Ce qui change le 10 juillet 2027 : l'AMLR en dix obligations

Le 10 juillet 2027, le règlement (UE) 2024/1624, le règlement anti-blanchiment (AMLR), commence à s'appliquer dans chaque État membre. Contrairement aux directives qu'il remplace, il ne nécessite aucune transposition : le même texte lie une banque à Lisbonne, un bureau de trust à Amsterdam et un prestataire de services sur crypto-actifs à Vilnius. Le droit national ne disparaît pas, mais il se réduit à ce que la sixième directive anti-blanchiment (AMLD6) laisse aux États membres : la surveillance, la cellule de renseignement financier, les registres et les sanctions.

La plupart des règles détaillées sont encore en cours de rédaction. L'AMLA, la nouvelle Autorité de lutte contre le blanchiment de capitaux, élabore les normes techniques de réglementation (RTS), les normes techniques d'exécution (ITS) et les orientations qui complètent l'AMLR, et plusieurs d'entre elles sont en consultation ou viennent d'en sortir. Ce n'est pas une raison d'attendre : les obligations ci-dessous découlent du texte de niveau 1 lui-même. Voici les dix qui changent le plus pour une entité assujettie, avec l'article à lire et une première mesure à prendre.

1. Un gestionnaire de la conformité au niveau de l'organe de direction (article 11 AMLR)

L'AMLR exige deux fonctions. Un gestionnaire de la conformité est un membre de l'organe de direction chargé de la mise en œuvre de l'AMLR ; un responsable de la conformité gère le programme au quotidien et rend compte à l'organe de direction au moins une fois par an. Beaucoup d'établissements disposent de la seconde fonction mais pas de la première. Le gestionnaire de la conformité doit être identifiable, doit disposer du mandat pour agir, et les autorités de surveillance chercheront la preuve que l'organe de direction reçoit et examine effectivement les rapports.

Première mesure : désigner le gestionnaire de la conformité dans les documents de gouvernance et inscrire un rapport LBC annuel à l'agenda de l'organe de direction.

2. Une évaluation des risques à l'échelle de l'entreprise qui vit (article 10 AMLR)

L'évaluation des risques à l'échelle de l'entreprise cesse d'être un document que l'on actualise une fois par an. Elle doit être documentée, tenue à jour, proportionnée à l'activité et mise à la disposition de l'autorité de surveillance, et elle pilote les politiques, procédures et contrôles de l'article 9. L'AMLA prépare des orientations sur la manière de procéder ; la direction prise est celle d'une évaluation des risques qui change lorsque l'activité change : un nouveau produit, un nouveau pays, un nouveau canal de distribution.

Première mesure : rattacher chaque produit, type de client, pays et canal à l'évaluation actuelle et relever les points sur lesquels elle est muette.

3. Une vigilance à l'égard de la clientèle avec un jeu de données fixe (articles 19 à 22 AMLR)

L'AMLR précise quelles données d'identité doivent être recueillies pour les personnes physiques et morales et comment elles peuvent être vérifiées, y compris par l'identification électronique et, à terme, le portefeuille européen d'identité numérique. Les transactions occasionnelles déclenchent la vigilance au-dessus de seuils fixes. Les RTS sur la vigilance à l'égard de la clientèle au titre de l'article 28 préciseront les sources ainsi que les mesures simplifiées et renforcées ; l'EBA a consulté sur le projet en 2025 et l'AMLA le finalise.

Première mesure : comparer les champs de vos formulaires d'entrée en relation et de vos systèmes centraux avec la liste de l'article 22.

4. Un seuil unique pour les bénéficiaires effectifs (articles 51 à 56 AMLR)

La détention de 25 % ou plus des actions ou des droits de vote fait d'une personne physique un bénéficiaire effectif, de même que le contrôle par d'autres moyens. Les structures à plusieurs niveaux doivent être retracées à travers chaque niveau ; lorsqu'aucun bénéficiaire effectif ne peut être identifié après épuisement de tous les moyens raisonnables, les dirigeants principaux sont enregistrés, avec la raison. L'article 24 ajoute l'obligation de consulter le registre et de signaler les divergences.

Première mesure : identifier les clients pour lesquels votre seuil ou votre méthode actuels diffèrent et planifier une vague de re-vérification.

5. Une vigilance renforcée pour les grandes fortunes privées (article 34 AMLR)

Les clients, ou bénéficiaires effectifs, disposant d'un patrimoine d'au moins 50 millions d'euros ou d'actifs sous gestion d'au moins 5 millions d'euros entraînent des mesures renforcées : origine du patrimoine, approbation de la direction générale et surveillance plus étroite. Les relations de correspondant avec des prestataires de services sur crypto-actifs (article 37), les transactions avec des adresses auto-hébergées (article 38) et les pays tiers à haut risque recensés par la Commission (article 29) font également l'objet de mesures renforcées spécifiques.

Première mesure : signaler les clients qui atteignent les seuils de patrimoine et d'actifs ; les unités de banque privée et de gestion de fortune les connaissent généralement, mais les marquent rarement comme tels.

6. Personnes politiquement exposées pendant douze mois après la fin des fonctions (articles 42 à 45 AMLR)

L'AMLR définit les fonctions publiques importantes, impose aux États membres et aux institutions de l'UE d'en publier des listes, et maintient des mesures fondées sur les risques pendant au moins douze mois après qu'une personne a quitté ses fonctions. Les membres de la famille et les personnes connues pour être étroitement associées sont couverts comme auparavant.

Première mesure : vérifier si votre filtrage PPE peut appliquer une levée du statut de PPE limitée dans le temps plutôt qu'une décision manuelle.

7. Le filtrage des sanctions comme élément de la vigilance (article 27 AMLR)

Vérifier si un client ou un bénéficiaire effectif fait l'objet de sanctions financières ciblées de l'UE devient une mesure explicite de vigilance à l'égard de la clientèle, à l'entrée en relation et lorsque les listes changent. Pour la plupart des établissements financiers, il s'agit d'une pratique existante ; pour les prestataires de services professionnels et les négociants en biens, c'est souvent nouveau.

Première mesure : confirmer que le filtrage couvre les bénéficiaires effectifs, et pas seulement la partie contractante.

8. La déclaration de soupçon, sur un modèle commun (article 69 AMLR et les ITS)

Les entités assujetties déclarent à la CRF (FIU) lorsqu'elles savent, soupçonnent ou ont des motifs raisonnables de soupçonner un blanchiment de capitaux ou un financement du terrorisme. Pour les établissements néerlandais, cela remplace le modèle de déclaration des transactions inhabituelles fondé sur des indicateurs de la Wwft. Les ITS sur le modèle de déclaration normaliseront le format ; les scénarios de surveillance des transactions calibrés sur des indicateurs devront être recalibrés sur le soupçon.

Première mesure : dresser la liste des scénarios et typologies qui sous-tendent vos déclarations actuelles et vous demander lesquels décrivent un soupçon.

9. Externalisation et recours à des tiers avec des limites strictes (articles 18, 48 et 49 AMLR)

Des tâches peuvent être externalisées, mais pas l'évaluation des risques à l'échelle de l'entreprise, les fonctions de conformité ni les décisions relatives aux transactions suspectes. Le recours aux mesures de vigilance d'une autre entité assujettie reste possible, l'entité qui y recourt demeurant pleinement responsable. Des orientations de l'AMLA sur ces deux points sont en préparation.

Première mesure : inventorier chaque tâche LBC exécutée par une entité du groupe ou un prestataire et marquer celles que l'AMLR maintient en interne.

10. Espèces, conservation des documents et règles à l'échelle du groupe (articles 16, 17 AMLR et la limite des paiements en espèces)

Les paiements en espèces supérieurs à 10 000 euros sont interdits pour les personnes négociant des biens ou fournissant des services, les États membres restant libres de fixer une limite inférieure. Les documents doivent être conservés pendant cinq ans puis supprimés, en équilibre avec les règles de protection des données qui s'appliquent aux données KYC. Les entreprises mères doivent déployer des politiques à l'échelle du groupe, y compris le partage d'informations au sein du groupe et des mesures supplémentaires lorsqu'un pays tiers ne le permet pas.

Première mesure : si vous vendez des biens contre espèces, décidez dès maintenant comment vous refuserez les espèces au-dessus de la limite ; si vous êtes un groupe, décidez quelles politiques de groupe deviennent obligatoires pour chaque entité.

Que faire maintenant

• Lisez le texte de niveau 1 applicable à votre type d'entité ; les articles ci-dessus sont directement applicables et ne changeront pas dans les RTS et les orientations.
• Réalisez une analyse d'écarts par rapport à un référentiel, bloc par bloc, plutôt que par rapport à une liste d'articles ; le tableau de bord AMLR Monitor rattache chaque instrument au référentiel de conformité précisément à cette fin.
• Suivez les consultations. Les RTS sur la vigilance à l'égard de la clientèle, les RTS sur la méthodologie d'évaluation des risques et les orientations sur les facteurs de risque fixeront les détails qui comptent le plus ; répondre à une consultation est la dernière occasion de les influencer.
• Planifiez à rebours à partir du 10 juillet 2027. Les modifications de modèle de données, les vagues de re-vérification et le recalibrage des scénarios prennent des trimestres, pas des semaines.

AMLR Monitor suit le statut de chaque instrument mentionné ici, avec les liens vers les sources et les dates attendues, et son espace de travail transforme le référentiel en un outil de suivi de la préparation de votre organisation.