Coordination de la conformité multi-agences en domiciliation

Quand une société de domiciliation exploite plusieurs agences, la conformité ne se coordonne pas en additionnant les pratiques de chaque site. Elle se pilote depuis un référentiel commun : une même procédure de vigilance, un même dossier type, des registres consolidés et une piste d’audit que le responsable conformité peut exporter sans appeler les agences une à une. Cet article détaille comment y arriver, étape par étape, et ce qu’un contrôle de la préfecture, du greffe ou de Tracfin attend de vous.

TL;DR

• Une seule politique de vigilance, appliquée de la même façon dans toutes les agences, avec une approche fondée sur les risques par dossier et non par site.
• Un responsable conformité unique, des référents locaux, et des droits d’accès tracés pour chacun.
• Des registres (mandats, entreprises domiciliées) et un état semestriel consolidés, pas ressaisis agence par agence.
• Une piste d’audit horodatée, exportable à tout moment, pour prouver votre diligence en cas de contrôle.
• Un outil unique remplace l’empilement Excel, papier, facturation et signature : c’est ce que nous construisons avec Adryo.

Table des matières

• Pourquoi la multi-agence change la nature du risque
• Poser le cadre : une gouvernance à deux niveaux
• Une politique de vigilance unique, une application graduée
• Centraliser les données de conformité
• Maîtriser les accès et prouver ce qui s’est passé
• Se préparer à un contrôle sans réunir les agences
• Notre point de vue : coordonner, c’est supprimer les angles morts
• Ce que fait Adryo pour un réseau d’agences
• Plan de mise en route sur 90 jours
• Questions fréquentes
• Sources

Pourquoi la multi-agence change la nature du risque

Une agence isolée, gérée par une personne, a un défaut de conformité visible : un dossier incomplet, une vérification en retard. Un réseau a un défaut plus discret : l’hétérogénéité. Chaque agence a ses habitudes, son tableur, sa façon de classer les pièces, sa lecture de ce qui justifie une vigilance renforcée. Au moment d’un contrôle, le contrôleur ne juge pas l’agence de Lyon ou celle de Nantes : il juge la société titulaire de l’agrément.

Le cadre est bien posé. Les sociétés de domiciliation sont assujetties à la lutte contre le blanchiment et le financement du terrorisme, et l’agrément préfectoral conditionne l’exercice de l’activité, comme le rappelle une analyse des obligations LCB-FT et RGPD des domiciliataires. Côté greffe, le greffe du tribunal des activités économiques de Paris précise que le domiciliataire détient, pour chaque personne domiciliée, un dossier de pièces justificatives et que les références de son agrément figurent dans tous les contrats. Ces exigences s’appliquent à la société, quel que soit le nombre de sites qui les mettent en œuvre.

Les risques propres aux réseaux se regroupent en quatre familles :

1. Des critères de risque différents d’une agence à l’autre. Le même profil de client (association, société étrangère, bénéficiaire effectif exposé) est classé « standard » ici et « renforcé » là.
2. Des dossiers qui ne sont pas au même niveau de complétude. La vérification triennale est suivie dans un tableur local, ou pas suivie.
3. Des registres éclatés. Le registre des mandats et la liste des entreprises domiciliées existent en plusieurs versions.
4. Des accès mal maîtrisés. Un collaborateur muté ou parti conserve des droits sur des dossiers qui ne le concernent plus.

Poser le cadre : une gouvernance à deux niveaux

La coordination commence par une décision d’organisation, avant tout choix d’outil.

Le responsable conformité, point d’entrée unique

Une personne porte la politique LCB-FT pour l’ensemble du réseau. Elle valide la classification des risques, arbitre les cas limites et reste l’interlocuteur des autorités. Pour les déclarations de soupçon, Tracfin rappelle que le déclarant désigné auprès de lui doit être identifié en permanence, et que la déclaration se fait de bonne foi, avec une stricte confidentialité : on ne révèle pas l’existence d’une déclaration, même sur réquisition judiciaire. Dans un réseau, cela impose de décider qui déclare, et de ne pas laisser dix collaborateurs improviser devant un client suspect.

