Ce qui change le 10 juillet 2027 : l'AMLR en dix obligations

Le 10 juillet 2027, le règlement (UE) 2024/1624, le règlement anti-blanchiment (AMLR), commence à s'appliquer dans chaque État membre. Contrairement aux directives qu'il remplace, il n'a pas besoin de transposition : le même texte lie une banque à Lisbonne, un bureau de trust à Amsterdam et un prestataire de services sur crypto-actifs à Vilnius. Le droit national ne disparaît pas, mais il se réduit à ce que la sixième directive anti-blanchiment (AMLD6) laisse aux États membres : la surveillance, la cellule de renseignement financier (FIU), les registres et les sanctions.

La plupart des règles détaillées sont encore en cours de rédaction. L'AMLA, la nouvelle Autorité de lutte contre le blanchiment de capitaux, rédige les normes techniques de réglementation (RTS), les normes techniques d'exécution (ITS) et les orientations qui complètent l'AMLR, et plusieurs d'entre elles sont en consultation ou viennent d'en sortir. Ce n'est pas une raison pour attendre : les obligations ci-dessous découlent du texte de niveau 1 lui-même. Voici les dix qui changent le plus pour une entité assujettie, avec l'article à lire et une première mesure à prendre.

1. Un gestionnaire de la conformité au niveau de l'organe de direction (article 11)

L'AMLR exige deux fonctions. Un gestionnaire de la conformité est un membre de l'organe de direction responsable de la mise en œuvre de l'AMLR ; un responsable de la conformité gère le programme au quotidien et fait rapport à l'organe de direction au moins une fois par an. De nombreuses entreprises disposent de la seconde fonction mais pas de la première. Le gestionnaire de la conformité doit être identifiable, doit avoir le mandat d'agir, et les autorités de surveillance chercheront la preuve que l'organe de direction reçoit et discute effectivement les rapports.

Première mesure : désigner le gestionnaire de la conformité dans les documents de gouvernance et inscrire un rapport annuel LCB au calendrier du conseil.

2. Une évaluation des risques à l'échelle de l'entreprise qui vit (article 10)

L'évaluation des risques à l'échelle de l'entreprise cesse d'être un document que l'on actualise une fois par an. Elle doit être documentée, tenue à jour, proportionnée à l'activité et mise à la disposition de l'autorité de surveillance, et elle pilote les politiques, procédures et contrôles de l'article 9. L'AMLA a consulté des orientations sur la manière de procéder jusqu'au 15 juillet 2026 et prévoit de les publier au quatrième trimestre 2026 ; l'orientation retenue est une évaluation des risques qui évolue lorsque l'activité évolue : un nouveau produit, un nouveau pays, un nouveau canal de distribution.

Première mesure : rapprocher chaque produit, type de client, pays et canal de l'évaluation actuelle et noter les points sur lesquels elle est muette.

3. Une vigilance à l'égard de la clientèle avec un jeu de données fixe (articles 19 à 22)

L'AMLR précise quelles données d'identité doivent être recueillies pour les personnes physiques et morales et comment elles peuvent être vérifiées, y compris par identification électronique et, à terme, via le portefeuille européen d'identité numérique. Les transactions occasionnelles déclenchent la vigilance au-delà de seuils fixes. Les RTS sur la vigilance à l'égard de la clientèle au titre de l'article 28 préciseront les sources ainsi que les mesures simplifiées et renforcées ; l'EBA a consulté un premier projet en 2025, l'AMLA a reconsulté son propre projet jusqu'au 8 mai 2026 et le finalise.

Première mesure : comparer les champs de vos formulaires d'entrée en relation et de vos systèmes centraux avec la liste de l'article 22.

4. Un seuil unique de bénéficiaire effectif (articles 51 à 56)

La détention de 25 % ou plus des actions ou des droits de vote fait d'une personne physique un bénéficiaire effectif, de même que le contrôle par d'autres moyens. Les structures à plusieurs niveaux doivent être retracées à travers chaque niveau ; lorsqu'aucun bénéficiaire effectif ne peut être identifié après épuisement de tous les moyens raisonnables, les membres de la direction générale sont enregistrés, avec le motif. L'article 24 ajoute l'obligation de consulter le registre et de signaler les divergences.

Première mesure : identifier les clients pour lesquels votre seuil ou votre méthode actuels diffèrent et planifier une vague de re-vérification.

5. Une vigilance renforcée pour les grands patrimoines privés (article 34)

Les clients, ou bénéficiaires effectifs, disposant d'un patrimoine d'au moins 50 millions d'euros ou d'actifs sous gestion d'au moins 5 millions d'euros entraînent des mesures renforcées : origine du patrimoine, approbation d'un niveau élevé de la hiérarchie et suivi plus étroit. Les relations de correspondant avec des prestataires de services sur crypto-actifs (article 37), les transactions avec des adresses auto-hébergées (article 38) et les pays tiers à haut risque identifiés par la Commission (article 29) s'accompagnent également de mesures renforcées spécifiques.

