Directive AML6 pour les assureurs : à quoi s'attendre ?

L’Union européenne a adopté le 31 mai 2024 le « Paquet AML6 » visant à renforcer l’arsenal réglementaire face à la sophistication croissante des circuits criminels et schémas de blanchiment de capitaux et financement du terrorisme (BC-FT). Ce nouveau dispositif se veut également plus harmonisé et plus centralisé, afin d’éliminer les disparités entre les États membres dans l’application des règles en matière de lutte contre le blanchiment et le financement du terrorisme (LCB-FT) sur l’ensemble du territoire de l’Union.

Le Paquet AML6 repose sur 3 textes :

• La Directive (UE) 2024/1640 (« 6^ème directive LCB-FT ») fixant les mécanismes à mettre en place par les Etats membres en matière de LCB-FT qui doit être transposée au plus tard le 10 juillet 2027 ; 
• Le Règlement (UE) 2024/1620 instituant la nouvelle autorité européenne de LCB-FT (« AMLA¹ ») entré en application le 1er juillet 2025 ; 
• Le Règlement (UE) 2024/1624 (« AMLR² ») portant sur les exigences que les entités assujetties doivent respecter afin de protéger le marché intérieur de l’Union contre les risques de BC-FT, qui entrera en application le 10 juillet 2027.

Pour les assureurs français, déjà soumis à un cadre réglementaire national de LCB-FT strict et mature, l’adoption du Paquet AML6 peut sembler à première vue peu disruptive. En effet, certaines exigences du Paquet AML6 trouvent déjà un écho dans le dispositif français, par exemple celles sur la gouvernance, la vigilance client ou encore la formation du personnel. Pour autant, si le Paquet AML6 ne bouleverse pas les fondations du cadre réglementaire national, il en renforce de nombreux pans et induit des changements opérationnels importants pour les assureurs. Cela implique pour ces derniers de s’approprier les nouveaux textes, à commencer par l’AMLR (ci-après le « Règlement »), à procéder à une revue attentive de leurs dispositifs et pratiques actuels et à initier une démarche de mise en conformité.

Dans cette optique, nous décryptons ci-dessous sept thématiques clés pour aider les acteurs de l’assurance à appréhender les principaux impacts du Règlement AMLR, et à s’y préparer concrètement. 

Refonte de l’organisation du dispositif LCB-FT

Le Règlement modifie la répartition des rôles et responsabilités au sein du dispositif LCB-FT en prévoyant notamment la mise en place d’une fonction de gestionnaire de la conformité, distincte et complémentaire de celle de responsable de la conformité. Le Règlement s’inspire largement des orientations de l’Autorité Bancaire Européenne du 14 juin 2022³ qui, à la suite de la notification de l’ACPR indiquant que le cadre réglementaire français y était déjà conforme⁴, étaient restées lettre morte pour beaucoup d’entités assujetties françaises. Ces dernières, dont la plupart des assureurs, sont donc restées sur le schéma organisationnel posé par l’article L561-32 du code monétaire et financier (CMF) et par l’arrêté du 6 janvier 2021⁵. Avec l’entrée en application prochaine du Règlement, il leur appartient donc de revoir leur organisation et de nommer comme gestionnaire de la conformité un membre de l’organe de direction, qui sera chargé de garantir la conformité à la réglementation LCB-FT.

Le gestionnaire de la conformité exercera de nombreuses responsabilités en matière de LCB-FT (approuver les procédures internes et les contrôles, veiller à ce que des ressources humaines et matérielles suffisantes soient allouées, assister et conseiller l'organe de direction…). Il conviendra donc de désigner un membre de l’équipe de direction disposant des compétences requises et de lui donner les moyens d’assumer avec succès ses fonctions (en lui fournissant par exemple des formations dédiées).

