Contrôle ACPR : comment se préparer en tant que CGP en 2026

L'ACPR (Autorité de Contrôle Prudentiel et de Résolution) supervise les intermédiaires en assurance (IAS) et les IOBSP en matière de LCBFT. Les CIF sont supervisés par l'AMF (article L.561-36 CMF). Les CGP multi-statuts (CIF + IAS) relèvent des deux autorités. Ses contrôles, de plus en plus fréquents, portent sur la complétude des dossiers KYC, l'effectivité du dispositif de vigilance, et la qualité des déclarations de soupçon. Se préparer est indispensable : un contrôle ACPR négatif peut aboutir à un blâme public, une amende pouvant atteindre 100 millions d'euros, voire une interdiction d'exercer.

Mission et compétences de l'ACPR

L'ACPR, créée par l'ordonnance n° 2010-76 du 21 janvier 2010, est une autorité administrative indépendante adossée à la Banque de France. Ses missions sont définies à l'article L.612-1 du Code monétaire et financier.

En matière de LCBFT, l'ACPR contrôle les professionnels assujettis aux obligations de vigilance (article L.561-36 CMF). En 2024, l'ACPR a réalisé 35 inspections sur place en matière de LCBFT, adressé 25 lettres de suite et prononcé 1 mise en demeure (source : rapport annuel ACPR 2024). Les sanctions prononcées par la commission des sanctions ont atteint 3,5 M€ en 2024 (Treezor : 1 M€, BRED : 2,5 M€).

Les deux types de contrôles

Contrôle sur pièces

L'ACPR demande au CGP de lui transmettre un ensemble de documents dans un délai défini (généralement 4 à 6 semaines) : procédures internes, classification des risques, échantillon de dossiers clients, registre des déclarations de soupçon, attestations de formation. Ce type de contrôle est le plus fréquent pour les petites structures.

Contrôle sur place

Des inspecteurs de l'ACPR se déplacent dans les locaux du CGP pour une durée de 1 à 4 semaines (selon la taille de la structure). Ils examinent les dossiers clients, les procédures, les outils, les formations, et mènent des entretiens avec les dirigeants et les collaborateurs. Ce type de contrôle est plus lourd mais aussi plus rare pour les CGP individuels.

Les cinq axes de contrôle principaux

1. Dispositif organisationnel

L'ACPR vérifie que le CGP dispose d'un dispositif LCBFT formalisé :

• Procédure écrite — Document décrivant les mesures de vigilance, les critères de classification des risques, les procédures de déclaration de soupçon, les règles de conservation des documents
• Responsable LCBFT désigné — Un responsable de la mise en œuvre du dispositif LCBFT doit être désigné (article L.561-32 CMF)
• Formation des collaborateurs — Attestations de formation LCBFT à jour (formation initiale + formation continue). L'ACPR recommande une formation annuelle.
• Classification des risques — Méthodologie de scoring documentée et effectivement appliquée

2. Complétude des dossiers KYC

C'est le point de contrôle le plus concret. L'ACPR sélectionne un échantillon de dossiers clients (généralement 10 à 30 dossiers) et vérifie pour chacun :

• Présence de toutes les pièces obligatoires
• Validité des pièces (CNI non expirée, KBis de moins de 3 mois, JDD de moins de 3 mois au moment de l'entrée en relation)
• Cohérence entre les pièces (nom, adresse, montants)
• Questionnaire de connaissance client rempli et signé
• Score de risque attribué et cohérent avec les mesures de vigilance appliquées

L'analyse des décisions publiques de l'ACPR montre que les manquements récurrents portent sur la complétude des dossiers KYC, le dispositif de surveillance des transactions et les déclarations de soupçon.

3. Screening et vigilance renforcée

• Preuve du screening de chaque client contre les listes de sanctions et de PEP (horodaté)
• Application effective de la vigilance renforcée pour les clients identifiés à risque élevé
• Documentation de l'autorisation hiérarchique pour les entrées en relation avec des PEP

4. Déclarations de soupçon

L'ACPR vérifie que le CGP a effectué des déclarations de soupçon quand c'était nécessaire. Un nombre de déclarations anormalement bas par rapport au volume d'activité est un signal d'alerte. Inversement, l'ACPR vérifie la qualité des déclarations effectuées (motivation suffisante, délai raisonnable).

5. Conservation et archivage

L'article L.561-12 du CMF impose une conservation des documents et informations pendant 5 ans après la fin de la relation d'affaires. L'ACPR vérifie que le CGP dispose d'un système d'archivage conforme et que les documents sont effectivement accessibles.

