La classification des risques est le socle de tout dispositif LCB-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme). Sans elle, impossible d'appliquer le bon niveau de vigilance client, de justifier vos choix devant un auditeur ou de répondre à une demande de Tracfin.
Pourtant, c'est souvent le maillon faible des dispositifs en pratique : trop générique, non documentée, ou jamais révisée. Voici comment construire et tenir à jour une classification des risques LCB-FT conforme aux exigences de l'ACPR.
Pourquoi la classification des risques est au coeur du dispositif LCB-FT
Une obligation légale, pas une option méthodologique
L'article L.561-4-1 du Code monétaire et financier (CMF) impose à toutes les entités assujetties une approche par les risques : chaque entité doit évaluer et documenter les risques de blanchiment et de financement du terrorisme auxquels elle est exposée, compte tenu de ses caractéristiques propres - clientèle, produits, services, zones géographiques, canaux de distribution.
Cette obligation a été renforcée par la 5e directive anti-blanchiment (2018/843/UE) transposée par l'ordonnance du 12 février 2020. Elle conditionne directement le régime de vigilance applicable à chaque relation d'affaires : vigilance simplifiée, standard ou renforcée.
Ce que risque une entité sans classification formalisée
L'ACPR (Autorité de contrôle prudentiel et de résolution) et la DGCCRF sanctionnent régulièrement les entités dont le dispositif LCB-FT n'est pas documenté. Les manquements à l'article L.561-4-1 peuvent entraîner :
- Avertissement public, blâme ou interdiction temporaire d'exercer
- Sanctions pécuniaires jusqu'à 100 millions d'euros ou 10 % du chiffre d'affaires annuel pour les établissements de crédit
- Signalement aux autorités judiciaires en cas de complicité avérée
Base légale et cadre réglementaire de la classification
L'obligation de classification des risques s'appuie sur plusieurs textes :
- Article L.561-4-1 CMF : obligation fondamentale d'approche par les risques
- Articles L.561-5 à L.561-14 CMF : obligations de vigilance déclinées selon le niveau de risque identifié
- Lignes directrices ACPR (mai 2021) : guidance sectorielle pour les banques et assureurs
- Recommandations GAFI : standards internationaux repris dans la réglementation européenne
- Lignes directrices conjointes AES (2017, révisées 2021) : facteurs de risque harmonisés pour l'ensemble des entités assujetties UE
Les 4 critères de classification des risques LCB-FT
La classification s'appuie sur quatre dimensions définies par l'article L.561-4-1 CMF et précisées par les lignes directrices sectorielles.
1. La nature et les caractéristiques des clients
Les facteurs de risque liés au client incluent :
- Personnes Politiquement Exposées (PPE) et membres de leur famille : risque élevé par définition (art. L.561-10-2 CMF)
- Nationaux ou résidents de pays tiers à haut risque selon les listes européennes ou du GAFI
- Entités dont la structure de propriété est complexe ou opaque (holdings multi-niveaux, trusts, fondations)
- Clients avec une activité professionnelle à fort risque d'abus (marchands d'art, antiquaires, prestataires crypto-actifs PSAN/PSCA)
- Relations d'affaires entièrement établies à distance, sans contact physique préalable
2. Les types de produits et services
Certains produits présentent des caractéristiques intrinsèquement plus risquées :
- Produits à fort anonymat ou forte mobilité (espèces, crypto-actifs, instruments au porteur)
- Produits sans plafond ou à structure complexe (assurance-vie multisupport, produits structurés)
- Services de conseil en montages juridiques impliquant des entités dans des juridictions à risque
- Transactions avec des contreparties dans des pays à régime fiscal ou réglementaire permissif
3. Les zones géographiques
Les facteurs de risque géographiques à intégrer dans la classification :
- Pays et territoires listés par le GAFI comme présentant des déficiences stratégiques en matière LCB-FT
- Pays tiers à haut risque identifiés par la Commission européenne (règlements délégués)
- Centres offshore reconnus : Îles Caïmans, Bermudes, Îles Vierges Britanniques
- Pays sous sanctions internationales (OFAC, ONU, UE)
4. Les canaux de distribution
Le canal d'accès à la relation d'affaires est un facteur de risque autonome :
- Relation entièrement à distance, sans contact physique : toujours considéré comme facteur haussier de risque
- Intermédiation par des tiers non réglementés (apporteurs d'affaires, agents non accrédités)
- Distribution via des plateformes numériques avec vérification d'identité limitée
- Recours à des intermédiaires situés dans des juridictions à faible régulation LCB-FT
