Audit LCB-FT externalisé : ce que doit produire votre logiciel en cas de contrôle

Ici, l’audit LCB-FT externalisé désigne la piste d’audit et les exports générés par un logiciel SaaS, qui permettent à une société de domiciliation de produire des preuves horodatées et conformes lors d’un contrôle. Concrètement, il s’agit de disposer, à tout moment, d’un dossier exportable pour la préfecture ou pour Tracfin. Des plateformes comme Adryo répondent directement à ce besoin en structurant cette preuve dès la saisie du dossier.

En bref:

• Pour être conforme, la piste d’audit numérique doit contenir l’identifiant utilisateur, l’horodatage précis, le type d’opération et la référence du dossier concerné.
• La conservation des journaux d’audit doit rester entre six mois et un an, selon les recommandations de la CNIL, sauf justification spécifique.
• Un logiciel SaaS dédié facilite la gestion continue des dossiers, la traçabilité des activités et l’exportabilité pour répondre rapidement aux contrôles.
• La mise en place automatisée de la piste d’audit prend généralement entre deux semaines et trois mois, selon la taille et la complexité du portefeuille.
• Externaliser l’audit LCB-FT permet de réduire le temps de préparation, d’éviter les erreurs humaines et d’assurer une conformité juridique renforcée.

Table des matières

• Quelles obligations LCB-FT pèsent sur une société de domiciliation ?
• Quelles exigences techniques pour une piste d’audit fiable ?
• Comment un logiciel SaaS transforme la préparation au contrôle
• Checklist : quels fichiers préparer avant un contrôle
• Mettre en place une automatisation : étapes et délais réalistes
• Vigilance continue et vérification triennale : actualiser les profils clients
• Quels critères retenir pour choisir un prestataire logiciel
• Comment se déroule la mise en place concrète
• Externaliser l’audit LCB-FT via un logiciel : bénéfices et limites
• Cas pratiques : à quoi ressemble un contrôle bien préparé
• L’automatisation comme preuve de gouvernance
• Adryo : centraliser votre conformité LCB-FT au quotidien
• Questions fréquentes
• Sources

Quelles obligations LCB-FT pèsent sur une société de domiciliation ?

En tant que société de domiciliation agréée, vous êtes assujettie aux obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme en vertu de l’article L.561-2 du Code monétaire et financier, qui impose une vigilance constante sur vos clients domiciliés. Cette vigilance ne s’arrête pas à l’entrée en relation : elle se poursuit pendant toute la durée du contrat, avec une attention renforcée pour les personnes politiquement exposées.

Lors d’un contrôle préfectoral ou d’une demande de Tracfin, plusieurs éléments de preuve sont systématiquement attendus :

• Le dossier de vigilance complet, incluant l’identification du client et de ses bénéficiaires effectifs.
• Le registre des mandats à jour, avec historique des modifications.
• Les justificatifs de vérification triennale et les résultats du contrôle des sanctions et listes GAFI.
• Les états semestriels transmis au greffe.
• L’historique des déclarations de soupçon, lorsqu’elles ont été nécessaires.

Chacun de ces documents doit pouvoir être produit rapidement, sans reconstitution manuelle. Un domiciliataire qui doit fouiller dans des dossiers papier ou des fichiers Excel dispersés prend un risque réel face à un contrôleur qui attend une réponse en quelques jours, ce qui rend l’externalisation comptable à Lyon particulièrement pertinente pour organiser efficacement la gestion comptable.

Quelles exigences techniques pour une piste d’audit fiable ?

Une piste d’audit n’a de valeur que si elle répond à des critères techniques précis. La CNIL recommande de journaliser les opérations applicatives avec un niveau de détail suffisant pour reconstituer l’historique complet d’un dossier.

1. Identifiant de l’utilisateur ayant réalisé l’action, sans ambiguïté possible.
2. Horodatage précis de chaque opération, exprimé avec date et heure.
3. Type d’opération : création, consultation, modification ou suppression de données.
4. Référence de l’enregistrement concerné, pour relier le journal au dossier client correspondant.

Sur la durée de conservation, la CNIL recommande une fourchette de six mois à un an, sauf justification particulière imposant un allongement. Au-delà de la journalisation elle-même, la sécurité du dispositif compte autant : séparation des journaux des autres données applicatives, droits d’accès restreints aux seules personnes habilitées, mécanismes d’authentification robustes et garantie d’immutabilité une fois l’écriture effectuée. Un journal modifiable après coup perd toute valeur probante.

