Votre ERP enregistre chaque création de fournisseur, chaque virement, chaque transaction. Ce qu’il ne fait pas, par défaut : vérifier si ce nouveau partenaire figure sur une liste de sanctions OFAC ou si son bénéficiaire effectif est une personnalité politiquement exposée (PEP) sous investigation. Ce manque d’automatisation vous expose à des sanctions pouvant atteindre 10 % de votre chiffre d’affaires annuel — et à une mise en cause personnelle de la direction.
Le paquet législatif européen AML 2024, composé du règlement AMLR (Règlement UE 2024/1624) et de la 6e directive anti-blanchiment AMLD6 (Directive UE 2024/1640), entre en application au 10 juillet 2027 dans tous les États membres. La date n’est pas lointaine. Et pour les secteurs nouvellement assujettis — crypto-actifs, crowdfunding, immobilier, marchands de biens de luxe — le chantier de mise en conformité commence maintenant.
Ce guide s’adresse aux DAF, DSI, Directeurs Conformité et Compliance Officers de PME et ETI opérant dans les secteurs exposés aux obligations LCB-FT (Lutte Contre le Blanchiment et le Financement du Terrorisme). Il détaille ce que le cadre réglementaire exige, et comment l’ERP peut — et doit — en automatiser les contrôles.
Le paquet AML 2024 : AMLR, AMLD6 et AMLA — trois textes, une logique
Qu’est-ce que l’AMLR et l’AMLD6 ?
L’architecture réglementaire repose sur deux textes complémentaires adoptés en 2024 :
- AMLR (Règlement UE 2024/1624) — un règlement directement applicable dans tous les États membres, sans transposition nationale nécessaire. Il constitue le “livre de règles unique” (single rulebook) LCB-FT, définissant les obligations de vigilance, le KYC, la gestion des risques et les exigences documentaires. Application : 10 juillet 2027.
- AMLD6 (Directive UE 2024/1640) — une directive que les États membres doivent transposer avant le 10 juillet 2027. Elle révise les règles d’organisation des Cellules de Renseignement Financier (CRF, dont Tracfin en France), de supervision, et harmonise la définition du bénéficiaire effectif (UBO) avec un seuil fixé à 25 % ou plus des droits de vote ou du capital (contre “plus de 25 %” dans la directive précédente : un actionnaire à exactement 25 % est désormais concerné).
Quelles entreprises sont nouvellement assujetties ?
L’AMLR élargit significativement le périmètre des “entités assujetties” par rapport aux directives précédentes. Les nouveaux entrants incluent notamment :
- Crypto-asset service providers (CASP) — toute plateforme d’échange ou de conservation de crypto-actifs au sens du règlement MiCA
- Prestataires de services de financement participatif (crowdfunding)
- Marchands de métaux précieux, pierres précieuses et biens de grande valeur (>10 000 euros de transaction en espèces)
- Opérateurs de programmes de résidence ou de citoyenneté par investissement
- Clubs de football professionnels et agents sportifs (pour les transferts > 2 millions d’euros)
- Holdings non financières mixtes supervisant des entités assujetties
Les acteurs traditionnels (établissements de crédit, assurances, agents immobiliers, notaires, experts-comptables, avocats d’affaires) restent bien entendu assujettis avec des exigences renforcées.
AMLA : la nouvelle autorité de supervision européenne LCB-FT
L’AMLA (Authority for Anti-Money Laundering and Countering the Financing of Terrorism) a ouvert ses portes à Francfort le 1er juillet 2025. Elle constitue le pilier de supervision supra-nationale du dispositif : coordination des autorités nationales (dont Tracfin, l’ACPR, le GAFI), publication des standards techniques (23 normes réglementaires attendues avant juillet 2026), et, à terme, supervision directe d’jusqu’à 40 entités financières transnationales à risque élevé — sélection prévue pour 2027, entrée en vigueur de la supervision directe en janvier 2028 (AMLA, calendrier opérationnel).
Le registre UBO : obligations et intégration ERP
Qu’est-ce qu’un UBO et pourquoi le déclarer ?
Un UBO (Ultimate Beneficial Owner, ou bénéficiaire effectif) est la personne physique qui, en dernier ressort, détient ou contrôle une entité juridique. Avec l’AMLD6, le seuil est fixé à 25 % ou plus des parts, droits de vote ou intérêts — y compris via des structures indirectes ou des chaînes de contrôle.
Chaque société établie dans l’UE doit identifier ses UBO et les déclarer dans le registre national de bénéficiaires effectifs. En France, c’est le Registre des Bénéficiaires Effectifs (RBE) tenu par les greffes des tribunaux de commerce (Infogreffe). En Belgique, le registre UBO est géré par le SPF Finances. En Allemagne, par le Bundesanzeiger.
