Théâtre de la conformité : pourquoi chacun détient un dossier KYC sur vous

Je travaille dans la conformité. Eesti Firma est un prestataire agréé de services fiduciaires et aux sociétés, ce qui fait de nous une entité assujettie : l’une des entreprises que la législation sur la lutte contre le blanchiment de capitaux (AML), appliquée sous une forme très similaire dans toute l’UE, oblige à vérifier ses clients et à signaler ce qui paraît suspect. Chaque client qui crée une société par notre intermédiaire est identifié, contrôlé et interrogé sur l’origine des fonds ; je crois qu’il faut le faire correctement. Identifier un fondateur classique et le contrôler au regard des listes de sanctions et de personnes politiquement exposées prend à une personne formée environ 15 à 20 minutes. Le reste de l’intégration est une paperasse construite autour de ce quart d’heure, puis reconstituée depuis le début par chaque autre entité assujettie rencontrée par le client.

Ce n’est pas un argument contre les contrôles de connaissance du client (KYC). C’est un argument sur ce qu’ils sont devenus. Tous les acteurs de la chaîne travaillent avec soin, car chacun craint les conséquences de ne pas le faire, et cette crainte est devenue, quelque part, l’objectif. J’en suis venu à penser que le dossier existe moins pour empêcher le blanchiment de capitaux que pour prouver, lors de l’arrivée de l’inspecteur, que l’organisation qui le détient a posé les bonnes questions.

Un client, trois ou quatre séries de contrôles

Voici à quoi ressemblent les premiers mois pour un client type : un fondateur allemand, espagnol ou turc qui souhaite une société estonienne à responsabilité limitée (OÜ) et un compte fonctionnel. La séquence serait très semblable à Dublin ou à Lisbonne, car les règles proviennent des mêmes directives de l’UE ; l’Estonie ajoute une étape propre aux e-residents.

1. L’État, pour les e-residents. Un fondateur qui veut l’identité numérique estonienne demande l’e-Residency, et la Police and Border Guard Board effectue une vérification des antécédents avant la délivrance de la carte. Il ne s’agit pas d’un contrôle AML au sens juridique, mais d’une vérification relevant d’une autre loi ; elle demande néanmoins le même passeport et la même explication de l’objectif, et le demandeur acquitte une taxe d’État.
2. Le prestataire de services. Nous vérifions l’identité du fondateur, établissons le bénéficiaire effectif, le contrôlons au regard des listes de sanctions et de PEP (une PEP est une personne politiquement exposée, dont la fonction publique fait de la corruption un risque), demandons ce que fera l’entreprise et d’où viennent les fonds de démarrage, puis attribuons un niveau de risque. Cela comprend un questionnaire, un ensemble de documents et généralement un appel vidéo.
3. Le notaire. Un fondateur sans identité numérique estonienne constitue plutôt la société auprès d’un notaire, et le notaire est une entité assujettie distincte ayant les mêmes obligations. Notre dossier n’a aucune valeur dans son étude ; il identifie lui-même le client et vérifie le propriétaire.
4. La banque ou l’établissement de paiement. Celui qui ouvre le compte, banque ou fintech, utilise son propre formulaire, sa propre liste de documents et son propre entretien : plan d’affaires, volumes attendus, principales contreparties et origine des fonds, une nouvelle fois. Un second compte, dont beaucoup de nos clients ont besoin, implique encore une fois la même procédure.

Selon le parcours choisi, un fondateur passe par trois ou quatre de ces étapes, et les vérifications ne s’arrêtent pas là. Lorsque le client paie notre facture, notre propre banque peut nous demander qui est le payeur et à quoi servent les fonds. Un comptable qui prend ensuite la société en charge est aussi une entité assujettie. Chacune de ces organisations doit conserver son dossier au moins cinq ans après la fin de la relation, le tenir à jour, le protéger comme donnée personnelle et le surveiller, car chacune répond séparément de ce qu’elle détient.

Chaque étape est facturée séparément. Un prestataire tel que nous emploie du personnel pour lire les questionnaires, relancer pour les documents, contrôler les noms, rédiger une évaluation des risques puis conserver le dossier pendant des années, et ces tâches sont couvertes par les honoraires. Le notaire facture son temps. Les banques sont de loin les plus grandes dépensières ; une enquête sectorielle a évalué à plus de $270 milliards en 2022 le coût de la conformité liée à la criminalité financière dans le secteur financier mondial. Personne n’additionne ces chiffres, car chacun relève d’un budget différent, mais le client les paie tous, en honoraires et en taxes d’État, tandis que le personnel de conformité à chaque étape ne voit jamais ce que l’étape précédente a trouvé. Et, comme le reste du corpus réglementaire de l’UE, c’est un coût fixe : une banque l’absorbe, un prestataire de douze salariés le ressent pleinement.