Sanctions récentes de l'ACPR

Les décisions de la commission des sanctions sont publiques (publiées sur le site de l'ACPR). Quelques exemples récents concernant des CGP et CIF :

• Banque Chaabi du Maroc — 7 novembre 2025 — 250 000 € d'amende pour 25 déclarations de soupçon manquantes et défaillances de gestion du dispositif LCBFT
• Banque Delubac & Cie — 19 juin 2025 — 600 000 € d'amende pour défaillances persistantes en matière de vigilance renforcée, lacunes dans les déclarations Tracfin et manquements au gel des avoirs
• BRED — 27 juin 2024 — 2,5 M€ d'amende pour défaillances du dispositif de surveillance des opérations
• Treezor — 9 avril 2024 — 1 M€ d'amende pour profilage de risque inadapté et surveillance des transactions déficiente
• Abeille Vie — 2023 — 3,5 M€ d'amende pour défaillances de mise à jour KYC, lacunes de détection des PEP et retards dans les déclarations de soupçon

Checklist de préparation (12 mois avant un contrôle potentiel)

1. M-12 — Audit interne : vérifier la complétude de 20 dossiers clients tirés au hasard
2. M-10 — Mettre à jour la procédure LCBFT écrite (dernière version réglementaire)
3. M-8 — Former ou recycler tous les collaborateurs (attestation de formation)
4. M-6 — Lancer le re-screening de l'ensemble du portefeuille (sanctions, PEP, gel des avoirs)
5. M-4 — Identifier et compléter les dossiers KYC incomplets ou expirés
6. M-2 — Vérifier que le scoring de risque est à jour pour chaque client
7. M-1 — Constituer le dossier de présentation (procédure, organigramme, attestations formation, registre DS)

Préparation automatisée avec Ragindeed

Le Pack AMLR permet de préparer un contrôle ACPR de manière systématique :

• Audit automatique de complétude sur l'ensemble du portefeuille (taux de conformité global et par dossier)
• Identification des pièces expirées ou manquantes
• Re-screening automatique sanctions/PEP/gel avec preuves horodatées
• Score de risque calculé et documenté pour chaque client
• Export du dossier de conformité au format attendu par l'ACPR

Sanctions LCBFT prononcées par l'ACPR (2022-2024)

Source : communiqués de presse de la commission des sanctions de l'ACPR. En 2024, l'ACPR a par ailleurs réalisé 35 inspections sur place LCBFT, adressé 25 lettres de suite et prononcé 1 mise en demeure.

Les manquements les plus fréquents dans les décisions ACPR

L'analyse des décisions publiques de la commission des sanctions fait ressortir des motifs récurrents :

1. Dossiers KYC incomplets ou non mis à jour — Pièces manquantes, CNI expirées non remplacées, absence de mise à jour périodique
2. Absence de classification des risques — Pas de méthodologie documentée ou scoring non appliqué
3. Défaut de screening sanctions/PEP — Aucune preuve de consultation des listes ou screening non horodaté
4. Procédure écrite absente ou obsolète — Non mise à jour depuis la dernière réforme réglementaire
5. Formation insuffisante — Pas d'attestation ou formation non renouvelée
6. Déclarations de soupçon insuffisantes — Nombre anormalement bas au regard du volume d'activité

Déroulement d'un contrôle sur place

Avant

• J-30 à J-60 — Lettre de mission ACPR, périmètre et documents à préparer
• J-15 — Transmission des documents : procédure LCBFT, organigramme, attestations formation, échantillon dossiers

Pendant (1-4 semaines)

• Jour 1 — Réunion d'ouverture : 2-3 inspecteurs, cadre légal, accès SI
• Jours 2-5 — Examen dossiers clients (10-30 dossiers tirés au hasard)
• Jours 6-10 — Vérification procédures, cohérence écrit/pratique
• Jours 11-15 — Entretiens avec dirigeants et collaborateurs
• Dernier jour — Clôture : observations préliminaires, délai de réponse 30-60 jours

Après

• J+30 à J+60 — Mémoire en réponse du CGP
• J+90 à J+180 — Rapport définitif avec recommandations ou transmission commission des sanctions

Les 10 documents à avoir en permanence

1. Procédure LCBFT écrite (mise à jour annuelle, signée par le dirigeant)
2. Classification des risques avec critères objectifs documentés
3. Cartographie des risques BC/FT spécifiques à l'activité
4. Attestations de formation LCBFT pour chaque collaborateur
5. Registre du correspondant Tracfin (nom, lettre de désignation)
6. Registre des déclarations de soupçon avec références Tracfin
7. Preuves de screening horodatées pour chaque client
8. Échantillon de 20 dossiers complets vérifiés en interne
9. Organigramme avec rôles et responsabilités LCBFT
10. Rapport d'audit interne ou auto-évaluation annuelle

Coût d'un contrôle pour un CGP

L'investissement dans un outil de conformité automatisé (3 600 à 7 200 €/an) est nettement inférieur au coût d'un contrôle mal préparé.