Conseil de pro : vérifiez que votre outil horodate aussi les consultations, pas seulement les modifications : un contrôleur demande parfois qui a consulté un dossier, pas seulement qui l’a édité.

Comment un logiciel SaaS transforme la préparation au contrôle

Les fonctionnalités d’une plateforme dédiée à la domiciliation changent concrètement la nature du travail de préparation. Plutôt que de reconstituer un dossier à la demande, le responsable conformité dispose d’une trace continue, déjà structurée.

• Le dossier de vigilance et le registre des mandats sont tenus automatiquement, sans ressaisie entre modules.
• La journalisation horodatée est exportable à tout moment, sous forme de preuve prête à être transmise.
• Les déclarations de soupçon suivent un circuit de validation (brouillon, relecture, validation par le déclarant habilité) qui laisse une trace de chaque étape.
• La signature électronique eIDAS et l’hébergement des données en France apportent une cohérence juridique à l’ensemble du dossier.

Une recommandation CNIL publiée en 2024 précise que la journalisation doit permettre de reconstituer l’historique de création, consultation, modification et suppression d’un dossier avec l’identifiant de son auteur. Cette exigence structure directement la façon dont un logiciel de domiciliation doit concevoir ses journaux.

Ce qui change concrètement pour un responsable conformité, c’est le passage d’une logique de reconstitution à une logique d’export. Au lieu de rassembler des preuves dispersées dans plusieurs outils, il génère un ensemble de documents déjà formatés, avec les métadonnées attendues. Cette bascule réduit le temps de préparation et limite le risque d’oubli d’une pièce justificative.

Checklist : quels fichiers préparer avant un contrôle

Avant toute inspection, un minimum de rigueur sur les exports évite les mauvaises surprises. Voici l’ordre de priorité à suivre :

1. Le dossier client complet, avec identification, bénéficiaires effectifs et historique des vérifications.
2. Le registre des mandats, incluant les dates de création et de modification.
3. Les journaux d’activité horodatés, couvrant la période demandée par le contrôleur.
4. Les contrats de domiciliation signés, avec preuve de signature électronique.
5. L’état semestriel transmis au greffe, pour justifier la tenue à jour des obligations déclaratives.

Privilégiez des formats exploitables comme le PDF pour les documents de synthèse et le CSV pour les journaux bruts, en incluant systématiquement les identifiants de dossier, les horodatages et l’auteur de chaque opération. Avant le jour J, effectuez un test d’export complet, vérifiez l’intégrité des fichiers produits et conservez-en une copie de sauvegarde distincte.

Mettre en place une automatisation : étapes et délais réalistes

La mise en place d’un dispositif automatisé suit généralement un enchaînement logique : un audit interne de l’existant, le paramétrage des journaux selon vos processus, la migration des dossiers historiques, la formation des équipes, puis une phase de tests d’export.

Pour une structure de taille modeste gérant un portefeuille limité de dossiers, ce cycle prend souvent de deux à six semaines. Une structure multi-agences, avec plusieurs sites et des historiques plus volumineux à reprendre, compte plutôt en mois, généralement deux à trois.

Avant toute inspection programmée, quelques vérifications s’imposent : un test d’export grandeur réelle, une revue des droits d’accès pour s’assurer qu’ils correspondent toujours aux fonctions de chacun, et, si le traitement de données personnelles le justifie, une analyse d’impact relative à la protection des données.

Vigilance continue et vérification triennale : actualiser les profils clients

La conformité LCB-FT ne se limite pas à un contrôle ponctuel à l’entrée en relation. Les autorités attendent une approche fondée sur les risques, où le profil de chaque client domicilié est réévalué en continu plutôt que figé après la première vérification. Les lignes directrices sur les sociétés de domiciliation insistent sur une gestion active du risque, qui suppose une supervision continue et une priorisation selon le niveau d’exposition de chaque dossier.

Concrètement, cela signifie qu’un client présentant un profil de risque élevé, par exemple une activité dans un secteur sensible ou des flux financiers inhabituels, doit faire l’objet d’une attention plus fréquente qu’un client à faible risque. La vérification triennale constitue le filet de sécurité minimal, mais elle ne dispense pas d’une actualisation dès qu’un signal mérite d’être examiné, qu’il s’agisse d’un changement de dirigeant, d’une modification de l’objet social ou d’un mouvement financier atypique.

