Vérification triennale LCB-FT : ce que doit vérifier un responsable conformité

La vérification triennale LCB-FT exige que vous ayez revu et justifié, selon une approche par le risque, les dossiers clients conservés dans vos registres. Elle s’appuie sur les articles L.561 du code monétaire et financier et sur l’arrêté du 21 décembre 2018. L’action prioritaire reste simple : actualiser en premier les dossiers à risque élevé, avant que TRACFIN ou votre superviseur ne les examine.

En bref:

• La vérification triennale doit prioritairement actualiser les dossiers à risque élevé, notamment en cas de signaux d’alerte sur la déviance de l’activité ou des flux financiers.
• La fréquence de révision dépend du risque réel du client, pouvant aller de une fois par an à plusieurs années, en s’appuyant sur une approche par le risque plutôt qu’un calendrier fixe.
• La preuve de conformité repose sur une documentation horodatée précise de chaque étape, avec un suivi rigoureux des pièces d’identité, bénéficiaires et justificatifs, pour faciliter le contrôle.
• En cas de client injoignable ou inactif, il faut multiplier les relances documentées et envisager la rupture de relation si l’impossibilité de vérification persiste, accompagnée d’une déclaration de suspicion à TRACFIN si nécessaire.
• Utiliser une plateforme centralisée comme Adryo permet d’automatiser la gestion des preuves, la traçabilité horodatée et l’organisation des documents pour respecter les exigences de la vérification triennale.

Table des matières

• Qui est assujetti et quel est le périmètre de la vérification triennale
• Approche par les risques ou règle fixe : comment calibrer la méthode
• Checklist opérationnelle et preuves à conserver
• Que faire si le client ne répond pas ou reste injoignable
• TRACFIN, ERMES, QLB : les canaux de déclaration à connaître
• Adapter la fréquence de révision au profil de risque réel
• Ce qu’il faut vérifier concrètement, dossier par dossier
• Ce qui se passe quand un dossier n’est jamais mis à jour
• Organiser la vérification triennale sans la subir
• Comment Adryo centralise la preuve de conformité LCB-FT
• Questions fréquentes
• Sources

Qui est assujetti et quel est le périmètre de la vérification triennale

Le code monétaire et financier liste des catégories étendues de professionnels assujettis, du secteur financier classique (banques, établissements de paiement, assureurs) aux professions non financières qui manipulent des flux sensibles : notaires, experts-comptables, agents immobiliers, sociétés de domiciliation, marchands de biens de valeur. Chaque catégorie applique les mêmes principes de vigilance, mais les seuils et les modalités varient selon l’activité.

Un repère revient souvent dans la pratique : un seuil monétaire spécifique, qui déclenche des obligations renforcées d’identification pour les clients occasionnels dans plusieurs secteurs. Les domiciliataires d’entreprises, par exemple, doivent vérifier l’identité et l’activité réelle de chaque société domiciliée dès l’entrée en relation, puis maintenir ce dossier à jour pendant toute la durée du contrat. Les notaires appliquent une logique comparable sur les transactions immobilières, avec des vérifications renforcées sur l’origine des fonds.

Approche par les risques ou règle fixe : comment calibrer la méthode

Le terme « triennale » prête souvent à confusion. Aucun texte n’impose une révision mécanique tous les trois ans pour tous les clients : les extraits législatifs du code monétaire et financier placent l’approche par le risque au centre du dispositif, ce qui signifie qu’un client à risque élevé peut nécessiter une revue annuelle, tandis qu’un client à risque faible peut raisonnablement attendre l’échéance de trois à cinq ans.

Trois éléments doivent être révisés systématiquement lors de chaque mise à jour : l’identité du client et de ses représentants, l’identification des bénéficiaires effectifs, et la cohérence entre l’activité déclarée et les opérations réellement observées. Un changement de dirigeant, une activité qui dévie du profil initial ou des flux financiers incohérents avec le secteur d’activité sont des signaux qui doivent déclencher une revue immédiate, sans attendre l’échéance planifiée. Le rapport TRACFIN 2024 rappelle que ces signaux d’alerte évoluent avec les typologies de fraude observées sur le terrain, ce qui justifie une veille active plutôt qu’une grille figée.

