AMLR 2027 : ce que le projet final de RTS change pour votre onboarding

Point de départ : deux voies légalement admises pour la vérification d’identité

En vertu de l’article 22, paragraphe 6, de l’AMLR, une entité assujettie doit vérifier l’identité d’une personne physique par l’une des deux voies suivantes : soit au moyen d’un document d’identité, d’un passeport ou d’un document équivalent, soit via un moyen d’identification électronique (eID) conforme à eIDAS, au niveau de garantie « substantiel » ou « élevé », ou via un service de confiance qualifié pertinent.

Le règlement traite ces deux voies sur un pied d’égalité. Aucune n’a la primauté sur l’autre. Le projet final de RTS précise dans quels contextes chacune peut être utilisée.

Changement 1 : l’eID et les services de confiance qualifiés pourront être utilisés dans tous les canaux

Jusqu’à présent, il était communément admis que l’eID et les services de confiance relevaient de la vérification à distance, tandis que les documents étaient utilisés en agence. L’article 6, paragraphe 4, des RTS met fin à cette distinction : les moyens d’identification électronique et les services de confiance qualifiés pertinents pourront désormais être utilisés pour la vérification d’identité en présentiel.

Pour les établissements bancaires et les organismes de crédit qui maintiennent aujourd’hui des dispositifs de contrôle distincts pour l’entrée en relation en agence et en ligne, il s’agit d’un changement pratique important. Un processus de vérification unique, un format de preuve harmonisé et une piste d’audit commune pourront s’appliquer à l’application mobile, à l’agence, aux équipes terrain et au point de vente.

Autre point important : les RTS confirment qu’un eID n’a pas besoin d’être notifié au sens d’eIDAS pour être reconnu comme valide. C’est le niveau de garantie (« substantiel » ou « élevé ») qui est déterminant, et non la notification.

Changement 2 : la vérification à distance par document est une exception strictement encadrée

La vérification à distance par document reste possible en vertu de l’article 7 des RTS, en tant que « mesure de vérification alternative ». Le projet final a toutefois durci les conditions par rapport à la version soumise à consultation.

Deux conditions cumulatives doivent être réunies pour chaque client concerné : on ne peut raisonnablement pas attendre de la personne qu’elle présente son document en personne, et elle n’a accès ni à un eID ni à un service de confiance qualifié. Elle doit par ailleurs être titulaire d’un document d’identité valide, l’article 7 s’appuyant sur ce document pour la vérification d’identité.

Qui est réellement concerné ? Un ressortissant d’un pays tiers résidant hors de l’UE, titulaire d’un passeport valide et sans accès à une agence dans son pays. Une personne titulaire d’un titre de séjour dans un État membre dont le schéma d’eID est réservé à ses ressortissants. Ou encore une personne dont le handicap l’empêche d’utiliser l’application d’eID disponible. Cette disposition vise à éviter que ces personnes soient exclues des services financiers. Elle n’a pas vocation à offrir une option d’onboarding moins coûteuse.

Le recours à cette voie entraîne deux obligations distinctes en vertu de l’article 7, paragraphe 3. Premièrement, vous devez être en mesure de justifier, pour chaque client individuellement, pourquoi les voies standard n’ont pas pu être utilisées. Deuxièmement, vous devez démontrer à votre autorité de supervision que la solution alternative elle-même satisfait aux exigences de l’article 7. Une politique générale ne suffit pas à remplir la première obligation, et une documentation au cas par cas ne répond pas à la seconde. La plupart des établissements ne disposent aujourd’hui ni d’une règle d’éligibilité, ni d’un processus de collecte de preuves individualisé.

Cette exception est en outre subordonnée à des mesures de protection spécifiques : contrôles permettant de confirmer que la personne présentant le document en est bien le titulaire, intégrité et confidentialité des communications, image suffisamment lisible, interruption du processus en cas de doute, et conservation sécurisée et horodatée des preuves pour permettre une vérification ultérieure.

Changement 3 : les attributs manquants doivent être complétés

Les RTS définissent les données qu’un eID ou un service de confiance qualifié doit contenir, et ce qu’il convient de faire lorsque des informations manquent. Les attributs énumérés sont : tous les noms, le lieu et la date de naissance complète, la nationalité, le numéro administratif personnel le cas échéant, le lieu de résidence habituel ainsi que le numéro d’identification fiscale lorsqu’il est disponible.

Il en découle deux conséquences pratiques.

Lorsque les attributs sont présents, inutile d’en demander davantage. Les RTS le précisent : si l’identité est vérifiée par un eID ou un service de confiance qualifié, aucune donnée supplémentaire n’a besoin d’être collectée.

