon le niveau de risque, tout au long de la relation. Un changement d'actionnariat, une nouvelle adresse, une entrée sur une liste de sanctions ou une évolution d'activité doivent déclencher une réévaluation.

‍

Traçabilité

‍

AML6 impose une documentation rigoureuse et une piste d'audit exploitable. Chaque décision de vigilance doit pouvoir être justifiée : quelles données ont été collectées, quelles vérifications ont été menées, sur quels critères la relation a été acceptée, refusée ou surveillée. C'est cette traçabilité que les autorités, dont la future AMLA, examineront en cas de contrôle.

‍

L'approche par les risques

‍

AML6 confirme et renforce l'approche par les risques. Toutes les relations d'affaires ne se valent pas : le niveau de vigilance doit être proportionné au risque que représente chaque client.

Une vigilance renforcée s'applique notamment aux clients à risque élevé, aux personnes politiquement exposées (PEP) et à leurs proches, ainsi qu'aux relations impliquant des pays à risque. À l'inverse, un client à faible risque peut faire l'objet de mesures simplifiées, ce qui évite d'alourdir inutilement le parcours.

‍

Le bon dosage suppose un scoring de risque capable de classer les dossiers en temps réel, de déclencher les contrôles supplémentaires seulement quand ils sont nécessaires et de tracer la logique de décision.

‍

Le défi : conformité sans friction

‍

L'enjeu opérationnel est clair : concilier conformité et expérience client. Multiplier les justificatifs et les étapes de contrôle protège sur le papier, mais fait chuter les taux de conversion. Un onboarding trop lourd conduit à l'abandon, en particulier chez les clients légitimes, ceux que l'on veut précisément retenir.

‍

La réponse n'est pas de contrôler moins, mais de contrôler mieux : demander le bon justificatif, au bon moment, au bon client. C'est exactement ce que permet l'approche par les risques lorsqu'elle est automatisée plutôt que manuelle.

‍

Comment industrialiser

‍

À l'échelle, un traitement manuel ne tient pas : ni les délais, ni la constance des décisions, ni la traçabilité exigée par AML6. L'automatisation est la seule réponse à l'échelle. Quelques principes pour industrialiser l'onboarding :

• Vérifier l'identité automatiquement, avec détection de fraude documentaire et contrôle de cohérence des données.
• Automatiser le KYB : vérification de l'existence légale, situation de l'entreprise et remontée des bénéficiaires effectifs via les registres, jusqu'aux personnes physiques. Le score de confiance entreprise et dirigeant (KYB) synthétise ces signaux en une décision.
• Screener en continu les listes de sanctions et les statuts PEP, avec réévaluation automatique au fil de la relation.
• Appliquer un scoring de risque dynamique qui module la vigilance dossier par dossier.
• Conserver une piste d'audit complète, horodatée et exploitable, prête pour un contrôle de l'AMLA.

Un dispositif ainsi outillé rend une décision en quelques secondes, tout en documentant chaque étape.

‍

En conclusion

‍

AML6 transforme le KYC et le KYB en un dispositif continu, fondé sur les risques et pleinement traçable, avec une remontée systématique jusqu'aux bénéficiaires effectifs. L'échéance du 10 juillet 2027 laisse peu de marge pour repenser des processus encore manuels. Les entités qui prendront de l'avance sont celles qui auront industrialisé leur onboarding : conformité robuste, friction maîtrisée et audit toujours prêt.

‍

Sources : paquet AML 2024 de l'Union européenne (règlement AMLR / AML6), règlement instituant l'AMLA, dispositions relatives aux registres de bénéficiaires effectifs interconnectés (BORIS).

‍