Archivage des pièces KYC en domiciliation : durée et preuves

En tant que domiciliataire agréé, vous devez conserver les pièces d’identification de vos clients et de leurs bénéficiaires effectifs, mais aussi la trace de l’analyse de risque qui les accompagne, pendant cinq ans à compter de la fin de la relation d’affaires. Au-delà de ce délai, le RGPD vous demande de purger. Entre les deux, tout doit rester lisible, retrouvable et daté le jour du contrôle.

Cet article détaille ce qu’il faut archiver, pour combien de temps, sous quelle forme, et comment organiser une purge sans perdre la piste d’audit.

En bref

• Durée légale : cinq ans après la cessation de la relation d’affaires (article L. 561-12 du Code monétaire et financier), pas dix ans par défaut.
• On n’archive pas des photocopies : on archive une démonstration. Classification du risque, échanges, justificatifs d’origine des fonds et mises à jour datées comptent autant que la pièce d’identité.
• Chaque changement de situation du client (activité, bénéficiaire effectif) donne lieu à une mise à jour du dossier, elle-même archivée.
• Passé le délai, une politique de purge documentée protège de la CNIL autant que l’archivage protège de la préfecture.

Table des matières

• Ce que le domiciliataire doit conserver
• Cinq ans, à partir de quand ?
• Archiver une démonstration, pas des photocopies
• Purger après cinq ans : l’autre moitié de l’obligation
• Ce que les contrôleurs regardent dans vos archives
• Notre point de vue
• Outiller l’archivage avec Adryo
• Plan d’action en six étapes
• FAQ
• Sources

Ce que le domiciliataire doit conserver

La règle vise les documents et informations relatifs à la relation d’affaires et aux mesures de vigilance : documents d’identité, mesures de vigilance, informations sur les opérations réalisées. Pour une société de domiciliation, cela se traduit concrètement par plusieurs familles de pièces.

Identification du client et du bénéficiaire effectif

Pièce d’identité du représentant légal, justificatif officiel de l’entreprise (extrait K-bis ou équivalent), identification du ou des bénéficiaires effectifs et justificatifs associés. Les lignes directrices conjointes DGCCRF et Tracfin pour les sociétés de domiciliation rappellent que le contrôle interne porte précisément sur la conservation des documents d’identification du client et du bénéficiaire effectif.

Piège fréquent : se reposer sur le K-bis ou sur le registre des bénéficiaires effectifs. Ce registre ne vous dispense pas de vérifier vous-même l’identité des bénéficiaires, et vous devez conserver la preuve de cette démarche de vérification au moment de l’entrée en relation. Une capture d’écran du registre, datée, ne remplace pas votre propre contrôle.

Objet et nature de la relation d’affaires

Le KYC ne s’arrête pas à l’identité. Il suppose de recueillir des informations sur l’activité envisagée, la raison du choix de la domiciliation et l’origine du patrimoine et des fonds. Les lignes directrices précisent que le domiciliataire recherche l’origine du patrimoine et des fonds pour apprécier le risque de blanchiment et de financement du terrorisme. Ces éléments font partie du dossier à archiver.

L’analyse de risque et ses mises à jour

C’est la partie que les contrôleurs cherchent en premier. Classification du risque, critères d’alerte retenus, échanges avec le client, décision de vigilance simplifiée, standard ou renforcée : sans ces traces, un dossier ne prouve rien. Sur le choix du niveau, nos articles sur la vigilance simplifiée et sur la vigilance renforcée en domiciliation détaillent les cas.

Les documents du dispositif interne

Pour les contrôles de la DGCCRF, les mêmes lignes directrices conseillent aussi de conserver les attestations de formation LCB-FT, les notes de service, les courriels et comptes rendus de réunions internes. Ils ne relèvent pas du dossier d’un client, mais de l’archivage de votre société. Pensez à les classer à part.

Cinq ans, à partir de quand ?

Le délai court à compter de la cessation de la relation avec le client, pas de la date de signature du contrat ni de la collecte de la pièce. Le texte du titre VI du Code monétaire et financier le formule ainsi : cinq ans à compter de la clôture des comptes ou de la cessation des relations.

Conséquence pratique : une pièce collectée en 2022 pour un client toujours domicilié en 2026 reste obligatoirement conservée. Elle ne sera purgée que cinq ans après la résiliation du contrat. Il faut donc enregistrer, pour chaque dossier, une date de fin de relation fiable, car c’est elle qui déclenche le compte à rebours.

Pour le dernier cas, limitez les accès : la déclaration à Tracfin est confidentielle, et le dossier qui la documente ne doit pas circuler dans l’équipe.

