Comment mettre en place un programme LCB-FT dans son entreprise

Vous êtes assujetti aux obligations LCB-FT et vous devez mettre en place — ou renforcer — votre dispositif de conformité ? Cet article vous guide pas à pas dans la construction d'un programme opérationnel, adapté à la taille et à l'activité de votre organisation. Vous découvrirez comment structurer votre équipe, identifier vos risques, rédiger vos procédures, et mettre en place les contrôles requis par le Code monétaire et financier et par l'ACPR.

---

Étape 1 : Nommer un responsable LCB-FT et former une équipe dédiée

La première action concrète est de désigner un responsable LCB-FT au sein de votre organisation. Cette personne — souvent appelée « déclarant TRACFIN » ou « correspondant TRACFIN » — est le point de contact entre votre entreprise et les autorités.

Le responsable LCB-FT doit disposer d'un positionnement hiérarchique suffisant pour avoir accès à l'ensemble des informations nécessaires et pour escalader les alertes au niveau de la direction générale. Dans les grandes structures, cette fonction est généralement rattachée à la direction de la conformité. Dans les structures plus petites, elle peut être exercée par le dirigeant lui-même ou par un collaborateur disposant des compétences nécessaires.

L'article L.561-6 du Code monétaire et financier impose que ce responsable soit « doté des capacités et des pouvoirs nécessaires ». Cela signifie qu'il ou elle doit avoir un accès direct à la direction générale, un budget dédié, et une autonomie suffisante pour prendre des décisions sans crainte de représailles.

Son rôle comprend la supervision du dispositif LCB-FT, la centralisation et la transmission des déclarations de soupçon à TRACFIN, la veille réglementaire, la formation du personnel, et le dialogue avec les autorités de contrôle. Dans les organisations de plus de 50 collaborateurs, il est recommandé de créer une équipe de conformité à part entière : compliance officer, analyste LCB-FT dédié, et contact métier pour l'identification des clients.

Exemple concret (PME de 15 personnes) : Cabinet d'expertise-comptable. Le responsable LCB-FT est l'associé sénior disposant de 10 % de son temps. Un collaborateur senior est nommé correspondant pour l'identification et le suivi des dossiers clients. Budget annuel : environ 3 000 €.

Exemple concret (Entreprise de 200 personnes) : Société de financement. Une personne est dédiée à 100 % au rôle de compliance officer. Elle supervise deux analystes LCB-FT et travaille avec les responsables de chaque unité métier (crédit, affacturage, etc.). Budget annuel : environ 80 000 € (salaires + outils).

Étape 2 : Réaliser une cartographie des risques robuste et adaptée

La cartographie des risques est le fondement de l'approche par les risques. Elle consiste à identifier, évaluer et hiérarchiser les risques de blanchiment et de financement du terrorisme auxquels votre activité est exposée. L'article L.561-5 du Code monétaire et financier l'impose pour tous les assujettis.

L'exercice doit prendre en compte quatre dimensions principales. D'abord, les risques liés à la clientèle : quel est le profil de vos clients ? Comportent-ils des PPE, des clients de nationalité ou résidant dans des pays à risque, des structures juridiques complexes ? Ensuite, les risques liés aux produits et services : certains de vos produits sont-ils plus susceptibles d'être utilisés à des fins de blanchiment (produits en espèces, transferts internationaux, produits anonymes) ? Puis les risques liés aux canaux de distribution : l'entrée en relation se fait-elle en face-à-face ou à distance ? Enfin, les risques liés aux zones géographiques : exercez-vous dans des zones ou avec des contreparties situées dans des pays identifiés comme à risque ?

Exemple concret (Société de transfert de fonds) : risque élevé si vous acceptez des clients sans vérification en face-à-face, si vous couvrez l'Afrique de l'Ouest (zones à risque identifiées par FATF), et si vos transferts sont en espèces sans plafond. Risque moyen si vous avez des procédures d'identification strictes mais servez quelques pays sensibles. Risque faible si vous limitez vos services aux pays OCDE et vérifiez l'identité de tous les clients.