Un logiciel de domiciliation utile sur ce point ne se contente pas de rappeler une échéance triennale. Il doit permettre d’enregistrer la justification de chaque mise à jour du profil de risque, de sorte que l’historique des décisions reste traçable. Cette traçabilité a une double fonction : elle facilite le travail quotidien du responsable conformité et elle constitue, en cas de contrôle, la preuve qu’une analyse a bien été menée, et pas seulement une collecte de documents.

Quels critères retenir pour choisir un prestataire logiciel

Le choix d’une plateforme pour outiller votre conformité LCB-FT repose sur quelques critères concrets, au-delà de l’argument commercial. La capacité à produire des exports dans un format exploitable arrive en tête : les lignes directrices de l’ACPR sur les obligations Tracfin rappellent qu’un contrôle est plus efficace lorsque les flux sont remis sous une forme traitable plutôt que sous forme de captures d’écran ou de documents non structurés.

Vérifiez ensuite que la solution couvre l’ensemble du cycle de vie du dossier : identification initiale, vigilance continue, vérification triennale, et pas seulement l’étape d’entrée en relation. L’hébergement des données en France et la conformité RGPD méritent également une vérification directe, de même que la capacité à générer un registre des mandats automatiquement, sans ressaisie manuelle à chaque modification contractuelle.

Un autre critère souvent négligé concerne les workflows de déclaration de soupçon. Un bon outil doit permettre une rédaction en brouillon, une relecture, puis une validation par le déclarant habilité, avec traçabilité de chaque étape. Cette structuration protège autant le déclarant que l’entreprise. Enfin, la tarification doit correspondre à votre volume réel de dossiers plutôt qu’à un forfait rigide : une tarification dégressive au dossier reste plus adaptée pour une société de domiciliation en croissance que pour un abonnement figé.

Comment se déroule la mise en place concrète

La mise en place d’un dispositif d’audit LCB-FT externalisé via un logiciel SaaS suit un déroulé assez similaire d’une structure à l’autre, même si le rythme varie selon la taille du portefeuille de dossiers.

La première étape consiste à cartographier l’existant : quels documents sont actuellement dispersés entre Excel, papier et logiciels de facturation, et quelles lacunes apparaissent dans la piste d’audit actuelle. Cette cartographie permet de prioriser la migration vers l’outil choisi.

La migration des dossiers historiques suit, avec une attention particulière portée à l’intégrité des données transférées : un historique mal importé fragilise la piste d’audit dès le départ.

La formation des équipes constitue une étape souvent sous-estimée. Un outil puissant ne sert à rien si les collaborateurs continuent à gérer certains dossiers en parallèle sur des fichiers externes. Enfin, une phase de tests d’export grandeur réelle permet de vérifier que les documents produits correspondent effectivement à ce qu’un contrôleur attendrait, avant la première utilisation en situation réelle.

Externaliser l’audit LCB-FT via un logiciel : bénéfices et limites

L’automatisation de la piste d’audit via une plateforme SaaS apporte des bénéfices tangibles, mais elle comporte aussi des limites qu’il convient de connaître avant de basculer.

Du côté des avantages, le premier gain concerne le temps de préparation aux contrôles. Au lieu de reconstituer un dossier à la demande, les exports sont disponibles en continu. Le deuxième avantage tient à la réduction des erreurs humaines : une ressaisie manuelle entre plusieurs outils augmente mécaniquement le risque d’incohérence entre le registre des mandats, la facturation et le dossier de vigilance. Le troisième avantage touche à la cohérence juridique de l’ensemble, avec une signature électronique eIDAS et un hébergement en France qui simplifient la démonstration de conformité RGPD.

Les limites existent aussi. Un logiciel ne remplace pas le jugement professionnel du responsable conformité sur la qualification d’un soupçon ou l’évaluation d’un risque atypique. La qualité de la piste d’audit dépend également de la rigueur avec laquelle les équipes alimentent l’outil au quotidien : un système bien conçu mais mal utilisé produit une preuve incomplète. Enfin, la migration d’un historique volumineux depuis des outils disparates demande un effort initial réel, qui ne doit pas être sous-estimé lors du choix d’un prestataire.