Première mesure : signaler les clients qui atteignent les seuils de patrimoine et d'actifs ; les unités de banque privée et de gestion de patrimoine les connaissent généralement mais les marquent rarement.

6. Les personnes politiquement exposées pendant douze mois après la fin des fonctions (articles 42 à 45)

L'AMLR définit les fonctions publiques importantes, impose aux États membres et aux institutions de l'UE d'en publier des listes, et maintient des mesures fondées sur les risques pendant au moins douze mois après qu'une personne a quitté ses fonctions. Les membres de la famille et les personnes connues pour être étroitement associées restent couverts comme auparavant.

Première mesure : vérifier si votre filtrage des PPE peut appliquer une levée du statut de PPE limitée dans le temps plutôt qu'une décision manuelle.

7. Le filtrage des sanctions comme élément de la vigilance (article 27)

Vérifier si un client ou un bénéficiaire effectif fait l'objet de sanctions financières ciblées de l'UE devient une mesure explicite de vigilance à l'égard de la clientèle, à l'entrée en relation et lorsque les listes changent. Pour la plupart des établissements financiers, c'est une pratique existante ; pour les prestataires de services professionnels et les négociants en biens, c'est souvent nouveau.

Première mesure : confirmer que le filtrage couvre les bénéficiaires effectifs, et non seulement la partie contractante.

8. La déclaration de soupçon, sur un modèle commun (article 69 et les ITS)

Les entités assujetties déclarent à la FIU lorsqu'elles savent, soupçonnent ou ont des motifs raisonnables de soupçonner un blanchiment de capitaux ou un financement du terrorisme. Pour les établissements néerlandais, cela remplace le modèle de déclaration des transactions inhabituelles fondé sur des indicateurs de la Wwft. Les ITS sur le modèle de déclaration normaliseront le format ; les scénarios de surveillance des transactions calibrés sur des indicateurs devront être recalibrés sur le soupçon.

Première mesure : dresser la liste des scénarios et typologies qui sous-tendent vos déclarations actuelles et se demander lesquels décrivent un soupçon.

9. Externalisation et recours à des tiers avec des limites strictes (articles 18, 48 et 49)

Des tâches peuvent être externalisées, mais pas l'évaluation des risques à l'échelle de l'entreprise, les fonctions de conformité ni les décisions relatives aux transactions suspectes. Le recours aux mesures de vigilance d'une autre entité assujettie reste possible, l'entité qui y recourt demeurant pleinement responsable. Les orientations de l'AMLA sur ces deux sujets sont attendues pour le 10 juillet 2027 et n'ont pas encore fait l'objet d'une consultation.

Première mesure : inventorier chaque tâche LCB exécutée par une entité du groupe ou un prestataire et marquer celles que l'AMLR maintient en interne.

10. Espèces, conservation des documents et règles à l'échelle du groupe (articles 16, 17 et le plafond des espèces)

Les paiements en espèces supérieurs à 10 000 euros sont interdits pour les personnes négociant des biens ou fournissant des services, les États membres restant libres de fixer un plafond inférieur. Les documents doivent être conservés pendant cinq ans puis supprimés, en équilibre avec les règles de protection des données qui s'appliquent aux données KYC. Les entreprises mères doivent déployer des politiques à l'échelle du groupe, y compris le partage d'informations au sein du groupe et des mesures supplémentaires lorsqu'un pays tiers ne le permet pas.

Première mesure : si vous vendez des biens contre espèces, décidez dès maintenant comment vous refuserez les espèces au-delà du plafond ; si vous êtes un groupe, décidez quelles politiques de groupe deviennent obligatoires pour chaque entité.

Que faire maintenant

• Lire le texte de niveau 1 pour votre type d'entité ; les articles ci-dessus sont directement applicables et ne changeront pas dans les RTS et les orientations.
• Mener une analyse d'écarts par rapport à un référentiel, bloc par bloc, plutôt que par rapport à une liste d'articles ; le tableau de bord AMLR Monitor rattache chaque instrument au référentiel de conformité précisément à cette fin.
• Suivre les consultations. Les RTS sur la vigilance à l'égard de la clientèle (consultation clôturée), les RTS sur la méthodologie d'évaluation des risques pour le secteur non financier (ouverte jusqu'au 27 septembre 2026) et les orientations sur les facteurs de risque (consultation prévue au troisième trimestre 2026) fixeront les détails qui comptent le plus ; répondre à une consultation est la dernière occasion de les influencer.
• Planifier à rebours à partir du 10 juillet 2027. Les modifications de modèle de données, les vagues de re-vérification et le recalibrage des scénarios prennent des trimestres, pas des semaines.

AMLR Monitor suit le statut de chaque instrument mentionné ici, avec les liens vers les sources et les dates prévues, et son espace de travail transforme le référentiel en outil de suivi de la préparation pour votre organisation.