Archiver une démonstration, pas des photocopies

Les orientations de Tracfin vont dans le même sens : la vigilance n’est pas un acte administratif statique et l’archivage doit refléter une évaluation continue. Quand le profil change, le dossier est mis à jour, et cette mise à jour est elle-même archivée pour prouver la vigilance dans la durée. Notre guide sur la mise à jour KYC liste les événements déclencheurs.

Le test à appliquer à chaque dossier : un contrôleur peut-il comprendre, sans vous, pourquoi vous avez jugé les opérations normales, ou pourquoi vous avez déclaré un soupçon ? Si la réponse est non, il manque une pièce d’analyse, pas une pièce d’identité.

Les bonnes pratiques de forme

• Lisibilité. Évitez les scans de mauvaise qualité. Quand le client peut fournir un document natif (PDF d’origine), préférez-le.
• Horodatage. Chaque ajout, modification ou consultation doit porter une date et un auteur. Un dossier sans historique n’établit pas la chronologie de votre vigilance.
• Nommage et classement. Un dossier par entreprise domiciliée, avec une structure identique d’un client à l’autre. Les dossiers « maison » différents d’un collaborateur à l’autre sont la première source de pièces introuvables.
• Export. Vous devez pouvoir sortir un dossier complet, avec son historique, en quelques minutes. Un contrôle sur place ne laisse pas le temps de fouiller trois dossiers partagés.
• Sauvegarde et accès. Droits par profil, journal des accès, sauvegardes hors site. Pour une lecture plus large sur ce sujet, voyez ces priorités de sécurité des données financières.

Papier ou numérique ?

Le papier n’est pas interdit, mais il cumule les inconvénients : introuvable à distance, non horodaté, difficile à purger proprement. Si vous conservez encore des originaux, numérisez-les en qualité lisible, indiquez la date de numérisation et décidez explicitement du sort de l’original. Pour les contrôleurs, ce qui compte est que le dossier soit complet, cohérent et consultable, quel que soit le support.

Purger après cinq ans : l’autre moitié de l’obligation

Le délai légal est un minimum de conservation, pas un droit de garder sans limite. Le principe de minimisation du RGPD impose de ne pas conserver des données personnelles sans finalité. Une fois les cinq ans révolus, une pièce d’identité n’a plus de raison d’être dans vos fichiers, sauf obligation distincte. Le site Service-Public rappelle l’encadrement des traitements de données personnelles et les finalités qui les justifient.

L’erreur classique consiste à aligner tous les documents sur dix ans, par confusion avec les durées de conservation comptables ou commerciales. Un contrat de domiciliation et une facture peuvent suivre un autre régime que la pièce d’identité du bénéficiaire effectif : séparez les catégories de documents et attribuez à chacune sa durée et sa base légale.

Une politique de purge sérieuse tient en quatre éléments :

1. un tableau des durées par catégorie de pièce, avec la base légale de chaque durée ;
2. une date de fin de relation enregistrée pour chaque dossier ;
3. une revue périodique, par exemple annuelle, des dossiers arrivés à échéance ;
4. une trace de la purge elle-même (date, périmètre, responsable), sans conserver les données purgées.

Nous détaillons ces arbitrages dans nos articles sur la minimisation des données KYC et la protection des données en domiciliation.

Ce que les contrôleurs regardent dans vos archives

La préfecture, le greffe et Tracfin n’ont pas les mêmes attentes, mais ils convergent sur un point : un dispositif documenté. Il ne suffit pas d’archiver les pièces, il faut aussi garder les échanges, les critères d’alerte identifiés et la classification du risque associée à chaque client, comme le souligne la documentation Tracfin à destination des professionnels assujettis. Cette brochure s’adresse aux professionnels de l’immobilier, mais la logique de piste d’audit vaut pour tous les assujettis.

Avant un contrôle, vérifiez ces points sur un échantillon de dossiers :

• chaque dossier contient l’identité du client et celle des bénéficiaires effectifs, avec la preuve de votre vérification ;
• la classification du risque est datée et justifiée ;
• les événements survenus depuis l’entrée en relation (changement de dirigeant, d’activité, de siège) sont tracés ;
• la vérification périodique a eu lieu, voir notre guide de la vérification triennale ;
• votre programme de conformité est à jour : voir ce qu’il doit contenir.

Au sens des obligations de vigilance, tous les professionnels visés par l’article L. 561-2 doivent exercer leur vigilance sur le client et le bénéficiaire effectif dès l’entrée en relation. Le dossier doit donc exister avant la première domiciliation active, pas après.