Exemple concret (Cabinet d'avocats) : risque élevé pour les clients personne morale (structures complexes, bénéficiaires effectifs difficiles à identifier), risque moyen pour les montages immobiliers internationaux, risque faible pour le contentieux domestique. La AMLR (due diligence obligations directive) renforce cette évaluation en ajoutant des exigences pour les trusts et patrimoine, élargissant la clientèle à risque des professionnels du droit.

La cartographie aboutit à une classification des risques (faible, moyen, élevé) qui déterminera l'intensité des mesures de vigilance à appliquer dans chaque situation. Elle doit être formalisée par écrit, documentée avec les hypothèses et données sources, et mise à jour régulièrement (au minimum une fois par an ou lors de tout changement significatif d'activité).

Erreur fréquente à éviter : une cartographie réalisée une seule fois par un consultant externe, puis abandonnée. L'ACPR s'attend à ce que vous mainteniez votre cartographie vivante et ajustiez vos mesures de vigilance en fonction de l'évolution de votre portefeuille clients et de la menace terroriste/blanchiment.

Étape 3 : Rédiger des procédures internes adaptées et proportionnées

Les procédures LCB-FT doivent être formalisées dans un document écrit — souvent appelé « politique LCB-FT » ou « manuel de procédures » — accessible à l'ensemble du personnel concerné. L'article L.561-6 du Code monétaire et financier exige une documentation claire et mise à jour.

Ce document doit couvrir les procédures d'identification et de vérification d'identité des clients (KYC), y compris les modalités spécifiques pour les personnes morales et l'identification des bénéficiaires effectifs. Il doit détailler la politique d'acceptation et de classification des clients, les procédures de vigilance constante et de suivi des opérations, les critères de détection des opérations atypiques ou suspectes, la procédure interne de remontée d'alerte et de déclaration de soupçon à TRACFIN, les règles de conservation des documents et des données, et les modalités de gel des avoirs lorsque applicable.

Les procédures doivent être proportionnées à la taille et à la complexité de votre organisation. Un cabinet d'expert-comptable de trois personnes n'a pas besoin du même niveau de formalisme qu'un établissement bancaire employant des milliers de collaborateurs.

Exemple concret (cabinet de 3 experts-comptables) : Un manuel de 15-20 pages couvrant : processus d'acceptation clients (vérification d'identité simple, absence de PPE), critères d'alerte (opérations anormales pour le profil métier), procédure de remontée aux autorités, conservation des dossiers. Les procédures peuvent être simples mais claires.

Exemple concret (banque de 500 personnes) : Un manuel structuré de 80-100 pages incluant : procédures détaillées par métier (crédit, épargne, services de paiement), matrice de vigilance renforcée par risque client, système de scoring automatisé, procédures d'escalade hiérarchique, gestion de la liste des PPE, gel des avoirs, et coopération avec les autorités. Chaque département métier doit avoir des guides spécifiques.

Effet du AMLR : La directive AMLR (2024) élargit les obligations LCB-FT à de nouveaux assujettis (agents de change, conseillers en immobilier, professionnels du luxe). Si vous n'aviez pas de procédures formelles, l'AMLR vous impose d'en rédiger maintenant, proportionnées à votre secteur d'activité.

Erreur fréquente à éviter : copier-coller un manuel générique du web sans adapter. L'ACPR reproche aux organisations d'avoir des procédures « génériques » déconnectées de la réalité opérationnelle. Vos procédures doivent refléter votre activité, vos risques identifiés, et votre cartographie.

Étape 4 : Mettre en place les outils de filtrage et de surveillance

Selon la nature et la taille de votre activité, vous aurez besoin d'outils plus ou moins sophistiqués pour assurer votre vigilance au quotidien.