Les référents d’agence, relais de terrain

Chaque agence désigne un référent qui constitue les dossiers, relance les pièces manquantes et remonte les alertes. Il n’a pas pour autant la main sur les décisions de classification. Cette séparation est utile : le terrain collecte, la conformité décide.

Pour fixer les rôles, un tableau simple suffit :

Sur ce dernier point, la formation LCB-FT du personnel de domiciliation est un sujet à part entière : dans un réseau, la preuve que chaque collaborateur a été formé doit se retrouver au même endroit.

Une politique de vigilance unique, une application graduée

Le GAFI insiste sur l’approche fondée sur les risques : on n’applique pas la même vigilance à tous les clients, on adapte les mesures de connaissance du client à son profil de risque. La coordination multi-agences consiste à rendre cette adaptation reproductible, pas à la supprimer.

Concrètement, votre programme doit fixer, pour tout le réseau :

• les critères qui placent un dossier en vigilance simplifiée, standard ou renforcée ;
• les pièces exigées pour chaque niveau ;
• les listes à consulter (PPE, sanctions, pays à risque du GAFI) et leur fréquence ;
• les seuils d’escalade vers le responsable conformité.

Nous avons détaillé le contenu attendu dans notre article sur le programme de conformité LCB-FT. Pour les cas de figure qui divisent souvent les agences, deux lectures complémentaires : ce que la loi autorise vraiment en vigilance simplifiée, et les situations où il faut appliquer la vigilance renforcée. Les associations, par exemple, soulèvent des questions spécifiques que couvre notre page sur le KYC d’une association domiciliée.

Un exemple de dérive typique

Imaginons un réseau de trois agences. Une société dont le dirigeant est une personne politiquement exposée se présente dans l’agence A, qui consulte la liste PPE et classe le dossier en renforcé. La même situation arrive en agence C, dont le référent ne consulte aucune liste parce que « le client est connu ». Rien n’est illégal dans l’intention, mais le réseau n’est plus en mesure de démontrer qu’il applique une procédure. C’est précisément ce que la coordination doit empêcher : la décision ne dépend plus de la personne qui reçoit le client.

Centraliser les données de conformité

La centralisation n’est pas un luxe d’organisation. Elle est la condition pour consolider ce que les textes demandent de tenir à jour.

Le dossier de vigilance et la revue triennale

Le guide utilisateurs de Tracfin décrit la conformité comme un processus dynamique et non une vérification d’entrée : surveillance continue, identification actualisée des clients, screening PPE et sanctions mis à jour, et conservation d’une piste d’audit horodatée. Pour un réseau, la vue d’ensemble des échéances triennales est le meilleur indicateur de santé : combien de dossiers arrivent à échéance dans les 90 jours, par agence, et lesquels sont déjà en retard.

Les registres et l’état semestriel

Le registre des mandats et la liste des entreprises domiciliées sont les deux documents que le greffe attend en bon état. Quand chaque agence tient son propre fichier, l’état semestriel devient un exercice d’assemblage manuel, avec les erreurs qui vont avec : doublons, entreprises sorties mais encore listées, dates incohérentes. Consolider à la source supprime l’assemblage. Nous détaillons la méthode dans notre article sur l’automatisation de l’état semestriel.

Courrier, contrats, facturation

La conformité n’est pas isolée du reste de l’activité. Un contrat de domiciliation signé, dont l’agrément est mentionné, un courrier réceptionné et tracé, une facture émise sans ressaisie : ces éléments alimentent le même dossier. Si l’agence de Rennes facture dans un outil, signe dans un autre et suit le courrier sur papier, la preuve se disperse. Côté comptabilité, notre méthode d’export comptable sans ressaisie montre comment éviter une seconde saisie.

Maîtriser les accès et prouver ce qui s’est passé

Un réseau multiplie les utilisateurs, donc les risques d’accès inadaptés. Le guide de sécurité de la CNIL invite à déterminer les précautions au regard de la nature des données et des risques du traitement. Or un dossier de domiciliation contient des pièces d’identité, des justificatifs de domicile de dirigeants et des informations sur les bénéficiaires effectifs : des données sensibles au sens pratique du terme.

