Guide de l'Étude de Risque Individuel (ERI)

1

Guide de l'Étude de Risque Individuel (ERI) Mise à jour décembre 2025 Guide de l'Étude de Risque Individuel (ERI)

2

Sommaire 1. QU'EST-CE QUE L'ÉTUDE DE RISQUE INDIVIDUEL ? .............................................................................. 3 2. RÉFÉRENCES LÉGISLATIVES ......................................................................................................... 4 3. QUEL EST L'OBJECTIF DE L'ÉTUDE DE RISQUE INDIVIDUEL ? ............................................. 6 4. QUELLES SONT LES ÉTAPES DE L'ÉTUDE DE RISQUE INDIVIDUEL ? ..................................... 7 5. QUELS FACTEURS DE RISQUE DOIS-JE PRENDRE EN COMPTE POUR L'ÉLABORATION DE L'ERI ? ....... 9 Risque lié aux clients ........................................................................................................................................... 9 Risque lié aux produits et services .................................................................................................................. 10 Risque géographique .......................................................................................................................................... 11 Risque lié aux transactions .............................................................................................................................. 11 Risque lié aux canaux de distribution ............................................................................................................... 12 6. COMMENT DOIS-JE ÉVALUER LES RISQUES QUE J'AI IDENTIFIÉS ?............................................. 13 7. À QUELLES CONCLUSIONS L'ERI DOIT-IL ME PERMETTRE D'ABOUTIR ? .................................... 15 8. QUELLES MESURES DOIS-JE ADOPTER POUR FAIRE FACE AUX RISQUES QUE J'AI IDENTIFIÉS ET ÉVALUÉS ? ............................................................................................................... 16 9. COMMENT DOIS-JE ASSURER LE SUIVI DES MESURES QUE J'AI MISES EN ŒUVRE ? .................................................................................................................................................................18 10. AUTRES QUESTIONS FRÉQUENTES ........................................................................................ 19 11. ANNEXES ....................................................................................................................................... 23 Annexe I – Scénarios de risque relatifs au risque lié aux clients .................................................................... 23 Annexe II – Scénarios de risque relatifs aux produits et services ....................................................... 26 Annexe III – Scénarios de risque relatifs au risque géographique .................................................................. 30 Annexe IV – Scénarios de risque élevé relatifs au risque lié aux transactions ................................................. 31 Annexe V – Scénarios de risque élevé relatifs au risque lié aux canaux de distribution ................................... 32 Annexe VI – Exemples d'estimations des risques en fonction des niveaux de probabilité et d'impact ..................................................................................................................................................... 33 12. INFORMATIONS SUR LES MISES À JOUR DU GUIDE .......................................... 37

3

1. QU'EST-CE QUE L'ÉTUDE DE RISQUE INDIVIDUEL ?

L'étude de risque individuel (ERI) est un outil qui doit permettre à chaque assujetti d'identifier et de gérer de manière adéquate les risques de blanchiment d'argent ou de valeurs et de financement du terrorisme (BC/FT) auxquels il est exposé. Cette étude doit comporter un processus d'autoévaluation de sa propre activité par chaque assujetti, dans le but de détecter les domaines les plus vulnérables, sur lesquels, par conséquent, devront se concentrer la plus grande partie des efforts et des mesures de contrôle afin d'en réduire le risque associé jusqu'à un niveau acceptable selon la tolérance que détermine chaque assujetti. Ainsi, l'objectif du présent guide est de fournir aux assujettis des lignes directrices de base permettant la réalisation d'un ERI dans lequel figurent les risques réels auxquels s'expose l'assujetti. Bien que le présent guide ne soit pas d'application obligatoire, l'UIFAND considère que le contenu du présent document est pertinent pour tous les assujettis.

4

2. RÉFÉRENCES LÉGISLATIVES

L'obligation de réaliser l'ERI est établie par l'article 5 de la Loi 14/2017 : « 1. Les assujettis doivent adopter des mesures adéquates pour identifier, évaluer et comprendre leurs risques de blanchiment d'argent ou de valeurs et de financement du terrorisme. Cette étude de risque individuel (ERI) doit : a) être documentée de manière adéquate et consignée dans un rapport écrit ; b) prendre en compte tous les facteurs de risque pertinents avant de déterminer le niveau global de risque et les mesures d'atténuation appropriées. Ces facteurs de risque doivent inclure ceux relatifs aux clients, pays ou zones géographiques, produits, services, opérations ou canaux de distribution ; c) être périodiquement mise à jour et, en tout état de cause, lorsque surviennent des événements ou des changements importants dans la gestion et l'activité de l'assujetti. L'UIFAND peut émettre des lignes directrices sur ce qui est considéré comme des mesures adéquates compte tenu des particularités et de la taille des assujettis. 2. L'ERI doit être mis à la disposition de l'UIFAND immédiatement lorsque celle-ci le requiert. (...) » De même, la disposition transitoire quatrième de la Loi 14/2017 a accordé aux assujettis un délai de deux ans à compter de l'entrée en vigueur de la loi pour finaliser leur Étude de Risque Individuel (ERI). Par conséquent, les assujettis disposaient jusqu'au 18 juillet 2019 pour le finaliser. Ainsi, actuellement, les assujettis doivent disposer d'un ERI dans les termes établis par l'article 5 de la Loi 14/2017 et à l'article 3 du Règlement d'application de la Loi 14/2017. Enfin, le Règlement de la Loi 14/2017, en son article 3, développe de manière plus détaillée le contenu minimal que doit avoir l'étude, ainsi que d'autres exigences que l'assujetti devra respecter dans l'évaluation interne de ses risques : « 1. En application de l'article 5 de la Loi, lorsque les assujettis identifient et évaluent leurs risques de blanchiment et de financement du terrorisme, ils doivent prendre en compte, entre autres, les facteurs de risque suivants : a) la nature, la diversité et la complexité de leurs activités ; b) leurs marchés cibles ; c) le nombre de clients et de bénéficiaires effectifs déjà identifiés comme présentant un risque élevé ; d) les juridictions auxquelles l'assujetti est exposé, que ce soit par sa propre activité ou par les activités de ses clients et bénéficiaires effectifs, en particulier les juridictions présentant des niveaux de corruption ou de criminalité organisée élevés, et/ou des déficiences dans les contrôles de lutte contre le blanchiment de capitaux ou de valeurs et le financement du terrorisme signalées par le Groupe d'action financière (GAFI) ;

5

e) les canaux de distribution, y compris la manière dont l'assujetti traite avec ses clients, le niveau de dépendance à l'égard de tiers pour l'application des mesures de vigilance et l'utilisation de technologies ; f) les résultats de l'audit interne, le cas échéant ; g) le volume et la taille de ses opérations, compte tenu de l'activité habituelle de l'assujetti et du profil de ses clients ; h) les produits et services ; i) les flux monétaires avec chaque juridiction avec laquelle l'assujetti opère, que ce soit dans le cadre de sa propre activité ou dans le cadre des activités de ses clients et bénéficiaires effectifs ; j) la typologie des sociétés ou entités ; k) les entités ou structures juridiques administrées par des avocats, des gestionnaires et/ou des prestataires professionnels de services aux sociétés et fiducies ; l) les entités ou structures juridiques sans activité économique apparente. 2. Les assujettis peuvent compléter ces informations par des informations obtenues auprès d'autres sources pertinentes, internes et externes, telles que les responsables commerciaux, les gestionnaires de clientèle, les études de risque nationales, les listes publiées par des organisations intergouvernementales ou des gouvernements nationaux, les rapports d'évaluation ou sur les typologies de blanchiment ou de financement du terrorisme publiés par le GAFI ou des organismes équivalents tels que Moneyval. 3. L'étude de risque individuelle est approuvée par l'organe d'administration et constitue la base pour élaborer les politiques et les procédures visant à atténuer les risques de blanchiment et de financement du terrorisme, car elle reflète le profil de risque de l'assujetti et détermine son niveau de tolérance. Les politiques, procédures, mesures et contrôles visant à atténuer les risques doivent être cohérents avec l'étude de risque individuelle. »