Le filtrage des clients consiste à vérifier que vos clients, leurs dirigeants et bénéficiaires effectifs ne figurent pas sur les listes de sanctions (gels des avoirs, embargos), les listes de PPE et les listes de personnes recherchées. Ce filtrage doit être effectué à l'entrée en relation puis de manière régulière. Des solutions logicielles existent pour automatiser ce processus. Les sources incluent : les listes OFAC (États-Unis), les listes UNSC (Nations unies), les listes CNRLT (TRACFIN en France), et les listes nationales.

Le suivi des opérations vise à détecter les transactions inhabituelles ou incohérentes avec le profil du client. Pour les établissements financiers, cela implique des systèmes automatisés de détection d'anomalies. Pour les professions non financières, une vigilance humaine structurée — basée sur des critères d'alerte clairement définis — peut suffire.

Exemple concret (cabinet d'avocats) : Lors de la prise de mandat, filtrage manuel du client et des dirigeants contre les listes de PPE (en ligne gratuitement sur TRACFIN). Critères d'alerte : montage juridique complexe, client basé en zone offshore, besoin d'urgence ou discrétion inhabituels. En cas de doute, escalade vers le responsable LCB-FT.

Exemple concret (PME de services) : Intégration d'un logiciel de conformité léger (Sanction Scanner, Complyadvantage) qui filtre automatiquement les nouveaux clients contre les listes publiques. Coût : 100-500 € / mois selon le volume. Suivi des opérations par vigilance humaine lors du paiement.

Exemple concret (établissement bancaire) : Systèmes CTRM (Customer Transaction Risk Management) intégrés : filtrage à l'entrée, monitoring continu des transactions par seuils, scoring client, escalade automatique des anomalies. Coût : plusieurs centaines de milliers d'euros en développement interne ou licence logicielle.

Étape 5 : Concevoir et dispenser une formation continue de qualité

La formation est une obligation légale (article L.561-6 du Code monétaire et financier) et un facteur clé de réussite du dispositif. Tous les collaborateurs susceptibles d'être confrontés à des situations à risque doivent recevoir une formation adaptée à leur rôle. L'ACPR s'attend à ce que la formation ne soit pas une simple case à cocher, mais un véritable vecteur d'apprentissage.

La formation initiale doit être dispensée lors de l'arrivée de chaque nouveau collaborateur. Elle couvre les fondamentaux du blanchiment et du financement du terrorisme, les obligations légales de l'entreprise et du collaborateur, les procédures internes de détection et d'alerte, et les conséquences du non-respect de ces obligations.

Exemple concret (PME) : Formation initiale de 2-3 heures lors du recrutement. Contenu : les typologies de blanchiment courant dans votre secteur (ex : comptes fictifs pour sociétés de financement, montages immobiliers complexes pour notaires), obligations légales, procédures d'alerte, conséquences de la violation (sanctions pénales jusqu'à 5 ans d'emprisonnement et 1,5 M€ d'amende pour les personnes morales).

La formation continue, dispensée au moins une fois par an, assure la mise à jour des conséquences en fonction de l'évolution réglementaire et des nouvelles typologies de blanchiment. Elle peut prendre la forme de sessions présentielles, de modules e-learning, ou de cas pratiques. L'ACPR recommande de l'adapter au métier : les commerciaux n'ont pas besoin du même contenu que les back-office.

Exemple concret (équipe crédit) : Formation annuelle de 1-2 heures incluant : étude de cas réels (dossiers suspects révélés par TRACFIN), nouvelle jurisprudence, changements réglementaires (AMLR en 2024-2025 par exemple), typologies émergentes (financement participatif, crypto-actifs). Validation par quiz ou exercice pratique.

Erreur fréquente à éviter : formation déclarative et passive ("regardez cette vidéo générique et signez"). L'ACPR reproche les formations sans contenu métier, sans cas pratiques, et où la participation est purement administrative. Les formations doivent être engageantes et pertinentes pour le travail quotidien.

La traçabilité des formations (dates, contenus, participants, résultats des évaluations) doit être conservée pour pouvoir la présenter lors des contrôles. Une matrice de formation par rôle est recommandée.

