KYC externalisé : ce que l’établissement assujetti ne peut pas déléguer

Le KYC externalisé confie à un prestataire des tâches de connaissance client : collecte des pièces, vérification d’identité, recherche du bénéficiaire effectif, traitement des alertes. Fintechs et établissements de monnaie électronique y recourent pour absorber les pics d’ouverture de comptes, par exemple après une campagne d’acquisition.

Le droit français l’autorise déjà, sauf pour la déclaration de soupçon à Tracfin. L’assujetti répond de chaque dossier, y compris quand le prestataire travaille depuis Madagascar ou le Maroc.

Le règlement (UE) 2024/1624, applicable le 10 juillet 2027, allonge la liste des tâches qui ne se délèguent pas. Il impose aussi d’informer le superviseur avant que le prestataire commence. Un contrat de 3 ans signé aujourd’hui sera encore en vigueur à cette date, et doit donc déjà s’y préparer.

KYC externalisé : externalisation ou tierce introduction

Transparence : le fondateur d’ExternFlow a aussi fondé LAPLUME.MG, agence de production de contenus et de services externalisés installée à Madagascar. Aucun prestataire n’est recommandé ici, et notre déclaration d’intérêts détaille ce point.

Deux montages coexistent, avec des règles différentes. L’externalisation confie l’exécution à un prestataire qui agit au nom de l’assujetti. La tierce introduction permet de s’appuyer sur la vigilance déjà exercée par un autre assujetti, par exemple une banque du même groupe.

Externalisation ou tierce introduction : deux montages distincts

Code monétaire et financier, version en vigueur au 27 octobre 2026.

Les lignes directrices de l’ACPR sur la tierce introduction le précisent : les prestations externalisées sont considérées comme réalisées par l’organisme lui-même. La vigilance constante sur la relation, une fois ouverte, ne relève pas de la tierce introduction.

La différence a des conséquences pratiques. Le tiers introducteur transmet les informations sans délai, et le règlement de 2024 fixe ce délai à 5 jours ouvrables au plus. Le prestataire externe, lui, applique les procédures que l’assujetti lui impose.

Le règlement limite aussi le champ du recours à un tiers. Il ne couvre que l’identification du client et du bénéficiaire effectif, ainsi que l’objet de la relation. La surveillance continue en est exclue, et la responsabilité finale reste à l’entité qui s’appuie sur le tiers.

Ce que le droit français permet aujourd’hui

L’article R561-38-2 du Code monétaire et financier autorise les assujettis à confier à un prestataire externe tout ou partie de leurs obligations de vigilance. Le prestataire agit en leur nom et pour leur compte. Seules les obligations déclaratives de l’article L561-15 en sont exclues, et les assujettis demeurent responsables.

Un arrêté du 6 janvier 2021 fixe dix clauses obligatoires du contrat. Elles couvrent entre autres les procédures imposées au prestataire, le secret professionnel et l’accès de l’ACPR sur place. Notre article sur les clauses d’un contrat d’externalisation détaille la rédaction.

Les banques et les établissements de paiement ou de monnaie électronique appliquent en plus l’arrêté du 3 novembre 2014 sur le contrôle interne. Son article 237 exclut toute délégation de la responsabilité des dirigeants effectifs et impose de conserver l’expertise nécessaire. Les articles 238 et 239 exigent une évaluation préalable du prestataire, un registre, un plan de continuité et l’accès de l’ACPR.

Les courtiers ne relèvent pas de cet arrêté. Leurs obligations de vigilance, quand ils sont assujettis, relèvent du Code monétaire et financier, puis du règlement européen à partir de juillet 2027.

Ce que le règlement de 2024 change au 10 juillet 2027

Le règlement (UE) 2024/1624 s’applique directement à partir du 10 juillet 2027, sans transposition. Son article 18, intitulé « Sous-traitance » dans sa version française, encadre le recours à un prestataire et modifie quatre points.

