Conformite AML et KYC pour la Fintech en France

Le paysage reglementaire fintech en France

La France s'est positionnee comme un acteur majeur de l'innovation financiere en Europe, alliant un cadre reglementaire exigeant a une volonte d'accompagner le developpement des fintechs. Le pays a ete l'un des premiers en Europe a adopter un cadre specifique pour les actifs numeriques avec la loi PACTE de 2019, etablissant le regime des Prestataires de Services sur Actifs Numeriques (PSAN).

L'Autorite des Marches Financiers (AMF) et l'Autorite de Controle Prudentiel et de Resolution (ACPR) constituent les deux piliers de la supervision des fintechs en France. L'AMF est responsable de la regulation des marches et de l'enregistrement des PSAN, tandis que l'ACPR, adossee a la Banque de France, supervise les etablissements de paiement, les etablissements de monnaie electronique et les etablissements de credit.

Le cadre legislatif et reglementaire

Le Code monetaire et financier

Les obligations KYC et AML des fintechs francaises sont principalement definies par le Livre V du Code monetaire et financier (CMF), qui transpose les directives europeennes anti-blanchiment en droit francais. Le CMF definit les entites assujetties, les mesures de vigilance obligatoires, les obligations de declaration et les sanctions applicables.

La loi PACTE et le regime PSAN

La loi PACTE de 2019 a introduit le statut de PSAN, creant un regime d'enregistrement obligatoire aupres de l'AMF pour les prestataires de services sur actifs numeriques. Ce regime impose des obligations KYC et AML specifiques qui sont venues completer le cadre general du CMF. Les services couverts incluent la conservation d'actifs numeriques, l'achat et la vente d'actifs numeriques contre des monnaies legales, l'echange d'actifs numeriques et l'exploitation d'une plateforme de negociation.

Transition vers MiCA

Avec l'entree en vigueur du reglement MiCA, le regime PSAN francais evolue vers le regime europeen harmonise des CASP. Les PSAN enregistres beneficient de dispositions transitoires leur permettant de continuer a operer pendant une periode determinee, mais doivent a terme obtenir une autorisation CASP pour poursuivre leurs activites. Cette transition implique une mise a niveau des procedures KYC pour satisfaire aux exigences de MiCA.

Obligations de vigilance KYC

Mesures de vigilance standard

Le CMF impose aux fintechs assujetties d'appliquer des mesures de vigilance standard lors de l'etablissement d'une relation d'affaires. Ces mesures comprennent l'identification du client au moyen d'un document d'identite officiel en cours de validite (carte nationale d'identite, passeport, titre de sejour), la verification de l'identite du client par des moyens fiables, l'identification le cas echeant du beneficiaire effectif, et le recueil d'informations sur l'objet et la nature de la relation d'affaires.

Pour les personnes morales, les fintechs doivent collecter l'extrait Kbis ou equivalent, les statuts a jour, l'identite des representants legaux et la liste des beneficiaires effectifs telle que declaree au Registre des Beneficiaires Effectifs (RBE) tenu par les greffes des tribunaux de commerce.

Verification d'identite a distance

L'ACPR a publie des positions specifiques sur la verification d'identite a distance, reconnaissant l'utilisation de moyens d'identification electronique conformes au reglement eIDAS. Les fintechs peuvent utiliser des solutions de verification a distance integrant la capture et l'analyse automatisee de documents d'identite, la comparaison biometrique (selfie vs document), et la detection de vivacite (liveness detection).

Joinble propose une solution de verification d'identite a distance pleinement conforme aux exigences de l'ACPR, integrant les derniers standards de detection de fraude documentaire et de verification biometrique. La plateforme est certifiee et conforme aux exigences du reglement eIDAS, offrant un niveau d'assurance eleve pour les fintechs francaises.

Mesures de vigilance renforcee

Des mesures de vigilance renforcee doivent etre appliquees dans les situations suivantes identifiees par le CMF : relations d'affaires avec des personnes politiquement exposees (PPE) au sens de l'article L. 561-10 du CMF, transactions impliquant des pays ou territoires identifies comme presentant des risques eleves par la Commission europeenne, operations complexes ou d'un montant inhabituellement eleve, et toute situation presentant un risque accru de blanchiment ou de financement du terrorisme.

Les mesures renforcees incluent l'obtention d'informations supplementaires sur l'origine des fonds et du patrimoine, l'approbation de la hierarchie pour l'etablissement ou le maintien de la relation, et l'intensification du suivi de la relation.

Obligations de declaration

Declaration de soupcon a Tracfin

Les fintechs assujetties sont tenues de declarer a Tracfin, la cellule de renseignement financier francaise, toute operation dont elles savent, soupconnent ou ont de bonnes raisons de soupconner qu'elle provient d'une infraction passible d'une peine d'emprisonnement superieure a un an, ou est liee au financement du terrorisme.

La declaration doit etre effectuee sans delai et de maniere confidentielle. Le CMF interdit aux fintechs de divulguer l'existence d'une declaration de soupcon a la personne concernee ou a des tiers. Joinble integre des outils de detection automatisee des operations suspectes et des workflows de gestion des declarations, facilitant le respect des delais et des obligations formelles.

