L'AMLR arrive. Êtes-vous réellement prêt ?

Qu'est-ce que l'AMLR ?

L'AMLR harmonise les obligations de lutte contre le blanchiment et de connaissance du client dans l'ensemble des États membres, en standardisant la manière dont les obligations KYC, AML et CDD sont appliquées plutôt que de les laisser diverger d'un pays à l'autre. Pour les institutions financières, l'AMLR marque le passage d'un régime de directives transposées au niveau national à un ensemble de règles unique et directement applicable.

Pourquoi l'AMLR est un règlement, et non une directive

Une directive fixe des objectifs que chaque État membre doit transposer dans son droit national, ce qui explique pourquoi les exigences anti-blanchiment ont historiquement varié d'un pays à l'autre. Un règlement est différent : il est directement applicable, produisant ses effets juridiques sous la même forme dans tous les États membres, sans transposition nationale. En remplaçant la mosaïque de règles nationales par un texte uniforme, l'AMLR supprime les divergences qui exposaient les entités assujetties actives dans plusieurs pays à des exigences hétérogènes.

Il s'articule avec deux autres instruments du paquet AML de l'UE :

• L'AMLR (règlement (UE) 2024/1624) : le corpus unique contenant les obligations de fond applicables aux entités assujetties.
• L'AMLD6, la sixième directive anti-blanchiment : des règles que les États membres continuent de transposer au niveau national, portant sur l'organisation de la supervision, les cellules de renseignement financier et l'accès à l'information.
• L'Autorité de lutte contre le blanchiment, établie par le règlement (UE) 2024/1620 : le nouveau superviseur européen créé pour garantir une application cohérente.

Le calendrier de l'AMLR : ce qui se passe d'ici le 10 juillet 2027

Le règlement a été adopté en 2024 dans le cadre du paquet législatif LBC/FT. Ses principales dispositions de fond s'appliquent à partir du 10 juillet 2027, ce qui laisse aux entités assujetties un délai défini pour adapter leurs processus, leurs modèles de données et leurs systèmes avant l'entrée en vigueur des règles. Cet horizon n'est pas illimité : la fenêtre de préparation est finie, et les changements opérationnels exigés par l'AMLR demandent du temps pour être conçus et intégrés.

Deux échéances intermédiaires méritent plus d'attention que la date de 2027 elle-même. La première est déjà passée : le premier paquet de normes techniques de réglementation, dont le RTS relatif aux mesures de vigilance à l'égard de la clientèle pris en application de l'article 28, paragraphe 1, de l'AMLR, devait être remis à la Commission européenne le 10 juillet 2026, si bien que la forme contraignante du standard est désormais largement lisible dans les projets soumis à consultation publique au premier semestre 2026. La seconde concerne l'identité numérique : le règlement (UE) 2024/1183, dit eIDAS 2.0, impose aux États membres de mettre à disposition le portefeuille européen d'identité numérique au plus tard le 24 décembre 2026, avec une obligation d'acceptation pour les acteurs privés listés, dont les banques, à compter du 24 décembre 2027. Ces échéances se recoupent : un dispositif d'identification conçu en 2026 devra fonctionner sous l'AMLR, absorber l'EUDI Wallet à un rythme hétérogène selon les pays, et rester explicable pendant toute la durée de conservation des dossiers.

Ce que l'AMLR change pour les entités assujetties

L'AMLR introduit plusieurs changements concrets qui transforment les opérations de conformité au quotidien.

Une vigilance à l'égard de la clientèle harmonisée

La vigilance à l'égard de la clientèle devient nettement plus prescriptive. Le règlement clarifie et standardise la manière dont les entités assujetties procèdent à l'identification et à la vérification du client, aux contrôles des bénéficiaires effectifs et au suivi continu, avec des exigences plus mesurables en matière de vérification d'identité. L'approche fondée sur les risques demeure, mais elle devient plus exigeante : chaque décision doit être documentée et défendable, en montrant comment, pourquoi et sur quelle base elle a été prise, et non par une simple affirmation générale que le risque a été évalué. Notre analyse détaillée sur ce que l'AMLR change pour la vigilance client approfondit ce point.