Lorsqu’un attribut est absent, il doit être complété. L’adresse et le numéro d’identification fiscale sont les lacunes les plus fréquentes. Les établissements doivent les obtenir et les vérifier par d’autres moyens autorisés, conformément à l’article 22, paragraphe 6. Une QEAA constitue une option possible lorsque le client souhaite une attestation qualifiée et réutilisable.

Pour les relations d’affaires à faible risque, des exigences allégées sont applicables. Lorsqu’une relation d’affaires a été évaluée et documentée comme présentant un faible risque, les noms, le lieu et la date de naissance ainsi que la nationalité suffisent à l’identification de la personne. L’adresse et le numéro d’identification fiscale ne sont pas requis. L’obligation de vérification d’identité demeure néanmoins, et un faible risque doit être évalué, non présumé.

Ce qui change aussi

Le filtrage au regard des sanctions et des PPE doit couvrir les clients et les bénéficiaires effectifs : à l’entrée en relation, lors de modifications des listes de sanctions et lors de changements des données de vigilance. Des outils automatisés, des vérifications manuelles ou une combinaison des deux sont acceptés, à condition d’être efficaces et proportionnés au profil de risque et à la taille de l’établissement.

La vigilance simplifiée n’a pas non plus été rendue automatique pour un secteur, un produit ou une catégorie de clientèle. L’AMLA a rejeté les demandes en ce sens, le règlement imposant une évaluation individuelle du risque.

Calendrier

Un point à intégrer dans votre planification : pour les relations d’affaires existantes à la date d’entrée en vigueur des RTS, les délais d’un an et de cinq ans pour la mise à jour des données clients courent à compter de cette date d’entrée en vigueur, et non de la date d’entrée en relation initiale.

Recommandations opérationnelles

• Vérifiez votre périmètre d’assujettissement. Si vous proposez des crédits à la consommation, des financements personnels, des prêts ou des crédits immobiliers, vous êtes une entité assujettie.
• Comparez votre processus de vérification actuel aux deux voies admises. Si la vérification à distance par document représente la majorité de vos volumes, déterminez dès maintenant comment vous justifierez son utilisation, client par client, au titre de l’article 7.
• Confrontez les attributs collectés aujourd’hui à l’annexe I et définissez comment vous obtiendrez et vérifierez les attributs manquants.
• Révisez vos dispositifs de filtrage et de conservation des preuves. Le filtrage doit intervenir à l’entrée en relation, lors de modifications des listes et lors de changements des données des clients. Les preuves doivent être conservées pour permettre une vérification ultérieure.
• Anticipez pour les clients existants. Le délai de mise à jour commence à courir à la date d’entrée en vigueur des RTS, pas avant.

Attendre l’adoption formelle ne change rien à ce que les établissements doivent préparer dès maintenant. L’AMLA a largement repris le texte de l’EBA, n’y apportant des ajustements que lorsqu’ils étaient objectivement justifiés. Les exigences de fond sont donc pour l’essentiel arrêtées, même si la procédure formelle suit son cours.

Comment IDnow vous accompagne

La Trust Platform d’IDnow réunit toutes les voies de vérification évoquées dans un processus unique : eID notifiés et non notifiés, portefeuilles EUDI, services de confiance qualifiés fournis par un QTSP certifié, ainsi que la vérification documentaire avec les mesures de protection requises par l’article 7.

Lorsqu’un eID ou un portefeuille numérique ne contient pas un attribut requis, la plateforme permet de le compléter par d’autres moyens autorisés ou d’émettre une QEAA. Le filtrage, les journaux d’audit et la conservation des preuves sont également intégrés.

Vous pouvez démarrer avec vos processus actuels et ajouter de nouvelles méthodes au fur et à mesure qu’elles deviennent applicables, sans nouvelle intégration.

Vous souhaitez savoir à quoi ressemble la conformité pour votre organisation ?

Réalisez gratuitement notre bilan de conformité AMLR afin d’identifier vos principales lacunes.

Évaluer ma conformité AMLR

Questions fréquentes

Pour aller plus loin sur l’AMLR :

• QEAA : la pièce manquante de l’onboarding financier à l’ère de l’AMLR
• Vérification conforme AMLR : pourquoi une passerelle unique vaut mieux que trois clés distinctes
• AMLR : Ce que les services financiers doivent savoir pour rester conformes.

Nikita Rybová
Customer & Product Marketing Manager chez IDnow

Nikita Rybova est Customer & Product Marketing Manager avec plus de 8 ans d’expérience dans la tech, le SaaS et l’e-commerce. Chez IDnow, elle est spécialisée dans le marketing client et produit, transformant les complexités de la vérification d’identité en récits percutants qui stimulent la croissance.

Retrouvez Nikita sur LinkedIn