Étape 6 : Mettre en place des contrôles internes robustes à trois niveaux

Le dispositif LCB-FT doit faire l'objet d'un contrôle régulier pour vérifier son efficacité et sa conformité réglementaire. L'article L.561-9 du Code monétaire et financier impose un système de contrôle interne « couvrant » les obligations LCB-FT.

Le contrôle permanent (de premier et deuxième niveau) est intégré aux processus opérationnels. Il vérifie au quotidien que les procédures sont respectées : complétude des dossiers clients, traitement des alertes, réalisation du filtrage. Exemples : superviseur vérifiant les dossiers KYC avant la validation du compte, responsable métier contrôlant les opérations atypiques signalées par le système.

Exemple concret (PME) : Contrôle permanent par le responsable LCB-FT chaque semaine : vérification des nouveaux dossiers clients (5 clients max), revue des alertes générées, contrôle des gels potentiels. Temps estimé : 3-4 heures/semaine.

Le contrôle périodique (de troisième niveau) est un audit plus approfondi, réalisé à intervalles réguliers (en général annuellement), qui évalue l'ensemble du dispositif : pertinence de la cartographie des risques, adéquation des procédures, qualité des formations, efficacité des outils de détection, respect des délais de déclaration à TRACFIN. Cet audit peut être réalisé en interne ou confié à un prestataire externe. Pour les petites organisations, un autoaudit annuel peut suffire. Pour les grandes organisations, un auditeur interne ou cabinet externe est recommandé.

Exemple concret (cabinet de conseil) : Audit interne annuel réalisé par le responsable conformité. Revue de 50 % des dossiers clients ouverts dans l'année, vérification de l'existence des procédures, entretiens avec le personnel, test du processus d'escalade, revue des formations dispensées. Rapport remis à la direction générale et au comité de conformité.

Exemple concret (établissement financier) : Audit annuel confié à un cabinet externe (audit interne ou cabinet spécialisé en LCB-FT) couvrant : revue critique de la cartographie des risques, test de 200 dossiers clients, revue des opérations signalées à TRACFIN, benchmark des outils de détection, revue des formations, entretiens de direction. Coût : 30 000 à 100 000 € selon la taille.

Les résultats des contrôles doivent être documentés, les insuffisances identifiées doivent donner lieu à des plans d'action correctifs avec dates de mise en œuvre, et le suivi de ces plans doit être assuré. L'ACPR s'attend à ce que les plans d'action soient fermés à terme, pas juste documentés et oubliés.

Étape 7 : Mettre en place une politique de documentation et d'archivage rigoureuse

La documentation est votre meilleure protection en cas de contrôle. L'article L.561-5 du Code monétaire et financier impose une conservation stricte des documents.

Vous devez conserver l'ensemble des éléments relatifs aux diligences d'identification et de vérification d'identité pendant cinq ans après la fin de la relation d'affaires. Les documents relatifs aux opérations doivent être conservés cinq ans après leur exécution. Les comptes rendus de formation, les rapports de contrôle, les procès-verbaux du comité de conformité et la cartographie des risques et ses mises à jour doivent également être conservés.

Éléments à documenter et conserver :

• Dossiers clients complets : pièce d'identité, adresse, preuve de source de fonds, identification des bénéficiaires effectifs pour les personnes morales (formulaires RBEN ou équivalent)
• Justification des décisions de refus d'acceptation clients
• Logs de filtrage (qui, quand, résultat contre listes OFAC/UNSC/CNRLT)
• Traçabilité des alertes suspectes : alertes générées, analyse menée, décision (escalade TRACFIN ou clôture), justification
• Copies des déclarations de soupçon envoyées à TRACFIN avec accusations de réception
• Registre des formations : dates, contenus, participants, résultats évaluations
• Rapports d'audit et plans d'action correctifs
• Procédures écrites et leurs versions successives
• Cartographie des risques et mises à jour

Considérations pratiques : investir dans un système de gestion de documents (GED) ou un logiciel de conformité pour centraliser la documentation et assurer la confidentialité des dossiers clients sensibles. Pour les petites organisations (moins de 50 collaborateurs), un système centralisé en dossiers partagés sécurisés peut suffire.

