Gardez votre dispositif LCB-FT vivant grâce à une vigilance continue efficace : suivi de la clientèle, mise à jour périodique du KYC, suivi des opérations, détection des alertes et documentation des preuves, pour respecter la loi 10/2010 et être prêt face au SEPBLAC.
« Nous révisons et mettons à jour les informations clients selon leur niveau de risque : documents, bénéficiaire effectif, PPE, sanctions et origine des fonds. Toujours à jour, toujours démontrable. »
« Nous concevons des règles de monitoring proportionnées au risque : seuils, schémas inhabituels, alertes automatiques, investigation et clôture documentée de chaque dossier. »
« Surveillance permanente au regard des listes de sanctions internationales, des PPE et des médias défavorables. Si la situation d’un client change, nous le détectons et nous agissons. »
« Chaque révision, chaque alerte, chaque décision est documentée avec sa date, son responsable et son critère. Des preuves prêtes pour l’audit, l’expert externe et le SEPBLAC. »
Révision programmée des informations clients selon le niveau de risque : pièces d’identité, bénéficiaire effectif, activité, origine des fonds et profil d’opérations.
Conception de règles de suivi : seuils, schémas inhabituels, fréquence, montants, pays d’origine et de destination, et cohérence avec le profil déclaré du client.
Surveillance permanente au regard des listes de sanctions internationales, des personnes politiquement exposées et des médias défavorables, avec alertes automatiques en cas de changement.
Protocole d’investigation interne : réception des alertes, analyse, escalade, décision (classement, EDD, déclaration) et clôture documentée avec preuves à l’appui.
Application de mesures renforcées lorsque le risque l’exige : investigation approfondie, origine des fonds et du patrimoine, approbation de la direction et suivi intensifié.
Enregistrement de chaque action de vigilance continue : révisions, alertes, décisions, escalades et résultats, avec date, responsable et critère appliqué.
Obligation légale : la loi 10/2010 et le décret royal 304/2014 imposent aux entités assujetties d’appliquer des mesures de suivi continu pendant toute la relation d’affaires, et pas seulement à son début.
Changement de profil de risque : un client à faible risque peut devenir à haut risque si son activité, ses bénéficiaires effectifs, ses opérations ou son exposition à des juridictions sensibles changent.
Constat fréquent lors des inspections : l’absence de vigilance continue est l’un des manquements les plus souvent relevés par le SEPBLAC lors de ses inspections et dans les rapports de l’expert externe.
Sanctions graves : le non-respect des obligations de suivi continu peut entraîner des sanctions graves ou très graves en vertu de la loi 10/2010 (art. 51-56).
Risque réputationnel et opérationnel : ne pas détecter des opérations suspectes faute de monitoring expose l’entreprise à des conséquences pénales, à des blocages bancaires et à une perte de confiance.
La vigilance continue (aussi appelée suivi continu ou ongoing due diligence) est l’obligation, pour les entités assujetties, de tenir à jour les informations sur leurs clients et de surveiller leurs opérations pendant toute la durée de la relation d’affaires, et pas seulement lors de l’entrée en relation.
Elle repose sur le principe que le profil de risque d’un client n’est pas figé : il peut évoluer en raison de changements dans l’activité, la structure de l’entreprise, les bénéficiaires effectifs, les opérations ou l’exposition à des juridictions, des sanctions ou des informations défavorables.
La vigilance continue n’est pas un supplément : c’est une obligation centrale de la loi 10/2010 (art. 6) et son non-respect est l’un des constats les plus fréquents lors des inspections du SEPBLAC.
Toutes les entités assujetties à la loi 10/2010 : établissements financiers, établissements de paiement, entreprises d’investissement, assureurs, agents immobiliers, professionnels du droit et de la comptabilité, casinos, bijouteries, négociants de biens de grande valeur, prestataires de services sur crypto-actifs (VASP/CASP) et autres activités entrant dans le champ d’application.
L’obligation couvre toutes les relations d’affaires en cours, et pas seulement les nouveaux clients. Cela inclut les clients historiques, dont les informations peuvent être obsolètes.
Si votre entreprise est une entité assujettie et compte des clients actifs, la vigilance continue s’applique à tous, avec une intensité proportionnelle à leur niveau de risque.
La vigilance continue comprend trois volets principaux : la mise à jour des informations sur le client (KYC périodique), le monitoring des opérations (contrôle de la cohérence entre les opérations réelles et le profil déclaré) et le screening continu (vérification permanente au regard des listes de sanctions, des PPE et des médias défavorables).