6

3. QUEL EST L'OBJECTIF DE L'ÉTUDE DE RISQUE INDIVIDUELLE ?

Afin de se conformer au Règlement de la Loi 14/2017, l'étude de risque individuelle doit avoir le contenu minimal décrit au paragraphe précédent, bien qu'elle doive être adaptée à la taille et aux caractéristiques de chaque activité. Il n'existe pas de format standard à suivre. L'objectif final de l'étude de risque individuelle doit être de pouvoir déterminer le niveau de risque global, en termes de BC/FT, que présente chaque assujetti dans son ensemble.

Afin de parvenir à cette catégorisation du risque global, il convient de considérer au préalable le risque associé à de multiples facteurs, qui varient en fonction de chaque assujetti, mais qui peuvent être regroupés, en tout état de cause, en cinq grands facteurs de risque, qui sont décrits plus loin. L'ERI doit constituer une première étape nécessaire pour que les assujettis puissent élaborer les mesures d'atténuation et de contrôle adéquates pour faire face à leurs risques, en affectant les ressources de manière efficiente aux domaines identifiés comme présentant un risque plus élevé, de manière cohérente avec la nature, la taille et la complexité de leur activité. De même, il convient d'assurer un suivi et de contrôler la mise en œuvre de ces mesures, procédures et contrôles, ainsi que de procéder à leur actualisation ou à leur amélioration le cas échéant.

7

4. QUELLES SONT LES ÉTAPES DE L'ÉTUDE DE RISQUE INDIVIDUELLE ?

Une étude de risque individuelle pourrait se résumer à un processus d'auto-évaluation qui comprend les quatre étapes suivantes :

8

9

5. QUELS FACTEURS DE RISQUE DOIS-JE CONSIDÉRER POUR L'ÉLABORATION DE L'ERI ?

Lors de la première étape de l'étude, celle de l'identification des risques, l'assujetti doit évaluer le risque que son activité puisse être utilisée par des criminels afin de dissimuler l'origine délictueuse de certains fonds, de blanchir le produit du délit et/ou de financer le terrorisme. Par exemple, parmi d'autres cas de figure, l'assujetti peut (i) recevoir des fonds d'origine délictueuse sur des comptes que le client détient auprès de son entité ; (ii) le client peut utiliser les services de l'assujetti pour constituer une structure juridique qui rende difficile l'identification de criminels ou encore (iii) l'assujetti peut légitimer des fonds d'origine délictueuse par sa participation à l'établissement des états financiers d'une société qui présentent ces fonds comme des bénéfices légitimes provenant de l'activité économique de la société, alors qu'en réalité leur origine n'a rien à voir avec l'activité économique du client. Les risques auxquels sont confrontés les assujettis, comme il a déjà été indiqué dans des paragraphes précédents, pourraient être regroupés dans les catégories ou facteurs suivants : • Risque lié aux clients • Risque lié aux produits et services offerts • Risque géographique • Risque lié aux transactions • Risque lié aux canaux de distribution Sont détaillés ci-après les éléments à prendre en compte pour chacun de ces facteurs de risque :

Facteur de risque 1 Risque lié aux clients

Pour évaluer le risque associé à ce facteur, l'assujetti doit identifier la typologie des clients auxquels il fournit ses services. Dans ce paragraphe, il convient de tenir compte de la classification de chaque client en fonction du niveau de risque de blanchiment de capitaux ou de valeurs ou de financement du terrorisme qu'il présente, sur la base des critères que l'assujetti a définis en interne conformément aux dispositions de l'article 4 du Règlement portant application de la Loi 14/2017. De même, il convient de considérer le pourcentage de clients qui ont été classés comme présentant un « risque élevé » par rapport au total de ceux-ci, afin d'observer le degré d'exposition de l'assujetti au risque lié aux clients. Afin d'attribuer à chaque client la classification de risque correspondante, il convient de tenir compte des caractéristiques de chacun à titre individuel, ou bien, selon le volume de clients, l'assujetti peut segmenter le portefeuille de clients en différentes catégories et

10

déterminer le risque associé à chacune d'elles. Quelques exemples de segmentation pourraient être les suivants : • En fonction de leur typologie (personnes physiques, personnes morales, autres structures juridiques...). • Selon leur forme sociale (société anonyme, société à responsabilité limitée, société unipersonnelle...). • Selon leur nationalité et leur résidence. • En fonction de leur activité professionnelle ou de leur secteur. • En fonction de leur taille (petites entreprises, multinationales...). • En fonction de la durée de la société. • En fonction de l'ancienneté de la relation d'affaires. L'Annexe I du présent guide fournit quelques exemples de considérations de risque élevé, ainsi que de situations de risque faible, en ce qui concerne le risque lié aux clients.

Facteur de risque 2 Risque lié aux produits et services

Pour ce facteur de risque, l'assujetti doit identifier tous les produits et/ou services qu'il offre et évaluer le risque que chacun d'eux puisse être utilisé pour le blanchiment d'argent ou de valeurs ou le financement du terrorisme. Le risque peut être considéré au niveau de chaque produit ou service offert ou bien être segmenté en différents domaines ou lignes d'activité, en fonction de la nature, de la diversité et de la complexité des activités de chaque assujetti. L'assujetti doit également considérer le poids que chaque produit, service ou domaine représente dans son chiffre d'affaires total. Par conséquent, s'il est constaté que la majeure partie des bénéfices provient de lignes d'activité qu'il a considérées à haut risque, l'assujetti doit adopter des mesures d'atténuation plus exhaustives, car son degré d'exposition au risque lié aux produits et services sera plus élevé. L'Annexe II du présent guide fournit quelques exemples de produits qui, de manière générale, sont associés à un risque plus élevé de BC/FT, et détaille également les produits présentant le risque le plus élevé pour chaque secteur, compte tenu des résultats de l'Étude nationale des risques. Enfin, l'annexe recense également certaines typologies de produits qui, de par leur nature et leurs caractéristiques, présentent un risque faible de BC/FT.