Le bénéficiaire effectif à 25 pour cent

L'AMLR fixe un seuil harmonisé d'identification du bénéficiaire effectif à 25 pour cent de propriété ou de contrôle, appliqué de façon cohérente dans toute l'UE. Il élargit également l'ensemble des données à collecter et à conserver pour chaque bénéficiaire effectif : noms légaux complets, toutes les nationalités, numéros d'identification nationaux, dates de naissance, adresses de résidence et pourcentages de détention détaillés tout au long de la chaîne de propriété. Répondre à ces exigences à grande échelle est précisément là où la vérification des bénéficiaires effectifs et l'intégration des registres automatisées prennent tout leur sens.

Une limite de paiement en espèces à l'échelle de l'UE

Le règlement introduit une limite de 10 000 euros pour les paiements en espèces de biens et de services à l'échelle de l'UE, et impose l'identification du client pour les paiements en espèces à partir de 3 000 euros. Cela réduit l'anonymat que peuvent offrir les transactions en espèces de forte valeur et donne aux autorités un socle commun plutôt que des plafonds nationaux divergents.

Un champ d'application élargi

La population des entités assujetties s'élargit. L'AMLR intègre de nouveaux secteurs dans son champ d'application, étendant les obligations anti-blanchiment au-delà des institutions traditionnellement couvertes, de sorte qu'un éventail plus large d'activités doit appliquer des devoirs de vigilance et de déclaration.

Ce sont les changements ayant le plus large impact opérationnel, mais pas l'ensemble du règlement. L'AMLR va plus loin, de la vigilance renforcée aux obligations de déclaration, et le texte intégral sur EUR-Lex demeure la référence définitive.

Comment l'AMLA supervise dans le cadre de l'AMLR

L'Autorité de lutte contre le blanchiment (AMLA) est le nouvel organe européen créé pour donner au corpus unique une force d'application cohérente. L'AMLA supervisera directement une sélection des institutions financières transfrontalières les plus à risque et coordonnera les superviseurs nationaux afin que l'AMLR soit appliqué de manière uniforme plutôt qu'interprété différemment d'un pays à l'autre. Nous avons examiné son fonctionnement dans notre note sur l'AMLA et la normalisation technique. Pour les entités assujetties, cela signifie une supervision européenne intégrée, avec moins de flexibilité locale et une prime accrue accordée à des processus standardisés et défendables.

Comprendre l'AMLR est la première étape. Le traduire en un modèle opérationnel capable de résister à une supervision européenne intégrée est la plus difficile.

Ce que « documentée et défendable » exige concrètement

Trois articles de l'AMLR rendent cette exigence concrète plutôt qu'incantatoire.

1. L'article 20, paragraphe 4, le dit sans détour : les entités assujetties doivent être en mesure, à tout moment, de démontrer à leurs autorités de contrôle que les mesures prises sont adaptées aux risques de blanchiment de capitaux et de financement du terrorisme qui ont été identifiés. C'est l'exigence de démonstrabilité inscrite dans le texte lui-même, et non une interprétation qui en est faite.
2. L'article 22 précise ce qui doit être collecté et vérifié pour les clients et les bénéficiaires effectifs, et il admet l'identification électronique répondant aux niveaux de garantie eIDAS « substantiel » ou « élevé » comme alternative à un document physique, à condition que la fiabilité soit équivalente et démontrée. Le choix de la méthode n'est pas un détail administratif neutre : il doit correspondre au profil de risque du client, et cette adéquation doit pouvoir s'expliquer.
3. L'article 24 ajoute un contrôle spécifique aux bénéficiaires effectifs : si la vérification propre de l'entité entre en contradiction avec ce qu'indique un registre national, l'écart doit être signalé dans un délai de 14 jours calendaires, et non classé sans suite. Le registre est un point de référence à vérifier, pas la fin de l'analyse.

Un test simple permet de sortir de l'abstraction. Prenez un dossier accepté il y a dix-huit mois et vérifiez si ces six questions trouvent une réponse sans travail de reconstitution :

1. Quels signaux ont fondé la décision d'accepter cette identité ?
2. Quel poids a été attribué à chacun, et pourquoi ?
3. Quel niveau de risque a été attribué, et sur quels critères ?
4. Qu'est-ce qui, depuis, aurait dû déclencher une réévaluation ?
5. Qui a pris la décision, et en vertu de quelle règle ?
6. Où cette trace est-elle conservée, et sous quelle forme ?

Si répondre suppose de rouvrir plusieurs outils et de reconstituer une chronologie à la main, le dispositif est documenté, pas démontrable. C'est cet écart, entre documenté et démontrable, qui est le véritable sujet de la suite de cet article.

