Nous concevons et faisons vivre le dispositif de lutte contre le blanchiment des établissements de paiement, EME, sociétés de transfert de fonds et fintech agréées : onboarding digital traçable, monitoring avec règles calibrées, alertes documentées par un dossier et un réseau d’agents qui ne soit pas votre angle mort.
Votre dispositif LCB-FT résisterait-il à un contrôle ?
Dites-nous quel agrément vous détenez ou demandez, quel volume vous traitez et par quels canaux. Nous vous indiquons où se situe la faille avant que le superviseur ne la trouve.
Dans une fintech, le problème n’est pas d’avoir un manuel : c’est que le manuel, le moteur de règles et ce qui se passe réellement en production disent la même chose. Voici les éléments que nous passons en revue.
Un manuel construit sur votre modèle réel — produit, canal, pays et profil de client —, avec des niveaux de vigilance, des critères d’escalade, une politique de seuils et la procédure d’examen spécial et de déclaration. Versionné et approuvé, et non hérité d’un modèle bancaire.
Entrée en relation sans friction et avec traçabilité : identification à distance conforme à l’arrêté ETD/465/2021, KYB pour les clients entreprises, bénéficiaire effectif, screening à l’entrée en relation et niveaux de vigilance cohérents avec le risque attribué.
Auto-évaluation par produit, canal, zone géographique et client. C’est le document dont doivent découler vos règles, et non l’inverse.
Due diligence, contrat, formation et supervision de ceux qui recrutent des clients et opèrent en votre nom. Le point faible classique du secteur.
Screening à l’entrée en relation et en continu, traitement des correspondances et traçabilité de chaque écart écarté.
Si vos flux touchent des crypto-actifs, l’analyse des adresses et des contreparties s’ajoute au screening traditionnel.
Quatre conversations reviennent : celle qui arrive avant l’agrément, celle du corridor à haut risque, celle du programme de cartes et celle du compliance officer qui hérite d’un moteur non calibré.
« Nous préparons la demande auprès de la Banque d’Espagne et on nous demande de décrire le dispositif de prévention. Je ne veux pas d’un joli manuel : je veux un manuel que nous puissions appliquer le jour où nous aurons dix mille clients. »
« Nous opérons des transferts vers des pays que tout le monde classe à haut risque. J’ai besoin de règles qui détectent le véritable fractionnement (« pitufeo ») sans bloquer la moitié de mes clients habituels chaque vendredi. »
« Nous émettons des porte-monnaie et des cartes avec un onboarding entièrement digital. Mon doute n’est pas de savoir si nous identifions bien, mais si je pourrais le démontrer preuves à l’appui si le SEPBLAC me demandait vingt dossiers précis. »
« Je suis arrivé comme responsable de la conformité et j’ai trouvé des milliers d’alertes ouvertes et des règles dont personne ne sait qui les a configurées ni pourquoi. Je dois remettre de l’ordre avant le prochain contrôle. »
Ce ne sont en général ni des défauts d’intention ni de budget : ce sont des défauts de traçabilité. Le dispositif fait des choses raisonnables que personne ne peut démontrer ensuite.
Le moteur en configuration d’usine : des règles et des seuils livrés par défaut par le fournisseur, sans document expliquant pourquoi ces valeurs et pas d’autres, ni le moindre test de calibration sur vos propres données. Cela fonctionne jusqu’à ce que quelqu’un demande pourquoi.
Le backlog d’alertes : une file qui grossit chaque mois et qui est clôturée en bloc quand la charge de travail se fait pressante, avec des motifs génériques du type « opération habituelle ». Une alerte clôturée sans raisonnement documenté est pire qu’une alerte non générée.
Le réseau d’agents sans dossier : des distributeurs qui recrutent des clients en votre nom sans due diligence préalable, sans formation attestée et sans visites. Vous répondez de leur activité, même si le client n’a jamais su que vous existiez.
| Axe du modèle | Ce qu’attend le superviseur | Preuve qui l’atteste |
|---|---|---|
| Onboarding entièrement digital | Identification à distance par une procédure approuvée, appliquée toujours de la même manière et reconstituable cas par cas | Procédure conforme à l’arrêté ETD/465/2021, preuves conservées et registre des entrées en relation refusées avec leur motif. |
| Réseau d’agents et de distributeurs | Que l’établissement contrôle et réponde de ceux qui recrutent des clients et opèrent en son nom, avec le même niveau d’exigence que chez lui | Due diligence de l’agent, contrat comportant des obligations LCB-FT, formation attestée et revues périodiques documentées. |
| Fort volume transactionnel | Règles et seuils justifiés, calibrés sur des données propres, et alertes clôturées par une décision motivée | Catalogue de règles versionné, rapport de calibration et dossier par alerte indiquant l’analyste, la date et la conclusion. |
Nous passons l’ensemble en revue : cartographie des risques, manuel, onboarding, règles et seuils, file d’alertes, screening des sanctions et contrôle des agents. Nous vous disons ce qui manque, ce qui est superflu et dans quel ordre corriger, pour que le dossier résiste à une demande d’informations du SEPBLAC.