11

Facteur de risque 3 Risque géographique

Dans ce paragraphe, l'assujetti doit identifier les juridictions auxquelles il est exposé, que ce soit par sa propre activité (marchés cibles sur lesquels il se concentre) ou par les activités de ses clients et bénéficiaires effectifs. À cet égard, le degré d'exposition de l'assujetti aux juridictions en question est déterminé par ses propres activités, les produits et services offerts, sa localisation ou la localisation de ses succursales, filiales ou délégations. De même, le degré d'exposition peut également résulter de l'activité des clients de l'assujetti, que ce soit parce que (i) le client est situé ou opère dans la juridiction en question ; (ii) c'est de là qu'il obtient son financement ou que provient l'origine des fonds apportés ; (iii) c'est là que le client vend la majeure partie de ses produits ou fournit la majeure partie de ses services ; (iv) c'est là qu'il acquiert la majeure partie des matières premières nécessaires au développement de son activité ; ou bien (v) il y est lié par des réseaux, agences ou fournisseurs ou par la destination des transactions effectuées par le client, entre autres cas de figure. Une fois identifiées les juridictions auxquelles l'assujetti est exposé, il doit être évalué quel risque en matière de blanchiment d'argent ou de valeurs et de financement du terrorisme présente chacune d'elles, en accordant une attention particulière aux juridictions qui présentent un risque plus élevé. L'Annexe III du présent guide indique certains des facteurs à prendre en considération pour déterminer quelles juridictions présentent un risque plus élevé en matière de BC/FT, ainsi que les zones qui présentent un risque potentiellement moindre. Outre le risque en matière de BC/FT de chaque juridiction à laquelle l'assujetti est exposé, celui-ci devrait également considérer d'autres aspects, comme par exemple le degré de stabilité politique de la juridiction en question, le niveau d'efficacité de son régime législatif et de supervision, le niveau de corruption ou le niveau d'inclusion financière. De même, un autre élément pertinent est l'expérience de l'assujetti. Par exemple, un assujetti habitué à travailler à l'international n'attribuera pas la même classification à ce facteur de risque que d'autres assujettis ayant une expérience limitée dans ce domaine.

Facteur de risque 4 Risque lié aux transactions

Pour ce facteur de risque, l'assujetti doit identifier toutes les transactions auxquelles il participe ou qu'il facilite et évaluer le niveau de risque que celles-ci puissent être liées au produit d'une activité délictueuse. Par conséquent, il doit tenir compte du volume et de la taille de ses opérations, en considérant son activité habituelle et le profil de ses clients, ainsi que du risque associé au moyen de paiement utilisé.

12

Il convient de souligner que ce facteur de risque revêt une plus grande importance pour les assujettis qui gèrent des comptes de clients, comme peuvent l'être les entités financières bancaires et non bancaires, car ils doivent identifier les types de transactions qui passent par ces comptes et évaluer les risques associés à chacun de ces types de transactions. L'Annexe IV du présent guide indique certains éléments à haut risque associés aux transactions, virements ou opérations. De même, et outre les risques inhérents à tout type de transaction, il doit également être tenu compte de leur fréquence et de leur nombre, en particulier celles liées à un même client, et du fait qu'elles soient de nature complexe, car toutes ces caractéristiques les rendent plus difficiles à surveiller et à contrôler.

Facteur de risque 5 Risque lié aux canaux de distribution

Dans ce paragraphe, l'assujetti doit considérer tous les moyens qu'il utilise pour interagir avec ses clients et le degré de proximité avec ceux-ci. Il existe des canaux de distribution qui peuvent présenter un risque plus élevé car ils peuvent rendre difficile l'identification du client et/ou du bénéficiaire effectif. En particulier, l'assujetti doit tenir compte de la mesure dans laquelle il travaille directement avec ses clients et s'il établit ou entretient des relations d'affaires à distance. L'Annexe V du guide détaille certains des facteurs à prendre en considération pour évaluer ce risque.

13

6. COMMENT DOIS-JE ÉVALUER LES RISQUES QUE J'AI IDENTIFIÉS ?

Au cours de cette deuxième étape, l'assujetti doit analyser les risques qu'il a identifiés dans chacune des catégories définies au paragraphe précédent. L'une des méthodes les plus recommandables pour analyser les risques consiste à le faire sur la base d'une combinaison de la probabilité qu'ils se produisent et de l'impact du coût ou des dommages qu'entraînerait la survenance du risque en question. La probabilité doit tenir compte de la mesure dans laquelle il est possible que l'assujetti soit utilisé pour le blanchiment d'argent ou de valeurs ou le financement du terrorisme par ses clients au moyen des produits, services, canaux de distribution ou transactions qu'il facilite. La probabilité peut être estimée, par exemple, à partir du nombre de fois par an où l'on estime que le risque en question faisant l'objet de l'analyse peut se produire. En tout état de cause, les niveaux de probabilité les plus bas correspondent à des situations improbables ou peu courantes, mais jamais impossibles. La probabilité qu'un risque se produise est calculée en tenant compte des menaces auxquelles l'assujetti est exposé et des vulnérabilités de ses contrôles. Ces deux concepts répondent à ce qui suit : • Une menace est un facteur de risque externe, auquel l'assujetti est exposé, du fait du secteur auquel il appartient, de la zone géographique dans laquelle il est situé ou de la conjoncture économique, entre autres. • Une vulnérabilité est un facteur de risque interne consistant en des carences et des défaillances dans les systèmes de contrôle de l'assujetti, et elle tient également compte du degré de réponse que l'assujetti est capable d'apporter. Ces vulnérabilités peuvent être exploitées par les menaces externes. Pour sa part, l'impact peut se mesurer comme les pertes ou dommages économiques que causerait à l'activité de l'assujetti la concrétisation du risque, que ce soit en conséquence de l'infraction proprement dite ou des sanctions que les autorités de surveillance pourraient lui imposer, ainsi que du dommage réputationnel qu'elle entraînerait pour l'assujetti ou, voire, pour l'ensemble de son secteur ou du pays dans lequel il opère. En ce sens, l'impact serait faible si seules survenaient des conséquences de faible montant et/ou à court terme et il serait élevé ou critique si les conséquences étaient d'un montant élevé et/ou à long terme et pouvaient affecter le fonctionnement normal de l'assujetti. Cette estimation de la probabilité et de l'impact doit permettre de définir un niveau de risque de BC/FT (entre Élevé, Moyen et Faible) pour chacun des risques identifiés, c'est-à-dire pour chaque client, produit, service, juridiction, transaction et canal de distribution. De manière graphique, et à titre d'exemple, cela pourrait être représenté de la manière suivante :

14

Quelques exemples concrets d'analyse du risque associé, calculé en termes de probabilité et d'impact, de certaines typologies relevant de l'un des facteurs de risque définis au paragraphe précédent figurent à l'Annexe VI du présent guide. En tout état de cause, l'analyse des catégories de risque et de la combinaison de probabilité et d'impact est propre à chaque assujetti. De même, tous ces facteurs ne peuvent pas être pris en compte uniquement de manière isolée, mais doivent être considérés de manière combinée ; c'est-à-dire, pour donner un exemple, un produit classé à faible risque acquis par un client d'une juridiction considérée à haut risque peut aboutir à une estimation de risque élevée pour cette combinaison en particulier.

