Exigences KYC de la BCEAO : ce que les institutions financières de l’UEMOA doivent vérifier

Les textes de référence

Les deux instructions s’appliquent aux établissements de crédit, aux compagnies financières, aux institutions de microfinance, aux établissements de monnaie électronique et de paiement, aux FinTech et aux agréés de change manuel, y compris pour les opérations de leurs intermédiaires, sous-agents et distributeurs.

• La directive n° 01/2023/CM/UEMOA du 31 mars 2023 et la loi uniforme relative à la LBC/FT/FP de mars 2023, que chaque État transpose. Elle remplace le dispositif de 2015 et ajoute le financement de la prolifération des armes de destruction massive.
• En Côte d’Ivoire, la loi uniforme a été transposée par l’ordonnance n° 2023-875 du 23 novembre 2023.
• L’instruction BCEAO n° 001-03-2025 du 18 mars 2025 : organisation, contrôle interne et conformité aux exigences LBC/FT/FP.
• L’instruction BCEAO n° 003-03-2025 de mars 2025 : identification, vérification de l’identité et connaissance de la clientèle.

Identifier et vérifier un particulier

La vérification a lieu avant l’entrée en relation. La loi uniforme permet de l’achever ensuite, dès que possible et au plus tard avant la première opération, si c’est indispensable pour ne pas interrompre les affaires et si les risques sont maîtrisés.

• Recueillir les nom et prénoms, la date et le lieu de naissance, la nationalité, l’adresse et le numéro de la pièce d’identité.
• Vérifier l’identité sur l’original d’un document officiel en cours de validité, avec photographie, délivré par une autorité publique : passeport, carte d’identité, permis de conduire, carte de séjour ou carte consulaire, au besoin en combinant plusieurs documents.
• Justifier l’adresse, par exemple par une facture de service public ou un contrat de bail accompagné d’une attestation du bailleur ; ces justificatifs datent de moins de trois mois, sauf le bail.
• Connaître le client : son emploi ou son activité, sa situation financière et ses liens avec les tiers qui interviennent dans la relation.

Identifier une entreprise et ses bénéficiaires effectifs

• Recueillir la raison sociale, la forme juridique, les dirigeants, les actionnaires ou associés, les représentants habilités, l’adresse du siège, les bénéficiaires effectifs et le numéro RCCM ou d’identification fiscale.
• Vérifier ces éléments sur un extrait de registre officiel de moins de trois mois, un extrait du Journal officiel et les pièces d’identité des représentants.
• Est bénéficiaire effectif toute personne physique qui détient, directement ou indirectement, plus de 25 % du capital ou des droits de vote, ou qui contrôle la société par tout autre moyen. À défaut, c’est le dirigeant principal qui est identifié.
• Tenir un fichier interne des bénéficiaires effectifs et vérifier la liste fournie par le client auprès du registre national des bénéficiaires effectifs ; signaler toute divergence à l’autorité qui le tient.

Les personnes politiquement exposées (PPE)

La loi uniforme couvre les PPE étrangères, nationales et celles des organisations internationales, ainsi que les membres de leur famille et leurs proches associés.

• Des procédures formalisées pour savoir si un client ou un bénéficiaire effectif est une PPE.
• L’autorisation de l’organe exécutif avant d’entrer en relation, qui valide aussi la liste des clients PPE.
• L’établissement de l’origine du patrimoine et des fonds, et une surveillance renforcée.
• Le profil des clients PPE est réévalué tous les trois ans.

Une vigilance proportionnée au risque

Chaque relation d’affaires est classée selon les facteurs de risque de l’annexe 1 de l’instruction n° 003-03-2025 (client, pays, produits, canaux), dont les listes du GAFI et les sanctions des Nations unies. La classification est documentée et doit pouvoir être justifiée devant la BCEAO ou la Commission bancaire.

Une vigilance allégée est possible quand le risque est faible, mais elle cesse dès qu’un soupçon apparaît. Une vigilance renforcée est obligatoire quand le risque est élevé, pour une opération importante ou inhabituelle, ou quand les informations sont insuffisantes ou incohérentes : pièces supplémentaires, contrôle de l’authenticité des documents, origine des fonds, décision de l’organe exécutif.

Les sanctions financières ciblées

Dès la notification d’une liste de personnes liées au financement du terrorisme ou de la prolifération, l’institution gèle immédiatement leurs avoirs, sans les prévenir, et avise la CENTIF. L’instruction n° 001-03-2025 exige que le système d’information intègre les changements de ces listes « sans délai », c’est-à-dire en vingt-quatre heures au plus.

L’entrée en relation à distance

L’instruction n° 003-03-2025 autorise l’identification et la vérification à distance, sous la responsabilité de l’institution, avec des moyens d’identification électronique fiables et les mêmes exigences que pour un client présent.

• La solution doit comparer les caractéristiques physiques du client avec celles des documents fournis ; les données biométriques doivent être associées sans équivoque au client.
• Si la qualité des éléments laisse un doute, le client est orienté vers une vérification en présentiel.
• Un contrôle interne garantit que la première opération n’a lieu qu’après la vérification de l’identité du client et, le cas échéant, du bénéficiaire effectif.
• Les procédures décrivent le parcours client, l’authentification, la conservation des données, la cybersécurité et la protection des données personnelles.
• L’institution peut confier la vérification à un prestataire, sous sa responsabilité, en s’assurant qu’il applique ses procédures et dispose des moyens nécessaires.

Vigilance constante, mise à jour et conservation

• Les opérations sont examinées pour vérifier qu’elles sont cohérentes avec ce que l’institution sait du client et de l’origine de ses fonds.
• Le dossier KYC est mis à jour périodiquement, et systématiquement après un événement significatif : nouveau bénéficiaire effectif, nouveau produit, élément qui change le profil de risque.
• Les pièces d’identité et les analyses de vigilance sont conservées dix ans après la clôture du compte ou la fin de la relation ; les documents relatifs aux opérations, dix ans après leur exécution.

La déclaration de soupçon

L’institution déclare immédiatement à la CENTIF de son pays toute somme ou opération, même tentée, qu’elle soupçonne de provenir du blanchiment, du financement du terrorisme ou de la prolifération. Si elle ne peut pas remplir ses obligations de vigilance, elle n’ouvre pas le compte ou met fin à la relation, et déclare dans tous les cas. Il est interdit de révéler la déclaration au client.

Ce que Verita automatise

Verita fournit l’outillage ; comme le prévoit le texte, la responsabilité de la vigilance reste celle de l’institution.

• La lecture et le contrôle des pièces d’identité, la comparaison du visage avec la photo du document et la vivacité, pour l’entrée en relation à distance.
• Quand une photo ou un document est de trop mauvaise qualité, le dossier part en revue humaine au lieu d’être tranché à l’aveugle.
• Le filtrage des sanctions et des PEP, avec des listes rafraîchies chaque jour, pour le client et chacun de ses bénéficiaires effectifs.
• Pour les entreprises ivoiriennes, la lecture du RCCM et son recoupement avec les sources du CEPICI.
• Une piste d’audit chaînée et un raisonnement lisible derrière chaque décision, pour justifier la classification devant la BCEAO ou la Commission bancaire.
• La déclaration de soupçon préparée et validée par deux personnes, au format de la CENTIF de Côte d’Ivoire.