D’après les données de 2024 du Service exécutif de la Commission pour la prévention du blanchiment d’argent et des infractions monétaires (SEPBLAC), plus de 24 000 alertes de transactions suspectes ont été détectées suite aux vérifications obligatoires de connaissance du client (KYC) en Espagne. Les établissements financiers représentent la majorité de ces alertes (86 %), suivis des établissements non financiers (11,6 %) et d’autres types d’entités (2,6 %).

En Espagne, certaines entreprises ont l'obligation légale de mettre en œuvre des contrôles KYC. Toutefois, toute entreprise souhaitant améliorer la détection et prévention de la fraude peut également le faire volontairement. Que la procédures KYC soit obligatoire ou non pour votre activité, il est important de savoir comment la mettre en œuvre. Cet article explique la procédure KYC, notamment son objectif et ses procédures.

Sommaire

• Que signifie KYC (Know Your client) ?
  
• Quels sont les avantages de la procédure KYC ?
  
• Qui est tenu de mettre en œuvre les procédures KYC en Espagne ?
  
• Exigences juridiques des procédures KYC en Espagne
  
• Exemple de la procédure KYC en Espagne
  
• Comment Stripe Identity simplifie les procédures KYC
  
• FAQ sur KYC en Espagne
  

Que signifie KYC (Know Your client) ?

La procédure KYC (Know Your Customer) vise à vérifier l'identité des clients avant la souscription à des services ou la réalisation d'achats en ligne. Son objectif est de réduire les risques de fraude et autres délits financiers, tels que le blanchiment d'argent.

Pour vérifier l’identité des clients et atténuer les menaces à la sécurité (notamment le vol d’identité et le vol de données personnelles), les entreprises peuvent utiliser des mécanismes tels que l’authentification à deux facteurs et les signatures numériques.

Quels sont les avantages de KYC ?

Au-delà d'être une obligation dans certains secteurs, la mise en œuvre de la procédure KYC offre des avantages opérationnels et stratégiques aux entreprises opérant dans un environnement numérique. Voici les principaux avantages de l'intégration des procédures KYC :

• Protection contre la fraude
  La vérification de l'identité des clients complique l'accès aux systèmes pour les fraudeurs. La procédure KYC (Know Your Customer) constitue la première étape de vérification de chaque client. Ceci est particulièrement important dans un environnement numérique où les cas d'usurpation d'identité représentent 14 % des demandes adressées à l'Institut national de la cybersécurité (INCIBE).
  
• Stabilité opérationnelle
  Le strict respect de la loi relative à la prévention du blanchiment d'argent est essentiel pour garantir la continuité des activités. Outre les sanctions financières, un système KYC défaillant peut entraîner la suspension des activités de l'entreprise ou la destitution des dirigeants.
  
• Automatisation et précision du traitement des données
  La plupart des solutions KYC modernes utilisent la reconnaissance optique de caractères (OCR) et l'intelligence artificielle (IA) pour extraire les informations des documents avec une grande précision. En éliminant la saisie manuelle des données, ces solutions KYC minimisent les erreurs humaines et permettent d'obtenir des dossiers clients fiables et standardisés.
  
• Onboarding rapide
  L'une des principales causes d'abandon lors de l'inscription est la lenteur ou la complexité du processus d'inscription. L'intégration d'un système KYC flexible peut transformer cette expérience. Par exemple, une procédure qui nécessitait auparavant des documents physiques et de longs délais d'attente peut désormais être réalisée en quelques secondes. De plus, certaines solutions KYC sont compatibles avec les pièces d'identité de dizaines de pays, ce qui facilite leur déploiement sur de nouveaux marchés.
  

Qui est tenu de mettre en œuvre les procédures KYC en Espagne ?

Le règlement (UE) 2024/1624 établit le cadre réglementaire régissant l'application des politiques et procédures KYC au sein de l'UE. Cependant, chaque État membre a la possibilité d'y apporter ses propres spécificités juridiques.

En Espagne, la loi 10/2010 relative à la prévention du blanchiment d'argent et du financement du terrorisme régit principalement le système KYC. Vous trouverez ci-dessous la liste des entités qui ont l'obligation légale de collecter et de vérifier les informations d'identification lorsqu'elles établissent ou entretiennent une relation commerciale en Espagne.

