Savoir ce qu'est la LCB-FT ne suffit pas à passer un contrôle de l'ACPR. Ce que le superviseur examine, c'est le dispositif : qui en répond devant la direction, qui déclare à Tracfin, comment la classification des risques pilote la vigilance, comment le contrôle interne vérifie que les procédures sont appliquées, et comment les équipes sont formées. Ce guide traite de cette organisation, de l'arrivée de l'AMLA et du paquet AML applicable au 10 juillet 2027, et de l'articulation avec le RGPD que le DPO d'un assujetti doit documenter. Pour les notions de base, la définition de la LCB-FT et la liste des assujettis font l'objet d'un guide dédié.
La LCB-FT en bref : ce que le dispositif doit couvrir
La LCB-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme) regroupe les obligations des articles L.561-1 et suivants du Code monétaire et financier (CMF). Elles s'imposent aux professions listées à l'article L.561-2 du CMF : banques, assureurs vie, établissements de paiement, sociétés de gestion, prestataires sur crypto-actifs, mais aussi notaires, experts-comptables, agents immobiliers ou commissaires de justice.
Le dispositif repose sur les 4 obligations LCB-FT : la vigilance clientèle (KYC, identification du bénéficiaire effectif comprise), la déclaration de soupçon à Tracfin, la classification des risques et la formation des collaborateurs. La suite de ce guide porte sur la manière de les organiser et de les piloter, pas sur leur définition.
Organiser le dispositif LCB-FT : gouvernance et rôles
Pour les établissements supervisés par l'ACPR, l'arrêté du 6 janvier 2021 relatif au dispositif et au contrôle interne en matière de LCB-FT et de gel des avoirs fixe le cadre de l'organisation attendue. Il se lit avec l'article L.561-32 du CMF, qui impose des systèmes d'évaluation et de gestion des risques, des procédures internes et un contrôle interne.
Le responsable du dispositif et la direction
Le dispositif doit avoir un responsable identifié, avec un accès direct aux dirigeants effectifs et des moyens proportionnés aux risques. La direction approuve la classification des risques et les procédures, et reçoit un reporting régulier sur leur application. Le règlement (UE) 2024/1624 (AMLR) formalise cette double responsabilité à partir du 10 juillet 2027 : son article 11 distingue un membre de l'organe de direction chargé de la mise en œuvre du dispositif et un responsable de la conformité LCB-FT chargé de son fonctionnement au quotidien.
Déclarant et correspondant Tracfin
Chaque assujetti désigne au moins un déclarant, qui transmet les déclarations de soupçon à Tracfin, et un correspondant, qui répond aux demandes de Tracfin (articles R.561-23 et R.561-24 du CMF). Leur identité est communiquée à Tracfin et au superviseur, et toute déclaration passe par la plateforme sécurisée Ermes. Le circuit interne de remontée des alertes, du collaborateur qui détecte l'anomalie jusqu'au déclarant, doit être écrit et connu des équipes.
La déclaration est confidentielle : l'article L.561-18 du CMF interdit d'en révéler l'existence ou le contenu au client ou à un tiers, et la violation de cette interdiction est pénalement sanctionnée (article L.574-1 du CMF).
Procédures internes et contrôle interne
Les procédures déclinent chaque obligation en gestes opérationnels : entrée en relation, niveaux de vigilance, traitement des alertes, mise à jour des dossiers clients, conservation des pièces. Le contrôle interne vérifie qu'elles sont appliquées, sur deux niveaux : un contrôle permanent, mené au fil de l'activité, et un contrôle périodique, indépendant des opérationnels. Les anomalies relevées donnent lieu à un plan d'action suivi par la direction.
La classification des risques, point de départ du dispositif
L'article L.561-4-1 du CMF impose à chaque assujetti d'identifier et d'évaluer ses risques de blanchiment et de financement du terrorisme, en tenant compte de l'analyse nationale des risques. Cette classification fixe le niveau de vigilance appliqué à chaque client et à chaque opération : c'est elle que le superviseur relit en premier. La méthode pour la construire et la documenter est détaillée dans notre guide sur la classification des risques LCB-FT.