Elle comprend aussi la gestion des alertes (investigation, escalade et clôture documentée), l’application de mesures renforcées (EDD) lorsqu’une hausse du risque est détectée, et la documentation de toutes les actions avec date, responsable, critère et résultat.
Ce qui distingue un dispositif de vigilance continue efficace d’un dispositif purement formel, c’est l’exécution : que les révisions soient réalisées, que les alertes soient instruites et que tout soit étayé par des preuves.
La fréquence de mise à jour du KYC doit être proportionnelle au niveau de risque du client, conformément à l’approche fondée sur les risques (RBA) qu’exige la réglementation LCB-FT.
L’essentiel n’est pas seulement de fixer une périodicité, mais d’exécuter les révisions et d’en documenter les résultats. Un calendrier de KYC non exécuté est un manquement.
Le monitoring des opérations consiste à vérifier en continu que les opérations réelles du client sont cohérentes avec son profil déclaré : type d’opérations, montants, fréquence, contreparties, pays d’origine et de destination, et moyens de paiement.
Une alerte qui n’est pas instruite est pire que l’absence d’alertes : elle prouve que le dispositif a détecté quelque chose et que l’entreprise n’a pas agi.
Lorsque la vigilance continue détecte une hausse du niveau de risque d’un client — nouvelles alertes, changement de bénéficiaires effectifs, lien avec des PPE, opérations incohérentes avec le profil —, les mesures de vigilance renforcée (EDD) s’appliquent.
L’EDD peut comprendre la demande d’informations complémentaires sur l’origine des fonds et du patrimoine, l’approbation de la relation par la direction, l’intensification du monitoring des opérations et, dans les cas extrêmes, la décision de mettre fin à la relation d’affaires.
L’EDD n’est pas facultative lorsque des signaux de risque sont détectés : c’est une obligation légale dont le non-respect est considéré comme un défaut de vigilance.
Le non-respect des obligations de suivi continu peut entraîner des sanctions graves ou très graves en vertu de la loi 10/2010 (art. 51-56) : amendes pouvant atteindre 10 % du chiffre d’affaires, blâme public, suspension d’activité ou retrait d’agréments.
Au-delà des sanctions, l’absence de vigilance continue expose l’entreprise à une responsabilité pénale pour blanchiment par imprudence (art. 301.3 du Code pénal), à des blocages de comptes bancaires, à la perte de relations avec les banques correspondantes et à un préjudice réputationnel irréversible.
La vigilance continue n’est pas un coût : c’est la protection qui évite des conséquences bien plus graves que sa mise en place.
La vigilance continue fait partie d’un dispositif LCB-FT complet. Découvrez les services qui complètent le monitoring et le suivi de vos clients.
Document obligatoire qui définit les procédures de vigilance continue, les rôles, les flux et les critères d’action.
Catalogue complet : évaluation des risques, manuel, formation, audits, rapport de l’expert externe et suivi continu.
Analyse et documentation du parcours des fonds et des opérations pour étayer les investigations de vigilance continue.
Justification de l’origine licite des fonds pour les opérations significatives : documents et traçabilité vérifiable.
Vigilance continue appliquée aux prestataires de services crypto : KYC/KYB, KYT, Travel Rule et monitoring on-chain.
Revue du dispositif LCB-FT des exchanges et plateformes : efficacité du monitoring, alertes, KYC et plan de remédiation.
Respect de la Travel Rule : données obligatoires dans les transferts, validations et traçabilité, dans le cadre du suivi continu.
Déclaration d’information sur les cryptomonnaies détenues à l’étranger : obligations de reporting liées au monitoring LCB-FT.
Cochez les situations qui s’appliquent à votre entreprise. Plus il en reste de non cochées, plus l’écart est grand dans votre vigilance continue.
0 contrôles sur 10
Cochez les contrôles que vous avez déjà mis en place.
Tout ce qu’il faut savoir sur la vigilance continue en matière de LCB-FT : cadre légal, composantes, fréquence, lien avec l’approche fondée sur les risques, secteurs spécifiques et erreurs à éviter.
La vigilance continue est l’ensemble des mesures que les entités assujetties doivent appliquer pour tenir à jour les informations sur leurs clients et surveiller leurs opérations pendant toute la durée de la relation d’affaires. Elle est régie par l’article 6 de la loi 10/2010 et précisée aux articles 26 et suivants du décret royal 304/2014.
Ce n’est pas un contrôle ponctuel ni une tâche réalisée une seule fois : c’est un processus continu qui combine la révision périodique des informations sur le client (KYC), le suivi de ses opérations (transaction monitoring), le screening permanent au regard des listes de sanctions et des PPE, et la gestion documentée des alertes et incidents. Son objectif est de détecter les changements du profil de risque du client et d’agir en conséquence avant qu’un manquement ne se produise.
