Surveillance continue : ce que le projet de lignes directrices de l’AMLA change vraiment

Le 3 juin 2026, l’Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA) a ouvert une consultation sur son projet de lignes directrices relatif à la surveillance continue des relations d’affaires, pris sur le fondement de l’article 26(5) du règlement (UE) 2024/1624 (AMLR).

Le texte est encore un projet : la consultation de l’AMLA reste ouverte jusqu’au 3 septembre 2026 et les lignes directrices finales sont annoncées pour le quatrième trimestre 2026. Il serait donc prématuré de traiter chacun de ses 95 paragraphes comme une exigence définitivement arrêtée. La direction, en revanche, est déjà très claire.

La surveillance continue ne sera pas jugée à la quantité d’alertes produites, mais à la capacité du dispositif à maintenir une compréhension actuelle du client, détecter les écarts significatifs, les instruire sans délai et démontrer pourquoi une décision a été prise.

Cette évolution concerne les banques, PSP, EMI et CASP, mais aussi les professions non financières soumises à l’AMLR. Elle impose surtout de faire fonctionner ensemble des briques encore souvent séparées : KYC, filtrage, surveillance transactionnelle, classification du risque, examens renforcés et déclaration de soupçon.

Le point de départ : l’article 26 de l’AMLR

L’article 26 de l’AMLR impose déjà une surveillance continue des relations d’affaires afin de vérifier que les opérations restent cohérentes avec la connaissance du client, son activité, son profil de risque et, lorsque nécessaire, l’origine et la destination des fonds.

Il fixe également les intervalles maximaux entre deux mises à jour du dossier client :

• un an pour les relations présentant un risque plus élevé ;
• cinq ans pour les autres clients ;
• et, dans tous les cas, une revue lorsqu’un changement de circonstances ou un fait pertinent concernant le client est détecté.

Le projet de l’AMLA ne remplace pas ces règles. Il explique comment les rendre opérationnelles. Son message central est qu’un calendrier de revues ne suffit pas : une relation peut changer de nature bien avant la prochaine échéance.

1. La revue client devient une boucle, pas un rendez-vous administratif

Le projet distingue deux mécanismes complémentaires.

La revue périodique vérifie que les données d’identification, les bénéficiaires effectifs, les pouvoirs de représentation, l’objet de la relation, la source des fonds et le statut de personne politiquement exposée restent exacts. Sa profondeur peut être adaptée au risque et à l’activité réelle du client. Pour une relation stable et à faible risque, l’AMLA admet une revue plus ciblée, fondée par exemple sur les registres, le filtrage PEP et la presse négative.

La revue déclenchée par un événement doit, elle, intervenir sans attendre l’échéance. Le paragraphe 27 du projet cite notamment :

• un changement d’identité, de résidence, de forme juridique, de dirigeants, de mandataires ou d’actionnariat ;
• une anomalie transactionnelle ou comportementale, y compris un changement inexpliqué d’appareil, de localisation ou de prestataire ;
• une nouvelle information négative, un nouveau statut PEP, une procédure judiciaire ou un signal d’une autorité ;
• une évolution significative de la situation financière, de l’activité, de l’origine des fonds ou du patrimoine ;
• l’apparition de contreparties ou de juridictions plus risquées.

Le changement important est organisationnel : une alerte transactionnelle ne doit plus rester confinée dans l’outil de surveillance. Elle peut devoir provoquer une mise à jour KYC, une nouvelle classification du risque, des mesures de vigilance renforcée ou une analyse au titre de l’article 69 de l’AMLR.

2. Surveiller les transactions ne suffit plus

Le projet utilise systématiquement l’expression « transactions et activités ». Ce choix vise les modèles dans lesquels l’entité assujettie ne voit pas ou ne contrôle pas directement tous les flux, mais dispose d’autres signaux pertinents : instructions, mandats, actifs, utilisation d’un service, connexions, changements d’appareil, relations entre contreparties ou évolution du comportement.

L’AMLA demande aussi d’observer les faits dans le temps et dans leur ensemble. Une opération isolée peut paraître anodine alors qu’une série révèle :

• un fractionnement ;
• une accumulation suivie d’un transfert ;
• des liens entre plusieurs comptes, clients, appareils ou portefeuilles ;
• un réseau destiné à masquer la propriété, le contrôle ou l’objet économique ;
• un changement progressif par rapport au comportement attendu.

Pour les PSP, EMI et CASP, cette lecture agrégée rapproche la surveillance du profil comportemental. Pour les secteurs non financiers, elle permet une approche proportionnée fondée sur les documents, les échanges et les étapes clés de la relation lorsque la donnée transactionnelle est limitée.

3. Le temps de la surveillance doit correspondre au pouvoir d’agir

Le projet distingue la surveillance avant et après la transaction ou l’activité.

Lorsqu’une entité peut évaluer ou interrompre une opération avant son exécution, l’AMLA attend des contrôles préalables et, lorsque cela est pertinent, en temps réel. Lorsqu’elle ne contrôle pas directement le flux, le contrôle peut porter avant la fourniture du service sur le mandat, l’instruction, le contrat, les actifs ou les informations de vigilance.

La surveillance postérieure reste indispensable pour détecter les schémas qui n’apparaissent qu’après agrégation. Les résultats doivent être évalués et escaladés sans délai indu. Les limites juridiques, techniques ou liées au modèle d’affaires peuvent être admises, mais elles doivent être comprises, documentées et compensées. Elles ne peuvent pas devenir une justification générique à l’absence de surveillance.