Étape 8 : Cultiver une culture de conformité durable

Au-delà des procédures et des outils, la réussite d'un programme LCB-FT repose sur l'engagement de la direction et la culture d'entreprise. La direction générale doit afficher un soutien explicite au dispositif LCB-FT, communiquer régulièrement sur son importance et allouer les ressources nécessaires (humaines, techniques, budgétaires).

Les collaborateurs doivent se sentir encouragés à remonter les alertes sans crainte de représailles. Un système de remontée confidentiel (voire anonyme) des préoccupations renforce cette dynamique. Une communication mensuelle ou trimestrelle de la direction valorisant les efforts de conformité renforce l'adhésion.

Exemple concret : Une banque régionale intègre des présentations LCB-FT dans les réunions mensuelles d'équipe, met en avant les signalements à TRACFIN comme des contributions positives au dispositif (sans révéler les identités clients), et récompense l'équipe compliance lors des événements annuels.

Calendrier de mise en place et ressources nécessaires

La mise en place d'un programme LCB-FT robuste prend généralement entre 3 et 12 mois selon la taille et la complexité.

Petite structure (3-20 personnes) : 3-6 mois. Étapes clés : mois 1-2 (nomination responsable, cartographie basique, rédaction procédures simples), mois 2-3 (formation initiale), mois 3-6 (implémentation, premier contrôle interne). Budget : 10 000-25 000 € (consultant externe pour cartographie et procédures, puis gestion interne).

PME/ETI (20-250 personnes) : 6-9 mois. Étapes clés : mois 1-3 (constitution équipe conformité, cartographie détaillée, rédaction procédures), mois 3-4 (formation équipes), mois 5-6 (implémentation outils, tests), mois 7-9 (audit interne, ajustements). Budget : 50 000-150 000 € (recrutement compliance officer 50%, consultant externe pour audit, logiciel de conformité).

Grande structure (250+ personnes) : 9-12 mois. Approche projet complète avec comité de pilotage, sous-groupes métier, déploiement progressif par métier. Budget : 200 000 € à 1 M€+ (équipe conformité complète, intégrations systèmes, audits externes réguliers).

Impact du AMLR : Si vous êtes assujetti pour la première fois par le AMLR (agent de change, conseil en immobilier, professionnel du luxe, etc.), prévoyez un délai supplémentaire de 2-3 mois pour adapter vos procédures à votre secteur spécifique.

Les erreurs les plus fréquentes à éviter

Parmi les écueils classiques, on retrouve :

• Le « copier-coller » de procédures génériques non adaptées à votre activité réelle
• La cartographie des risques réalisée une seule fois et jamais mise à jour (elle doit vivre)
• La formation perçue comme une simple formalité administrative (validation de présence sans contenu métier)
• L'absence de suivi des plans d'action issus des contrôles (identifier les faiblesses mais ne rien corriger)
• Le décalage entre les procédures écrites et les pratiques réelles sur le terrain
• L'absence d'escalade claire des alertes : tous les collaborateurs savent signaler, mais le responsable LCB-FT est débordé
• Ne pas impliquer la direction générale : un programme LCB-FT sans soutien C-level échoue à moyen terme

Conclusion

La mise en place d'un programme LCB-FT est un investissement structurant pour votre organisation. Loin d'être une simple contrainte réglementaire, c'est un dispositif qui protège votre entreprise, vos clients et vos collaborateurs contre les risques financiers, juridiques et réputationnels liés au blanchiment. La clé du succès réside dans une approche proportionnée, documentée et vivante, soutenue par une direction engagée. Pour aller plus loin, consultez les lignes directrices de l'ACPR en matière de LCB-FT.

---

Cet article a été rédigé à titre informatif et ne constitue pas un avis juridique. Pour un accompagnement dans la mise en place de votre dispositif LCB-FT, consultez un professionnel spécialisé.