Depuis que vous opérez. Les établissements de paiement, les établissements de monnaie électronique et les sociétés de transfert de fonds figurent à l’article 2 de la loi 10/2010 en tant qu’établissements financiers, et les obligations naissent avec l’activité, non avec la première demande du superviseur.
En pratique, le dispositif doit exister avant : le dossier de demande d’agrément auprès de la Banque d’Espagne impose de décrire comment vous allez prévenir le blanchiment, avec quels moyens et qui en répond. Un projet qui arrive à ce stade avec un manuel générique ressort souvent avec des demandes d’informations. Nous traitons ce point avec l’agrément d’établissement de paiement.
Les deux, à des niveaux différents. La Banque d’Espagne autorise et enregistre votre agrément dans le cadre des services de paiement — directive (UE) 2015/2366 (PSD2) et, en Espagne, décret-loi royal 19/2018 — et supervise l’établissement dans son ensemble. Le SEPBLAC est la cellule de renseignement financier et le superviseur spécifique en matière de lutte contre le blanchiment : il reçoit vos déclarations et examine votre dispositif.
Conséquence pratique : deux interlocuteurs, deux dossiers et aucune excuse croisée. Ce qui a été présenté dans la demande d’agrément doit correspondre à ce qui est appliqué lorsque le SEPBLAC le vérifie.
Oui, avec une procédure en bonne et due forme. L’arrêté ETD/465/2021 réglemente les méthodes d’identification à distance par vidéo — vidéo en différé et vidéo en direct —, exige que la procédure soit documentée et approuvée avant d’être utilisée et que les preuves soient conservées.
Ce qui ne suffit pas, c’est ce que l’on voit le plus : une photo du document envoyée depuis le mobile sans vérification ni trace. Il ne suffit pas non plus de recourir à un prestataire et de lui faire confiance : la responsabilité reste celle de l’établissement, et la procédure du prestataire doit être la vôtre, revue et approuvée par vous. Plus de détails sur LCB-FT et KYC.
Celles qui découlent de votre cartographie des risques, et non celles que le fournisseur livre par défaut. La séquence correcte : auto-évaluation du risque par produit, canal, zone géographique et type de client ; de là découlent les scénarios à surveiller ; et de chaque scénario, une règle avec son seuil.
Le fractionnement des montants, une vitesse inhabituelle des opérations, des entrées et sorties immédiates, les corridors à haut risque, l’incohérence avec le profil déclaré ou le lien entre des comptes apparemment indépendants sont des scénarios typiques. L’essentiel n’est pas la liste : c’est qu’il existe un document expliquant pourquoi chaque seuil a cette valeur.
Il n’existe pas de chiffre officiel, et méfiez-vous de qui vous en donne un. Ce qui est apprécié, c’est que le ratio soit mesuré, expliqué et géré. Un moteur qui génère un volume d’alertes que votre équipe ne peut pas analyser produit un résultat pire qu’un moteur plus étroit mais traité : des alertes clôturées en masse sans critère.
La réponse raisonnable est un cycle de calibration documenté : on mesure le ratio, on identifie les règles bruyantes, on ajuste les seuils avec des données propres, on teste l’effet avant la mise en production et on consigne l’avant et l’après. Ce rapport est la meilleure défense lorsqu’on vous demandera pourquoi une opération n’a pas déclenché d’alerte.
Tout ce qu’il faut pour qu’un tiers reconstitue la décision sans vous appeler. Au minimum : quelle règle s’est déclenchée et avec quels paramètres, les données de l’opération et du client à ce moment-là, l’analyse réalisée, les informations complémentaires demandées et reçues, la décision motivée, qui l’a prise et quand.