Plus globalement, il faudra trouver le bon équilibre dans la gouvernance et l’organisation du dispositif LCB-FT afin qu’il soit conforme et performant. Cela passera nécessairement par la « remise à plat » et la clarification des rôles et responsabilités respectifs des différents acteurs, de leurs rattachements hiérarchiques et fonctionnels, ainsi que par la définition des modalités de coordination entre le gestionnaire et le responsable de la conformité de manière à piloter efficacement le dispositif LCB-FT.

Notons enfin que l’organe de direction lui-même devra s’impliquer davantage dans le dispositif LCB-FT en validant par exemple les politiques LCB-FT ainsi que la classification des risques.

Renforcement de l’approche par les risques à plusieurs niveaux

Déjà bien ancrée dans le cadre réglementaire français et les pratiques du secteur assurantiel, l’approche par les risques n’est pas une nouveauté. Elle se voit cependant renforcée par le Règlement de plusieurs manières. Cela se matérialise tout d’abord sur le plan méthodologique, avec l’obligation d’ajouter à la classification des risques des assureurs de nouveaux risques issus de sources diverses : variables de risque⁶, facteurs de risque⁷, évaluation des risques au niveau de l’Union réalisée par la Commission⁸… Ce qui ne manquera pas de soulever des difficultés pratiques en termes de connaissance client (les nouveaux risques imposeront aux assureurs de collecter et traiter davantage d’informations relatives à leurs relations d’affaires) et de cohérence globale du dispositif (les variables et facteurs de risque relatifs aux pays tiers ne se superposant pas avec l’approche posée par la section 2 du Règlement⁹).

Autre évolution significative : la prise en compte des risques liés aux sanctions financières ciblées dans le dispositif LCB-FT. Les assureurs devront désormais identifier et évaluer les risques liés à l’absence de mise en œuvre et au contournement des sanctions internationales en les intégrant dans la classification et le profilage (« scoring ») des relations d’affaires. Ce point est d’autant plus notable que, jusqu’à présent, le dispositif relatif aux sanctions internationales a pu être négligé ou traité comme un processus parallèle au dispositif LCB-FT par les assureurs.

Enfin, une approche plus granulaire en matière de mise en œuvre des mesures de vigilance sera attendue. Les trois niveaux de vigilance (simplifiée, normale, renforcée) prévus par la réglementation sont aujourd’hui traités par beaucoup d’acteurs comme des blocs homogènes au sein desquels les mêmes diligences s’appliquent à toutes les relations d’affaires (par exemple, l’application de la vigilance renforcée est réalisée de la même manière pour tous les clients en risque élevé, indépendamment des caractéristiques et risques propres à chacun). Le Règlement rompt avec cette logique en imposant, à l’intérieur même des différents niveaux de vigilance, une proportionnalisation des mesures de vigilance à appliquer¹⁰. En corollaire, le Règlement n’impose que peu de mesures systématiques en vigilance simplifiée ou renforcée aux entités assujetties, listant davantage des possibilités que des impératifs.

Le renforcement de l’approche par les risques se traduira donc pour les assureurs par l’obligation de revoir leur classification des risques et la note méthodologique afférente, d’adapter leur dispositif de profilage et d’ajuster les mesures de vigilance prévues dans leurs procédures KYC. 

Approfondissement des exigences de connaissance des relations d’affaires

Le Règlement fait significativement évoluer les obligations de connaissance des relations d’affaires, notamment en matière d’identification des clients. La liste des informations à collecter à des fins d’identification sera ainsi amplement élargie par rapport à ce qui est prévu par l’article R561-5 du CMF, tant pour les clients personnes physiques¹¹ que pour les personnes morales¹². Le mouvement est inverse pour les moyens de vérification de l’identité des client qui seront dorénavant limités à la présentation d’un document d’identité, l’utilisation de moyens d’identification électronique qui satisfont au Règlement eIDAS (niveaux de garantie « substantiel » ou « élevé ») et services de confiance qualifiés pertinents, voire « lorsqu’il y a lieu, l’obtention d’informations en provenance de sources fiables et indépendantes, consultées directement ou fournies par le client¹³ ». La pratique actuelle et très répandue consistant à vérifier l’identité des clients à distance en collectant une copie de leur pièce d’identité et en imposant le premier versement depuis un compte situé dans l’Espace Economique Européen ne sera donc plus possible.