• L’information du superviseur avant que le prestataire ne commence à exécuter les tâches.
• Une responsabilité pleine de l’assujetti pour tous les actes et omissions du prestataire.
• Six tâches exclues de la sous-traitance, contre les seules obligations déclaratives dans l’article R561-38-2.
• Une interdiction visant les prestataires établis dans certains pays tiers.

Pendant l’exécution, le prestataire est considéré comme faisant partie de l’entité assujettie. L’entité doit pouvoir démontrer au superviseur qu’elle comprend le raisonnement de son prestataire et que les tâches confiées atténuent ses risques propres.

L’interdiction vise les pays tiers désignés par la Commission pour les carences de leur dispositif de LCB-FT. Seul un prestataire du même groupe y échappe, si le groupe applique des règles conformes sous le contrôle de son superviseur.

L’autorité européenne de lutte contre le blanchiment (AMLA) siège à Francfort. Le 1er octobre 2026, elle a transmis à la Commission ses projets de normes techniques sur la vigilance, pas encore adoptés. Notre calendrier réglementaire de l’externalisation suit les autres échéances.

Le tableau des tâches KYC : exécution confiée et décision gardée

L’article 18 liste six tâches qui « ne peuvent en aucun cas être sous-traitées ». Le tableau suivant les croise avec les tâches courantes d’un service KYC, de la collecte des pièces à la déclaration.

Tâches KYC : exécution confiée, décision gardée

Répartition ExternFlow fondée sur l’article 18 du règlement (UE) 2024/1624 et l’article R561-38-2 du CMF.

Quatre exclusions concernent l’évaluation des risques de l’entité, l’approbation des politiques, le profil de risque du client et la décision d’entrer en relation. Les deux autres visent la déclaration à la cellule de renseignement financier et l’approbation des critères de détection.

La déclaration peut être confiée à une autre entité assujettie du même groupe, établie dans le même État membre. Le droit français actuel retient déjà une règle voisine.

Le prestataire peut donc proposer un score de risque, mais la décision finale revient à un analyste de l’assujetti. Nous conseillons de noter dans chaque dossier le nom de l’analyste qui a validé le profil.

Vérification d’identité à distance : ce que le prestataire doit prouver

Pour une entrée en relation à distance, l’article R561-5-1 du CMF admet un moyen d’identification électronique certifié ou attesté par l’ANSSI. Il doit atteindre le niveau de garantie substantiel ou élevé. Faute d’un tel moyen, l’article R561-5-2 impose au moins deux mesures parmi six.

L’une de ces mesures est le recours à un service certifié par l’ANSSI au niveau substantiel. La certification suit le référentiel des prestataires de vérification d’identité à distance (PVID), applicable dans sa version 1.1 depuis le 1er mars 2021.

Le contrat demande donc au prestataire son certificat, sa date de validité et le périmètre certifié. Un opérateur humain qui contrôle des selfies sans service certifié ne remplit pas cette mesure. L’assujetti doit alors en appliquer deux parmi les cinq autres.

Selon le considérant 47 du règlement, un logiciel tiers, une base de données ou un service de filtrage ne relèvent pas de la sous-traitance. Un outil de vérification documentaire employé par les équipes de l’assujetti reste un outil. Si les opérateurs du prestataire valident eux-mêmes les pièces, l’article 18 s’applique, avec ses six exclusions et l’information préalable du superviseur.

Déclaration de soupçon : une décision réservée à l’assujetti

La déclaration de soupçon à Tracfin (article L561-15) est confidentielle, et l’article L561-18 interdit de la révéler au client ou à des tiers. Elle émane des dirigeants ou des préposés habilités de l’assujetti.

Les lignes directrices conjointes de l’ACPR et de Tracfin sur les obligations déclaratives datent du 23 avril 2025. Leur paragraphe 80 interdit de confier les obligations déclaratives à un prestataire extérieur. Une entité du même groupe peut toutefois s’en charger, à condition que ses équipes exercent leurs fonctions sur le territoire national.