Méthodologie pour construire votre classification des risques LCB-FT
Etape 1 - Inventaire des typologies de clients, produits et marchés
Avant de scorer quoi que ce soit, listez exhaustivement :
- Les segments de clientèle réels (pas des catégories théoriques) : TPE/PME, ETI, groupes cotés, particuliers, investisseurs institutionnels, entités publiques
- Le catalogue complet de vos produits et services, avec les caractéristiques à risque de chacun
- Les zones géographiques effectives : origine des clients, pays des contreparties, localisation des actifs gérés
- Les canaux de distribution utilisés : réseau physique, plateforme en ligne, courtiers mandataires, agents
Etape 2 - Scoring factoriel des risques
Pour chaque combinaison client/produit/géographie/canal, attribuez un score de risque selon une grille formalisée. Exemple de grille à 3 niveaux :
- Risque faible (1-2) : client établissement de crédit UE, produit réglementé à durée fixe et plafonnée, zone UE, contact physique
- Risque standard (3) : PME française, produit courant, zone UE, relation partiellement en ligne
- Risque élevé (4-5) : PPE, client pays tiers à risque, produit sans plafond, relation entièrement à distance
La grille doit être calibrée sur votre activité réelle et documentée. Les niveaux retenus doivent être explicitement justifiés dans votre documentation LCB-FT.
Etape 3 - Construction de la matrice de risque consolidée
Consolidez les scores individuels dans une matrice globale par segment/ligne de produit. Cette matrice vous permet de visualiser :
- Quels segments concentrent le risque maximal
- Quels produits sont sur-représentés dans les niveaux de risque élevé
- Quelles zones géographiques doivent déclencher des procédures renforcées de plein droit
La matrice doit être validée et signée par la direction de l'entité : c'est elle qui vous engage devant un contrôleur ACPR ou DGCCRF.
Etape 4 - Plan d'action et mesures d'atténuation
La classification n'est pas une fin en soi. Elle doit déboucher sur des mesures concrètes documentées et révisables :
- Pour les segments à risque élevé : procédures de vigilance renforcée, approbation hiérarchique systématique des nouvelles entrées en relation, révision annuelle des dossiers
- Pour les produits à risque : paramétrage des alertes automatiques dans votre système de surveillance des opérations, plafonds de transaction
- Pour les zones à risque : politique claire d'entrée en relation ou de refus, liste interne des juridictions à traitement renforcé
Comment documenter et réviser votre classification
La forme de la documentation
La classification des risques doit être consignée dans un document formel, signé par la direction, contenant au minimum :
- Date d'élaboration et de dernière révision
- Périmètre couvert (entité, branches d'activité, filiales le cas échéant)
- Méthodologie de scoring retenue et grille de critères
- Matrice de risque consolidée par segment/produit/géographie
- Mesures d'atténuation décidées pour chaque niveau de risque
- Identité des responsables (RCCI, DPO si pertinent, direction générale)
La classification doit être intégrée à votre documentation LCB-FT et accessible immédiatement en cas de contrôle.
La fréquence de révision
L'article L.561-4-1 CMF impose une révision régulière. En pratique :
- Révision annuelle minimale, formalisée par une mise à jour datée et signée
- Révision immédiate en cas d'événement déclencheur : changement de gamme de produits, ouverture d'un nouveau marché géographique, évolution des listes GAFI/UE, incident ou signalement Tracfin
- Révision complète lors de la préparation à un contrôle ACPR ou DGCCRF
Classification des risques et vigilance client : l'articulation avec le KYC
La classification des risques est le pilier central qui conditionne tout le reste du dispositif LCB-FT. Son lien avec la vigilance client (KYC) est direct :
- Segment classé risque faible : vigilance simplifiée (art. L.561-5-2 CMF) - allègement des diligences, fréquence de révision réduite
- Segment classé risque standard : vigilance standard - identification, vérification, surveillance continue
- Segment classé risque élevé : vigilance renforcée (art. L.561-10-2 CMF) - diligences approfondies, approbation hiérarchique, révision accrue
Toute incohérence entre le niveau de risque de la classification et les diligences effectivement réalisées est un signal d'alarme pour un contrôleur : un client PPE traité en vigilance simplifiée est une anomalie documentaire majeure.
Pour aller plus loin : notre guide complet sur la réglementation LCB-FT et sur la formation LCB-FT obligatoire pour vos collaborateurs.