À ces obligations s’ajouteront celles relatives à l’identification et à l’évaluation de l’objet et de la nature envisagée des relations d’affaires qui couvrent notamment l’objet et la justification économique de la relation, le montant estimé des activités envisagées, l’origine des fonds, la destination des fonds, et l’activité commerciale ou la profession du client. Le projet de RTS¹⁴ sur les Customer Due Diligence laisse entrevoir que ces exigences auront une portée et des impacts importants pour les assureurs. Cela sera aussi le cas des obligations qui, au-delà des clients eux-mêmes, concerneront la connaissance des personnes agissant pour le compte des clients, des bénéficiaires effectifs et des structures de propriété et de contrôle des clients personnes morales.

Les informations et justificatifs de connaissance client devront être collectés et actualisés en fonction du profil de risque de chaque relation d’affaires¹⁵ ou à chaque fois qu’un événement pertinent le justifie (tel un changement de situation du client). Une mise en conformité complète de l’ensemble des dossiers client au regard des exigences du Règlement est d’ailleurs attendue d’ici au 10 juillet 2032, ce qui constituera un chantier majeur pour le secteur. C’est pourquoi, les assureurs doivent anticiper dès à présent les adaptations nécessaires, tant en matière de ressources humaines et technologiques que de procédures et modalités de remédiation KYC. S’ils ne s’en montrent pas capables, le risque est de devoir refuser d’entrée ou de maintenir des relations avec des clients dont la connaissance ne serait pas suffisante¹⁶.

Elargissement de la notion de personne politiquement exposée

Dans la même dynamique de renforcement des exigences de vigilance, le Règlement élargit la définition des personnes politiquement exposées (PPE). Aux fonctions déjà reconnues s’ajoutent désormais les responsables des collectivités régionales et locales, y compris ceux des regroupements de communes et des régions métropolitaines d’au moins 50 000 habitants. Par ailleurs, la notion des proches de PPE s’étend aux frères et sœurs de certaines personnalités exerçant des fonctions étatiques de tout premier plan, comme les chefs d’Etat, chefs de gouvernement, ministres et fonctions équivalentes. Cet élargissement du périmètre, auparavant limité aux conjoints, enfants et parents, répond à une volonté de bien cerner des liens familiaux jusqu’ici ignorés par la réglementation, pourtant porteurs de risque.

Ce périmètre étendu des personnes à filtrer et/ou à surveiller engendra une hausse certaine du volume d’alertes PPE et, par conséquent, la charge de traitement des alertes. Il sera également indispensable pour les entreprises d’actualiser les listes de PPE utilisées dans les outils de filtrage afin de procéder à une revue de l’ensemble des bases client et identifier les nouvelles PPE qui s’y trouveraient afin d’appliquer les mesures de vigilance idoines.

Organisation et participation aux partenariats en matière de partage d’informations

Poursuivant l’objectif de briser le cloisonnement des acteurs en matière de vigilance et de renforcer leur coopération dans la détection et la gestion des situations à risque, le Règlement introduit la possibilité de mettre en place des partenariats en matière de partage d’informations. Ces derniers consistent en des mécanismes de partenariat volontaire entre les entités assujetties afin d’échanger des informations entre elles ou avec les autorités.