Les mêmes lignes directrices admettent que la détection vienne de personnes intervenant dans une externalisation, sous le contrôle de l’organisme. Le prestataire repère et signale l’opération atypique. L’analyse et la décision de déclarer reviennent au déclarant habilité. Nous recommandons d’inscrire au contrat 4 règles pour organiser cette remontée vers l’assujetti.

• Un canal d’alerte direct vers le déclarant habilité, sans passer par le chef de projet du prestataire.
• Un délai de remontée exprimé en heures ouvrées.
• L’interdiction d’informer le client, rappelée dans la formation des opérateurs.
• Une trace écrite de chaque alerte, conservée par l’assujetti.

En 2017, la commission des sanctions de l’ACPR a infligé un blâme et 80 000 euros à Dirham Express. Ses déclarants Tracfin étaient salariés de Dirham Express Maroc. Pour la commission, cette désignation, « même à titre transitoire, constitue en soi un manquement ».

Prestataire offshore : données personnelles et secret bancaire

Un prestataire installé à Madagascar, au Maroc ou à Maurice reçoit des données personnelles et des informations couvertes par le secret. Aucun de ces pays ne bénéficie d’une décision d’adéquation de la Commission européenne. Le transfert repose alors sur les clauses contractuelles types de 2021, détaillées dans notre checklist RGPD hors Union européenne.

Le secret bancaire admet la communication à un prestataire chargé de fonctions opérationnelles importantes (article L511-33 du CMF). L’article L522-19 prévoit la même exception pour les établissements de paiement. Les lignes directrices ACPR-Tracfin citent aussi les obstacles linguistiques parmi les risques d’une externalisation à l’étranger.

En avril 2024, la commission des sanctions a infligé un blâme et 1 million d’euros à Treezor, établissement de monnaie électronique. Elle a retenu comme facteur de risque les agents et distributeurs qui recueillaient seuls les informations d’identification de la clientèle. Un prestataire offshore qui collecte les pièces sans contrôle de l’assujetti reproduit ce schéma.

Les clauses d’un contrat de KYC externalisé

Le 4 novembre 2025, l’ACPR a organisé une réunion de place avec les établissements de paiement et de monnaie électronique. Elle leur a rappelé que l’externalisation n’entraîne aucune délégation de responsabilité. L’autorité y a aussi relevé des contrats souvent incomplets.

La liste suivante rassemble les exigences du droit actuel et du règlement de 2024. Elle sert de grille de relecture pour les contrats en cours.

• La qualification du prestataire, vérifiée avant de lui confier les tâches (article 18 du règlement).
• L’application des procédures de l’assujetti par le prestataire et par ses propres sous-traitants.
• Le secret professionnel et l’accès de l’ACPR sur place, parmi les dix clauses de l’arrêté de 2021.
• Des contrôles réguliers, dont la fréquence suit le caractère critique des tâches.
• Une sortie sans rupture du service et un registre des prestations, exigés par l’arrêté de 2014.
• Le certificat PVID du prestataire, quand il vérifie l’identité à distance.

Le règlement ne fixe pas le rythme des contrôles, et nous proposons une relecture mensuelle d’un échantillon de dossiers tiré au hasard. La grille reprend les pièces exigées et le profil attribué. Notre article sur la saisie de données à Madagascar décrit la double saisie et l’échantillonnage.

Revoir chaque contrat KYC avant le 10 juillet 2027

Comparez chaque contrat aux six exclusions de l’article 18, clause par clause. Rapatriez en interne toute décision de profil.

Le cadre général du recours à un prestataire est posé par notre guide sur le BPO et son fonctionnement.

Sources et références

Cet article s’appuie notamment sur l’article L561-7 du Code monétaire et financier, sur l’article R561-38-2, sur l’article 10 de l’arrêté du 6 janvier 2021 et sur l’arrêté du 3 novembre 2014 relatif au contrôle interne. Il repose aussi sur le règlement (UE) 2024/1624, sur le communiqué de l’AMLA du 1er octobre 2026, sur le référentiel PVID de l’ANSSI, sur les lignes directrices ACPR-Tracfin de 2025, sur la décision Dirham Express de l’ACPR et sur la décision Treezor de l’ACPR.