Si un prestataire KYC identifie vos clients ou vérifie leurs documents, la responsabilité reste la vôtre. À partir du 10 juillet 2027, l’art. 18 du règlement (UE) 2024/1624 (AMLR) exige un contrat écrit, des contrôles périodiques et une notification préalable au superviseur. Nous rédigeons ou révisons ce contrat.
Votre contrat KYC résiste-t-il à l’AMLR ? Révision gratuite
Dites-nous ce que fait votre prestataire KYC et nous vous indiquons ce qui manque à votre contrat.
Externaliser le KYC est légal, mais l’AMLR fixe ce que vous pouvez déléguer, ce que vous ne pouvez pas déléguer et ce que le contrat doit prévoir. Nous verrouillons le tout avant que le SEPBLAC ou votre superviseur ne le contrôle.
Nous distinguons ce qui relève de l’externalisation (le prestataire exécute à votre place des tâches de vigilance) de ce qui n’en relève pas (utiliser son logiciel, ses bases de données ou ses services de filtrage), car les règles diffèrent.
Nous vérifions que le prestataire ne décide pas à votre place du profil de risque du client, de l’acceptation de la relation d’affaires ni de la déclaration d’opérations suspectes.
Nous rédigeons ou révisons l’accord écrit : tâches, application de vos politiques, sous-externalisation, accès à l’information, audit, conservation des données et fin du contrat.
Nous documentons que le prestataire est suffisamment qualifié, où il est établi et comment il protège les données, avant qu’il ne commence à travailler.
Nous préparons la notification préalable au superviseur et le plan de contrôles périodiques, avec une fréquence proportionnée au caractère essentiel de la tâche.
Nous adaptons vos contrats actuels, conclus sous la loi 10/2010 et le décret royal 304/2014, afin qu’ils soient prêts au 10 juillet 2027 sans avoir à les renégocier dans la précipitation.
Le contrat avec le prestataire est la première chose que demande le superviseur lorsque l’entrée en relation avec les clients n’est pas gérée par votre équipe.
Vidéo-identification, lecture de documents ou biométrie confiées à un tiers : s’il exécute la tâche à votre place, il agit comme une partie de votre entité et vous en répondez.
L’art. 18 de l’AMLR sera directement applicable : contrat écrit, contrôles périodiques et notification préalable au superviseur avant toute externalisation.
S’il est établi dans un pays tiers identifié conformément à l’AMLR (à haut risque, présentant des défaillances de conformité ou constituant une menace spécifique et grave), vous ne pourrez externaliser qu’au sein de votre groupe et avec des contrôles de groupe.
Vous devez pouvoir démontrer que vous comprenez la logique de ce que fait le prestataire et que cela atténue vos risques concrets.
Données du règlement (UE) 2024/1624 (AMLR), de la loi 10/2010 et du décret royal 304/2014.
Date d’application générale du règlement (UE) 2024/1624.
Jamais externalisables : évaluation des risques, politiques, profil de risque, acceptation du client, déclaration à la UIF et critères de détection.
L’entité notifie l’externalisation au superviseur avant que le prestataire ne commence à exécuter les tâches.
Délai maximal dans lequel l’entité assujettie à laquelle vous recourez doit vous remettre les informations de vigilance.
Aujourd’hui, le recours à des tiers exige un accord écrit préalable et exclut le suivi continu de la relation.
L’Autorité de lutte contre le blanchiment de capitaux (AMLA) doit publier des lignes directrices sur l’externalisation au plus tard le 10-07-2027.
Nous examinons le contrat et le processus réel, puis nous vous indiquons ce qu’il faut changer avant l’arrivée de l’AMLR ou d’un contrôle.
Vous préférez que nous le fassions ? Notre équipe peut prendre en charge le KYC de vos clients : externalisation du KYC, avec le dossier sous 24 h ouvrables.
Oui. L’art. 18 de l’AMLR permet d’externaliser auprès de prestataires de services des tâches découlant du règlement, et la loi 10/2010 admet aujourd’hui le recours à des tiers ainsi que les relations d’externalisation ou d’agence. Dans tous les cas, l’entité assujettie reste pleinement responsable de ce que le prestataire fait ou omet de faire.