Checklist opérationnelle et preuves à conserver

Un contrôle réussi repose moins sur la mémoire du dossier que sur la capacité à produire une preuve documentée de chaque étape. Les éléments suivants constituent le socle minimal à conserver pour chaque client :

• Copie des pièces d’identité en cours de validité et extrait KBis à jour pour les personnes morales.
• Registre des bénéficiaires effectifs avec les justificatifs de la chaîne de détention du capital.
• Contrat signé et ses avenants, y compris les justificatifs d’adresse et de domiciliation le cas échéant.
• Historique des paiements et justificatifs associés, utiles pour vérifier la cohérence des flux.
• Trace écrite de chaque relance effectuée auprès du client et de sa réponse.

Conseil de pro : classez chaque document avec un horodatage précis, car c’est l’absence de date vérifiable, plus que l’absence du document lui-même, qui pose problème lors d’un contrôle.

La piste d’audit horodatée reste l’élément le plus scruté lors d’une inspection : elle doit permettre de reconstituer, document par document, qui a vérifié quoi et quand. Pour les sociétés de domiciliation, l’état semestriel destiné au greffe constitue un autre jalon de preuve, puisqu’il formalise périodiquement la liste des sociétés domiciliées et leur statut. Un export structuré, prêt à être transmis en cas de demande, évite de reconstituer dans l’urgence un historique dispersé entre plusieurs outils.

Que faire si le client ne répond pas ou reste injoignable

L’obligation de mise à jour est active, pas seulement procédurale : conserver une procédure écrite ne suffit pas si aucune relance documentée n’a été tentée. Face à un client qui ne répond pas, la pratique attendue consiste à multiplier les canaux de contact, à consigner chaque tentative, puis à graduer la réponse.

Les principes d’application sectoriels de l’ACPR et de la DGDDI rappellent que l’impossibilité de vérifier l’identité ou la connaissance client peut conduire à ne pas exécuter l’opération, voire à rompre la relation d’affaires. Si un client domicilié reste inactif pendant une durée significative après sa dernière opération, cela peut justifier la cessation de la relation. Lorsque l’incohérence porte sur l’origine des fonds ou l’activité réelle, la rupture doit s’accompagner d’une déclaration de soupçon auprès de TRACFIN, préparée avec les éléments factuels collectés, jamais sur une simple suspicion non étayée.

TRACFIN, ERMES, QLB : les canaux de déclaration à connaître

Trois canaux structurent la remontée d’information vers les autorités. ERMES est la plateforme TRACFIN qui permet aux professionnels assujettis de déposer une déclaration de soupçon et de répondre aux demandes formelles de communication, l’inscription nécessitant des justificatifs attestant de l’appartenance à une catégorie professionnelle listée par le code monétaire et financier.

Pour les secteurs banque et assurance, le questionnaire LCB-FT, connu sous le sigle QLB, fait l’objet d’une FAQ détaillée publiée par l’ACPR, qui précise les modalités de remise via la plateforme ONEGATE et les points de vigilance attendus dans les réponses. Le rapport de contrôle interne dédié, encadré par l’arrêté du 21 décembre 2018, complète ce dispositif.

Dans la pratique, trois réflexes limitent les mauvaises surprises :

• Vérifier chaque année que l’accès ERMES de votre structure reste actif et à jour.
• Préparer le QLB en amont de l’échéance ONEGATE plutôt qu’au dernier moment.
• Aligner le contenu du rapport de contrôle interne sur le canevas prévu par l’arrêté, poste par poste.