Si la conclusion a été de déclarer par indice, on archive aussi le justificatif de la déclaration au SEPBLAC ; si elle a été de s’abstenir d’exécuter, la trace de l’abstention. Et si elle a été d’écarter l’alerte, le motif concret : « opération habituelle » n’est pas un motif, c’est une étiquette.
Oui. Le réseau externe opère en votre nom et, face au superviseur, l’établissement répond de son activité. C’est l’angle mort le plus fréquent dans les transferts de fonds et la distribution de produits : des agents qui ouvrent des comptes clients selon un standard différent de celui de la maison, sans formation attestée et sans personne pour contrôler un échantillon de leurs dossiers.
Le contrôle se prouve par des documents : due diligence préalable de l’agent, contrat comportant des obligations expresses de LCB-FT, formation avec registre des participants, revue périodique des dossiers recrutés et comptes rendus des visites. Nous détaillons ce point dans agents d’établissements de paiement.
Pas par définition, mais par des caractéristiques qu’il faut reconnaître dans l’auto-évaluation. Dans les transferts de fonds, pèsent les corridors de destination, les opérations en espèces, les petits montants répétés et le recours à des intermédiaires. Dans les marketplaces et les modèles de paiements agrégés, la difficulté tient à la connaissance des deux extrémités de l’opération et à la détection des commerçants qui font transiter des fonds appartenant à des tiers.
Faire comme si ce risque n’existait pas est l’erreur coûteuse. Le reconnaître, graduer la vigilance et documenter les contrôles supplémentaires est ce qui transforme un modèle inconfortable en modèle défendable. Vous pouvez voir comment il s’articule dans envoi d’argent et sociétés de transfert de fonds.
Vous pouvez vous appuyer sur des prestataires, mais la responsabilité ne s’externalise pas. L’établissement doit connaître et approuver les procédures que le prestataire applique, pouvoir les auditer, conserver les preuves et garder le contrôle des décisions qui comptent : accepter un client, clôturer une alerte ou déclarer un indice.
S’ajoute la couche technologique : le recours à des prestataires TIC critiques relève en outre du règlement (UE) 2022/2554 (DORA), avec un registre d’informations sur les prestataires et des clauses contractuelles obligatoires. Si vous souhaitez déléguer la fonction interne, consultez l’externalisation de la LCB-FT.
Un dispositif LCB-FT en matière de paiements se juge à sa traçabilité de bout en bout : pourquoi cette règle, pourquoi ce seuil, qui a analysé et ce qu’il a décidé. Voici le parcours que nous mettons en place.
Auto-évaluation par produit, canal, zone géographique et client. De là découlent les scénarios à surveiller, les niveaux de vigilance et la politique de seuils. C’est la phase que presque tout le monde saute et qui oblige ensuite à tout refaire.
Manuel et politiques, onboarding avec identification à distance traçable, screening des sanctions, moteur de règles configuré selon vos propres critères et flux d’alertes avec dossier et niveaux d’escalade.
Calibration périodique sur des données réelles, contrôle de la file d’alertes, revue du réseau d’agents, formation de l’équipe et examen par un expert externe. La partie qui transforme un dispositif monté en dispositif vivant.
Si vous êtes encore au stade de l’agrément, commencez par l’agrément d’établissement de paiement ou l’agrément d’EME. Si vous opérez déjà et que vous devez remettre le dispositif en ordre, consultez les services de LCB-FT et le représentant externe auprès du SEPBLAC.
Les 10 éléments d’un dispositif de prévention défendable devant le SEPBLAC, avec la preuve documentaire à pouvoir présenter pour chacun. Utile comme autodiagnostic avant l’arrivée de l’inspection.
Pas de spam. Votre e-mail sert uniquement à vous envoyer cette checklist et, de temps à autre, des actualités réglementaires pertinentes.
La checklist est en cours de téléchargement. Si elle ne démarre pas automatiquement, cliquez ici.
Après lecture, vous avez besoin d’aide pour mettre en œuvre certaines étapes ? Écrivez-nous directement :
Ces termes figurent dans les demandes d’informations et dans les rapports d’expert externe. Les employer avec précision fait gagner une demi-réunion d’éclaircissements.
Établissement agréé et enregistré par la Banque d’Espagne dans le cadre de la PSD2 et du décret-loi royal 19/2018, inclus à l’article 2 de la loi 10/2010 en tant qu’établissement financier.
Ensemble de vérifications portant sur l’identité, l’activité et l’objet de la relation, réalisées avant d’accepter le client et mises à jour pendant la relation.