Établissements financiers

Les institutions financières sont davantage exposées au risque de transactions frauduleuses car elles se concentrent sur la gestion des ressources financières de leurs clients. Les données de la SEPBLAC le confirment : les banques, les caisses d’épargne, les établissements de paiement et autres établissements de crédit ont enregistré le plus grand nombre de signalements en 2024. Voici la liste complète des institutions financières tenues de mettre en œuvre les procédures KYC :

• Établissements de crédit
  
• Compagnies d’assurance vie ou d’investissement
  
• Sociétés de services d'investissement
  
• Gestionnaires de fonds communs de placement et entreprises
  
• Gestionnaires de fonds de pension
  
• Gestionnaires et entreprises de capital-risque
  
• Les sociétés de garantie mutuelle (c’est-à-dire des organismes sans but lucratif qui financent les petites et moyennes entreprises espagnoles [PME] et qui sont régis par la loi 1/1994)
  
• Monnaie électronique et établissements de paiement
  
• Professionnels de conversion de devises
  
• Fournisseurs de services de cryptomonnaie
  

Établissements non financiers

Certaines entités hors du secteur financier sont également impliquées dans des transactions à haut risque. Les administrateurs de loterie, les responsables de registre et les notaires ont enregistré le plus grand nombre de déclarations d'infractions en 2024, selon la SEPBLAC. Voici quelques exemples d'institutions non financières tenues de mettre en œuvre les procédures KYC :

• Les prestataires de mandats, dès lors que leurs activités principales relèvent de la logistique et non de celles des établissements de paiement
  
• Les courtiers en crédit et les prêteurs qui exercent leurs activités sans licence bancaire et qui ne sont pas légalement considérés comme des établissements de crédit ou des établissements de crédit financier
  
• Les promoteurs et les courtiers immobiliers dont les transactions locatives sont égales ou supérieures à 10 000 € par mois ou 120 000 € par an
  
• Les auditeurs, les experts-comptables externes et les conseillers fiscaux
  
• Les notaires et conservateurs fonciers, conservateurs des registres de biens personnels et conservateurs des registres de sociétés
  
• Les avocats et notaires interviennent dans certaines transactions au nom de leurs clients, telles que des transactions financières ou immobilières
  
• Les professionnels qui fournissent des services aux sociétés et aux fiducies
  
• Les casinos
  
• Les bijoux, pierres précieuses ou marchands de métaux précieux
  
• L’art, les antiquaires ou les courtiers
  
• Les commerçants de biens avec offres de rachat
  
• Les opérateurs de loterie et de jeux de hasard lors du versement des gains
  
• Les vendeurs de biens dont les achats effectués par des non-résidents espagnols dépassent 10 000 € et sont réglés par des moyens de paiement à haut risque, tels que les espèces
  
• Les fondations et les associations lorsqu'elles contribuent ou reçoivent des fonds
  
• Les responsables des systèmes de règlement et paiement
  

Même si une entreprise n'est pas légalement tenue d'adopter un système KYC, sa mise en place est recommandée pour améliorer la gestion des risques de fraude. La procédure KYC impliquant la vérification de l'identité et des activités financières des clients, ce processus contribue à atténuer les menaces telles que l'usurpation d'identité.

Exigences juridiques des procédures KYC en Espagne

La loi 10/2010 établit également les exigences auxquelles doivent se conformer toutes les entités tenues de mettre en œuvre des procédures KYC. Ces exigences se répartissent en deux catégories : les mesures de vigilance et les mesures de contrôle. Nous décrivons ci-dessous les plus importantes d’entre elles.

Devoir de vigilance

Le devoir de vigilance consiste à recueillir des informations sur l’identité et les activités économiques des clients. Les mesures de devoir de vigilance sont appliquées en fonction du niveau de risque du client, du type de produit ou de la nature de la transaction. Cette analyse des risques doit être formalisée par écrit au préalable afin de déterminer le profil de risque et, en définitive, les exigences applicables.

Exigences de devoir de vigilance pour les profils à bas risque

Lorsque l'analyse conclut à un faible profil de risque, la réglementation autorise l'application de mesures de devoir de vigilance simplifiées. Ceci simplifie les procédures sans compromettre la conformité réglementaire. Les exigences les plus importantes sont décrites ci-dessous :

• Identifier le client
  La première étape pour les entreprises ou les professionnels mettant en œuvre des procédures KYC consiste à identifier formellement le client. S'il s'agit d'une personne morale (par exemple, une société souhaitant acquérir des bureaux), le bénéficiaire effectif doit être identifié (c'est-à-dire la personne physique qui détient plus de 25 % du capital ou qui contrôle l’entreprise).
  
• Vérifier l'activité professionnelle ou commerciale
  L’entité responsable de la procédure KYC doit vérifier la véracité de l’activité professionnelle ou commerciale du client (par exemple, au moyen des fiches de paie ou des bénéfices de l’entreprise). Cette vérification doit être raisonnable (c’est-à-dire proportionnée au niveau de risque de la transaction).
  