15

7. QUELLES CONCLUSIONS L'ERI DOIT-ELLE ME PERMETTRE DE TIRER ?

Une fois défini le niveau de risque de chacun des domaines analysés, l'assujetti doit être capable d'estimer un niveau de risque global pour son activité, qui résultera de la combinaison de tous les différents facteurs et qui différera d'un assujetti à l'autre. Ainsi, une matrice des risques qui pourrait représenter les conclusions d'une étude de risque d'un assujetti pourrait être la suivante :

Évaluation des risques

Probabilité Impact Risque Risque facteur Risque assujetti

Facteurs de risque Client A / Catégorie A Faible Élevé Moyen

Moyen

Moyen Client B / Catégorie B Élevée Faible Moyen Client C / Catégorie C Moyen Moyen Moyen Produit A / Catégorie A Faible Faible Faible

Moyen Produit B / Catégorie B Faible Élevé Moyen Produit C / Catégorie C Moyenne Élevé Élevé Pays A / Catégorie A Moyenne Élevé Moyen

Moyen Pays B / Catégorie B Faible Moyen Faible Pays C / Catégorie C Moyenne Faible Moyen Opération A / Catégorie A Élevée Élevé Élevé

Élevé Opération B / Catégorie B Élevée Moyen Moyen Opération C / Catégorie C Moyenne Élevé Élevé Canal A / Catégorie A Faible Faible Faible

Faible Canal B / Catégorie B Faible Moyen Faible Canal C / Catégorie C Moyenne Faible Faible

Il convient toutefois de tenir compte du fait que les niveaux de risque attribués à chacune des catégories, ainsi que le niveau de risque global de l'assujetti, ne sont ni statiques ni définitifs, mais qu'ils évolueront à mesure que les circonstances (menaces externes, taille, structure organisationnelle, etc.) de l'assujetti évolueront également.

16

8. QUELLES MESURES DOIS-JE ADOPTER POUR FAIRE FACE AUX RISQUES QUE J'AI IDENTIFIÉS ET ÉVALUÉS ?

À ce stade de l'étude, l'assujetti doit gérer les risques de BC/FT identifiés et analysés. À cette fin, il doit établir des politiques et procédures de contrôle interne appropriées et adaptées à la nature, à la taille et aux caractéristiques de son activité. Ces politiques, contrôles et procédures doivent viser à atténuer les risques identifiés et analysés, en les réduisant jusqu'à un niveau que l'assujetti considère acceptable (en fonction de sa tolérance au risque), dans le but d'éviter ou de minimiser les menaces, vulnérabilités et impacts, ainsi que les risques réputationnels, opérationnels ou de sanction associés, entre autres. De même, l'étude de risque individuelle doit permettre d'identifier les domaines de l'activité les plus vulnérables à une utilisation à des fins de BC/FT, de sorte que, plus l'estimation du risque d'un domaine donné est élevée, plus il faudra mettre en œuvre de mesures de contrôle, plus elles devront être exhaustives ou plus fréquemment elles devront être révisées. En ce sens, et en tant que mesures de contrôle, l'assujetti peut envisager la mise en œuvre des mesures suivantes, à titre d'exemple et de manière non exhaustive : • Établir un système efficace d'application de mesures de vigilance proportionné aux risques identifiés et analysés. • Définir des scénarios d'application de mesures de vigilance simplifiées et renforcées, adaptés à la nature de chaque assujetti, au-delà de ceux que prévoit déjà la Loi 14/2017 en ses articles 11 et 12, respectivement. • Établir un système d'approbation par la haute direction de certaines relations d'affaires ou transactions présentant un risque plus élevé définies par l'assujetti. • Établir des plafonds de montant pour certaines transactions considérées à haut risque, telles que les paiements en espèces. • Établir un système efficace de catégories de risque pour classer les clients, en cohérence avec les mesures de vigilance à appliquer pour chaque catégorie. • Déterminer un système de révision périodique des relations d'affaires entretenues, en établissant une fréquence de révision plus élevée pour celles définies comme présentant un risque plus élevé. Veiller à ce que la procédure de révision soit menée par une personne ou un service de l'assujetti différent de celui qui a initié la relation d'affaires en question à l'époque, afin de garantir l'indépendance de cette procédure. • Réviser périodiquement l'aptitude du personnel en contact direct avec les clients, produits ou domaines détectés comme présentant un risque plus élevé. • Dispenser une formation en matière de BC/FT à l'ensemble du personnel, en particulier (c'est-à- dire plus fréquemment et avec des contenus plus détaillés et adaptés au poste) à ceux qui travaillent dans les domaines d'activité identifiés comme présentant le risque le plus élevé.

17

• Analyser le cadre réglementaire en matière de PBC/LFT des juridictions présentant un degré d'exposition plus élevé, que ce soit par le biais des activités de l'assujetti ou des ses clients. • Dans les cas extrêmes, mettre fin à la relation d'affaires ou cesser d'offrir un produit ou service.

18

9. COMMENT DOIS-JE ASSURER LE SUIVI DES MESURES QUE J'AI MISES EN ŒUVRE ?

Au stade final de l'étude de risque individuelle, l'assujetti doit réviser et surveiller régulièrement l'adéquation et l'efficacité des mesures d'atténuation qu'il a mises en œuvre à l'issue de celle-ci. Autrement dit, un suivi continu doit être effectué afin de vérifier que les mesures de gestion des risques mises en œuvre sont cohérentes avec les risques identifiés et analysés, ainsi que leur degré d'efficacité. Afin de mener à bien cet exercice de surveillance, de suivi et de vérification de l'efficacité, l'assujetti peut tenir compte, entre autres : des résultats des politiques de contrôle interne qu'il a établies ; des rapports, analyses et vérifications qu'a effectués le département de compliance (si l'assujetti en dispose d'un) ; des résultats de l'audit interne (dans le cas des assujettis financiers) ; du nombre d'opérations suspectes communiquées en interne à l'Organe de contrôle interne et de communication (OCIC) ainsi que de celles déclarées à l'UIFAND ; des résultats de l'audit externe annuel (dans le cas des assujettis financiers) ; et/ou des recommandations que l'UIFAND a formulées dans ses rapports de contrôle, si l'assujetti a fait l'objet de l'un d'eux.

19

10. AUTRES QUESTIONS FRÉQUENTES

Q1. Qui doit réaliser l'ERI ? R1. Tous les assujettis, tels que définis à l'article 2 de la Loi 14/2017, doivent réaliser leur étude de risque individuelle. Seuls peuvent en être exclus les assujettis ou secteurs que l'UIFAND détermine et communique de manière expresse, conformément à l'article 5.3 de la Loi 14/2017. À la date de publication du présent guide, l'UIFAND n'a exclu aucun assujetti de l'obligation de réaliser l'ERI.

Q2. Dois-je prendre en compte tous mes clients/activités pour l'élaboration de l'ERI ? R2. Non, l'ERI doit uniquement prendre en considération les activités qui sont soumises à la législation en vigueur en matière de prévention du blanchiment d'argent ou de valeurs et du financement du terrorisme, c'est-à-dire celles qui confèrent la qualité d'assujetti telle que définie à l'article 2 de la Loi 14/2017. De même, l'étude doit uniquement prendre en considération les clients ou catégories de clients auxquels a été fourni l'un des produits ou services visés audit article.