Declarations systematiques (COSI)

Au-dela des declarations de soupcon, certaines operations font l'objet de declarations systematiques a Tracfin, notamment les transmissions de fonds effectuees a partir d'un versement en especes ou au moyen de monnaie electronique d'un montant superieur a 1 000 euros.

Le role du responsable de la conformite

Designation et missions

Toute fintech assujettie doit designer un responsable de la conformite (compliance officer) declare aupres de l'ACPR ou de l'AMF selon les cas. Ce responsable est charge de superviser la mise en oeuvre du dispositif de conformite, de veiller a la formation du personnel, de realiser les controles internes et d'assurer le dialogue avec les autorites.

Formation et sensibilisation

Le CMF impose aux fintechs de mettre en place un programme de formation continue du personnel sur les obligations AML/KYC. Cette formation doit couvrir les typologies de blanchiment et de financement du terrorisme, les procedures internes de vigilance, les obligations de declaration et les sanctions encourues en cas de manquement.

Specificites pour les PSAN et la transition MiCA

Exigences renforcees pour les PSAN

L'AMF impose aux PSAN des exigences de conformite renforcees par rapport au cadre general du CMF. Les PSAN doivent disposer d'un programme AML/KYC specifiquement adapte aux risques lies aux actifs numeriques, integrant des outils d'analyse blockchain et des procedures specifiques pour les transferts d'actifs numeriques.

Enregistrement renforce et agrement optionnel

Depuis la reforme de 2023, l'AMF a introduit un regime d'enregistrement renforce pour les PSAN, qui impose des exigences supplementaires en matiere de gouvernance, de cybersecurite et de conformite. Ce regime constitue une etape transitoire vers l'agrement CASP sous MiCA.

Conservation des donnees

Duree de conservation

Le CMF impose la conservation de l'ensemble des documents et informations relatifs a l'identite des clients et aux operations realisees pendant une duree de cinq ans apres la fin de la relation d'affaires ou la realisation de l'operation. Pour les declarations de soupcon et les documents associes, la duree de conservation est egalement de cinq ans.

Conformite RGPD

La Commission Nationale de l'Informatique et des Libertes (CNIL) veille a ce que la collecte et le traitement des donnees personnelles dans le cadre du KYC respectent le RGPD. Les fintechs doivent informer leurs clients de la collecte de leurs donnees, garantir la securite du traitement et limiter la conservation aux durees strictement necessaires.

Sanctions et controles

Pouvoirs de l'ACPR et de l'AMF

L'ACPR dispose d'un pouvoir de sanction etendu pour les manquements aux obligations AML/KYC, avec des amendes pouvant atteindre 100 millions d'euros ou 10% du chiffre d'affaires annuel. L'AMF peut pour sa part retirer l'enregistrement PSAN et interdire l'exercice de certaines activites.

Controles sur place et permanents

L'ACPR conduit des controles sur place reguliers aupres des fintechs assujetties pour evaluer l'adequation de leurs dispositifs de conformite. Ces controles peuvent donner lieu a des observations, des mises en demeure ou des procedures de sanction.

Questions frequentes

Quelles sont les autorites competentes pour la supervision AML/KYC des fintechs en France ?

L'ACPR supervise les etablissements de paiement, les etablissements de monnaie electronique et les etablissements de credit. L'AMF est competente pour les PSAN et les prestataires de services d'investissement. Tracfin est la cellule de renseignement financier qui recoit les declarations de soupcon. Les fintechs doivent identifier l'autorite competente en fonction de leur statut et de leurs activites.

Comment s'effectue la transition du regime PSAN vers MiCA pour les fintechs francaises ?

Les PSAN enregistres avant l'entree en vigueur de MiCA beneficient d'une periode transitoire pour obtenir une autorisation CASP. Pendant cette periode, ils peuvent continuer a operer sous leur enregistrement PSAN. L'AMF a publie des orientations specifiques pour accompagner cette transition, incluant les exigences supplementaires en matiere de KYC.

La verification d'identite video est-elle acceptee en France pour le KYC ?

Oui, l'ACPR accepte la verification d'identite a distance, incluant la verification video, sous reserve que les moyens utilises offrent un niveau de fiabilite equivalent a la verification en personne. Les solutions doivent integrer la detection de fraude documentaire, la comparaison biometrique et la detection de vivacite. Joinble offre une solution conforme a ces exigences.

Quels sont les montants des amendes en cas de non-conformite AML/KYC en France ?

L'ACPR peut imposer des amendes allant jusqu'a 100 millions d'euros ou 10% du chiffre d'affaires annuel. Pour les personnes physiques, les sanctions penales peuvent inclure des peines d'emprisonnement de cinq ans et des amendes de 375 000 euros pour le blanchiment. L'AMF peut egalement retirer l'enregistrement PSAN.

Comment Joinble accompagne-t-il les fintechs francaises dans leur conformite ?

Joinble propose une solution de conformite KYC/AML specifiquement adaptee au cadre reglementaire francais, integrant la verification d'identite conforme aux exigences de l'ACPR, le screening PEP et sanctions, le monitoring transactionnel et les outils de gestion des declarations Tracfin. La plateforme facilite egalement la transition du regime PSAN vers MiCA.