Selon l’art. 18.3 de l’AMLR : la proposition et l’approbation de l’évaluation des risques de l’ensemble de l’entité ; l’approbation des politiques, procédures et contrôles internes ; la décision relative au profil de risque du client ; la décision d’établir la relation d’affaires ou d’effectuer l’opération occasionnelle ; la déclaration à la UIF des opérations suspectes ou des déclarations fondées sur des seuils (sauf à une autre entité assujettie du même groupe et du même État membre) ; et l’approbation des critères de détection des opérations suspectes.
Pas nécessairement. Le considérant 47 de l’AMLR précise que n’est pas considéré comme de l’externalisation l’utilisation ou l’achat de logiciels de tiers, ni l’accès à des bases de données ou à des services de filtrage, lorsque l’entité reste celle qui satisfait à l’exigence. Il y a en revanche externalisation lorsque le prestataire exécute à votre place la tâche de vigilance.
Au minimum, ce qu’exige l’art. 18.4 de l’AMLR : un accord écrit précisant les conditions des tâches, l’obligation du prestataire et de tout sous-traitant d’appliquer vos politiques et procédures ainsi que vos contrôles périodiques ; et, selon l’art. 18.5, rien qui empêche la supervision. Si vous êtes un établissement de crédit, de paiement ou de monnaie électronique, il convient aussi de l’aligner sur les orientations de l’ABE relatives à l’externalisation.
Avec l’AMLR, oui : l’entité notifie l’externalisation au superviseur avant que le prestataire ne commence (art. 18.1). La notification ne signifie pas que le superviseur approuve l’accord, mais il peut l’utiliser pour évaluer vos contrôles ou préparer des inspections.
Dans l’externalisation, le prestataire agit comme une partie de votre entité et applique vos politiques. Dans le recours à des tiers (art. 48 à 50 de l’AMLR), vous vous appuyez sur la vigilance déjà réalisée par une autre entité assujettie supervisée, qui doit vous remettre les informations dans un délai maximal de cinq jours ouvrables. Dans les deux cas, la responsabilité ultime reste la vôtre.
Oui, sauf s’il est établi dans un pays tiers identifié conformément à la section 2 du chapitre III de l’AMLR : à haut risque, présentant des défaillances de conformité ou constituant une menace spécifique et grave. Dans ce cas, vous ne pouvez externaliser qu’auprès d’un prestataire de votre propre groupe, qui applique des politiques de groupe conformes au règlement et est supervisé au niveau du groupe (art. 18.6).
La loi 10/2010 et le décret royal 304/2014. L’art. 8 de la loi permet de recourir à des tiers soumis à la réglementation anti-blanchiment moyennant un accord écrit préalable, sauf pour le suivi continu, et ne s’applique pas aux relations d’externalisation ou d’agence dans lesquelles le prestataire est considéré comme une partie de l’entité assujettie. En outre, depuis le 28 octobre 2026, l’art. 21 du décret royal 304/2014 exige que les « autres procédures sûres » d’identification à distance respectent les exigences minimales des autorisations générales publiées par le SEPBLAC.
Le superviseur ne vous demandera pas si le prestataire est bon, mais si vous comprenez et contrôlez ce qu’il fait.
Logiciels et bases de données ne sont pas de l’externalisation ; exécuter la vigilance à votre place, si.
Le profil de risque, l’acceptation du client et la déclaration à la UIF ne quittent jamais l’entité.
Contrat, évaluation préalable, contrôles périodiques et notification au superviseur démontrent que le modèle fonctionne.
Source : règlement (UE) 2024/1624 (art. 18, 48 à 50 et 90 ; considérants 47 à 50), loi 10/2010 (art. 8) et décret royal 304/2014 (art. 13 et 21).
Ces termes figurent dans le règlement (UE) 2024/1624, dans la loi 10/2010 et dans toute revue de votre processus d’entrée en relation avec les clients.
Identifier et vérifier le client et le bénéficiaire effectif, connaître l’objet de la relation et en assurer le suivi.
Confier à un prestataire de services des tâches découlant du règlement ; le prestataire est considéré comme une partie de l’entité.
S’appuyer sur la vigilance déjà réalisée par une autre entité assujettie supervisée.
Entreprise qui exécute des tâches de conformité pour le compte de l’entité assujettie, même si elle n’est pas elle-même assujettie.
Confiage de tâches par le prestataire à un autre prestataire, qui doit lui aussi appliquer les politiques de l’entité.
Tâche dont l’importance détermine la fréquence des contrôles que l’entité doit réaliser.