Trois principes opérationnels :

• Moindre privilège. Un collaborateur voit les dossiers de son agence, pas ceux du réseau, sauf rôle explicite.
• Journalisation. Les consultations, modifications et exports sont enregistrés. La CNIL recommande une conservation glissante des traces de l’ordre de 6 mois à 1 an dans son guide, à adapter à vos besoins de preuve.
• Revue périodique des droits. Départs, mutations et remplacements doivent entraîner une révision immédiate.

Notre article sur les trois preuves de conformité des droits d’accès donne une grille pour constituer ce dossier de preuve, et celui sur la protection des données en domiciliation fait le point sur les obligations RGPD du domiciliataire.

Se préparer à un contrôle sans réunir les agences

L’épreuve de vérité d’une coordination, c’est la demande de pièces. Si la préfecture, le greffe ou Tracfin vous sollicite, vous devez pouvoir répondre en quelques heures, pas en quelques semaines. Voici une routine réaliste.

1. Chaque mois, le responsable conformité consulte le tableau des échéances triennales et des dossiers incomplets, agence par agence.
2. Chaque trimestre, il contrôle un échantillon de dossiers par agence : pièces présentes, classification cohérente, screening daté.
3. Chaque semestre, il génère l’état semestriel consolidé et le compare avec le registre des mandats.
4. Chaque année, il revoit la politique de vigilance, met à jour la classification des risques et vérifie les preuves de formation.
5. À chaque alerte, il documente la décision (déclaration ou non), avec date et auteur.

Cette routine est une suggestion de méthode, pas une obligation réglementaire en tant que telle : les fréquences exactes de contrôle interne relèvent de votre programme et de votre analyse des risques. Pour toute question sur l’étendue de votre agrément lorsque vous ouvrez ou fermez un site, adressez-vous à la préfecture qui l’a délivré, car c’est elle qui apprécie votre situation. Le texte de référence sur l’agrément est le décret n° 2009-1695 du 30 décembre 2009 sur Légifrance.

Le chiffre qui explique la vigilance des autorités

Les déclarations de soupçon du secteur non financier, qui inclut les sociétés de domiciliation, ont progressé de 26 % en 2024 par rapport à 2023, selon le guide utilisateurs de Tracfin, et ce secteur pèse près de 7 % des informations reçues. Les professionnels sont donc de plus en plus impliqués : un réseau qui n’a jamais rien déclaré doit pouvoir expliquer pourquoi, dossiers à l’appui.

Notre point de vue : coordonner, c’est supprimer les angles morts

Nous parlons à des domiciliataires tous les jours, et la même situation revient : la conformité d’un réseau repose sur la bonne volonté de quelques personnes, chacune avec son tableur. Cela fonctionne tant que personne ne part, que personne ne se trompe et qu’aucun contrôle n’arrive. Aucune de ces trois conditions n’est tenable longtemps.

Notre conviction est que la coordination multi-agences se gagne en retirant des tâches manuelles plutôt qu’en ajoutant des procédures. Chaque ressaisie est un risque d’erreur et chaque fichier local est une version de plus de la vérité. C’est pourquoi Adryo réunit dans une seule plateforme le CRM des entreprises domiciliées, le dossier de vigilance, les contrats avec signature électronique eIDAS, le registre des mandats tenu automatiquement, le courrier, la facturation par prélèvements SEPA et l’état semestriel. Chaque action y est horodatée et exportable.

Nous ne prétendons pas qu’un logiciel remplace un responsable conformité. Il ne décide pas à sa place de déclarer ou non un soupçon. Il lui donne en revanche une vue fiable, des échéances qui ne se perdent pas et une preuve de ce qui a été fait, ce qui est exactement ce qu’un contrôleur cherche.

— Aimen

Ce que fait Adryo pour un réseau d’agences

Adryo est un logiciel destiné aux sociétés de domiciliation agréées : ce n’est pas un service de domiciliation, et les entreprises domiciliées n’y accèdent pas. Pour un réseau, il apporte la gestion multi-agences, les modèles de documents communs, la journalisation et l’audit exportables, ainsi que des intégrations par API. Les données sont hébergées en France, dans le respect du RGPD. La tarification se fait au dossier, avec un tarif dégressif selon le volume : un réseau qui grandit ne voit pas son coût unitaire grimper.