Comment un formulaire est devenu un dossier

Il y a dix ans, les contrôles existaient, mais c’était un formulaire, pas un dossier. Ouvrir un compte exigeait un passeport, une signature et quelques questions, et un prestataire comme nous gardait un dossier mince. Puis sont venus les scandales. L’UE a réécrit sa directive sur la lutte contre le blanchiment de capitaux en 2015 puis en 2018, ajoutant chaque fois des entités assujetties et des obligations. L’Estonie a adopté une nouvelle loi nationale en 2017 et, en 2018, le rapport Danske Bank a chiffré à environ €200 milliards les fonds de non-résidents passés par une agence de Tallinn, dont une grande partie a ensuite été jugée suspecte. Un petit pays est devenu synonyme de blanchiment.

Danske n’était pas un manque de formulaires. La banque détenait des dossiers sur ses clients non-résidents et a ignoré ce que sa propre surveillance révélait, tandis que les autorités de contrôle n’ont pas suffisamment examiné un établissement. La réponse fut néanmoins davantage de formulaires pour tous. Chaque banque et chaque autorité a fait ce que toute organisation fait après une humiliation publique : demander davantage, conserver davantage et ne faire confiance à personne. D’après mon expérience, le cycle ne fonctionne que dans un sens. Une autorité est blâmée pour le scandale qu’elle n’a pas empêché, non pour le questionnaire qu’elle a fait remplir à dix mille clients honnêtes. Une entité assujettie est sanctionnée pour le champ laissé vide, non pour le champ ajouté. Des programmes de simplification existent, à Bruxelles comme à Tallinn, mais aucune inspection n’en dépend ; les questions s’accumulent donc plus vite qu’elles ne disparaissent.

La loi permet le partage. En pratique, personne ne partage

À vrai dire, l’identité est déjà partagée. Lorsqu’un e-resident ou un résident estonien se connecte avec une identité numérique, chaque banque et prestataire s’appuie sur une identité vérifiée par l’État. Ce qui n’est pas partagé, c’est tout le reste du dossier : qui est le propriétaire, ce que fait l’entreprise, d’où vient l’argent. La loi le permet également. Tant la directive européenne actuelle que le nouveau règlement européen sur la lutte contre le blanchiment de capitaux, applicable à partir de juillet 2027, autorisent une entité assujettie à se fonder sur les contrôles clients déjà effectués par une autre entité assujettie, et la nouvelle autorité européenne AMLA doit publier des lignes directrices sur la manière de procéder. Alors pourquoi la banque demande-t-elle à notre client de repartir de zéro ?

Parce que la responsabilité reste celle de l’acteur qui s’appuie sur le travail d’autrui. Si notre dossier s’avère erroné, l’amende revient à la banque, et son autorité de contrôle interrogera la banque, non nous, sur la raison pour laquelle elle a fait confiance à une entreprise qu’elle ne contrôle pas. Évaluer les procédures d’une autre société coûte davantage que d’envoyer au client un nouveau formulaire ; chaque établissement fait donc le même choix rationnel. La loi permet de s’appuyer sur autrui sur le papier et le sanctionne en pratique ; la somme de ces choix individuels raisonnables constitue le théâtre du titre. Le dossier a cessé d’être un outil pour devenir un produit : sa fonction est d’exister, d’être complet et d’être produit sur demande, afin de couvrir celui qui le détient.

La création de société est mon exemple parce que c’est mon métier, mais ce schéma traverse l’économie. Un appartement vendu dans n’importe quelle ville de l’UE génère un dossier chez l’agent immobilier, un autre chez le notaire, un troisième auprès de la banque prêteuse et parfois un quatrième auprès de la banque qui transfère l’épargne de l’acheteur : quatre dossiers sur les mêmes deux personnes pour une transaction, sans qu’aucun ne s’appuie sur le précédent. Échangez plus de €1,000 en espèces dans un bureau de change estonien et vous serez identifié et enregistré, et le bureau conservera cet enregistrement pendant des années parmi des milliers d’autres. Comptables, auditeurs, avocats et négociants en objets de valeur détiennent des dossiers du même type.

