La conformité LBC/FT ne se gagne pas à coups de cases cochées. Dans l'espace UEMOA — où cohabitent banques, établissements de monnaie électronique (EME), systèmes financiers décentralisés (SFD/EMF) et opérateurs de mobile money — l'enjeu n'est pas de *tout* contrôler, mais de contrôler *juste*, là où le risque est réel. C'est tout le sens de l'approche par les risques : concentrer l'effort de vigilance là où il protège vraiment l'établissement et le système financier, plutôt que de le diluer uniformément.
L'approche par les risques module l'intensité de la vigilance selon le risque réel de chaque relation d'affaires. Elle repose sur un cycle continu : classer le risque, calibrer la diligence, surveiller dans la durée, déclarer au bon moment. Un dispositif crédible ne se juge pas au volume de documents collectés, mais à la cohérence entre le niveau de risque assumé et les mesures effectivement appliquées.
Pourquoi l'approche par les risques s'impose
L'approche par les risques est le premier principe des standards internationaux de lutte anti-blanchiment portés par le GAFI (Groupe d'action financière). Elle irrigue les dispositifs nationaux de l'UEMOA et structure les évaluations menées par le GIABA, l'organisme régional de type GAFI pour l'Afrique de l'Ouest.
Elle interdit deux excès symétriques. Le premier : appliquer une vigilance maximale à tout le monde — coûteux, inefficace, et hostile à l'inclusion financière dans une zone où l'accès aux services financiers reste un objectif de politique publique. Le second : traiter toutes les relations de la même manière alors que leurs profils divergent radicalement, ce qui revient à sous-protéger l'établissement là où le risque est concentré.
Entre ces deux écueils, la proportionnalité n'est pas une tolérance : c'est une obligation de méthode. L'établissement doit être capable de démontrer *pourquoi* telle relation relève de tel régime — et non simplement *qu'il* a appliqué un régime.
Le cycle de vie du dispositif
L'approche par les risques n'est pas un acte ponctuel à l'ouverture du compte : c'est une boucle qui court sur toute la durée de la relation, de l'entrée en relation jusqu'à l'éventuelle déclaration de soupçon.
Chaque flèche de ce schéma correspond à une décision traçable. C'est cette traçabilité — et non la seule collecte de pièces — qui fait la robustesse du dispositif en cas de contrôle.
Classer le risque : cinq familles de facteurs à croiser
Un profil de risque ne se résume jamais à un seul critère. Il se construit en croisant plusieurs familles de facteurs, dont la combinaison — et non l'addition mécanique — donne le niveau final.
| Famille de facteurs | Indices de risque faible | Indices de risque élevé |
|---|---|---|
| Type de client | Particulier salarié, PME régulée | PPE, association opaque, activité en espèces |
| Zone géographique | Résidence et flux domestiques | Juridiction sous surveillance, flux offshore |
| Produit et canal | Compte courant, entrée en relation en agence | Transfert international, entrée en relation à distance |
| Nature des opérations | Réguliers, cohérents avec le profil | Montants atypiques, usage massif d'espèces |
| Bénéficiaire effectif | Chaîne de détention claire | Structure à écrans, refus de transparence |
Un score de risque n'a de valeur que s'il déclenche une action. Une grille qui classe sans conditionner le niveau de diligence, la validation hiérarchique et la fréquence de revue n'est qu'un document mort. La question de contrôle n'est jamais « avez-vous une cartographie ? » mais « que se passe-t-il concrètement quand un client bascule en risque élevé ? »
De la classification à la vigilance : trois régimes
La classification débouche sur un régime de diligence proportionné. Ces trois régimes ne sont pas des étiquettes, mais des ensembles cohérents de mesures, de contrôles et de rythmes de revue.
| Régime | Profil type | Diligences | Fréquence de revue |
|---|---|---|---|
| Allégée | Faible risque avéré | Identification simplifiée, contrôles espacés | Longue |
| Standard | Régime par défaut | Identification, vérification, objet de la relation | Périodique |
| Renforcée | PPE, structures opaques, activités sensibles | Informations complémentaires, validation Conformité, suivi rapproché | Rapprochée |
La bonne question n'est pas « ai-je un dossier complet ? » mais « ai-je un niveau de diligence cohérent avec le risque que je prends ? »
PPE et bénéficiaire effectif : les deux angles morts
Deux points concentrent l'essentiel des défaillances constatées en revue.
Le statut de personne politiquement exposée (PPE) ne se limite pas au titulaire du compte : il englobe ses proches et ses associés connus, et il ne disparaît pas mécaniquement le jour où la personne quitte ses fonctions — le risque résiduel doit être apprécié, pas présumé éteint.
Le bénéficiaire effectif est la personne physique qui contrôle réellement la relation, au-delà des écrans juridiques. L'identifier n'est pas une formalité de dossier : c'est la condition pour savoir *à qui l'on a réellement affaire*.
Un refus de communiquer l'identité du bénéficiaire effectif, ou une chaîne de détention artificiellement complexe, doit être traité comme un signal d'alerte à part entière — jamais comme un simple point administratif en suspens.
Surveiller dans la durée, déclarer au bon moment
La vigilance ne s'arrête pas à l'entrée en relation. La surveillance continue des opérations sert à détecter les incohérences entre le profil connu du client et son activité réelle : une rupture de rythme, un montant sans justification économique, un flux vers une zone à risque.
Lorsqu'un soupçon naît, il donne lieu à une déclaration de soupçon auprès de la CENTIF (Cellule nationale de traitement des informations financières), le service de renseignement financier de chaque État membre. Le déclencheur est le *soupçon*, pas la certitude : attendre la preuve, c'est déclarer trop tard.
Tracez la décision, pas seulement la donnée. En cas de contrôle, ce qui protège l'établissement, c'est la piste d'audit : qui a évalué, sur quels éléments, avec quelle conclusion et quelle validation. Une décision motivée et datée vaut mieux qu'un dossier épais mais muet.
Le cas des EME et du mobile money
Les émetteurs de monnaie électronique et les services de mobile money cumulent des facteurs de risque spécifiques : entrée en relation majoritairement à distance, réseau d'agents et de distributeurs, volumes massifs de petites transactions. L'approche par les risques y prend une forme très concrète :
- calibrer le KYC selon les paliers d'usage (plafonds de compte et de transaction), en réservant les diligences lourdes aux paliers supérieurs
- encadrer et contrôler le réseau de distribution : les agents sont un maillon de conformité à part entière, pas un simple canal commercial
- industrialiser la détection d'anomalies sur les flux, à l'échelle — la surveillance manuelle ne tient pas face au volume
C'est précisément là que l'approche par les risques prouve sa valeur : elle permet de servir l'inclusion financière de masse *sans* renoncer à la maîtrise du risque, en concentrant l'effort humain sur les signaux qui comptent.
Trois réflexes qui font la différence en revue
- Conditionner, pas seulement classer : chaque niveau de risque doit être relié à des mesures, un validateur et une fréquence de revue explicites.
- Documenter la décision : la piste d'audit prime sur le volume de pièces — motiver, dater, tracer la validation.
- Faire vivre la classification : un profil de risque figé à l'ouverture devient faux avec le temps ; la revue périodique n'est pas optionnelle.
Cadre de référence mobilisé : standards du GAFI (approche par les risques), dispositif LBC/FT de l'UEMOA, supervision de la BCEAO, cellules CENTIF et évaluations du GIABA. Les références réglementaires précises (numéros et dates des textes) sont à confirmer avec votre fonction Conformité avant toute citation opérationnelle.