Interconnexion des registres UBO nationaux
Depuis octobre 2023, les registres UBO nationaux sont interconnectés via le BRIS (Business Registers Interconnection System), en application de la Directive UE 2018/843. Un compliance officer français peut ainsi interroger le registre UBO d’une contrepartie allemande, néerlandaise ou polonaise via un accès unifié.
L’AMLD6 renforce cette interconnexion : les entités assujetties auront l’obligation d’interroger les registres lors de l’entrée en relation d’affaires avec une contrepartie nouvelle.
Comment l’ERP peut accéder et valider les données UBO
Les solutions les plus avancées proposent une intégration directe par API :
- France : l’API Infogreffe permet d’interroger le RBE et de récupérer les informations sur les bénéficiaires effectifs d’une entreprise française, directement depuis l’ERP à la création d’une fiche tiers.
- UE : des agrégateurs comme Registersite.eu ou Creditsafe consolident les données UBO de plusieurs registres européens avec une API unifiée.
- Impact workflow : à la création d’un fournisseur dans l’ERP, une règle peut déclencher automatiquement l’interrogation du registre UBO, comparer le résultat avec les informations déclarées par le fournisseur, et signaler toute divergence au Compliance Officer avant validation du tiers.
KYC et screening fournisseurs dans l’ERP : automatiser la vigilance
Vérification des tiers à l’onboarding : listes de sanctions, PEP et adverse media
Le KYC (Know Your Customer/Supplier) appliqué aux fournisseurs et partenaires repose sur trois niveaux de vérification :
- Screening listes de sanctions : vérification du tiers et de ses dirigeants/UBO contre les listes OFAC (US Treasury), UE (Règlement 269/2014 et suivants), ONU et UK OFSI. Un tiers listé doit être immédiatement bloqué — toute transaction constitue une violation passible de sanction pénale.
- Vérification PEP (Politically Exposed Persons) : personnes occupant ou ayant occupé une fonction publique de haut rang (ministres, parlementaires, dirigeants d’entreprises publiques, hauts magistrats). Une relation d’affaires avec un PEP ou ses proches nécessite une vigilance renforcée (enhanced due diligence).
- Adverse media : surveillance des sources médias sur des mentions négatives (condamnations, procédures judiciaires, fraudes présumées) liées au tiers ou à ses dirigeants.
Solutions de screening intégrables par API
Plusieurs solutions de marché proposent des API directement connectables aux principaux ERP :
- ComplyAdvantage : screening en temps réel, adverse media par IA, couvre 200+ listes de sanctions. API-first, 3 000+ clients.
- Dow Jones Risk & Compliance : données propriétaires sur les listes de sanctions, PEP, entreprises à risque. Positionnement premium, fort dans les secteurs bancaire et assurance.
- LSEG World-Check (ex-Refinitiv) : l’une des bases les plus complètes du marché, avec une API cloud-native (World-Check On Demand, lancée en 2025). Intégration disponible avec SAP, Oracle et Dynamics 365.
- LexisNexis Risk Solutions : combinaison vérification d’identité + données AML, fort en Europe continentale et Amérique du Nord.
Workflow d’approbation fournisseur dans l’ERP
Le processus standard recommandé par les équipes conformité se structure en cinq étapes :
- Demande de création tiers : l’opérationnel saisit les données du fournisseur dans l’ERP
- Screening automatique : l’ERP appelle l’API de screening ; retour sous 2-5 secondes avec un score de risque (vert / orange / rouge)
- Résultat vert : tiers approuvé automatiquement, fiche créée, UBO enregistré, piste d’audit horodatée
- Résultat orange : validation manuelle requise par le Compliance Officer avec délai de traitement défini (48-72h)
- Résultat rouge : blocage immédiat, escalade vers la Direction et le service juridique, aucune transaction possible tant que la validation n’est pas obtenue ou que le tiers n’est pas rejeté
La piste d’audit de chaque décision — y compris les validations manuelles — doit être conservée de manière immuable dans l’ERP. C’est ce que le régulateur vérifie en premier lors d’un contrôle.
Ce que les modules ERP proposent nativement
SAP GRC — Business Partner Screening
Pour les clients SAP S/4HANA, le module SAP GRC (Governance, Risk & Compliance) inclut une fonctionnalité de Business Partner Screening qui interroge les listes de sanctions mondiales directement depuis les transactions de gestion des tiers (BP). Le screening peut être déclenché à la création, à la modification ou de façon périodique (rescreening automatique du référentiel).
SAP GRC s’intègre avec des fournisseurs de données tiers (Dow Jones, World-Check) via des connecteurs certifiés, centralisant le résultat dans la fiche Business Partner avec piste d’audit complète.