Ce qui, dans le dossier, réduit le risque

Le dossier standard que les banques et prestataires du marché recueillent auprès d’une nouvelle société se répartit, selon ma lecture, en trois groupes : la partie qui rend plus difficile l’utilisation abusive d’une société, celle qui existe principalement pour satisfaire un inspecteur, et celle qui relève du pur rituel. Le tableau est ma propre classification, non une qualification juridique, et le test de chaque ligne est simple : quelqu’un agit-il réellement sur la base de cette information ?

Le tableau entraîne deux conséquences. Premièrement, le dossier ne justifie son coût que lorsque quelqu’un surveille ensuite sur sa base, ce qui, dans la chaîne ci-dessus, signifie la banque, et la banque seule. Deuxièmement, la longueur vient du groupe intermédiaire. Un inspecteur ne peut voir si nous avons compris le client, mais il peut voir si le champ 14 a été rempli ; les champs sont donc ajoutés et rarement supprimés.

Ce que disent les chiffres

J’utilise les chiffres estoniens parce que ce sont ceux que je connais le mieux et parce que la Financial Intelligence Unit publie un rapport annuel. En 2024, l’unité a reçu 14 185 signalements d’entités assujetties. Elle a effectué 133 transmissions analysées aux enquêteurs et environ 1 700 autres transferts d’informations, et les enquêteurs ont saisi 5,7 millions € d’actifs que l’unité avait gelés. Selon l’évaluation nationale des risques, les transmissions analysées de l’unité ont conduit à dix nouvelles procédures pénales en 2024 et, au cours des cinq années jusqu’en 2024, les tribunaux estoniens ont rendu 32 jugements dans des affaires de blanchiment de capitaux.

Voici maintenant l’autre face. Plus de 25,000 nouvelles sociétés estoniennes à responsabilité limitée sont enregistrées chaque année en Estonie, le registre compte environ 370,000 entités juridiques de toutes catégories, et le programme e-Residency compte plus de 134,000 e-residents. Chaque nouvelle société, chaque compte et chaque identité numérique signifie au moins un dossier KYC complet, généralement plusieurs. Mon estimation approximative, et j’insiste sur le fait qu’elle est personnelle, est que les entités assujetties en Estonie produisent bien plus de cent mille dossiers KYC par an, et que l’ensemble du système les transforme en dix procédures pénales et quelques millions d’euros saisis. Supposez qu’un client sur dix mille ait une intention criminelle. Les 9,999 autres passent par trois ou quatre séries de contrôles afin qu’il puisse être trouvé, et les chiffres ci-dessus indiquent qu’en général il ne l’est pas.

Il y a deux objections légitimes, et je souhaite les exposer. La première concerne la dissuasion : les criminels qui ne déposent jamais de demande parce qu’ils savent qu’on leur posera des questions n’apparaissent dans aucune statistique. C’est vrai, et c’est aussi pourquoi personne n’a jamais eu à le prouver. L’autre concerne l’ampleur : un seul montage de blanchiment peut déplacer plus d’argent que mille entreprises honnêtes n’en gagnent, et si les dossiers avaient arrêté Danske, ils se seraient amortis plusieurs fois. Mais les dossiers n’ont pas arrêté Danske, et les condamnations que la FIU décrit dans son rapport annuel ont commencé par des signalements de transactions suspectes, non par des questionnaires. Le dossier d’intégration est là où l’argent est dépensé ; le suivi est là d’où viennent les résultats. Les données internationales vont dans le même sens. Europol a estimé en 2016 que seulement environ 1 % des produits criminels dans l’UE sont un jour confisqués, et le chercheur Ronald Pol, qui a tenté de comparer coûts et recouvrements, a conclu que les coûts de conformité dépassent les fonds récupérés de plus de cent fois. Aucun superviseur en Estonie n’a publié une comparaison de ce type pour le système qu’il administre.

Je ne m’attends pas à une amélioration de l’équilibre. Le nouveau corpus réglementaire de l’UE ajoute une autorité européenne de contrôle, un plafond de €10,000 applicable dans toute l’UE aux paiements en espèces et plusieurs nouvelles catégories d’entités assujetties, des plateformes de financement participatif aux clubs de football. Chaque nouvelle catégorie signifie un tiroir supplémentaire. Chaque scandale futur ajoutera des champs, car ajouter des champs est la manière dont une institution montre qu’elle a appris. Et un corpus réglementaire européen unique rend tout recul plus difficile, puisqu’une question inscrite dans un règlement ne peut être supprimée par un parlement national qui constate son inutilité.