Méthode d’identification à distance réglementée par l’arrêté ETD/465/2021 : vidéo en différé ou en direct, avec procédure approuvée et preuves conservées.
Analyse automatisée des opérations au regard de scénarios de risque définis, afin de détecter les comportements incohérents avec le profil du client.
Paramètre qui détermine quand une opération génère une alerte. Son choix doit être justifié par des données propres et revu périodiquement.
Alerte générée par une opération légitime. Son ratio mesure la qualité de la calibration et conditionne la capacité réelle de l’équipe d’analyse.
Enregistrement complet d’une alerte : règle activée, données, analyse, informations demandées, décision motivée, auteur et date.
Transmission au SEPBLAC des opérations présentant des indices de blanchiment et des déclarations systématiques prévues par la réglementation, à titre confidentiel.
Rapprochement du client et de ses contreparties avec les listes de sanctions financières et avec la qualité de personne politiquement exposée.
Une auto-évaluation qui reconnaisse les risques réels de l’activité — corridors, espèces, agents, marketplace — et non une matrice générique de manuel.
Document d’auto-évaluation approuvé et daté, matrice par produit, canal, zone géographique et client, et procès-verbal d’approbation.
Entrée en relation avec des niveaux de vigilance cohérents avec le risque attribué et une identification à distance traçable et reproductible.
Procédure conforme à l’arrêté ETD/465/2021, preuves conservées, dossiers KYB et registre des entrées en relation refusées.
Règles dérivées de la cartographie des risques, seuils justifiés et file d’alertes traitée dans des délais internes.
Catalogue de règles versionné, rapports de calibration, indicateurs de la file et dossier complet par alerte.
Filtrage à l’entrée en relation et en continu, avec un critère écrit pour traiter les correspondances et répétition après mise à jour des listes.
Configuration du moteur, registre des correspondances avec le motif d’écart et preuve du rescreening périodique.
Contrôle effectif de ceux qui recrutent des clients ou opèrent au nom de l’établissement et des prestataires sur lesquels s’appuie le dispositif.
Due diligence de l’agent, contrats comportant des obligations de LCB-FT, formation attestée et comptes rendus de revue ou de visite.
Ce sont ceux qui apparaissent en premier lors d’un contrôle externe et ceux qui coûtent le plus cher à corriger quand la demande d’informations est déjà là.
Transférer des fonds vers des corridors complexes n’est pas la même chose qu’émettre de la monnaie électronique ou combiner l’activité de paiement avec une activité commerciale. L’agrément et le modèle déterminent quels scénarios surveiller et quels contrôles supplémentaires le superviseur exige. Ces pages couvrent chaque cas.
Agrément de la Banque d’Espagne au titre de la PSD2 et du décret-loi royal 19/2018, avec le dispositif de prévention intégré au dossier.
Émission de monnaie électronique, wallets et programmes de cartes : onboarding de masse et contrôle des chargements et déchargements de fonds.
Lorsque l’activité de paiement coexiste avec une autre activité : séparation des fonds, conflits et risques croisés.
Corridors complexes, espèces et réseau d’agents : le modèle qui exige de justifier le plus de contrôles supplémentaires.
Pour le cadre général de la prévention, consultez la page lutte contre le blanchiment de capitaux. Si vous émettez de la monnaie électronique avec une dimension européenne, consultez l’agrément EMI. Et si vos flux touchent des crypto-actifs, commencez par le screening des sanctions en crypto.
Expliquez-nous votre modèle — transferts de fonds, marketplace, cartes, wallets, agents — et nous vous remettons un diagnostic concret du dispositif de prévention et de ce qui manque pour le défendre.
Dernière mise à jour : 4 août 2026
Un établissement de paiement ou un établissement de monnaie électronique est une entité assujettie financière dès qu’il opère : il figure à l’article 2 de la loi 10/2010 et son dispositif de prévention est contrôlé avec la même exigence que celui d’une banque, mais avec deux différences qui le compliquent. La première est le volume : des milliers d’opérations par jour qu’aucune équipe ne peut examiner une à une, ce qui oblige à automatiser et à justifier l’automatisation. La seconde est le canal : des clients qui ne mettent jamais les pieds dans une agence et qui s’identifient à distance. Cette page traite le dispositif à partir de ces deux réalités.
