Externalisation et recours à des tiers sous l'AMLR : ce qui peut sortir de l'entreprise et ce qui doit y rester
L'article 18 fixe des limites strictes à l'externalisation des tâches LCB-FT ; les articles 48 et 49 encadrent le recours à des tiers obligés. Quelles tâches restent en interne, ce que les contrats doivent contenir et ce que les Lignes directrices prévues par l'AMLA ajouteront.
21 septembre 2026. Correction: the AMLA guidelines on outsourcing and on reliance are due by 10 July 2027 and have not been consulted yet. Statuses and dates in this article were aligned with AMLA's publications (regulatory instruments overview of 4 September 2026, Single Programming Document 2026-2028). AMLA has published no final guideline yet; where an EBA guideline exists on a topic it continues to apply until AMLA replaces it.
De nombreuses institutions font fonctionner une partie de leur dispositif LCB-FT via des centres de services de groupe ou des prestataires : vérification d'identité, filtrage, surveillance des transactions, voire traitement des dossiers. L'AMLR autorise l'externalisation, mais l'article 18 trace des lignes que certains dispositifs actuels franchissent.
Tâches qui ne peuvent pas être externalisées
L'évaluation des risques à l'échelle de l'entreprise, les fonctions de conformité (responsable de la conformité et préposé à la conformité), l'approbation des politiques et procédures, ainsi que les décisions sur le caractère suspect d'une transaction devant faire l'objet d'une déclaration, restent du ressort de l'entité obligée. Un prestataire peut préparer l'analyse ; la décision et la déclaration vous appartiennent.
Conditions de ce qui peut être externalisé
- Un accord écrit qui précise les tâches, les normes, le droit d'audit et l'accès du superviseur.
- L'entité obligée reste responsable et doit être en mesure de démontrer son contrôle : suivi des performances, signalement des incidents, plans de sortie.
- L'externalisation vers un prestataire situé dans un pays tiers requiert une attention particulière à la protection des données et à la capacité du superviseur à obtenir des informations.
- Le superviseur doit être informé lorsque le droit national l'exige.
Le recours à des tiers est différent de l'externalisation
En vertu des articles 48 et 49, une entité obligée peut s'appuyer sur la vigilance à l'égard de la clientèle (CDD) effectuée par une autre entité obligée, par exemple une banque s'appuyant sur l'identification réalisée par une autre banque. Le recours à des tiers est une relation entre deux entités obligées, toutes deux soumises à l'AMLR ; l'externalisation est une relation avec un prestataire de services agissant pour votre compte. Dans les deux cas, l'entité qui s'appuie sur un tiers ou qui externalise reste responsable, mais la documentation diffère : pour le recours à des tiers, les Lignes directrices sur le recours à des tiers préciseront ce que vous devez recevoir et à quel moment.
Projet de Lignes directrices de l'AMLA
Les Lignes directrices sur l'externalisation (article 18, paragraphe 8) et sur le recours à des tiers (article 50), toutes deux attendues pour le 10 juillet 2027 et pas encore mises en consultation, devraient fixer des attentes sur la vigilance à exercer avant de conclure l'arrangement, sur le risque de concentration lorsque de nombreuses institutions utilisent le même prestataire, et sur la conservation d'une copie du dossier client par l'entité qui s'appuie sur un tiers.
Que faire dès maintenant
- Inventorier chaque tâche LCB-FT exécutée par une entité du groupe ou un prestataire et la classer : interdite, externalisation, recours à des tiers, ou simple technologie.
- Remettre à jour les accords qui ne prévoient pas de droit d'audit ou d'accès du superviseur.
- S'assurer que la décision de déclarer une transaction suspecte est manifestement prise par votre propre personnel.
Le tableau de bord suit les deux Lignes directrices sous la rubrique Gouvernance ; l'outil de suivi de préparation comporte des blocs dédiés à l'externalisation et au recours à des tiers.