Adapter la fréquence de révision au profil de risque réel

Deux logiques coexistent souvent dans les dispositifs de conformité, et leur confusion génère la majorité des lacunes constatées en contrôle. La première consiste à traiter la vérification triennale comme une échéance calendaire uniforme, appliquée indifféremment à tous les dossiers. La seconde, celle que les textes privilégient, consiste à faire varier la fréquence selon le risque réel que représente chaque client.

Un client à risque élevé, par exemple une société dont l’activité touche des zones géographiques sensibles ou des flux financiers atypiques, justifie une révision annuelle, voire plus fréquente si des signaux d’alerte apparaissent. Un client à risque faible, avec une activité stable et des flux cohérents, peut attendre l’échéance de cinq ans sans manquement. La classification initiale du risque, effectuée à l’entrée en relation, doit donc rester vivante : elle évolue avec chaque nouvelle information disponible, pas seulement lors de la revue planifiée.

Les équipes de conformité qui gèrent cette variabilité manuellement s’exposent à un risque opérationnel concret : un tableur ne relance personne, et un dossier à risque élevé classé par erreur dans la file triennale standard peut rester sans contrôle pendant trois ans. C’est précisément ce que la doctrine administrative sanctionne, puisqu’un dispositif jugé passif, même formellement conforme sur le papier, ne satisfait pas l’exigence de vigilance continue.

Ce qu’il faut vérifier concrètement, dossier par dossier

Au-delà de la liste des documents à conserver, la vérification triennale suppose un contrôle de cohérence entre plusieurs sources. Pour chaque dossier, trois questions structurent l’examen : les pièces d’identité et l’extrait KBis sont-ils toujours valides, l’identité des bénéficiaires effectifs correspond-elle toujours à la structure capitalistique réelle, et l’activité observée dans les flux correspond-elle à l’activité déclarée à l’entrée en relation.

Pour une société de domiciliation, cet examen porte aussi sur la réalité de l’adresse utilisée et sur la cohérence entre le nombre de sociétés domiciliées et la capacité d’accueil déclarée en préfecture. Un KBis qui mentionne une activité radicalement différente de celle initialement présentée, ou un bénéficiaire effectif qui a changé sans notification, constituent des écarts à documenter immédiatement, indépendamment de l’échéance triennale.

La difficulté pratique tient souvent moins à la définition des critères qu’à leur application homogène sur plusieurs centaines de dossiers répartis dans des outils différents : un tableur pour le suivi des échéances, une boîte mail pour les relances, un classeur papier pour les justificatifs. Cette dispersion rend la preuve de diligence difficile à reconstituer en cas de contrôle, alors que l’enjeu n’est pas seulement d’avoir vérifié, mais de pouvoir le démontrer avec une trace datée.

Ce qui se passe quand un dossier n’est jamais mis à jour

L’absence de mise à jour n’est pas une simple négligence administrative : elle expose le professionnel assujetti à deux types de conséquences distinctes. La première touche la relation commerciale elle-même. Lorsque les informations nécessaires ne peuvent être obtenues malgré les relances, les principes d’application sectoriels de l’ACPR et de la DGDDI indiquent que l’opération ne doit pas être exécutée, et que la relation d’affaires peut devoir être rompue.

La seconde conséquence concerne l’obligation déclarative. Lorsque l’absence de mise à jour coïncide avec des éléments objectifs de suspicion, comme une activité incohérente ou des flux inexpliqués, la rupture de la relation ne suffit pas : une déclaration de soupçon doit être adressée à TRACFIN via la plateforme ERMES, avec les éléments factuels qui ont motivé la décision. Ignorer cette étape expose la structure à une responsabilité propre, distincte de celle du client défaillant.

Au-delà du cas individuel, un dossier non mis à jour pendant une période prolongée devient également un point de faiblesse structurel lors d’un contrôle de l’autorité compétente, car il révèle l’absence de processus actif de suivi plutôt qu’un simple incident isolé.