• Déterminer le but de la transaction
  Il convient ensuite de déterminer le but de la transaction financière effectuée par le client. Ce but doit être cohérent avec l'activité professionnelle ou commerciale préalablement vérifiée. Par exemple, si la transaction vise à investir une partie de l'épargne de l'entreprise dans les cryptomonnaies, l'achat de 500 000 € de bitcoins peut se justifier si l'entreprise réalise un chiffre d'affaires annuel de plusieurs millions. En revanche, une telle opération ne serait pas justifiée pour un particulier percevant un salaire mensuel de 1 500 €.
  
• Mettre en place une surveillance continue
  Le système KYC ne se limite pas au début de la relation commerciale. Il implique un suivi continu. Par exemple, si un client percevait un salaire de 2 900 € au moment de son investissement dans un fonds, mais qu'il est désormais sans emploi et sans revenus, il est important que l'établissement financier en soit informé. Il est donc essentiel de mettre à jour les données clients en cas de changements significatifs dans leur profil.
  

Exigences de devoir de vigilance pour les profils à haut risque

Si l'analyse conclut à un risque élevé concernant le profil client, la transaction ou l'actif acquis, un devoir de vigilance renforcé sera mis en place. Ces mesures s'ajoutent aux exigences applicables aux profils à faible risque. Vous trouverez ci-dessous la description de certaines des mesures les plus courantes en Espagne :

• Repérer l'origine des fonds
  Cette mesure renforcée s'applique, par exemple, lorsque le client occupe une fonction publique, comme celle de ministre ou de haut responsable d'un parti politique représenté au Parlement.
  
• Exiger une signature électronique
  Si la transaction a lieu par voie électronique, l’entité doit vérifier l’identité du client avec une signature électronique qui répond aux exigences établies par le règlement (UE) 910/2014.
  
• Obtenir une autorisation express
  Pour certains paiements transfrontaliers d'une banque espagnole vers une banque étrangère, une autorisation expresse de la direction est requise avant de procéder au transfert de fonds.
  

Mesures de contrôle et d'information

Si les résultats du devoir de vigilance révèlent une possible activité illégale, l'entreprise responsable de la procédure KYC doit adopter les mesures de contrôle et d'information suivantes :

• Examen spécial
  L’entité doit mettre en œuvre ses protocoles de contrôle interne pour enquêter sur le cas précis et établir un rapport détaillant les raisons des soupçons et les conclusions auxquelles elle est parvenue.
  
• Rapports établis ou systématiques selon les indications
  Si les conclusions de l’examen spécial confirment ou renforcent les soupçons initiaux, l’entreprise doit transmettre au SEPBLAC un rapport détaillant l’identité du client, son activité et la transaction suspecte. Même en l’absence de soupçons, il est obligatoire de transmettre systématiquement les transactions dont l’origine ou la destination se situe dans des pays à haut risque de blanchiment d’argent.
  
• Annulation de transaction
  L'entreprise doit s'abstenir de réaliser la transaction, sauf si cela est impossible ou susceptible d'entraver le cours de l'enquête.
  
• Interdiction de divulgation
  L’entité n’est pas autorisée à informer le client ou des tiers du rapport transmis à SEPBLAC, que ce rapport soit ponctuel ou systématique.
  
• Coopération avec les autorités
  Si les autorités compétentes demandent des informations complémentaires, l'entité doit les fournir rapidement et avec précision afin de faciliter l'enquête.
  
• Conservation des documents
  L'entreprise doit conserver pendant 10 ans tous les documents prouvant la conformité aux exigences juridiques des procédures KYC en Espagne.
  

Exemple de procédure KYC en Espagne

Bien que les devoirs de vigilance à la clientèle varient selon le profil de risque et le type d'activité, les étapes fondamentales restent similaires dans la plupart des cas. Voici un exemple de procédure KYC en Espagne :

• Accéder au formulaire
  Booking.com est le système de réservation d'hébergement le plus utilisé par les particuliers en Espagne, devançant même les réservations directes auprès des hôtels. La direction d'un hôtel traditionnel décide d'établir une relation commerciale avec cette agence de voyages en ligne dans le cadre de sa stratégie de transformation numérique. Pour pouvoir utiliser la plateforme, elle doit au préalable remplir le formulaire KYC de Booking.com.
  
• Déterminer le type d'entité
  Booking.com applique des exigences différentes selon le type d'entité. Par exemple, les travailleurs indépendants doivent uniquement renseigner leurs informations personnelles et bancaires. En revanche, l'hôtel étant immatriculé au registre du commerce et des sociétés en tant que société à responsabilité limitée (SARL), ses gérants sélectionnent l'option « Entité commerciale ».
  