Vous pouvez parcourir l’ensemble des fonctionnalités d’Adryo ou découvrir la plateforme pour voir comment elle s’applique à votre organisation.

Plan de mise en route sur 90 jours

Passer d’un fonctionnement par agence à un fonctionnement coordonné se prépare. Un calendrier réaliste pour un réseau de trois à dix agences :

Jours 1 à 30 : l’état des lieux

Recensez les fichiers, outils et classeurs utilisés par chaque agence. Comptez les dossiers, repérez ceux dont les pièces manquent, listez les échéances triennales dépassées. Mettez par écrit la politique de vigilance unique et la classification des risques. À ce stade, ne cherchez pas à tout corriger : cherchez à mesurer.

Jours 31 à 60 : la bascule des données

Importez les dossiers dans la base commune, par agence pilote d’abord. Contrôlez les registres de mandats et la liste des entreprises domiciliées, supprimez les doublons, remettez les contrats dans un format unique. Définissez les rôles et les droits d’accès.

Jours 61 à 90 : la routine et la preuve

Lancez la revue mensuelle, formez les référents, générez un premier état semestriel consolidé et testez un export complet de piste d’audit, comme si un contrôleur le demandait. Si l’export est lisible et complet, votre coordination tient la route.

Questions fréquentes

Chaque agence doit-elle avoir son propre responsable conformité ?

Ce n’est pas nécessaire pour la coordination : un responsable conformité unique, appuyé par des référents locaux, offre une cohérence plus facile à démontrer. La désignation exacte doit rester conforme à votre organisation et à votre programme de conformité. En cas de doute sur la structure à retenir, rapprochez-vous de la préfecture et de votre conseil juridique.

Comment éviter que deux agences classent différemment le même client ?

Fixez des critères de classification écrits et communs, puis faites valider les cas limites par le responsable conformité. Un outil commun qui enregistre la classification, sa date et son auteur permet de repérer les écarts. C’est la logique de l’approche fondée sur les risques défendue par le GAFI : adapter la vigilance au profil, mais de façon reproductible.

Peut-on produire l’état semestriel pour tout le réseau en une seule fois ?

Oui, à condition que les registres soient tenus dans une base unique, sans fichiers parallèles par agence. C’est ce qui évite les ressaisies et les incohérences entre agences. Vérifiez toujours auprès de votre greffe le format attendu avant de transmettre.

Combien de temps faut-il conserver les journaux d’accès ?

Le guide de sécurité de la CNIL évoque une conservation glissante des traces de 6 mois à 1 an. Adaptez cette durée à vos besoins de preuve et à vos obligations de conservation propres, et documentez votre choix dans votre politique de protection des données.

Qui déclare à Tracfin dans un réseau multi-agences ?

La déclaration passe par la plateforme ERMES, et le déclarant doit être désigné auprès de Tracfin. Dans un réseau, mieux vaut un circuit unique : le référent d’agence remonte l’alerte, le responsable conformité décide et déclare. Aucune information sur l’existence de la déclaration ne doit être communiquée au client.

Sources

• Guide utilisateurs Tracfin (déclarations, ERMES, chiffres 2024)
• Fiche focus Tracfin : relations entre Tracfin et le déclarant
• Guide pratique RGPD de la CNIL, sécurité des données personnelles (2023)
• GAFI : guide d’approche fondée sur les risques pour les professions juridiques
• Greffe du tribunal des activités économiques de Paris : obligations des domiciliataires
• Décret n° 2009-1695 du 30 décembre 2009, Légifrance
• Société de domiciliation : obligations LCB-FT et RGPD

Recommandations

• KYC association domiciliation : les obligations du domicilia
• Protection des données domiciliation : les obligations 2026
• Programme de conformité LCB-FT : ce qu’il doit contenir en F
• Vigilance renforcée en domiciliation : quand et comment l’ap