Organiser la vérification triennale sans la subir

La plupart des structures découvrent les lacunes de leur dispositif au moment du contrôle, pas avant. Trois priorités changent cette dynamique : automatiser les relances dès l’entrée en relation, réviser la classification de risque à chaque signal plutôt qu’à date fixe, et documenter chaque décision de maintien ou de rupture avec les éléments factuels qui l’ont motivée. Cette discipline demande une coordination constante avec le contrôle interne, pas seulement une procédure écrite.

— Aimen

Comment Adryo centralise la preuve de conformité LCB-FT

Pour une société de domiciliation, la vérification triennale touche plusieurs fonctions à la fois : le dossier de vigilance, le registre des bénéficiaires effectifs, le contrat signé, les relances envoyées et les preuves de paiement. Adryo réunit ces éléments dans une seule plateforme plutôt que de les répartir entre un tableur, une boîte mail et un logiciel de facturation séparé.

Certaines plateformes tiennent à jour un registre automatisé des mandats, génèrent une piste d’audit horodatée exportable à tout moment, et produisent l’état semestriel attendu par le greffe sans ressaisie manuelle. Les données peuvent être hébergées en France, dans un cadre conforme au RGPD, ce qui facilite la réponse à une demande de l’autorité de contrôle sans reconstitution d’historique dans l’urgence. Pour les cabinets d’expertise comptable qui gèrent cette charge en parallèle de leur activité principale, des services de sous-traitance comme ceux proposés par Francotraitance peuvent compléter l’organisation du contrôle interne. La page produit Adryo détaille les fonctionnalités disponibles pour les sociétés de domiciliation agréées.

Questions fréquentes

Quels sont les contrôles qui s’appliquent au dispositif de LCB-FT ?

Le contrôle porte sur l’identification client, la vigilance continue et la tenue du rapport de contrôle interne prévu par l’arrêté du 21 décembre 2018.

Quel est le délai autorisé pour le traitement d’une liste LCB-FT ?

Les textes n’imposent pas un délai fixe unique applicable à toutes les listes : le délai de traitement dépend du niveau de risque identifié et de la nature de la demande, qu’il s’agisse d’un criblage initial ou d’une alerte en cours de relation. L’approche par le risque, rappelée par les articles du code monétaire et financier, guide la priorisation plutôt qu’un calendrier figé.

Quelle est la réglementation LCB-FT et comment est-elle appliquée en France ?

La réglementation LCB-FT repose sur les articles du code monétaire et financier consacrés à la lutte contre le blanchiment, complétés par des arrêtés sectoriels comme celui du 21 décembre 2018 pour les rapports de contrôle interne. Son application est assurée par plusieurs autorités selon le secteur, avec TRACFIN comme destinataire central des déclarations de soupçon via la plateforme ERMES.

Quelle est la nouvelle directive LCB-FT ?

Le cadre européen de lutte contre le blanchiment continue d’évoluer, mais les obligations concrètes pour les professionnels assujettis en France restent fixées par le code monétaire et financier et ses textes d’application. Les évolutions réglementaires se traduisent généralement par des mises à jour des guides méthodologiques, comme ceux publiés par l’ACPR sur le questionnaire LCB-FT, plutôt que par un changement brutal du dispositif existant.

Sources

L’obligation de vigilance continue trouve sa source dans les articles du code monétaire et financier consacrés à la lutte contre le blanchiment, qui imposent une identification, une vérification d’identité et une actualisation régulière des informations détenues sur chaque client. Ces textes ne fixent pas un calendrier rigide : ils demandent une diligence proportionnée au risque, ce qui laisse aux professionnels assujettis une marge d’appréciation tant que la méthode reste documentée.

Pour les secteurs supervisés par l’ACPR, le canevas du rapport annuel est précisé par l’arrêté du 21 décembre 2018, qui structure le contenu attendu du rapport de contrôle interne dédié à la LCB-FT. Le rapport d’activité 2024 de TRACFIN détaille vingt et un cas typologiques qui aident à calibrer les critères d’alerte internes.

• ERMES - Mentions (Tracfin)
• Principes d’application sectoriels ACPR-DGDDI (opérations sur or et métaux précieux)