Q3. Quelles sources puis-je consulter pour l'élaboration de l'étude ? R3. Outre les facteurs de risque et les considérations internes décrits dans le présent guide, l'assujetti peut consulter d'autres sources lors de la réalisation de son étude de risque individuelle, entre autres, les suivantes : • Les assujettis financiers qui ont établi des procédures d'audit interne peuvent tenir compte de leurs résultats en vue de l'élaboration de l'ERI. • Les résultats de l'Étude de risque nationale (NRA) relatifs au secteur auquel appartient l'assujetti. • D'autres sources externes pertinentes, comme par exemple des études de risque nationales d'autres juridictions, des listes publiées par des organisations intergouvernementales ou des gouvernements nationaux, des rapports d'évaluation ou sur les typologies de blanchiment ou de financement du terrorisme publiés par le GAFI ou des organismes équivalents, comme par exemple Moneyval. Toutefois, il doit être tenu compte du fait que les sources décrites ci-dessus doivent uniquement constituer un élément supplémentaire complétant les informations contenues dans l'étude de risque individuelle, mais ne doivent pas en constituer la base principale ou la totalité.

20

Q4. Puis-je recourir aux services d'un consultant ou d'un conseiller externe pour l'élaboration de mon ERI ? R4. Oui, la législation en vigueur n'établissant aucune limitation à cet égard. Toutefois, il convient de tenir compte du fait que c'est l'assujetti qui dispose de la meilleure connaissance de ses propres activités et clients, et qu'il est le responsable final qui doit garantir que le contenu de l'étude donne une image fidèle de la réalité de son activité.

Q5. Sous quel format dois-je élaborer mon ERI ? R5. Conformément à l'article 5.1.a) de Loi 14/2017, l'étude de risque individuelle doit être dûment documentée et consignée dans un rapport écrit.

Q6. Qui doit approuver l'étude de risque individuelle ? R6. Conformément à l'article 3.3 du Règlement d'application de la Loi 14/2017, l'étude de risque individuelle doit être approuvée par l'Organe d'administration de l'assujetti.

Q7. De quel délai est-ce que je dispose pour achever mon étude de risque individuelle ? R7. La disposition transitoire quatrième de la Loi 14/2017 a accordé aux assujettis un délai de deux ans à compter de l'entrée en vigueur de la loi pour achever leur Étude de risque individuelle (ERI). Par conséquent, les assujettis disposaient d'un délai jusqu'au 18 juillet 2019 pour l'achever. Ainsi, actuellement, les assujettis doivent disposer d'un ERI dans les conditions prévues à l'article 5 de la Loi 14/2017 et à l'article 3 du Règlement d'application de la Loi 14/2017.

Q8. Dois-je transmettre mon étude de risque individuelle à l'UIFAND ? R8. Non. Conformément à la législation en vigueur, l'étude doit être à la disposition de l'UIFAND une fois expiré le délai légal pour son élaboration. Elle doit uniquement être transmise à l'UIFAND si cette Unité le demande de manière expresse.

Q9. Quelles sont les conséquences de l'absence d'élaboration de l'étude de risque individuelle ? R9. Le manquement à l'obligation de réaliser une étude de risque individuelle dans les conditions établies par la Loi 14/2017 et son Règlement d'application constitue une infraction très grave, conformément à l'article 71.10 de ladite Loi. De même, le fait de réaliser une étude de risque individuelle qui ne soit pas adéquate, suffisante, objective et réaliste constitue une infraction grave, pour autant qu'il ne soit pas établi qu'elle constitue une infraction très grave, comme le prévoit l'article 72.15 de la même Loi.

21

Il convient de rappeler que la commission d'infractions très graves est sanctionnée par : 1) Pour les assujettis personnes morales (Article 74.1 de la Loi 14/2017) : a) Amende de 90.001 à 1.000.000 d'euros. b) Restriction temporaire ou définitive de certains types d'opérations. c) Révocation ou modification de l'autorisation de l'activité correspondante. 2) Pour les assujettis personnes physiques (Article 75.1 de la Loi 14/2017) : a) Amende de 25.001 à 300.000 euros. b) Suspension temporaire d'au moins six mois ou suspension définitive. c) Restriction temporaire ou définitive de certains types d'opérations. d) Révocation ou modification de l'autorisation de l'activité correspondante. De même, les infractions graves sont sanctionnées par : 1) Pour les assujettis personnes morales (Article 74.2 de la Loi 14/2017) : a) Amende de 15.001 à 90.000 euros b) Restriction temporaire de certains types d'opérations. 2) Pour les assujettis personnes physiques (Article 75.2 de la Loi 14/2017) : a) Amende de 3.001 à 25.000 euros. b) Suspension temporaire d'une durée comprise entre un et six mois. c) Restriction temporaire de certains types d'opérations.

Q10. À quelle fréquence dois-je mettre à jour mon ERI ? R10. Une fois l'ERI élaboré pour la première fois, et conformément à l'article 5.1.c) de la Loi 14/2017, celui-ci doit être mis à jour de manière périodique. Une périodicité de mise à jour de trois ans est recommandée, afin de garantir que les zones de risque de BC/FT détectées demeurent d'actualité, ainsi que de prendre en considération les nouveautés législatives et les nouvelles tendances et typologies qui apparaissent au niveau national et international en matière de prévention du blanchiment d'argent ou de valeurs et du financement du terrorisme. De même, des changements significatifs peuvent survenir dans les variables utilisées pour la réalisation de l'ERI, justifiant une révision de l'ERI avant le délai fixé pour sa révision périodique, comme par exemple des changements conjoncturels ou des changements chez l'assujetti, qu'il s'agisse de sa stratégie commerciale, de son organisation ou de sa structure, ou de changements en ce qui concerne sa tolérance au risque.

22

Q11. Que doivent faire les assujettis qui viennent de constituer une société ou de commencer une activité qui n'a pas encore fourni de services soumis à la Loi 14/2017 ? R11. Tous les assujettis — y compris les entités nouvellement créées et les personnes physiques qui commencent une activité professionnelle — doivent identifier les risques inhérents à leur activité, ou à leur modèle d'affaires, et déterminer les mesures d'atténuation et les contrôles internes correspondants. Cette analyse doit être réalisée dès le premier moment, y compris avant le début effectif de l'activité. La rédaction du document d'évaluation doit intervenir, au plus tard, au moment où l'entité ou le professionnel acquiert la qualité d'assujetti. Il est possible que, dans cette phase initiale, l'on ne dispose pas encore d'historiques de clients, d'opérations, de produits ou de canaux de distribution. Néanmoins, cette absence d'activité préalable ne dispense pas de l'obligation d'élaborer ladite analyse. Dans ces cas, l'analyse doit reposer sur une auto-évaluation prospective centrée sur les risques potentiels associés au modèle d'affaires envisagé, en tenant compte : • de la nature du secteur et de l'activité que l'on entend exercer ; • du type de produits ou de services qui seront proposés ; • du profil prévu des clients et des juridictions avec lesquels on opérera ; • des canaux de distribution qui seront utilisés ; • de la dimension initiale estimée de l'activité ; • des vulnérabilités pouvant découler de l'organisation, des systèmes et des procédures initiaux. Cette auto-évaluation doit permettre d'identifier par anticipation les risques inhérents préalables au début de l'activité et de définir les mesures d'atténuation et les contrôles internes de manière réaliste et adaptée au risque. Une fois que l'assujetti a effectivement commencé son activité, il sera nécessaire de procéder à une mise à jour de l'auto-évaluation prospective et à sa transformation en un ERI conforme aux exigences établies à l'article 5.1.c) de la Loi 14/2017. L'objectif est que le document reflète fidèlement la réalité opérationnelle de l'activité et que les politiques et mesures d'atténuation appliquées soient adaptées aux risques observés. Le moment de réaliser la première mise à jour n'est pas fixe, mais dépend du fait que l'assujetti dispose, avec le temps, d'informations réelles et suffisantes sur les clients, les opérations et les transactions. En tout état de cause, la mise à jour de l'auto-évaluation prospective en un ERI ne peut excéder trois ans.

23

11. ANNEXES

Les listes figurant dans la présente section sont fournies uniquement à titre d'exemple et ne prétendent pas avoir un caractère exhaustif. Annexe I – Scénarios de risque relatifs au risque clients Risque élevé Il convient de tenir compte du fait que tous les scénarios suivants n'impliquent pas automatiquement que le client qui les réunit doive être classé comme « à risque élevé », mais ils exigeront, en tout état de cause, que l'assujetti leur accorde une attention particulière afin de confirmer qu'ils comportent effectivement un risque élevé de BC/FT : • Clients qui développent la relation d'affaires ou les transactions dans des circonstances inhabituelles, comme par exemple une distance géographique injustifiée entre l'assujetti et la localisation du client, ou qui effectuent, de manière fréquente et injustifiée, des mouvements de fonds entre comptes dans diverses juridictions. • Clients ressortissants, résidents ou ayant des liens avec une juridiction à haut risque (voir « Annexe III – scénarios de risque relatifs au risque géographique »). • Clients non coopératifs ou qui manifestent une méfiance injustifiée à l'égard de leur vie privée (refus ou réticence à fournir les informations demandées par l'assujetti). • Clients dont, en raison de leur structure et de leurs caractéristiques complexes, il est difficile d'identifier le bénéficiaire effectif ou la personne qui en exerce le contrôle effectif. • Clients qui agissent par l'intermédiaire de tiers tels que des représentants, mandataires, fiduciaires, membres de la famille, etc. • Clients personnes morales administrées par des avocats, des gestionnaires et/ou des prestataires professionnels de services aux sociétés et aux fiducies. • Clients qui sont des organismes sans but lucratif (associations ou fondations), en particulier ceux qui opèrent au niveau international et, plus concrètement, dans des juridictions à risque. • Personnes ou structures juridiques instrumentales/écrans sans activité économique réelle ou qui constituent des véhicules de gestion du patrimoine personnel. • Sociétés ayant des actionnaires prête-noms ou constituées avec des actions au porteur. • Clients qui exercent leur activité professionnelle dans des secteurs à haut risque, tels que : o Activités impliquant l'utilisation de grandes quantités d'espèces et/ou l'utilisation d'espèces de manière fréquente. o Commerçants de biens de grande valeur.

24

o Casinos et autres opérateurs de jeux de hasard, tant en présentiel qu'en ligne. o Activités sans présence physique et opérant uniquement par internet. o Secteur de l'armement. o Prestataires de services aux sociétés. o Intermédiaires/commissionnaires. o Toute autre activité présentant une forte exposition internationale. • Clients qui sont des personnes politiquement exposées (PPE), en particulier les PPE étrangères, ainsi que les personnes morales qui, en dernier ressort, sont contrôlées par une PPE. La même considération s'étend également aux membres de la famille et aux personnes étroitement associées à la PPE, tel que le décrit l'article 3.7 et 3.8 de la Loi 14/2017. • Clients qui, pour justifier leur activité professionnelle, présentent des contrats de prestation de services sans entrer dans le détail de ce en quoi ils consistent ou des conditions qui y sont associées. • Entités gouvernementales, publiques et parapubliques, en particulier celles situées dans des juridictions présentant des niveaux élevés de corruption ou ayant des liens avec celles-ci. • Clients dont il est connu qu'ils ont été condamnés ou contre lesquels une procédure judiciaire a été engagée. • Clients dont le mode de vie ou les transactions qu'ils effectuent ne sont pas cohérents avec les informations personnelles et professionnelles dont l'assujetti dispose à leur sujet. • Clients à l'égard desquels des doutes existent en raison d'informations négatives dans des sources publiques ou des bases de données commerciales. • Clients présentant un taux de rotation élevé (c'est-à-dire, par exemple, un client qui exerce une activité commerciale pendant une courte période sous une société, qu'il ferme ensuite, puis opère de nouveau sous une nouvelle société). • Clients qui exercent une activité commerciale sortant du cadre de leur activité habituelle ou de la gamme de produits et services qu'ils proposent normalement. • Clients disposant d'un patrimoine/pouvoir d'achat élevé. • Clients disposant de multiples comptes bancaires, que ce soit au niveau national ou à l'étranger. • Clients ayant changé de conseillers à de multiples reprises sur une courte période sans motif raisonnable. • Clients auxquels un autre professionnel a refusé le produit ou service qu'ils sollicitent auprès de l'assujetti avec lequel ils entendent établir une relation d'affaires ou effectuer une opération occasionnelle.

25

• Clients personnes morales nouvellement créées, pour lesquelles il existe un faible volume d'informations disponibles pour justifier leur activité professionnelle. • Clients occasionnels. • Portefeuilles de clients qui, en général, présentent une rotation élevée ou un faible niveau de stabilité.

Risque faible • Entités cotées en bourse et soumises à des conditions requises en matière d'information (que ce soit en vertu des règles de la bourse ou d'une loi ou d'autres instruments contraignants), qui imposent des obligations afin de garantir une transparence adéquate des bénéficiaires effectifs. • Entreprises ou administrations publiques. • Clients résidant dans des zones géographiques à faible risque (voir « Annexe III – scénarios de risque relatifs au risque géographique »).

26

Annexe II – Scénarios de risque relatifs aux produits et services Risque élevé Cas généraux : • Produits et services identifiés comme à haut risque par des sources internationales crédibles. • Produits pouvant facilement franchir les frontières internationales. • Produits favorisant, de manière inhérente, l'anonymat. • Produits complexes et/ou peu transparents. • Nouveaux produits, produits innovants ou produits issus de l'utilisation de nouvelles technologies. • Produits impliquant des paiements élevés en espèces. • Produits ou services à distance, non présentiels. • Produits n'ayant pas de prix de marché et difficiles à évaluer.

Par secteurs :

Exemples de produits et services à risque plus élevé Secteur bancaire • Relations de correspondance bancaire internationale. • Activités de banque privée (au niveau national ou international). • Comptes numérotés. • Comptes omnibus. • Certains types de comptes bancaires offrant de plus grandes facilités ou de plus grands avantages, comme par exemple de moindres restrictions ou des seuils transactionnels plus élevés. • Services de change de devises. • Services de banque en ligne ou mobile. • Services de paiement électronique, tels que les cartes prépayées. • Financement commercial, en particulier en ce qui concerne le commerce extérieur. • Virements électroniques internationaux.