Ce dispositif de partage cible certaines catégories de clients et cas spécifiques : les clients à haut risque de BC-FT, les PPE, les structures opaques, les secteurs à risque élevé, les activités transfrontalières, ainsi que les clients pour lesquels des informations complémentaires sont nécessaires pour déterminer le niveau de risque de BC-FT. Le partage d’informations devra s’effectuer dans un cadre sécurisé et conforme à RGPD, avec un périmètre limité¹⁷ de données qui peuvent être partagées. Les assureurs, avant de rejoindre un partenariat, devront conduire une analyse d’impact RGPD par laquelle ils évaluent les risques sur la vie privée des clients concernés, les finalités et légalité du traitement… Par ailleurs, l’utilisation des informations reçues dans le cadre de partenariats sera aussi encadrée (par exemple, une décision de cesser une relation d’affaires ne pourra se fonder uniquement sur de telles informations).

Pour le secteur de l’assurance, ce dispositif peut constituer un levier dans un contexte où la visibilité sur les clients est partielle et la connaissance client repose principalement sur des données déclaratives. Il peut permettre une détection plus précoce des risques, une meilleure compréhension de certaines situations complexes et une plus grande réactivité en cas d’alerte ou d’investigation. Cependant, la mise en place d’un tel dispositif repose sur la coopération entre entités assujetties. Aussi, il est important que les assureurs organisent ou s’insèrent dans des démarches collaboratives avec les acteurs du secteur bancaire de sorte à faire entendre leurs voix lors de la création des partenariats. Une fois les partenariats initiés, il leur faudra ensuite mener des travaux nécessaires au bon partage d’informations : cartographie des données échangeables, formalisation de la procédure d’échange d’informations, définition de la gouvernance en charge du partenariat…

Encadrement et limitation des externalisations LCB-FT

L’externalisation LCB-FT désigne la possibilité pour un assureur de confier à un prestataire externe l’exécution de tout ou partie des obligations LCB-FT, en son nom et pour son compte. Si ce principe est déjà connu dans la réglementation française en vigueur et constitue une pratique bien répandue dans le secteur de l’assurance, le Règlement vient en renforcer l’encadrement.

D’une part, il introduit deux nouvelles obligations : celle de s’assurer que le prestataire est suffisamment qualifié pour réaliser les tâches à sous-traiter, et celle de pouvoir démontrer au superviseur que les modalités de sous-traitance sont comprises et qu’elle atténue les risques de l’entreprise. Ces exigences vont au-delà de simples exigences de due diligence, dans la mesure où l’assureur devra être en mesure d’évaluer la compétence du prestataire non pas de manière générale, mais au regard des tâches confiées dans le cadre de l’externalisation. Cette évolution impliquera ainsi pour de nombreux assureurs de revoir leur processus de sélection de ces tiers et de davantage le documenter, voire de l’outiller, afin d’en assurer l’auditabilité.

D’autre part, le Règlement interdit la sous-traitance de certaines activités spécifiques¹⁸ : l’évaluation des risques, l’approbation des politiques et procédures internes, la décision concernant le profil de risque à attribuer au client, la décision de nouer une relation d’affaires… Ces interdictions soulèvent des questions quant à leur applicabilité dans la mesure où certains assureurs ont recours à des milliers d’agents généraux (forcément prestataires externes LCB-FT) et courtiers (qui peuvent être prestataires externes LCB-FT selon les délégations dont ils disposent). En attendant que ce point soit clarifié par le législateur européen ou national, il apparaît en tout cas utile d’envisager dès à présent l’actualisation des modèles de clause LCB-FT et de préparer la mise à jour des conventions de délégation ou d’externalisation. 

Vérification de l’intégrité et des compétences du personnel, des agents et des distributeurs

La réglementation LCB-FT met traditionnellement l’accent sur la formation du personnel, considérée à juste titre comme l’un des principaux leviers pour prévenir les risques de BC-FT. Avec le Règlement, apparaissent à côté des obligations de formation¹⁹ des obligations de vérification systématiques et formelles. Ainsi, les assureurs seront désormais tenus de mettre en place un ensemble de mesures de vérification, incluant notamment l’évaluation des compétences, connaissances et expertises et l’évaluation de l’honorabilité et de l’intégrité en amont des prises de fonction, ainsi que des contrôles réguliers au cours de l’exercice des fonctions. Ces évaluations devront « correspondre aux risques associés aux tâches à exécuter » et leur contenu devra être « approuvé par le responsable de la conformité²⁰ ».