Oracle Financial Services et Dynamics 365
Oracle Financial Services AML est une solution conçue principalement pour les établissements financiers (banques, compagnies d’assurance). Pour les entreprises industrielles ou de services sur Oracle Fusion, des connecteurs tiers sont nécessaires.
Microsoft Dynamics 365 dispose d’un écosystème de partenaires ISV (Independent Software Vendors) pour l’intégration KYC — notamment Neterium pour le screening sanctions et Encompass pour le KYC digital.
Sage X3, Cegid XRP et Odoo : connecteurs tiers nécessaires
Les ERP mid-market français (Sage X3, Cegid XRP Flex, Odoo) ne disposent pas de module LCB-FT natif. La mise en conformité passe par des connecteurs API vers les solutions spécialisées mentionnées ci-dessus, intégrés au workflow de création/modification de tiers. Certains intégrateurs proposent des accélérateurs préconfigurés pour Odoo (ComplyAdvantage + Odoo) et Sage X3 (World-Check API + Sage).
Plan d’action pratique pour les entreprises assujetties
Audit de vos tiers existants : par où commencer
Avant d’automatiser l’avenir, il faut auditer le passé. Le référentiel tiers existant contient souvent des fournisseurs qui n’ont jamais fait l’objet d’un screening. Commencez par prioriser :
- Fournisseurs domiciliés dans des pays tiers à risque (liste FATF des juridictions sous surveillance : Birmanie, Haïti, République du Congo, Yémen et autres)
- Transactions > 10 000 euros en espèces ou quasi-espèces
- Fournisseurs de prestations intellectuelles (conseils, intermédiaires, agents commerciaux)
- Tiers avec lesquels vous avez des relations depuis plus de 5 ans sans réévaluation
Paramétrer les règles de vigilance dans l’ERP selon le niveau de risque
L’approche basée sur le risque (risk-based approach) est au coeur de l’AMLR. Il n’est pas exigé de traiter tous les tiers de la même façon. Paramétrez dans l’ERP des niveaux de vigilance différenciés :
| Niveau | Profil | Mesures ERP |
|---|---|---|
| Standard | Fournisseur UE sans facteur de risque | Screening listes sanctions + UBO à la création |
| Renforcé | PEP, pays tiers à risque, transaction > 50 K€ | Screening élargi + adverse media + validation conformité + revue annuelle |
| Simplifié | Établissement de crédit UE régulé, entité cotée | Screening minimal, mise à jour triennale |
Documentation et piste d’audit : ce que le régulateur vérifie
Un contrôle ACPR ou Tracfin porte systématiquement sur trois questions :
- Avez-vous une procédure documentée ? — politique LCB-FT formalisée, validée par la direction, accessible aux équipes
- La procédure est-elle appliquée ? — piste d’audit dans l’ERP de chaque screening réalisé (date, résultat, décision)
- Les incidents sont-ils tracés ? — alertes orange/rouge, validations manuelles, motifs de décision conservés
Chaque décision doit être archivée 5 ans minimum (AMLR, Article 77) à partir de la fin de la relation d’affaires.
Calendrier et sanctions : ce qui change avant le 10 juillet 2027
| Échéance | Événement |
|---|---|
| Juillet 2025 | AMLA opérationnelle à Francfort — publication des premiers standards techniques |
| 10 juillet 2026 | Publication des 23 normes techniques (RTS/ITS) par l’AMLA — les paramétrages ERP peuvent être calés |
| 10 juillet 2027 | AMLR directement applicable ; AMLD6 transposée dans tous les États membres |
| Janvier 2028 | Entrée en vigueur de la supervision directe AMLA sur les 40 entités financières sélectionnées |
Sanctions en cas de non-conformité (AMLAR, Article 22) : jusqu’à 10 millions d’euros ou 10 % du chiffre d’affaires annuel consolidé (le montant le plus élevé des deux) pour les violations graves, répétées ou systématiques. Des sanctions pénales peuvent s’y ajouter selon le droit national.
À titre d’illustration, la BNP Paribas a fait l’objet d’une amende de 8,9 milliards de dollars en 2014 aux États-Unis pour violation des sanctions OFAC — un cas extrême, mais révélateur de l’enjeu pour les établissements qui traitent des flux internationaux. Les entreprises non financières européennes restent exposées, à une échelle moindre mais croissante, aux contrôles des autorités nationales de supervision.
Pour approfondir l’intégration de la conformité dans votre ERP, lisez notre guide GRC dans l’ERP et notre article sur la conformité Sapin II et FCPA. Si la sécurité des accès à votre ERP est un angle complémentaire, notre guide Zero Trust et IAM couvre les contrôles d’habilitation.