Notre point de vue

Nous construisons un logiciel pour domiciliataires, et ce que nous voyons le plus souvent n’est pas un manque de pièces mais un manque de liaison entre elles. L’identité est dans un dossier partagé, le contrat dans un outil de signature, les échanges dans une messagerie, la facturation ailleurs. Le jour du contrôle, il faut reconstituer l’histoire à la main.

Notre position est simple : un dossier KYC est une chronologie, pas un classeur. Chaque pièce doit être rattachée à un client, à une date et à une décision. La conservation et la purge doivent être pilotées par la fin de la relation, et non par la mémoire de celui qui s’occupe des dossiers. C’est pourquoi nous réunissons CRM, vigilance, contrats, registre des mandats et journal d’audit dans un seul espace, avec un export à la demande.

Un conseil que nous donnons aux domiciliataires indépendants : choisissez dès aujourd’hui une durée par catégorie de pièce et écrivez-la. Un dispositif imparfait mais documenté vaut mieux qu’un dispositif intuitif que personne ne sait expliquer.

— Aimen

Outiller l’archivage avec Adryo

Adryo est le logiciel des sociétés de domiciliation agréées. Il rassemble le CRM des entreprises domiciliées, le dossier de vigilance, les bénéficiaires effectifs, les contrats avec signature électronique eIDAS, le registre des mandats et une piste d’audit horodatée exportable à tout moment. La tarification se fait au dossier, de façon dégressive, et les données sont hébergées en France. Si vous voulez voir comment un dossier KYC complet se présente, partez de la page d’accueil Adryo et de notre audit LCB-FT externalisé, qui décrit ce que votre logiciel doit produire.

Plan d’action en six étapes

1. Inventoriez les catégories de pièces que vous détenez : identité, justificatifs d’entreprise, analyse de risque, contrats, factures, échanges.
2. Associez à chaque catégorie une durée et une base légale, en distinguant l’obligation LCB-FT de la conservation comptable.
3. Enregistrez pour chaque dossier la date de début et, le cas échéant, de fin de relation.
4. Centralisez les pièces dans un seul espace horodaté, en abandonnant les copies locales.
5. Testez un export complet de dossier, comme pour un contrôle, en mesurant le temps nécessaire.
6. Planifiez la purge annuelle et gardez la trace de chaque opération.

Ce plan se met en place en quelques semaines pour un portefeuille de taille modeste. Pour un réseau multi-agences, le point critique est l’homogénéité : une seule structure de dossier pour toutes les agences, sinon l’archivage varie selon les sites.

FAQ

Combien de temps conserver les pièces KYC d’une entreprise domiciliée ?

Cinq ans à compter de la cessation de la relation d’affaires, selon l’article L. 561-12 du Code monétaire et financier. Tant que le client est domicilié, vous conservez tout. Après les cinq ans, prévoyez la suppression, sauf obligation distincte applicable à un document particulier.

Faut-il conserver une copie du K-bis et du registre des bénéficiaires effectifs ?

Oui, mais cela ne suffit pas. Le registre ne remplace pas votre propre vérification de l’identité des bénéficiaires effectifs. Conservez le justificatif consulté, sa date et la preuve de votre contrôle au moment de l’entrée en relation.

Peut-on archiver les pièces KYC sous forme numérique uniquement ?

Oui, à condition que les documents restent lisibles, datés, complets et exportables pour un contrôle. Privilégiez les fichiers natifs plutôt que des scans de mauvaise qualité, et gardez un historique des modifications.

Que risque-t-on à conserver les pièces trop longtemps ?

Un manquement au principe de minimisation du RGPD, sanctionnable par la CNIL. Le délai de cinq ans n’autorise pas une conservation illimitée. Une politique de purge écrite, appliquée et tracée est votre meilleure défense.

Sources

• Article L561-12 du Code monétaire et financier, Légifrance
• Titre VI du Code monétaire et financier, Légifrance
• Lignes directrices conjointes DGCCRF et Tracfin pour les sociétés de domiciliation
• Les lignes directrices signées par Tracfin, economie.gouv.fr
• Les obligations de vigilance, economie.gouv.fr
• Documentation Tracfin pour les professionnels de l’immobilier
• Conseil d’orientation de la lutte contre le blanchiment, registre des bénéficiaires effectifs
• Données personnelles et sécurité, Service-Public

Recommandations

• Mise à jour KYC : les obligations des domiciliataires en 202
• KYC association domiciliation : les obligations du domicilia
• Archivage probant eIDAS : ce que doit vérifier un domiciliat
• 3 preuves pour la conformité des droits d’accès des domicili