Le cadre de l’activité est fixé par la directive (UE) 2015/2366 (PSD2) et, en Espagne, par le décret-loi royal 19/2018 : la Banque d’Espagne agrée et enregistre les établissements de paiement et de monnaie électronique et supervise leur fonctionnement. Le cadre de la prévention est fixé par la loi 10/2010, et le superviseur spécifique est alors le SEPBLAC, qui est aussi la cellule de renseignement financier recevant les déclarations. Ce sont deux dossiers distincts qui se regardent mutuellement : ce qui a été décrit dans la demande d’agrément — moyens, organisation, contrôles — est exactement ce que le SEPBLAC vérifiera comme appliqué. D’où l’erreur la plus coûteuse au stade de l’agrément : présenter un manuel de prévention acheté ou hérité qui décrit un établissement que vous n’êtes pas, avec des agences que vous n’avez pas et des contrôles que personne n’appliquera. Quand le contrôle arrive, l’écart entre le papier et la production est la constatation. Si vous êtes à ce stade, consultez l’agrément d’établissement de paiement et le manuel LCB-FT sur mesure.
L’entrée en relation à distance est le point où le plus de fintechs échouent à l’épreuve documentaire. L’arrêté ETD/465/2021 réglemente les méthodes d’identification à distance par vidéo — en différé et en direct — et exige que la procédure soit documentée et approuvée avant d’être employée et que ses preuves soient conservées. Deux nuances souvent négligées. La première : s’appuyer sur un prestataire ne transfère pas la responsabilité ; la procédure du prestataire doit être revue, approuvée et auditable par l’établissement, qui doit pouvoir retrouver la preuve de n’importe quelle entrée en relation. La seconde : l’identification n’est que la première couche. Il faut encore attribuer un niveau de vigilance cohérent avec le risque, appliquer le KYC et le KYB lorsque le client est une entreprise, reconstituer le bénéficiaire effectif jusqu’à la personne physique et exécuter le screening des sanctions avant l’ouverture. Une entrée en relation rapide et une entrée en relation traçable ne sont pas incompatibles, mais seulement si la conception l’a prévu dès le départ.
Le monitoring transactionnel se juge à sa traçabilité en remontant. La chaîne correcte commence par la cartographie des risques : de l’auto-évaluation par produit, canal, zone géographique et client découlent les scénarios à surveiller, et de chaque scénario, une règle avec un seuil justifié. Fractionnement des montants, vitesse inhabituelle, entrée et sortie immédiates de fonds, corridors à risque élevé ou incohérence avec le profil déclaré sont des scénarios courants, mais ce qui est examiné n’est pas la liste : c’est le document qui explique pourquoi le seuil vaut ce qu’il vaut et quand il a été revu pour la dernière fois. Vient ensuite la partie inconfortable : la calibration. Un moteur qui génère plus d’alertes que l’équipe ne peut en analyser produit des clôtures en bloc, ce qui est le pire résultat possible. Mesurer le ratio de faux positifs, ajuster avec des données propres, tester avant la production et conserver le rapport de l’avant et de l’après est ce qui transforme une plainte opérationnelle en défense. Et chaque alerte a besoin de son dossier : règle activée, données, analyse, informations demandées, décision motivée, auteur et date.
Le point faible structurel du secteur est le réseau externe : des agents et distributeurs qui recrutent des clients et exécutent des opérations au nom de l’établissement, souvent selon un standard différent de celui de la maison. Face au superviseur, c’est l’établissement qui répond, et le contrôle se prouve par une due diligence préalable, un contrat comportant des obligations expresses de prévention, une formation enregistrée et la revue périodique d’un échantillon de dossiers recrutés ; le détail figure dans agents d’établissements de paiement. S’y ajoute le modèle économique comme facteur de risque : les transferts de fonds vers certains corridors, les marketplaces avec paiements agrégés ou les programmes de cartes prépayées présentent des profils qu’il faut reconnaître dans l’auto-évaluation et compenser par des contrôles supplémentaires. À l’horizon, deux cadres conditionnent déjà les décisions : le paquet AML européen — règlement (UE) 2024/1624, directive (UE) 2024/1640 et règlement (UE) 2024/1620, qui crée l’autorité AMLA —, d’application échelonnée et en cours de mise en œuvre, et le règlement (UE) 2022/2554 (DORA), qui soumet les prestataires TIC critiques du dispositif à un registre d’informations et à des clauses contractuelles obligatoires.
Ce contenu a un caractère informatif et ne constitue pas un conseil juridique. La réglementation citée peut avoir été modifiée après la date de mise à jour indiquée : vérifiez toujours la version en vigueur ou consultez-nous pour analyser votre cas concret.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .