FinCEN Met Fin au Reporting BOI : La Charge KYC Aux Banques

Le 11 août 2026, FinCEN a publié la règle finale qui met définitivement fin à la déclaration des informations sur les bénéficiaires effectifs (BOI) prévue par la Corporate Transparency Act (CTA) pour les sociétés et les personnes des États-Unis. Sa publication au Federal Register le 14 août 2026 a rendu la règle immédiatement applicable. La base de données contenant les informations antérieurement déclarées par des personnes américaines sera supprimée. Seules les entités étrangères enregistrées pour exercer une activité aux États-Unis restent dans le périmètre. Une bataille politique de quatre ans s'est achevée en moins d'une semaine — et les conséquences opérationnelles pour les équipes KYC sont l'inverse de ce que suggère le titre.

La tentation est de lire cela comme une déréglementation. Ce n'en est pas une. C'est l'obligation de déclaration qui disparaît. L'obligation sous-jacente de diligence raisonnable qui pèse sur les institutions financières couvertes reste intacte. Ce qui a changé, c'est le lieu où la charge repose. Elle reposait auparavant, au moins en partie, sur les entreprises elles-mêmes et sur un registre central tenu par FinCEN. Elle repose désormais entièrement sur les workflows KYC et CDD que les banques, les broker-dealers, les fonds communs de placement et les prestataires de services monétaires doivent exécuter à l'ouverture d'un compte pour un client personne morale.

Ce Que Fait Réellement la Règle Finale du 11 Août

La règle restreint le périmètre de la CTA à ce qui fut probablement toujours sa finalité diplomatique originelle : aligner les États-Unis sur la Recommandation 24 du GAFI relative à la transparence des bénéficiaires effectifs pour les entités opérant à l'international. Les sociétés américaines domestiques — petites LLC, structures familiales de détention, sociétés de services professionnels, entités unipersonnelles utilisées pour l'immobilier — sont retirées du régime déclaratif dans leur ensemble. Seules les "foreign reporting companies" (entités non américaines enregistrées pour exercer une activité dans un État des États-Unis) déposent encore des BOI auprès de FinCEN.

Trois conséquences pratiques découlent de ce rétrécissement :

• La base de données BOI se réduit. Toute information antérieurement déclarée par des personnes américaines sera supprimée des systèmes de FinCEN. Elle ne peut plus être considérée comme une source fiable pour l'onboarding ou la revue périodique.
• La poursuite des manquements passés est close. Les sanctions à l'encontre des personnes américaines qui ont manqué le délai initial ne seront pas exercées.
• Les dépôts d'entités étrangères se poursuivent. Le sous-ensemble des reporting companies constituées hors des États-Unis et enregistrées pour y exercer une activité reste tenu de déposer des BOI complets et demeure exposé à des sanctions civiles et pénales en cas de non-conformité.

La FinCEN CDD Rule de 2016, qui sous-tend l'ensemble, ne bouge pas. Le seuil de 25 % de détention, l'obligation d'identifier au moins une personne exerçant le contrôle et la certification des bénéficiaires effectifs à l'ouverture du compte restent en vigueur. Les examinateurs de l'OCC, de la FDIC, de la Réserve fédérale et de FinCEN lui-même continueront à évaluer les procédures relatives aux bénéficiaires effectifs par rapport à ce socle de 2016.

Où la Charge Est Réellement Allée

Les cadres de conformité ne créent pas de travail ; ils le redistribuent. Lorsque la CTA a été promulguée en 2021, la théorie était qu'une petite part de la charge de vérification des bénéficiaires effectifs migrerait des banques vers un registre fédéral central. Une requête unique auprès de FinCEN viendrait compléter, et dans certains cas remplacer, le travail que les équipes de diligence raisonnable clients accomplissaient par elles-mêmes. Cette théorie est terminée.

Deux évolutions structurelles découlent de la règle du 11 août.

Premièrement, les institutions financières américaines perdent une source de données qu'elles venaient à peine d'intégrer. Les firmes qui ont consacré 2024 et 2025 à intégrer des workflows de requête BOI dans leurs stacks d'onboarding doivent maintenant les démonter pour les clients domestiques. Le workflow ne disparaît pas — l'obligation de diligence raisonnable sous-jacente est inchangée — mais la source qu'il consultait s'est éteinte pour toute entité américaine du portefeuille clients. Tout signal de vérification produit par cette requête doit être remplacé par autre chose : fournisseurs commerciaux de données, éléments de preuve fournis directement par le client, ou recoupements systématiques avec les dépôts au niveau des États.

Deuxièmement, l'asymétrie entre clients américains et étrangers s'accentue. Une banque américaine qui ouvre un compte pour une LLC du Delaware dispose désormais de moins de traces publiques sur lesquelles s'appuyer que pour une entité des îles Caïmans enregistrée pour opérer en Californie. C'est l'inverse de l'approche pondérée par le risque autour de laquelle la plupart des programmes KYC ont été conçus, et cela va forcer à réviser les déclencheurs de diligence renforcée pour les entités domestiques qui étaient auparavant présumées se trouver dans un dossier documentaire.

Comparez avec ce qui se passe de l'autre côté de l'Atlantique. L'UE a passé la même période à durcir les règles sur les bénéficiaires effectifs par le biais du délai du registre UBO d'AMLD6, du passage de l'AMLR au seuil de "25 % ou plus" qui remodèle tous les moteurs KYB en Europe, et de la supervision directe des plus grandes entités assujetties par l'AMLA. Les firmes américaines et européennes opérant sur les deux marchés se retrouvent désormais de part et d'autre d'une véritable divergence réglementaire — et leurs stacks de vérification d'identité doivent accommoder les deux.

La CDD Rule de 2016 : Inchangée et Soudain Plus Bruyante

Entre 2021 et mi-2026, certaines équipes de conformité ont traité la CTA et la FinCEN CDD Rule comme se recouvrant. En pratique, ce sont toujours restées des obligations distinctes, et la règle du 11 août a rendu cette séparation explicite. Une relecture rapide de ce que la CDD Rule exige encore s'impose :

Exigence	CDD Rule 2016	Effet après le 11 août 2026
Identifier les bénéficiaires effectifs à ≥25 %	Obligatoire pour les clients personnes morales	Inchangé — charge entièrement sur l'IF
Identifier au moins une personne exerçant le contrôle	Obligatoire quel que soit le pourcentage	Inchangé
Formulaire de certification à l'ouverture	Obligatoire, conservé 5 ans	Inchangé
Vérifier l'identité du bénéficiaire effectif	Conforme CIP (nom, DOB, adresse, n° d'ID)	Inchangé
Surveillance continue des changements matériels	Obligatoire	Renforcée par la perte du registre central comme filet de sécurité
S'appuyer sur la base BOI de FinCEN	Disponible (en théorie)	Plus disponible pour les personnes américaines
S'appuyer sur les dépôts BOI étrangers	Disponible	Toujours disponible, dataset plus étroit

Lisez cette colonne de droite. Chaque "Inchangé" est une tâche qu'une banque exécutait avant l'existence de la CTA, a continué d'exécuter pendant la vie de la CTA, et doit continuer d'exécuter maintenant que la CTA est effectivement abrogée pour les entités américaines. La différence, c'est que le filet de sécurité FinCEN — aussi mince qu'il fût en pratique — a été supprimé.

Les examinateurs le remarqueront. Le FFIEC BSA/AML Examination Manual n'a jamais autorisé les institutions à substituer une requête BOI à FinCEN à leur propre certification et vérification des bénéficiaires effectifs. Maintenant qu'il n'existe plus de base de ce type pour les entités américaines, la défense "nous nous sommes appuyés sur le registre" — qui n'a jamais été réellement recevable — devient visiblement inutilisable.

Ce Que les Équipes KYC et CDD Doivent Faire ce Trimestre

La règle finale est entrée en vigueur avec sa publication. Aucun délai transitoire. Les actions se répartissent en trois axes : démonter, combler, renforcer.

Démonter le Chemin de Requête BOI pour les Entités Américaines

Si votre stack d'onboarding appelle la base BOI de FinCEN pour les reporting companies américaines, cet appel ne renvoie désormais rien. Retirez-le du workflow, ou laissez-le en place avec un marquage clair "n'est plus faisant foi". Ne laissez pas un résultat de requête caduc satisfaire silencieusement une étape CDD. La piste d'audit associée — la preuve que vous avez exécuté la requête — est désormais la preuve que vous avez exécuté une requête sur un dataset vide, ce qui est pire que ne pas interroger du tout si un régulateur demande sur quoi vous vous êtes réellement appuyé.

Combler le Signal par des Sources Commerciales et Publiques

L'information que la base BOI était censée consolider ne disparaît pas ; elle est simplement de nouveau dispersée entre les sources dont elle provenait. Les dépôts auprès des Secretary of State au niveau des États, les enregistrements EIN de l'IRS, les fournisseurs commerciaux de données UBO (Bureau van Dijk, Dun & Bradstreet, Refinitiv) et les divulgations documentées de propriété fournies par le client doivent désormais porter le poids que la base BOI était censée partager. Concrètement : votre workflow KYB a besoin d'au moins deux sources indépendantes de preuves de propriété pour chaque client personne morale américain, et la conciliation entre elles doit être documentée.

C'est le même schéma de vérification multi-source que les firmes européennes sont contraintes d'adopter sous AMLD6. Les modèles opérationnels de conformité convergent, même si les cadres juridiques sous-jacents divergent.

Renforcer la Surveillance Continue

Les données BOI statiques vieillissent mal. Les changements de propriété, la réactivation de sociétés-écrans et les attaques de "synthetic business" que la Réserve fédérale a signalées en novembre 2025 reposent tous sur le fait que l'information de propriété devient obsolète entre deux revues. En l'absence d'un registre fédéral central mis à jour en arrière-plan, la surveillance continue est désormais la défense primaire contre des enregistrements UBO périmés. Cela implique des déclencheurs de revue événementiels sur les changements de propriété, des cycles de rafraîchissement adaptés au niveau de risque et un chemin d'escalade pour les entités dont les diagrammes de propriété commencent à paraître incohérents entre les sources.

Le modèle du KYC perpétuel — la vérification traitée comme un processus continu plutôt que comme un contrôle ponctuel — était déjà la direction prise par les firmes européennes sous les lignes directrices de surveillance continue de l'AMLA. La règle du 11 août pousse les firmes américaines dans la même direction, même si le moteur juridique est désormais "nécessité opérationnelle" plutôt que "exigence réglementaire".

Foreign Reporting Companies : la Pièce Qui n'a Pas Changé

Les entités non américaines enregistrées pour exercer une activité dans un État des États-Unis restent des reporting companies au sens de la CTA. Elles doivent toujours :

• Des dépôts complets d'informations sur les bénéficiaires effectifs
• Les informations sur le demandeur d'immatriculation (pour les entités enregistrées après le 1er janvier 2024)
• Des mises à jour dans les 30 jours suivant tout changement de bénéficiaire effectif

Des sanctions civiles pouvant atteindre 591 USD par jour et des sanctions pénales pouvant atteindre 10 000 USD et deux ans d'emprisonnement pour non-conformité intentionnelle restent inscrites dans la loi pour cette population. Pour les équipes KYB, cela signifie que les clients qui sont des entités étrangères sont désormais le seul segment pour lequel une requête BOI à FinCEN renvoie encore des données faisant foi. Le workflow se bifurque : les chemins des entités américaines interrogent les sources commerciales et étatiques ; les chemins des entités étrangères interrogent FinCEN ainsi que les sources commerciales et celles de la juridiction d'origine.

Cette bifurcation ajoute de la complexité de processus au moment précis où l'industrie tente de consolider les workflows KYB en pipelines uniques. Les agents IA autonomes capables d'aiguiller chaque entité sur le bon chemin de vérification en fonction de la juridiction, de la structure de propriété et du niveau de risque deviennent de plus en plus la réponse pratique — car l'alternative est un arbre de décision maintenu à la main qui se dégrade à chaque mise à jour réglementaire.

La Vue d'Ensemble : la Divergence Réglementaire Est la Nouvelle Ligne de Base

Prenez du recul par rapport à la règle du 11 août et un motif apparaît. En l'espace de dix-huit mois, les États-Unis et l'UE ont évolué en sens opposés sur les bénéficiaires effectifs :

• UE : Registres UBO centraux renforcés, interconnexion BORIS en service, seuil de 25 % remodelé par l'AMLR, AMLA prenant la supervision directe, données de propriété historique sur cinq ans exigées.
• États-Unis : Registre BOI central désactivé pour la population domestique, obligations concentrées sur les processus CDD propres aux institutions financières, dépôts d'entités étrangères conservés.

Les firmes opérant dans les deux juridictions n'ont plus la possibilité d'un playbook KYB global unique. La vérification de propriété dans l'UE signifie des contrôles multi-sources incluant BORIS, des workflows CDD conformes à l'AMLA, et des éléments de preuve conservés pour une revue périodique par un superviseur central. La vérification de propriété aux États-Unis signifie des contrôles multi-sources qui n'incluent plus FinCEN pour les entités domestiques mais l'incluent toujours pour les étrangères. Deux modèles opérationnels, un même client. La stack KYC doit le refléter. Pour une vue d'ensemble de cette divergence, y compris la nouvelle stratégie nationale LCB de l'Irlande et le calendrier de l'AMLR, consultez notre analyse sur ce que la suppression du BOI par FinCEN signifie pour la conformité KYC mondiale.

La convergence plus large — et c'est ce qui rend la conformité autonome intéressante — est que les deux régimes poussent vers la même réponse opérationnelle depuis des points de départ opposés. Vérification multi-source, surveillance continue, revue événementielle et conciliation entre sources constituent le fil rouge. Que le moteur soit réglementaire (UE) ou opérationnel (États-Unis), le workflow sous-jacent est le même.