Gel des avoirs et filtrage des sanctions
Le gel des avoirs (articles L.562-1 et suivants du CMF) est une obligation de résultat, pas une approche par les risques : aucun fonds ne peut être mis à disposition d'une personne inscrite au registre national des gels tenu par la direction générale du Trésor ou sur les listes de l'Union européenne. Le dispositif doit donc prévoir un filtrage des clients et des opérations, et une procédure pour traiter les alertes d'homonymie. En 2 minutes 41, voici ce qu'est le gel des avoirs et comment lever un doute d'homonymie quand une alerte tombe.
Le cadre européen : des directives AML à l'AMLA
La réglementation LCB-FT française transpose un cadre européen qui a évolué par étapes :
- 4e directive (UE) 2015/849 : approche par les risques, registres des bénéficiaires effectifs, personnes politiquement exposées.
- 5e directive (UE) 2018/843 : extension aux prestataires sur crypto-actifs, accès élargi aux registres des bénéficiaires effectifs.
- Directive (UE) 2018/1673 : harmonisation des infractions pénales de blanchiment dans l'Union.
Le paquet AML adopté en 2024 change d'échelle. Il comprend trois textes :
- Règlement (UE) 2024/1624 (AMLR) : directement applicable à partir du 10 juillet 2027, il harmonise les obligations de vigilance, la liste des assujettis et les règles sur les bénéficiaires effectifs.
- Directive (UE) 2024/1640 (AMLD6) : organisation des superviseurs nationaux et des cellules de renseignement financier, à transposer pour l'essentiel au 10 juillet 2027. Elle est présentée dans notre guide sur la 6e directive LCB-FT.
- Règlement (UE) 2024/1620 : création de l'AMLA, l'autorité européenne de lutte contre le blanchiment.
L'AMLA, installée à Francfort, a commencé ses travaux le 1er juillet 2025. Elle sélectionnera en 2027 jusqu'à 40 établissements financiers à haut risque, actifs dans au moins six États membres, qu'elle supervisera directement à partir du 1er janvier 2028. Les autres assujettis restent sous la supervision de l'ACPR, de l'AMF ou de leur autorité professionnelle, avec une méthodologie que l'AMLA harmonise. Calendrier et missions sont détaillés dans notre guide sur l'AMLA.
Les sanctions en cas de défaillance du dispositif
Pour le secteur financier, la Commission des sanctions de l'ACPR peut prononcer un avertissement, un blâme, une interdiction d'activité ou un retrait d'agrément, et une sanction pécuniaire pouvant atteindre 100 millions d'euros ou 10 % du chiffre d'affaires annuel net (article L.612-39 du CMF). Les décisions récentes visent presque toujours le dispositif lui-même, plus qu'une opération isolée :
- Abeille Vie : blâme et 3,5 millions d'euros (communiqué de l'ACPR du 20 octobre 2023).
- Treezor : blâme et 1 million d'euros (décision du 9 avril 2024).
- BRED Banque Populaire : blâme et 2,5 millions d'euros (décision du 27 juin 2024).
- Banque Delubac : blâme et 600 000 euros (décision du 19 juin 2025).
Les professions non financières relèvent de leurs propres autorités de contrôle et de sanctions disciplinaires. Sur le plan pénal, le blanchiment est puni de 5 ans d'emprisonnement et de 375 000 euros d'amende (article 324-1 du Code pénal), portés à 10 ans et 750 000 euros en cas de circonstances aggravantes (article 324-2).
LCB-FT et RGPD : une articulation délicate
La LCB-FT impose de collecter et de conserver de nombreuses données personnelles (identité, situation financière, bénéficiaires effectifs, pièces justificatives). Pour le DPO d'un assujetti, plusieurs points de friction sont à documenter :
- Base légale : les traitements LCB-FT reposent sur l'obligation légale (article 6, paragraphe 1, point c du RGPD). Pas de consentement à recueillir, mais une collecte limitée à ce que la vigilance exige.
- Durée de conservation : l'article L.561-12 du CMF impose de conserver les documents d'identification 5 ans après la fin de la relation d'affaires, et les documents relatifs aux opérations 5 ans après leur exécution. Ce délai justifie la conservation, il n'autorise pas à la prolonger au titre de la LCB-FT.