• Remplir le formulaire
  Le représentant remplit le formulaire au nom du SL. Pour fonctionner en tant qu'entreprise partenaire, Booking.com demande des informations telles que le nom de l'entreprise, la date de constitution et le numéro de compte bancaire international (IBAN) du compte bancaire de l'entreprise.
  
• Vérifier les informations et analyser le risque
  Après réception du formulaire, Booking.com effectue la vérification en plusieurs étapes, notamment l'identification des propriétaires de la SL et la vérification de la concordance des informations avec celles figurant au registre du commerce. L'entreprise procède ensuite à une analyse des risques et, si celle-ci est concluante, initie une relation commerciale avec l'hôtel.
  
• Mettre en place une procédure KYC pour la réservation
  Il est courant que des plateformes comme Booking.com étendent cette procédure aux clients effectuant des réservations d'hôtel afin de renforcer leurs protocoles KYC. Dans cette vidéo, nous présentons le processus de vérification d'identité avec Stripe Identity et les étapes que les clients doivent suivre lors de la réservation.
  

Comment Stripe Identity simplifie les procédures KYC

Si vous êtes légalement tenu de mettre en place un système KYC en Espagne, vous devez vous assurer que vos procédures de collecte d'informations sont conformes au Règlement général sur la protection des données (RGPD). Stripe Identity facilite cette tâche en simplifiant la vérification d'identité lors du processus d’onboarding et en respectant la réglementation KYC espagnole.

L'authentification vous permet de vérifier l'identité de vos clients et de réduire les risques de fuites de données confidentielles. De plus, elle simplifie le travail de l’équipe chargée de la détection des fraudes en réduisant les tâches manuelles, tout en permettant aux clients légitimes de bénéficier de processus de vérification plus rapides et plus simples.

En outre, la combinaison de Stripe Payments, la plateforme de paiement en ligne de Stripe, avec Stripe Radar, son outil antifraude peut contribuer à prévenir les attaques frauduleuses. Cela est dû aux mesures de sécurité de ces systèmes et à la prévention des faux positifs susceptibles d'affecter la conversion.

Pour les plateformes et les marketplaces, Stripe Connect simplifie les procédures KYC liées à la gestion des paiements multipartites. Il intègre la vérification KYC des clients, ainsi que celle des entreprises et des professionnels proposant leurs produits et services sur votre site web.

FAQ sur KYC en Espagne

Est-il obligatoire de réaliser des procédures KYC pour toutes les transactions ?

L'obligation de se conformer aux procédures KYC (Know Your Customer) dépend du type d'entité. Les institutions financières (établissements de crédit et fournisseurs de services de cryptomonnaies, par exemple) doivent appliquer ces procédures à toutes les transactions. En revanche, certaines entités non financières ne sont tenues de procéder à ces vérifications que dans des cas spécifiques. Par exemple, les commerces et les professionnels doivent effectuer une vérification KYC pour les transactions avec des non-résidents dont le montant dépasse 10 000 € et qui sont effectuées par des moyens de paiement à haut risque.

Que se passe-t-il si la procédure KYC n’est pas mise en œuvre alors qu’elle est obligatoire ?

Si une entreprise ne respecte pas son obligation de mettre en œuvre les procédures KYC (Know Your Customer), elle s'expose aux sanctions applicables. Les infractions mineures, telles que le défaut d'identification d'un client lors d'une transaction unique, peuvent donner lieu à des avertissements ou à des amendes pouvant atteindre 60 000 €. En cas d'infraction grave, comme le défaut d'identification d'un client en présence d'indices ou de certitudes de blanchiment d'argent ou de financement du terrorisme, l'amende minimale est de 60 000 €. Pour les infractions très graves, y compris les récidives, l'amende minimale est de 150 000 €. Outre les amendes, les infractions graves et très graves peuvent entraîner d'autres conséquences, telles que la suspension temporaire de l'agrément administratif et l'interdiction d'exercer une activité pour les dirigeants.

Est-il conseillé de mettre en place des procédures KYC dans une entreprise e-commerce ?

Bien que la mise en place d'un système KYC ne soit pas obligatoire pour les entreprises de commerce électronique, elle est fortement recommandée pour détecter et prévenir la fraude. En recueillant des informations sur les clients et leurs activités économiques, vous pouvez évaluer le niveau de risque des relations commerciales et, le cas échéant, prendre des précautions supplémentaires pour éviter des menaces telles que l'usurpation d'identité. La mise en œuvre de la procédure KYC, même sans obligation légale, est particulièrement recommandée pour les entreprises qui acceptent des moyens de paiement plus risqués, comme les entreprises de e-commerce qui acceptent les paiements en cryptomonnaie ou les paiements échelonnés.