La loi 10/2010 prévoit, en son article 6, que les entités assujetties doivent appliquer des mesures de suivi continu à la relation d’affaires, ce qui comprend l’examen des opérations effectuées et la mise à jour des documents, données et informations obtenus en application des mesures de vigilance à l’égard de la clientèle.
Le décret royal 304/2014 (art. 26-28) précise ces obligations : les informations doivent être mises à jour à une périodicité proportionnelle au risque, les opérations doivent être surveillées pour détecter les incohérences avec le profil du client, et l’entité assujettie doit pouvoir démontrer que le suivi est effectivement exécuté. Les lignes directrices du SEPBLAC et les recommandations du GAFI confirment que la vigilance continue doit être proportionnée, fondée sur les risques et documentée.
La première composante est la mise à jour périodique du KYC : réviser et actualiser les pièces d’identité, le bénéficiaire effectif, l’activité économique, l’origine des fonds et le profil d’opérations du client, à une fréquence proportionnelle à son niveau de risque.
La deuxième composante est le monitoring des opérations : établir des règles, des seuils et des schémas permettant de détecter les opérations inhabituelles ou incohérentes avec le profil déclaré du client. La troisième est le screening continu : vérification permanente au regard des listes de sanctions, des PPE et des médias défavorables.
La quatrième composante est la gestion des alertes : protocole d’investigation interne (réception, analyse, décision, escalade, clôture) avec documentation de chaque étape. Et la cinquième est l’application de mesures renforcées (EDD) lorsque le risque l’exige : origine des fonds et du patrimoine, approbation de la direction, monitoring intensifié ou fin de la relation.
La vigilance continue doit être appliquée avec une intensité proportionnelle au risque. Tous les clients n’exigent pas la même fréquence de révision ni le même niveau de monitoring. L’approche fondée sur les risques (RBA) permet d’allouer efficacement les ressources : plus d’intensité pour les clients à plus haut risque, des révisions moins fréquentes pour ceux à plus faible risque.
Les facteurs qui déterminent le niveau de risque comprennent le type de client (personne physique, personne morale, structure complexe), le produit ou service souscrit, le canal de distribution, la juridiction (du client et de ses contreparties), l’activité économique et l’historique des opérations. Ces facteurs doivent être évalués conjointement et documentés dans la classification du risque du client.
Un dispositif de vigilance continue qui traite tous les clients de la même façon ne respecte pas la RBA : soit il gaspille des ressources sur des clients à faible risque, soit — bien pire — il n’accorde pas assez d’attention à ceux à haut risque.
Dans le secteur financier, la vigilance continue comprend le monitoring transactionnel automatisé, le screening en temps réel et la gestion des alertes KYT (Know Your Transaction) avec des règles calibrées selon le type de produit et de canal.
Dans le secteur crypto, s’y ajoutent le monitoring on-chain (KYT/blockchain analytics), la vérification des contreparties dans les transferts (Travel Rule) et le screening des adresses/wallets au regard de bases de données de risque. Dans le secteur immobilier, la vigilance continue porte sur la mise à jour du profil des acheteurs et des investisseurs, la vérification de l’origine des fonds dans les opérations successives et le suivi des locataires importants.
Dans tous les secteurs, l’essentiel est le même : un dispositif qui est exécuté, qui est documenté et qui permet de démontrer aux superviseurs que l’entité assujettie a maintenu la vigilance à l’égard de sa clientèle pendant toute la relation d’affaires.
L’erreur la plus courante est de n’appliquer la vigilance qu’à l’entrée en relation sans la poursuivre : de nombreuses entités assujetties investissent dans un KYC solide lors de l’onboarding mais ne révisent pas les informations du client pendant des années. Face au SEPBLAC, cela revient à ne pas avoir de vigilance continue.
Une autre erreur fréquente est d’avoir des règles de monitoring génériques qui ne s’adaptent pas au type de client, de produit ou de canal. Un dispositif aux seuils et schémas identiques pour tous les clients ne respecte pas l’approche fondée sur les risques et génère trop de faux positifs (qui saturent l’équipe) ou de faux négatifs (qui laissent passer des opérations suspectes).
Il est aussi critique de ne pas documenter les décisions sur les alertes : classer une alerte sans consigner qui l’a analysée, quelles informations il a examinées, quel critère il a appliqué et pourquoi il a décidé de la clore. Lors d’une inspection, l’absence de documentation transforme une décision raisonnable en constat de manquement. La vigilance continue ne se limite pas à surveiller : il faut pouvoir démontrer qu’on a surveillé, analysé et agi avec discernement.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .