Approche par les risques LCB-FT : structurer la vigilance et former les personnes concernées

L'approche par les risques est le principe central de la lutte contre le blanchiment et le financement du terrorisme : l'intensité de la vigilance s'adapte au risque. Elle repose sur trois briques : la classification des risques de l'activité, l'évaluation du risque de chaque relation d'affaires, et des mesures de vigilance proportionnées. Le décret n° 2026-310 du 24 avril 2026 a en outre précisé les règles de formation : la formation des personnes qui mettent en œuvre ces obligations est adaptée à leurs fonctions et aux risques auxquels l'entité est exposée.

Approche par les risques : l'essentiel

• La classification identifie les risques de l'activité ; le niveau de risque de chaque relation d'affaires en découle ; les mesures de vigilance s'ajustent en conséquence.
• La vigilance simplifiée ne constitue pas une dispense générale d'identification.
• Depuis le décret du 24 avril 2026, la formation LCB-FT est délivrée lors de l'embauche puis régulièrement, avec un contenu adapté aux fonctions et aux risques.
• Le défaut de formation peut être sanctionné.

1. La classification des risques, un document vivant

La classification répond à une question : à quels risques de blanchiment et de financement du terrorisme l'activité est-elle exposée, et avec quelle intensité ? Prévue par l'article L. 561-4-1 du Code monétaire et financier, elle tient compte notamment des produits et services proposés, des transactions, des clients, des canaux de distribution et des zones géographiques concernées.

Le piège classique est de la traiter comme un livrable annuel. Une nouvelle offre, un nouveau marché ou un nouveau partenaire peuvent la rendre obsolète : définissez des événements déclencheurs qui imposent une revue. Les lignes directrices de l'AMF sur l'approche par les risques détaillent les facteurs à prendre en compte et les étapes de la classification.

2. Le niveau de risque de chaque relation d'affaires

À partir de cette classification, chaque relation d'affaires se voit attribuer un niveau de risque, souvent faible, standard ou élevé. Ce niveau détermine les diligences à mener à l'entrée en relation et tout au long de la relation.

Un niveau de risque qui n'est jamais revu devient vite faux : le risque d'un client évolue avec ses opérations.

Trois questions testent la robustesse du dispositif : les critères sont-ils documentés et appliqués de la même façon par toutes les équipes ? Existe-t-il une procédure de reclassement déclenchée par des faits objectifs, comme une opération atypique ou un changement de bénéficiaire effectif ? Retrouve-t-on, pour chaque dossier, la trace du niveau de risque attribué et de ses évolutions ?

3. Des mesures de vigilance proportionnées

La vigilance est allégée quand le risque est faible et renforcée quand il est élevé. La vigilance simplifiée ne constitue pas une dispense générale d'identification. Les modalités et délais de vérification peuvent être aménagés dans les cas prévus par les textes.

Pour les situations à risque, trois mécanismes doivent être distingués, chacun avec son propre déclencheur :

• La vigilance renforcée liée au risque : lorsque le risque est élevé, les mesures de vigilance sont renforcées à proportion, selon la classification et les procédures internes.
• Les mesures complémentaires prévues pour certaines situations : pour une personne politiquement exposée, par exemple, les textes prévoient notamment une décision d'entrée en relation prise à un niveau approprié de la hiérarchie et la recherche de l'origine du patrimoine et des fonds.
• L'examen renforcé de certaines opérations : une opération particulièrement complexe, d'un montant inhabituellement élevé ou sans justification économique apparente appelle un examen renforcé.

Dans tous les cas, chaque mesure doit pouvoir être rattachée à son déclencheur, justifiée et datée.

Former les personnes qui mettent en œuvre l'approche par les risques

L'obligation de former le personnel existait déjà ; le décret n° 2026-310 du 24 avril 2026 en précise les règles. Les personnes participant à la mise en œuvre des obligations LCB-FT sont formées lors de leur embauche, puis de manière régulière. Le contenu des formations est adapté aux fonctions ou activités exercées et aux risques auxquels l'entité est exposée. L'entité tient à jour l'ensemble des documents relatifs à ces formations pendant la durée des fonctions, puis pendant cinq ans à compter de leur fin.

Le défaut de formation n'est pas un risque théorique. Dans une décision du 19 décembre 2018, la Commission nationale des sanctions a retenu contre le directeur responsable d'un casino le grief de défaut de formation et d'information régulières du personnel : onze des treize salariés interrogés déclaraient n'avoir reçu aucune formation spécifique, et les attestations qu'il avait lui-même établies n'ont pas permis de démontrer une formation suffisante. Il a reçu un avertissement et une sanction pécuniaire de 1 500 euros. Cette décision, propre aux faits de l'espèce, souligne surtout l'importance de pouvoir démontrer le contenu et l'adéquation de la formation.

À anticiper : le règlement européen (UE) 2024/1624, dit AMLR, s'appliquera pour l'essentiel à partir du 10 juillet 2027 et harmonisera les mesures de vigilance dans l'Union. Classification, procédures et contenus de formation devront être relus.

La formation LCB-FT avec La Fakto

La formation LCB-FT de La Fakto part des situations que les équipes rencontrent : un client qui refuse un justificatif, un virement inhabituel, une personne politiquement exposée. Elle s'ouvre sur une évaluation d'entrée et se conclut par une évaluation de sortie, qui permettent d'observer la progression aux questions testées et de repérer les besoins de consolidation. La réussite, selon les critères de La Fakto, donne lieu à une attestation nominative conservée dans Okto ; elle complète, sans les remplacer, les autres documents de formation que l'entité doit tenir à jour. Elle se complète d'une formation dédiée au gel des avoirs et aux sanctions économiques.

Questions fréquentes sur l'approche par les risques

Qu'est-ce que l'approche par les risques en LCB-FT ?

C'est le principe qui adapte l'intensité des mesures de vigilance au risque, à partir d'une classification des risques de l'activité et d'une évaluation du risque de chaque relation d'affaires.

À quelle fréquence mettre à jour la classification ?

Il faut distinguer deux revues. La classification des risques de l'activité doit être tenue à jour : une revue au moins annuelle est une bonne pratique, complétée à chaque événement déclencheur. Le niveau de risque de chaque relation est réexaminé selon une fréquence fixée par vos procédures en fonction du risque, et dès qu'un fait nouveau le justifie.

La vigilance simplifiée dispense-t-elle d'identifier le client ?

Non. La vigilance simplifiée ne constitue pas une dispense générale d'identification. Les modalités et délais de vérification peuvent être aménagés dans les cas prévus par les textes.

La formation doit-elle être différente selon les postes ?

Oui. Le décret du 24 avril 2026 prévoit que le contenu des formations est adapté aux fonctions ou activités exercées et aux risques auxquels l'entité est exposée.