27

• Activités de crédit, en particulier les prêts garantis par des valeurs négociables ou d'autres garanties. • Coffres de sécurité / coffres-forts. Établissements financiers non bancaires • Gestion de patrimoine et/ou d'actifs. • Activités d'intermédiation, en particulier en ce qui concerne les instruments financiers complexes, tels que les produits structurés, les investissements alternatifs, les actions privilégiées, les dérivés ou les fonds d'investissement collectif. Assurances • Polices vie-investissement, en particulier les « unit-linked » (liées à un portefeuille d'investissement). Prestataires de services sur actifs virtuels • Opérations avec différents prestataires de services sur actifs virtuels, en particulier avec des prestataires de services sur actifs virtuels enregistrés dans une juridiction où la réglementation LBC/FT est inexistante ou non conforme aux normes. • Opérations sur actifs virtuels auprès de différents prestataires de services sur actifs virtuels, en particulier avec des prestataires de services sur actifs virtuels enregistrés dans une juridiction sans lien avec le lieu où vit ou exerce son activité le client. • Opérations impliquant l'utilisation de différents actifs virtuels ou de plusieurs comptes, sans explication raisonnable. • Opérations avec des prestataires de services sur actifs virtuels qui permettent l'échange d'actifs contre de la monnaie FIAT ou qui permettent des offres initiales de crypto-actifs (ICOs). • Opérations avec des prestataires de services sur actifs virtuels qui permettent des opérations entre une grande variété d'actifs virtuels. Économistes, auditeurs, comptables, conseillers fiscaux, cabinets de gestion et prestataires de services aux sociétés • Services de gestion de fiducies. • Fourniture de services aux sociétés. • Constitution de sociétés, en particulier : o Les structures administrées par des avocats, des gestionnaires et/ou des prestataires professionnels de services aux sociétés et fiducies o Les structures sans activité économique apparente. • Planification / schémas d'optimisation fiscale nationale et internationale. • Services de comptabilité pour lesquels il existe des doutes quant au fait que les comptes et registres sur lesquels porte le conseil puissent avoir été falsifiés.

28

Secteur juridique • Constitution de sociétés, en particulier : o Structures administrées par des avocats, des gestionnaires et/ou des prestataires professionnels de services aux sociétés et fiducies o Structures sans activité économique apparente. • Conseil juridique dans l'achat et la vente de biens immobiliers et d'entités commerciales. • Gestion de fonds, de valeurs, d'actifs et de comptes bancaires, d'épargne ou de titres du client. • Conseil fiscal international. Secteur immobilier • Achats et ventes de biens immeubles. • Intermédiation dans des locations pour un montant égal ou supérieur à 10.000€ mensuels. Négociants en biens de grande valeur • Commerce d'articles de grande valeur, tels que des véhicules ou des pierres et métaux précieux, dans les cas où le paiement est effectué en espèces pour une valeur égale ou supérieure à 10.000 euros, que celui-ci soit réalisé en une seule opération ou en plusieurs opérations entre lesquelles il semble exister un lien quelconque. Secteur des mandats postaux • Services de transfert de fonds vers des juridictions à haut risque (que ce soit soient des remises ou par l'intermédiaire de comptes courants postaux). Casino de jeu ou autres prestataires de services de jeux de hasard (en présentiel et en ligne) • Encaissement des gains et/ou réalisation de paris pour une valeur égale ou supérieure à 2.000 euros, que ceux-ci soient effectués en une seule opération ou en plusieurs opérations entre lesquelles semble exister un lien quelconque. • Opérations de change de devises qui ne correspondent pas à l'activité de jeu du client. • Schémas de paris présentant des indices ou des soupçons raisonnables d'entente ou d'accord préalable sur le dénouement ou le résultat final. Organisations sans but lucratif (OSBL) • Dons à une cause faisant l'objet d'informations négatives dans des sources publiques. • Effectuer des opérations financières sans aucun objectif économique cohérent ou qui n'ont pas de lien avec l'activité déclarée. Commerçants ou intermédiaires d'œuvres d'art • Intermédiation dans des transactions d'œuvres d'art pour des montants significatif et pour lesquelles il n'existe pas de marché offrant des garanties de transparence.

29

Personnes qui entreposent, commercialisent et/ou agissent en tant qu'intermédiaires dans le commerce d'œuvres d'art dans des zones franches • Intermédiation dans des transactions d'œuvres d'art pour des montants significatif et pour lesquelles il n'existe pas de marché offrant des garanties de transparence. Gestionnaires des zones franches et les opérateurs qui y sont établis • Facturation de marchandises pour un montant ne correspondant pas à leur valeur de marché, ce qui peut constituer un indice de transport ou de facturation de contrefaçons, de marchandises illicites, etc.

Risque faible • Assurances vie avec une prime annuelle faible ou une prime unique1. • Polices d'assurance pour des plans de pension, à condition qu'elles ne contiennent pas d'option de rachat anticipé et ne puissent servir de garantie. • Plans de pension, de retraite ou similaires prévoyant le versement de prestations de retraite aux employés, à condition que les cotisations soient effectuées au moyen de retenues sur le salaire et que les règles du plan ne permettent pas aux bénéficiaires de céder leur participation. • Produits ou services financiers dûment définis et limités, destinés à certains types de clients dans un objectif d'inclusion financière, tels que des prêts à la consommation ou des produits d'épargne. • Produits dans lesquels le risque de blanchiment d'argent ou de valeurs ou de financement du terrorisme est géré au moyen d'autres facteurs, comme par exemple des limites de retrait d'espèces ou la transparence de la propriété.

1 Plus précisément, la Loi 14/2017, en son article 11.2.a), établit que les polices d'assurance vie dont la prime annuelle n'excède pas 1.000 euros ou dont la prime unique n'excède pas 2.500 euros comme l'une des hypothèses dans lesquelles des mesures de vigilance simplifiées peuvent être appliquées.

30

Annexe III – Scénarios de risque relatifs au risque géographique Risque élevé • Juridictions présentant des déficiences dans les contrôles de lutte contre le blanchiment d'argent ou de valeurs et le financement du terrorisme signalées par des organismes internationaux tels que le Groupe d'action financière (GAFI), l'Union européenne (que la UIFAND communique au moyen des Communiqués techniques correspondants), le Fonds monétaire international ou la Banque mondiale. • Juridictions qui, selon des sources fiables, telles que des rapports d'évaluation mutuelle ou de suivi du GAFI ou d'organismes équivalents comme Moneyval, ne disposent pas de systèmes efficaces de lutte contre le blanchiment d'argent ou de valeurs et le financement du terrorisme. • Juridictions soumises à des sanctions, des embargos ou d'autres mesures restrictives similaires appliquées par des organismes tels que les Nations unies ou l'Union européenne. • Juridictions qui ont été identifiées par des sources crédibles qui possèdent des niveaux élevés de corruption, de criminalité organisée ou de toute autre activité délictueuse. • Juridictions qui, selon des sources crédibles, financent ou soutiennent des activités terroristes. • Centres financiers offshore.

Risque faible • États membres de l'Union européenne. • Pays qui, selon des sources crédibles, ont un faible niveau de corruption ou d'autres activités délictueuses. • Pays qui, selon des sources crédibles, comme par exemple des rapports d'évaluation mutuelle ou de suivi du GAFI ou d'organismes équivalents comme Moneyval, disposent d'un système efficace de prévention et de lutte contre le blanchiment d'argent ou de valeurs et le financement du terrorisme conformément aux Recommandations du GAFI.