Cas pratiques : à quoi ressemble un contrôle bien préparé

Prenons le cas d’une société de domiciliation qui reçoit une demande de contrôle préfectoral avec un délai court. Lorsque le dossier de vigilance, le registre des mandats et les journaux horodatés sont déjà centralisés, la réponse consiste à générer un export plutôt qu’à reconstruire un historique à partir de fichiers dispersés. Le gain de temps se mesure directement sur la réactivité face au contrôleur.

Un autre cas fréquent concerne la déclaration de soupçon. Lorsqu’un signal apparaît sur un dossier, par exemple un changement brutal dans l’activité déclarée d’un client, le circuit de validation interne (rédaction, relecture, validation par le déclarant habilité) laisse une trace complète de la décision prise. Cette traçabilité sert de preuve de gouvernance si la pertinence de la déclaration, ou de l’absence de déclaration, est questionnée ultérieurement.

Enfin, le cas d’une structure multi-agences illustre bien l’intérêt d’une plateforme centralisée : chaque agence alimente le même dossier de vigilance et le même registre des mandats, ce qui évite les divergences entre sites lors d’un contrôle qui porterait sur plusieurs implantations simultanément.

L’automatisation comme preuve de gouvernance

La piste d’audit n’est pas qu’une formalité technique : elle devient, en cas de contestation, la preuve qu’une gouvernance sérieuse a été mise en œuvre. Un responsable conformité qui peut montrer quand et comment un profil de risque a été actualisé se trouve en meilleure position face à un contrôleur ou, dans les cas les plus sensibles, face à une procédure.

L’automatisation facilite aussi la qualité des déclarations transmises à Tracfin, en structurant la réflexion en amont plutôt qu’en réaction à l’urgence. Un dossier bien tenu rend l’analyse fondée sur les risques plus naturelle, parce que l’historique des signaux reste visible au lieu de se perdre dans des échanges dispersés.

— Aimen

Adryo : centraliser votre conformité LCB-FT au quotidien

Nous avons conçu une plateforme pour piloter l’activité des sociétés de domiciliation agréées sans jongler entre Excel, papier, logiciel de facturation et outil de signature séparé. Notre approche consiste à réunir dans un seul espace le dossier de vigilance, la vérification triennale, le registre des mandats tenu automatiquement, la signature électronique eIDAS et l’hébergement des données en France.

• Le dossier de vigilance et le screening PPE restent à jour sans ressaisie entre modules.
• La piste d’audit horodatée s’exporte à tout moment, pour préparer un contrôle préfectoral ou une demande de Tracfin.
• L’état semestriel destiné au greffe se génère directement depuis les données déjà saisies.

Notre objectif reste simple : vous aider à sécuriser votre agrément préfectoral avant chaque échéance, avec une tarification qui s’ajuste à votre volume réel. Pour voir comment Adryo s’intègre à votre organisation, vous pouvez découvrir la plateforme et demander une démonstration.

Questions fréquentes

Qu’est-ce qu’un audit LCB-FT externalisé pour une société de domiciliation ?

Dans ce contexte, il s’agit de la piste d’audit et des exports produits par un logiciel SaaS dédié, qui permettent de documenter la conformité LCB-FT sans reconstitution manuelle. Ces éléments couvrent le dossier de vigilance, le registre des mandats et les journaux horodatés.

Combien de temps conserver les journaux d’audit LCB-FT ?

La CNIL recommande une durée de conservation comprise entre six mois et un an, sauf justification particulière imposant un allongement. Cette durée s’applique aux journaux d’opérations applicatives, pas aux documents contractuels eux-mêmes.

Quelles informations doit contenir une piste d’audit conforme ?

Un journal exploitable doit enregistrer l’identifiant de l’utilisateur, l’horodatage précis, le type d’opération réalisée et la référence du dossier concerné. Ces éléments permettent de reconstituer l’historique complet d’un dossier en cas de demande, conformément aux recommandations de la CNIL.

Comment transmettre une déclaration de soupçon à Tracfin ?

Les déclarations de soupçon se préparent et se transmettent via la plateforme sécurisée ERMES, gérée par Tracfin.

Combien coûte une solution comme Adryo pour gérer sa conformité LCB-FT ?

Vous pouvez consulter la page produit pour obtenir le détail adapté à votre structure.

Sources

• Legifrance - Code monétaire et financier (articles L.561‑2, L.561‑6, L.561‑10)
• CNIL — Tracer les opérations
• Solutions Numériques — La CNIL publie une recommandation relative aux mesures de journalisation