4. Manuel, automatisé ou hybride : l’AMLA reste technologiquement neutre

Le projet n’impose pas un type d’outil. Une petite structure à faible volumétrie peut conserver des contrôles manuels. Une activité rapide, complexe ou volumique aura plus souvent besoin d’un système automatisé ou semi-automatisé. Dans les deux cas, l’entité devra pouvoir expliquer :

• pourquoi ce modèle a été choisi ;
• quels risques, produits, services et canaux il couvre ;
• comment ses règles, scénarios, seuils ou profils de référence ont été calibrés ;
• quelles limites ont été identifiées et quelles mesures les compensent ;
• comment les changements sont testés, validés et communiqués.

Le paragraphe 50 contient un avertissement important pour les solutions du marché : les paramètres par défaut ne devraient pas être utilisés sans évaluation documentée de leur adéquation. Acheter un moteur de surveillance ne transfère ni la compréhension du dispositif ni la responsabilité de ses résultats.

5. L’efficacité ne se mesure pas au volume d’alertes

Les paragraphes 81 à 86 déplacent sensiblement le centre de gravité du contrôle. Le nombre d’alertes, le nombre de typologies couvertes ou le volume de déclarations ne suffisent pas à démontrer qu’un dispositif fonctionne.

L’AMLA propose de regarder plutôt :

• la pertinence des signaux produits ;
• la rapidité de l’instruction et de l’escalade ;
• l’adéquation des décisions prises ;
• les déficiences récurrentes et les faux négatifs potentiels ;
• la capacité à intégrer de nouveaux risques et retours des autorités ;
• la qualité, l’exactitude, l’attribution et la complétude des données ;
• la stabilité des performances après une modification de règle, de seuil ou de modèle.

Les files d’attente deviennent elles-mêmes un risque : l’accumulation de résultats non traités doit être détectée, suivie et résorbée. Quant à la clôture automatique, elle devrait rester limitée aux cas ne présentant aucun indicateur inhabituel, suspect ou matériel, avec une validation régulière par échantillonnage et une supervision humaine effective.

6. L’IA est admise, mais elle doit rester contestable

Les paragraphes 87 à 95 sont particulièrement structurants. L’AMLA demande aux entités d’évaluer si les algorithmes, le machine learning, l’intelligence artificielle ou d’autres outils analytiques améliorent réellement la détection et l’escalade des risques.

Le simple déploiement d’une IA n’est pas une preuve d’efficacité. L’entité doit conserver :

• une responsabilité humaine clairement attribuée ;
• la capacité de revoir et de contester les résultats ;
• une gouvernance proportionnée au rôle de l’outil ;
• une compréhension des risques d’erreur, de biais, de manque de robustesse ou de transparence ;
• un suivi de la dégradation des performances et de la dérive ;
• suffisamment d’informations sur tout prestataire tiers pour expliquer le rôle, le fonctionnement et les résultats de l’outil au superviseur.

Le projet ne demande pas une interprétabilité technique absolue de chaque modèle. Il demande une explicabilité opérationnelle suffisante pour comprendre, évaluer et challenger la décision. C’est une nuance essentielle pour les dispositifs utilisant des modèles génératifs.

Ce qu’Emelero peut proposer

Emelero n’a pas vocation à remplacer le référentiel KYC, le moteur transactionnel ou le case management d’un établissement. La proposition la plus cohérente avec le projet de l’AMLA est une couche d’analyse, de rapprochement et de preuve au-dessus des systèmes existants.

Cette architecture respecte la logique défendue par l’AMLA : l’outil prépare, rapproche, explique et trace ; l’analyste conserve le jugement, la contestation et la décision.

Une feuille de route pragmatique avant 2027

Les entités assujetties n’ont pas besoin d’attendre la version finale pour commencer les travaux réversibles et utiles.

1. Cartographier la boucle actuelle. Identifier où résident le KYC, les opérations, les alertes, le filtrage, les décisions et les preuves. Documenter les produits ou canaux non couverts et les données accessibles seulement après l’opération.

2. Définir les événements de revue. Transformer les quatre familles du paragraphe 27 en règles adaptées au métier, avec une source, un niveau de matérialité, un propriétaire et un délai d’action.

3. Relier chaque résultat à une décision. Pour chaque alerte, préciser les issues possibles : clôture motivée, collecte d’informations, mise à jour KYC, reclassification, vigilance renforcée, restriction, examen approfondi ou déclaration.

4. Mesurer l’efficacité réelle. Suivre les délais, les backlogs, les motifs de clôture, les réouvertures, les déficiences de données et les résultats d’échantillonnage — pas seulement le nombre d’alertes.

5. Encadrer les outils analytiques. Versionner les règles et prompts, conserver les sources utilisées, tester les modifications, surveiller les dérives et rendre obligatoire la validation humaine pour les décisions sensibles.

Le véritable changement

Le projet de l’AMLA ne transforme pas la surveillance continue en une course à l’automatisation. Il transforme un empilement d’outils en une obligation de cohérence démontrable.

Un bon dispositif devra pouvoir répondre simplement à cinq questions : qu’avons-nous détecté, par rapport à quel comportement attendu, avec quelles données, quelle décision avons-nous prise, et comment savons-nous que le système reste efficace ?

C’est précisément sur cette continuité entre signal, analyse, décision et preuve qu’Emelero peut intervenir — en s’intégrant au dispositif existant et en laissant la responsabilité au professionnel de la conformité.

---

Sources principales : consultation AMLA sur le projet de lignes directrices et règlement (UE) 2024/1624. Pour préparer un diagnostic de votre dispositif de surveillance continue, contactez Emelero ou parlez à l’agent.