31

Annexe IV – Scénarios de risque élevé relatifs au risque lié aux transactions

• Transactions à caractère sporadique ou ponctuel. • Paiements reçus d'inconnus ou de tiers non associés au client. • Transactions pour des montants excessivement élevés ou supérieurs à ceux nécessaires pour pouvoir la formaliser. • Transactions pour des montants inférieurs ou supérieurs au prix du marché. • Paiements en espèces ou au moyen d'autres instruments similaires à liquidité élevée. • Virements entre comptes d'un même client ou entre comptes, portefeuilles ou porte-monnaie virtuels. • Transactions régulières ayant pour bénéficiaire le même individu (qu'il s'agisse d'une personne physique ou morale) ou groupe d'individus. • Transactions qui, apparemment, ne semblent pas avoir de sens économique, commercial ou bien ne sont pas cohérentes avec la connaissance du client, son comportement attendu ou ses possibilités économiques (niveau de patrimoine, capacité d'épargne...). • Transactions que le client demande et qui ne relèvent pas du domaine d'expertise de l'assujetti ou des produits ou services qu'il fournit habituellement. • Transactions dans lesquelles les fonds sont d'origine personnelle ou bien dont l'origine n'est pas facilement identifiable. • Transactions dans lesquelles les fonds proviennent de l'étranger, en particulier si la juridiction en question ne semble avoir aucun lien avec le client ou son activité. • Transactions (telles que des virements électroniques internationaux) qui ont pour destination des pays à haut risque (tels que peuvent l'être des juridictions offhsore). • Transactions dans lesquelles il est soupçonné que le bénéficiaire peut être une société instrumentale ou écran. • Comptes bancaires dormants qui, soudainement et sans motif apparent, redeviennent actifs. • Comptes « pont ».

32

Annexe V – Scénarios de risque élevé relatifs au risque lié aux canaux de distribution

• Canaux de distribution non présentiels (online). • Canaux de distribution qui utilisent la technologie (en particulier les nouvelles technologies) pour l'établissement et/ou le maintien de relations d'affaires avec les clients. • Recours à des prescripteurs, intermédiaires et agents, en particulier dans les cas dans lesquels on travaille uniquement avec le client par l'intermédiaire de ces intermédiaires. • Dépendance élevée à l'égard de tiers pour la mise en œuvre des mesures de vigilance. Dans ces cas, il convient de justifier cette dépendance et la qualité de l'information obtenue par l'intermédiaire de ces tierces parties afin de compléter les mesures de vigilance propres.1 1 Il est rappelé que la délégation à des tiers des mesures de vigilance doit respecter les conditions requises établies par l'article 18 de la Loi 14/2017. À cet égard, la Loi permet uniquement la délégation de l'identification et de la vérification de l'identité du client et du bénéficiaire effectif, ainsi que l'obtention d'informations sur l'objet et la nature de la relation d'affaires, mais non l'application de mesures de suivi continu. En tout état de cause, l'assujetti délégant demeure responsable du respect de ces obligations.

33

Annexe VI – Exemples d'estimations des risques en fonction des niveaux de probabilité et d'impact

Exemple 1 – Risque selon le type de client : petites entreprises

Cette classification du risque de BC/FT associé aux petites entreprises pourrait correspondre à celle d'un assujetti dont la majorité des clients sont de ce type et dont ces entreprises opèrent au niveau local, sont exposées à des paiements en espèces, ont une structure de contrôle simple et peuvent disposer de représentants et de mandataires agissant en leur nom. Dans un cas comme celui-ci, l'assujetti pourrait considérer que la probabilité que l'origine des fonds que lui apportent ce type de clients soit illégitime n'est pas trop élevée et, pour cette raison, lui attribuer une classification « Moyenne ». Toutefois, compte tenu du fait que la majeure partie de son portefeuille de clients serait constituée de ce type d'entreprises, et que l'impact économique et réputationnel serait très important, celui-ci serait classé « Élevé ». Globalement, par conséquent, l'assujetti pourrait considérer que le niveau de risque de BC/FT que représente pour son activité cette typologie de clients est « Élevé ».

34

Exemple 2 – Risque selon le type de client : multinationales

Cette classification du risque de BC/FT associé aux multinationales pourrait correspondre à celle d'un assujetti qui a une seule entreprise multinationale dans son portefeuille de clients, mais que celle-ci a l'habitude d'opérer à l'étranger, que son bénéficiaire effectif est étranger et qu'elle a une structure actionnariale et de contrôle complexe. Dans un cas comme celui-ci, l'assujetti pourrait considérer que la probabilité que cette typologie de clients puisse utiliser son entité à des fins de BC/FT est « Faible », dans la mesure où un seul client de son portefeuille représente un pourcentage très réduit de celui-ci. Toutefois, au cas où ce risque se matérialiserait, l'impact qu'il représenterait pour lui serait « Élevé ». Globalement, par conséquent, l'assujetti pourrait considérer que le niveau de risque de BC/FT que représente pour son activité cette typologie de clients est « Moyen ».

35

Exemple 3 – Risque selon le type de produit : polices d'assurance vie

Cette classification du risque de BC/FT associé aux polices d'assurance vie pourrait correspondre à celle d'un assujetti qui commercialise des produits vie de faible complexité, dont les primes versées tendent à être de faible montant par compte bancaire et dont le rachat ne serait pas permis. De même, l'entité commercialiserait uniquement le produit auprès de résidents et de nationaux. Dans un cas comme celui-ci, l'assujetti pourrait considérer que la probabilité que ce produit soit utilisé à des fins de BC/FT est « Faible » et que, à son tour, l'impact qu'il représenterait pour son activité serait « Moyen », étant donné que la majeure partie des produits de son portefeuille sont des polices d'assurance vie. Globalement, par conséquent, l'assujetti pourrait considérer que le niveau de risque de BC/FT que représente pour son activité ce type de produit est « Faible ».

36

Exemple 4 – Risque selon le type de produit : cartes prépayées.

Cette classification du risque de BC/FT associé aux cartes prépayées pourrait correspondre à celle d'un assujetti qui commence tout juste à les proposer en tant que nouveau service et qui n'a pas encore une idée très claire de leur utilisation. De même, les fonds pour cette typologie de produit seraient habituellement chargés au moyen de dépôts en espèces. Dans un cas comme celui-ci, l'assujetti pourrait considérer que la probabilité que ce produit soit utilisé à des fins de BC/FT est « Élevée » et que, à son tour, l'impact qu'il représenterait pour son activité serait « Élevé », considérant qu'il s'agit d'un nouveau type de produit impliquant l'utilisation d'espèces. Globalement, par conséquent, l'assujetti pourrait considérer que le niveau de risque de BC/FT que représente pour son activité ce type de produit est « Élevé ».

37

12. INFORMATIONS SUR LES MISES À JOUR DU GUIDE Sont recensées ci-après les différentes mises à jour apportées au présent Guide, depuis l'adoption de sa première version, de juillet 2018 :

Mises à jour Date Modifications introduites Première mise à jour Février 2023 Introduction des changements découlant de l'approbation de la Loi 37/2021, du 16 décembre, de modification de la Loi 14/2017, du 22 juin, de prévention et de lutte contre le blanchiment d'argent ou de valeurs et le financement du terrorisme, publiée au BOPA le 3 janvier 2022.

Deuxième mise à jour Décembre 2025 Ajout de la question 11 au paragraphe 10. AUTRES QUESTIONS FRÉQUENTES .