Pourquoi la préparation à l'AMLR est un problème d'architecture

Les conversations que nous avons avec les responsables conformité à travers l'Europe partagent un fil commun. L'effort est là. Le talent est là. Et pourtant le système devient de plus en plus coûteux, de plus en plus manuel, de plus en plus fragile. Les volumes d'alertes augmentent. Les délais d'onboarding s'allongent. La préparation d'un audit ressemble à une crise à chaque fois.

Frank Verhaest, Partnership Director chez Harmoney, a ouvert le webinaire avec un recadrage qui a résonné tout au long de la session :

La plupart des dispositifs de conformité n'ont pas été conçus. Ils ont été accumulés. Un système ajouté après un audit. Une nouvelle couche après une régulation. Un outil supplémentaire après une amende. Chaque décision était logique au moment où elle a été prise. Le résultat, c'est une architecture construite par couches, jamais conçue dans sa globalité.

L'AMLR ne va pas briser vos équipes. Elle va exposer l'architecture.

Cinq blocages. Une boucle fermée.

Le webinaire a introduit le framework FAILS: cinq blocages structurels qui empêchent tout progrès durable en matière de conformité.

1. Fragmentation.
2. Alertes.
3. Invisibilité.
4. Lenteur.
5. Saturation.

Chacun est réel. Ensemble, ils forment une boucle que les correctifs locaux ne peuvent pas briser. Plus de règles génèrent plus d'alertes. Plus d'alertes entraînent plus de traitement manuel. Plus de traitement manuel crée de la fatigue. La fatigue augmente le risque de rater de vraies menaces. Les vraies menaces provoquent plus de règles. Et la boucle recommence.

Ajouter un outil ou une règle supplémentaire ne brise pas cette boucle. Cela ajoute du poids à un système qui commence déjà à plier.

La question qui mérite réflexion

La vraie question que les responsables conformité doivent se poser n'est pas « sommes-nous conformes à l'AMLR aujourd'hui ? » La plupart des organisations le sont, au moins partiellement.

La question est : notre modèle peut-il tenir demain ?

Financièrement. Opérationnellement. Structurellement. L'AMLR rehausse les exigences en matière de traçabilité, de prise de décision basée sur le risque et de documentation cohérente d'une manière qu'une architecture fragmentée aura du mal à satisfaire. Non pas par manque de volonté, mais à cause de la façon dont le système a été construit.

Questions fréquentes

Quand l'AMLR entre-t-elle en application ?

Le règlement (UE) 2024/1624 est directement applicable dans tous les États membres à compter du 10 juillet 2027, sans transposition nationale. La supervision directe de l'AMLA sur une sélection d'entités débute en 2028.

L'AMLR permet-elle l'identification électronique à la place des documents physiques ?

Oui. L'article 22, paragraphe 6, admet l'identification électronique répondant aux niveaux de garantie eIDAS « substantiel » ou « élevé », aux côtés des documents traditionnels, à condition que la fiabilité soit équivalente et démontrée.

Le registre des bénéficiaires effectifs suffit-il à prouver la structure de contrôle d'un client ?

Non. L'article 24 traite les informations du registre comme un point de départ pour la vérification, non comme une preuve suffisante en soi. L'entité assujettie reste responsable de vérifier leur correspondance avec la réalité de la structure de contrôle.

Que signifie concrètement une « conformité démontrable » selon l'AMLR ?

Elle repose sur quatre propriétés : pouvoir reconstituer, des années plus tard, pourquoi une identité a été jugée fiable ; une proportionnalité explicite, permettant de justifier un niveau de vigilance donné au regard d'un profil de risque donné ; une cohérence entre la politique écrite et la pratique quotidienne ; et une continuité, l'identification ne s'arrêtant pas à l'entrée en relation.

Faut-il changer d'outils pour se conformer à l'AMLR ?

Aucune technologie particulière n'est imposée. Le règlement fixe un résultat : une identification fiable, proportionnée au risque et démontrable. La question utile n'est donc pas de savoir quels outils remplacer, mais si les outils en place produisent une décision traçable et explicable.

L’AMLR ne demande plus si le document a été vérifié, mais si la fiabilité de l’identité peut être démontrée, et maintenue. La conformité devient opposable. Notre Livre Blanc, écrit avec ShareID, Trustfull et ID Protect, montre ce que cela exige concrètement. Téléchargez De la vérification documentaire à la maîtrise des entités d’identité gratuitement pour l’analyse complète, cas pratiques à l’appui en assurance et en crédit auto et leasing. ⬇️