- Droit d'accès : pour les données liées aux déclarations de soupçon, le droit d'accès s'exerce de manière indirecte, auprès de la CNIL (article L.561-45 du CMF). La CNIL détaille ce régime dans sa fiche consacrée à la LCB-FT.
- Transferts hors UE : la remontée de données KYC vers une maison mère hors Union européenne, même imposée par la politique de groupe, doit s'appuyer sur un outil de transfert du chapitre V du RGPD (clauses contractuelles types, règles d'entreprise contraignantes).
En pratique, le registre des traitements doit distinguer les finalités LCB-FT (vigilance, surveillance des opérations, déclarations) des finalités commerciales qui portent sur les mêmes données clients. La même logique vaut pour le secret bancaire et le RGPD, que le DPO d'une banque doit articuler au quotidien.
Former les équipes : ce qui fait tenir le dispositif
Un dispositif bien écrit ne tient que si les collaborateurs exposés savent reconnaître un signal d'alerte et le remonter au bon interlocuteur. La formation fait partie des obligations des assujettis, et l'ACPR vérifie lors de ses contrôles qu'elle est adaptée aux métiers, régulière et tracée. Contenus, publics et fréquence sont détaillés dans notre guide sur la formation et la sensibilisation LCB-FT, et les mécanismes eux-mêmes dans notre guide sur le blanchiment d'argent.
Leto propose un module de sensibilisation LCB-FT en micro-learning, avec des capsules vidéo courtes et le suivi des formations par collaborateur : voir l'offre de sensibilisation.
Questions fréquemment posées
Qui doit être responsable du dispositif LCB-FT ?
Le dispositif doit avoir un responsable identifié, disposant d'un accès direct aux dirigeants effectifs, et la direction doit en approuver les grandes orientations (classification des risques, procédures). Pour les établissements supervisés par l'ACPR, l'arrêté du 6 janvier 2021 précise cette organisation. À partir du 10 juillet 2027, l'article 11 du règlement (UE) 2024/1624 distingue un membre de l'organe de direction responsable du dispositif et un responsable de la conformité LCB-FT.
Quelle est la différence entre déclarant et correspondant Tracfin ?
Le déclarant transmet les déclarations de soupçon à Tracfin, via la plateforme Ermes. Le correspondant est l'interlocuteur de Tracfin pour ses demandes d'informations. Les deux sont désignés par l'assujetti (articles R.561-23 et R.561-24 du CMF) et leur identité est communiquée à Tracfin et au superviseur. Une même personne peut exercer les deux fonctions.
Que vérifie le contrôle interne LCB-FT ?
Il vérifie que les procédures sont appliquées et efficaces : qualité des dossiers clients, cohérence du niveau de vigilance avec la classification des risques, traitement des alertes dans les délais, remontée des soupçons au déclarant, filtrage des sanctions. Il s'organise en un contrôle permanent, au fil de l'activité, et un contrôle périodique indépendant, dont les constats sont présentés à la direction.
Un DPO est-il concerné par la LCB-FT ?
Le DPO n'est pas le responsable du dispositif LCB-FT, mais il est directement concerné par les traitements de données qu'il impose : KYC, surveillance des opérations, déclarations à Tracfin. Il doit s'assurer qu'ils sont documentés dans le registre avec leur base légale, leur durée de conservation et le régime du droit d'accès indirect. En cas de contrôle, le DPO et le responsable LCB-FT doivent présenter une documentation cohérente.
Combien de temps conserver les documents KYC ?
L'article L.561-12 du CMF impose de conserver les documents d'identification 5 ans après la fin de la relation d'affaires, et les documents relatifs aux opérations 5 ans après leur exécution. Ce délai ne justifie pas une conservation plus longue au titre de la LCB-FT, même si d'autres obligations légales peuvent imposer des durées propres, comme les 10 ans de conservation des pièces comptables.
Qu'est-ce que l'AMLA et quand supervisera-t-elle directement ?
L'AMLA est l'autorité européenne de lutte contre le blanchiment, créée par le règlement (UE) 2024/1620 et installée à Francfort. Elle a commencé ses travaux le 1er juillet 2025, sélectionnera en 2027 jusqu'à 40 établissements financiers à haut risque et les supervisera directement à partir du 1er janvier 2028. Le règlement AMLR, qui harmonise les obligations des assujettis, s'applique à partir du 10 juillet 2027.