Autorité européenne chargée d’émettre des lignes directrices sur l’externalisation et le recours à des tiers.
Pays à haut risque, présentant des défaillances de conformité ou constituant une menace grave, identifié conformément à l’AMLR : on n’y externalise pas, sauf au sein du groupe.
Sous la loi 10/2010, il ne peut pas être confié à des tiers dans le cadre du recours à des tiers, sauf au sein de groupes.
Externalisation : un prestataire qui agit comme une partie de votre entité.
Recours à une autre entité assujettie : une autre entité assujettie qui a déjà réalisé sa propre vigilance.
Externalisation : les vôtres, y compris en cas de sous-externalisation.
Recours à une autre entité assujettie : celles de l’autre entité, qui doit respecter l’AMLR ou des règles équivalentes.
Externalisation : accord écrit et notification préalable au superviseur.
Recours à une autre entité assujettie : accord écrit sur la transmission des informations.
Externalisation : accès selon le contrat et contrôles périodiques.
Recours à une autre entité assujettie : remise sans délai et au plus tard sous cinq jours ouvrables.
Externalisation : pleine, celle de l’entité assujettie.
Recours à une autre entité assujettie : ultime, celle de l’entité qui y recourt.
Ce sont les points qui échouent le plus souvent lors du contrôle d’une entrée en relation externalisée.
Dites-nous quel prestataire KYC vous utilisez, quelles tâches vous lui confiez et quel contrat vous avez signé, et nous vous indiquons ce qu’il faut changer.
Mis à jour le 15 octobre 2026
Le règlement (UE) 2024/1624 (AMLR), applicable à partir du 10 juillet 2027, régit dans un texte européen directement applicable l’externalisation des tâches de lutte contre le blanchiment. Son art. 18 permet de confier des tâches à des prestataires de services, mais fixe des limites, exige un accord écrit et laisse toute la responsabilité à l’entité assujettie.
Les entités assujetties peuvent externaliser auprès de prestataires de services des tâches découlant du règlement, et doivent le notifier au superviseur avant que le prestataire ne commence. Le prestataire est considéré comme une partie de l’entité, qui reste pleinement responsable de toute action ou omission et doit pouvoir expliquer au superviseur la logique de ce que fait le prestataire et comment il atténue ses risques.
L’art. 18.3 exclut l’évaluation des risques de l’ensemble de l’entité, l’approbation des politiques et des contrôles, la décision relative au profil de risque du client, la décision d’établir la relation d’affaires, la déclaration à la UIF des opérations suspectes ou des déclarations fondées sur des seuils (sauf au sein du groupe et du même État membre) et l’approbation des critères de détection. Il existe une exception limitée pour les organismes de placement collectif dépourvus de personnalité juridique, avec l’approbation du superviseur.
Avant d’externaliser, l’entité doit s’assurer que le prestataire est suffisamment qualifié. Les conditions sont fixées dans un accord écrit, le prestataire et ses sous-traitants appliquent les politiques de l’entité et celle-ci réalise des contrôles périodiques dont la fréquence dépend du caractère essentiel de la tâche. Pour les établissements de crédit, de paiement et de monnaie électronique, les orientations de l’ABE sur l’externalisation (EBA/GL/2019/02) ajoutent un contenu minimal pour les contrats portant sur des fonctions essentielles ; l’ABE a publié en septembre 2026 des orientations sur la gestion du risque lié aux tiers qui les remplaceront.
Dans l’intervalle, l’art. 8 de la loi 10/2010 s’applique : on peut recourir à des tiers soumis à la réglementation anti-blanchiment pour appliquer la vigilance, sauf le suivi continu, avec un accord écrit préalable et en conservant la pleine responsabilité. Cet article ne s’applique pas aux relations d’externalisation ou d’agence dans lesquelles le prestataire est considéré comme une partie de l’entité assujettie. Le décret royal 304/2014 précise l’accord (art. 13) et, depuis le 28 octobre 2026, renvoie les « autres procédures sûres » d’identification à distance aux autorisations générales du SEPBLAC (art. 21).
Si vous avez besoin du contexte de base, commencez par ce qu’est le KYC. Le contrat avec le prestataire fait partie de votre manuel de prévention et de vos contrôles internes. Si vous souhaitez déléguer à un cabinet la gestion de votre conformité, consultez l’externalisation de la LCB-FT ; pour le nouveau cadre européen dans son ensemble, notre page sur l’AMLR.