Pourquoi personne ne le dit ouvertement

Il n’est pas à la mode de soupeser cela. En public, la seule position sûre sur le blanchiment de capitaux est toujours plus : davantage de contrôles, de signalements, de zèle. Quiconque demande si la dernière série de règles a produit un résultat risque d’être entendu comme quelqu’un qui souhaite moins de règles pour les criminels ; les responsables conformité et les avocats qui, selon mon expérience, partagent beaucoup de ces doutes en privé les y conservent donc. La lutte contre le blanchiment de capitaux est devenue une cause plus qu’une politique, et on demande rarement aux causes leurs chiffres coûts-avantages.

Il vaut la peine de le dire clairement, au vu de la direction prise si personne ne soupèse les choses. Une Europe qui a rédigé la loi sur la vie privée la plus stricte au monde a, de l’autre main, obligé des millions d’entreprises privées à conserver pendant des années des dossiers sur leurs clients, à les signaler à l’État sur soupçon et à en répondre si le dossier est mince. Chacun de ces dossiers a été ouvert de bonne foi pour arrêter un crime. Pris ensemble, ils constituent un registre permanent de qui possède quoi et qui a payé qui, conservé dans des tiroirs qui répondent d’abord à un inspecteur. Je ne crois pas que quiconque ait conçu cela. Je ne pense pas non plus que cela devrait continuer à croître sans que quelqu’un demande à quoi cela sert.

Ce que je changerais

L’essentiel ne nécessite pas une nouvelle loi, seulement des décisions différentes sur la manière d’appliquer celle qui existe. Le premier point, si.

1. Un dossier vérifié unique, porté par le client. Quelqu’un vérifie une fois la personne et assume la responsabilité de cette vérification, appuyée par un agrément, une assurance et un audit, afin que l’établissement qui s’y appuie ne soit pas sanctionné si elle est erronée. Ce vérificateur pourrait être une banque, un notaire, un prestataire agréé ou un service public fondé sur l’identité numérique ; l’essentiel est le lieu où repose la responsabilité. Les règles actuelles, nationales comme européennes, la placent sur celui qui s’appuie sur autrui, et c’est pourquoi personne ne s’y appuie. La modification exige des législateurs, et les futures lignes directrices d’AMLA sur la confiance accordée à autrui constituent le point naturel pour commencer la discussion.
2. Contrôler les résultats, non les formulaires. Une inspection devrait demander ce qu’a produit la surveillance d’une entreprise et où sont allés ses signalements, non si chaque champ de chaque formulaire a été rempli.
3. Des formulaires adaptés à la société. Une nouvelle société avec un fondateur unique et sans chiffre d’affaires a besoin de deux pages, non de vingt. Les questions renforcées, les contrôles approfondis que la loi réserve aux clients à risque plus élevé, doivent intervenir lorsque l’activité commence et qu’il y a quelque chose à examiner.
4. Re-KYC lors d’un changement, non selon le calendrier. Un nouveau propriétaire, un nouveau pays ou une nouvelle activité justifie un nouvel examen. L’écoulement de deux ans ne le justifie pas.
5. Utiliser les données que l’État détient déjà. Pour une société existante, le registre du commerce estonien (Äriregister) détient les propriétaires, le conseil de direction et les comptes annuels. Une entité assujettie devrait les extraire du registre au lieu de demander au client de les ressaisir. La Cour suprême estonienne a appliqué la même logique à l’autorité de contrôle elle-même en janvier 2026, lorsqu’elle a jugé illégal un formulaire de 44 questions que la Financial Intelligence Unit avait envoyé à tous les prestataires agréés, notamment parce que l’État devrait d’abord utiliser les données qu’il détient déjà.

Passer les contrôles sans le théâtre

Chez Eesti Firma, nous demandons ce qu’exigent la loi et notre propre évaluation des risques, et nous expliquons l’importance de chaque document. Nous aidons aussi les clients à préparer dès le départ un ensemble unique de documents et de réponses qui puisse être remis à la banque et à l’établissement de paiement sans réécriture, car, selon mon expérience, ce qui maintient une intégration courte n’est pas un questionnaire plus court mais une activité décrite de la même manière à tous ceux qui la demandent. Pour les sociétés qui deviennent elles-mêmes des entités assujetties, nous rédigeons les politiques et procédures exigées par la loi, ce qui fait, je l’admets, partie du même théâtre ; notre différence consiste à les rédiger afin qu’elles soient utilisables plutôt que simplement complètes. Si vous créez une société et souhaitez que la partie conformité soit gérée par des personnes qui lisent ce que vous envoyez, nous pouvons vous aider avec la création de société et tout ce qui la suit.

Envoyer une demande