Les AI Agents de Joinble ont été conçus pour exécuter précisément ce workflow : interroger les sources appropriées à chaque entité, concilier les résultats, signaler les incohérences et n'envoyer que les cas véritablement ambigus aux réviseurs humains. La règle du 11 août ne réduit pas le volume de ce travail. Elle le concentre, dans une juridiction où il était auparavant partiellement externalisé.

Ce Qu'il Ne Faut Pas Faire

Une courte liste de réponses tentantes à la règle finale auxquelles les responsables KYC doivent résister :

1. Ne dites pas au métier que les exigences de bénéficiaires effectifs ont été supprimées. Elles ne l'ont pas été. L'obligation de déclaration pesant sur les entités américaines a été supprimée. L'obligation de diligence raisonnable pesant sur l'IF ne l'a pas été.
2. Ne retirez pas les champs relatifs au BOI de la fiche client. Ils restent nécessaires pour le formulaire de certification et pour l'obligation d'identification de la CDD Rule.
3. Ne traitez pas la règle comme un signal que la vérification de propriété est une priorité inférieure. C'est un signal qu'elle est désormais plus concentrée dans le processus propre à l'IF, avec moins de validation externe.
4. Ne supposez pas que c'est le dernier mot. La CTA a traversé trois cycles de contentieux et deux vagues de revirements politiques. Une future action réglementaire pourrait ré-élargir le périmètre. Les systèmes conçus uniquement pour la règle actuelle seront fragiles.

FAQ

Devons-nous encore collecter des informations sur les bénéficiaires effectifs auprès des clients personnes morales américaines ?

Oui. La FinCEN CDD Rule de 2016 exige l'identification des bénéficiaires effectifs au seuil de 25 % de détention et d'au moins une personne exerçant le contrôle, indépendamment du fait que ces mêmes individus aient été déclarés à FinCEN au titre de la CTA. Rien dans la règle finale du 11 août ne modifie la CDD Rule.

Qu'advient-il du BOI que nous avons antérieurement déclaré pour des entités américaines ?

FinCEN a indiqué qu'il supprimera de la base BOI les informations antérieurement déclarées par des personnes et entités américaines. Les firmes ne devraient pas s'appuyer sur ces données pour de futurs onboardings ou cycles de rafraîchissement. Si votre workflow tirait des données du BOI en tant que source de vérification, considérez-la comme indisponible pour les clients qui sont des entités américaines.

Les entités étrangères doivent-elles encore déposer ?

Oui. Les "foreign reporting companies" — entités non américaines enregistrées pour exercer une activité dans un État des États-Unis — restent dans le périmètre. Elles doivent déposer des BOI, les maintenir à jour dans les 30 jours suivant tout changement, et sont exposées à des sanctions civiles et pénales en cas de non-conformité intentionnelle. C'est le seul segment pour lequel une requête BOI à FinCEN renvoie encore des données faisant foi.

Comment cela se compare-t-il à l'approche de l'UE ?

L'UE se durcit. Les dispositions du registre UBO d'AMLD6, effectives le 10 juillet 2026, étendent le périmètre, exigent des données de propriété historiques sur cinq ans et imposent une vérification multi-source. L'AMLR remodèle le seuil de propriété à "25 % ou plus" et confère à l'AMLA une autorité de supervision directe. Les firmes américaines opérant dans l'UE font face aux deux régimes, et leurs stacks KYB doivent refléter la divergence.

Les examinateurs testeront-ils nos procédures de bénéficiaires effectifs différemment maintenant ?

Les critères d'examen prévus par le FFIEC BSA/AML Examination Manual n'ont pas changé. Ce qui a changé, c'est la ligne de base probatoire pratique. Les examinateurs continueront d'attendre une identification, une vérification et une certification aux seuils de la CDD Rule. Ils n'accepteront pas "nous avons interrogé FinCEN" comme un substitut à ces étapes pour les entités américaines, parce que les données n'y sont plus. Attendez-vous à un examen plus poussé du processus propre de vérification multi-source de l'IF, pas moins.

Cela affecte-t-il la diligence renforcée pour les clients à haut risque ?

Elle la renforce. Les exigences d'EDD ne changent pas, mais les sources de données qui les soutenaient pour les entités américaines se sont rétrécies. Les firmes qui s'appuyaient sur des requêtes BOI comme l'un des signaux renforcés pour un client domestique à haut risque doivent désormais remplacer ce signal par des données commerciales, des éléments de preuve directs ou une surveillance continue plus intensive. La charge de travail ne diminue pas ; elle se redistribue.