Focus : la déclaration de soupçon (DS) pour les CGP

La déclaration de soupçon à Tracfin (articles L.561-15 et suivants du CMF) est l'une des obligations les plus délicates pour les CGP. Elle doit être effectuée dès lors que le CGP soupçonne ou a de bonnes raisons de soupçonner que les sommes ou opérations proviennent d'une infraction passible de plus d'un an d'emprisonnement, ou sont liées au financement du terrorisme.

Selon Tracfin (rapport d'activité 2024), les conseillers en investissement financier ont effectué 87 déclarations de soupçon en 2024 (contre 90 en 2023, source : Tracfin, Tome I, tableau de synthèse p.20). Les sociétés de gestion de portefeuille en ont effectué 190, et les intermédiaires en assurances 557. Ces volumes restent faibles au regard du nombre de professionnels concernés (plus de 7 000 CIF enregistrés à l'ORIAS). Un CGP traitant 200 clients par an et n'ayant effectué aucune DS en 3 ans sera considéré comme suspect par l'ACPR.

Les principaux motifs de DS pour les CGP :

• Opérations atypiques — Souscription sans justification économique apparente, rachat immédiat après souscription
• Incohérence revenus/investissement — Souscription disproportionnée par rapport aux revenus déclarés
• Origine des fonds non justifiée — Client refusant de justifier l'origine malgré les demandes
• Client PEP non déclaré — Client identifié comme PEP après le screening mais ne l'ayant pas déclaré
• Structures opaques — Utilisation de structures complexes (holdings en cascade, trusts) sans justification économique

Préparation spécifique pour les cabinets multi-CGP

Les cabinets employant plusieurs CGP doivent porter une attention particulière à l'homogénéité des pratiques. L'ACPR vérifie que les procédures sont appliquées de manière uniforme par tous les collaborateurs. Points de contrôle spécifiques :

• Procédure unique et partagée — Tous les collaborateurs appliquent la même procédure LCBFT
• Formation homogène — Tous les collaborateurs sont formés au même niveau et dans les mêmes délais
• Supervision — Le responsable LCBFT effectue des contrôles aléatoires sur les dossiers de chaque collaborateur
• Reporting interne — Tableau de bord de conformité (taux de complétude, nombre de screenings, alertes non traitées)

Cas pratiques : questions fréquentes lors d'un contrôle

Voici les questions les plus fréquemment posées par les inspecteurs ACPR lors des entretiens :

1. "Pouvez-vous me décrire votre processus de vérification d'identité pour un nouveau client ?"
2. "Comment déterminez-vous le niveau de risque d'un client ? Montrez-moi un exemple concret."
3. "Quand avez-vous effectué votre dernière déclaration de soupçon ? Pour quel motif ?"
4. "Montrez-moi la preuve du screening sanctions/PEP de ce client [désigne un dossier]."
5. "Quelle est votre procédure en cas de client PEP identifié ? Qui donne l'autorisation ?"
6. "Comment gérez-vous la mise à jour des dossiers KYC ? À quelle fréquence ?"
7. "Quand votre équipe a-t-elle été formée pour la dernière fois ? Sur quels sujets ?"

Préparez des réponses documentées à chacune de ces questions. Les réponses vagues ou approximatives sont interprétées négativement par les inspecteurs.

Résumé : les 3 investissements prioritaires pour se préparer

1. Outil de screening automatisé (sanctions, PEP, gel des avoirs) avec preuves horodatées — Coût : 500 à 2 000 €/an. Le défaut de screening est l'un des motifs récurrents de sanction ACPR.
2. Formation LCBFT annuelle certifiée pour chaque collaborateur — Coût : 200 à 500 €/personne/an. L'absence de formation est systématiquement relevée lors des contrôles.
3. Audit interne annuel de complétude KYC sur un échantillon de 20 dossiers — Coût : 4 à 8 heures de temps interne. Permet de détecter et corriger les lacunes avant le contrôle ACPR.

Le coût total de prévention est de 2 000 à 5 000 euros par an pour un CGP solo, contre 12 000 à 33 000 euros pour un contrôle ACPR non préparé (hors sanctions). Le ROI de la prévention est évident.