Ces vérifications vont beaucoup plus loin que ce qui est actuellement demandé par les articles L561-32 et R561-38-1 du CMF. Pour les assureurs, cette évolution se traduira donc par une nécessaire intégration des nouvelles exigences dans les processus RH, en particulier dans le cadre du recrutement et du suivi des populations exposées (par exemple les équipes en charge de la souscription, de la gestion des sinistres ou de la distribution) et une collaboration étroite entre les équipes Conformité, RH et Contrôle interne pour mener à bien les vérifications.

Les assureurs devront par ailleurs déployer des procédures pour prévenir et gérer les conflits d’intérêts susceptibles d’avoir une incidence sur l’exécution des tâches en matière de LCB-FT. Ces procédures devront notamment prévoir une information obligatoire du responsable de la conformité par les membres du personnel, dès lors qu’existe une relation privée ou professionnelle étroite avec un client ou un prospect, ainsi qu’une interdiction « d’effectuer toute tâche liée à la conformité de l’entité assujettie en ce qui concerne ces clients ».

Il convient enfin de noter que les exigences susmentionnées s’appliqueront non seulement aux collaborateurs internes mais également aux agents et aux distributeurs, souvent en première ligne dans la relation avec les clients. Là aussi, la portée des dispositions et les conséquences qui en découlent pour les assureurs ne seront pas des moindres.

Pour conclure

Si le Règlement ne va pas bouleverser les dispositifs LCB-FT déjà en place chez les assureurs français, il introduit tout de même de nombreuses évolutions impactantes qui doivent être anticipées et adressées au plus vite dans la perspective d’une pleine conformité au 10 juillet 2027.

Nous avons choisi ci-dessus de mettre en lumière certaines évolutions significatives, le Règlement va bien au-delà. Il sera par exemple également attendu des assureurs un renforcement de leur corpus procédural LCB-FT, une approche plus fine des pays tiers à risque, une extension du périmètre des opérations soumises à une vigilance renforcée, ainsi qu’un encadrement plus strict du traitement des données personnelles à des fins de LCB-FT.

Par ailleurs, plusieurs RTS, ITS (Implementing Technical Standards) et orientations de l’AMLA viendront compléter le Règlement au cours des deux prochaines années, afin de préciser certaines obligations. Les textes les plus attendus concerneront, entre autres, les modalités d’identification et de vérification de l’identité des clients, les éléments de connaissance client à collecter, les exigences minimales applicables aux politiques, procédures et contrôles à l’échelle groupe, le contenu de l’évaluation des risques, les variables de risque et les facteurs de risque, les modalités de recours à des tiers ou encore les indicateurs d’activités ou de comportements suspects. Dans ce contexte mouvant, les assureurs devront rester attentifs aux publications à venir tout en préparant et initiant leur mise en conformité dès maintenant.

Enfin, rappelons que si le Paquet AML6 ne concerne que les assureurs et courtiers Vie, les assureurs Non-vie ne devraient pas s’en désintéresser. En effet, le Règlement introduit un régime concurrent à celui prévu par le CMF, avec parfois des règles européennes qui vont plus loin que le droit national ou des conflits entre certaines dispositions. De surcroit, l’approche groupe en matière de LCB-FT²¹ conduira les groupes d’assurance à mettre en place un dispositif et un cadre groupe conformes au Règlement à décliner au niveau des entités, y compris celles aux activités Non-vie. Il est donc possible, voire probable, que certaines normes du Règlement finissent par s’imposer aux assureurs Non-vie en France. Il reste à voir dans quelle mesure.

Pour toute question ou pour discuter des implications concrètes du Paquet AML6 pour votre entreprise, n'hésitez pas à nous contacter. Notre équipe d'experts sera ravie d’échanger avec vous sur le sujet.