Vigilance client (CDD) vs vigilance renforcée (EDD)

La vigilance à l'égard de la clientèle (CDD, customer due diligence) désigne l'ensemble standard de contrôles qu'une entreprise réglementée applique à chaque client : vérifier son identité, identifier qui le détient ou le contrôle en dernier ressort, comprendre l'objet de la relation et continuer à la surveiller. La vigilance renforcée (EDD, enhanced due diligence) en est la version plus lourde, appliquée lorsque le risque est plus élevé, par exemple pour les personnes politiquement exposées, les clients liés à des pays à haut risque ou les transactions inhabituellement importantes. Elle ajoute des vérifications de l'origine des fonds et de l'origine du patrimoine, une validation par la direction et une surveillance plus étroite.

Entre les deux se situe la vigilance simplifiée (SDD, simplified due diligence) pour les cas à faible risque. Ce guide explique les trois niveaux, ce qui déclenche l'EDD et la manière dont les règles s'appliquent aux plateformes d'échange crypto, à l'intention des équipes conformité comme des utilisateurs qui se demandent pourquoi une plateforme leur a demandé davantage de documents.

Qu'est-ce que la vigilance à l'égard de la clientèle ?

La CDD est le cœur juridique du « know your customer ». Le règlement européen de lutte contre le blanchiment, le règlement (UE) 2024/1624 (l'AMLR), applicable à partir du 10 juillet 2027 (article 90), en donne la liste moderne la plus claire. Selon son article 20, paragraphe 1, la CDD consiste à :

• identifier le client et vérifier son identité ;
• identifier les bénéficiaires effectifs et prendre des mesures raisonnables pour les vérifier, afin que l'entreprise comprenne la structure de propriété et de contrôle ;
• comprendre l'objet et la nature envisagée de la relation ;
• vérifier si le client ou ses bénéficiaires effectifs font l'objet de sanctions financières ciblées ;
• comprendre l'activité ou la profession du client ;
• exercer une surveillance continue, y compris l'examen des transactions et, si nécessaire, de l'origine des fonds ;
• déterminer si le client ou le bénéficiaire effectif est une personne politiquement exposée (PPE), un membre de sa famille ou une personne qui lui est étroitement associée ;
• vérifier toute personne agissant au nom du client.

L'article 19 fixe les cas d'application de la CDD : à l'entrée en relation d'affaires, pour les transactions occasionnelles de 10 000 EUR ou plus, en cas de soupçon de blanchiment de capitaux ou de financement du terrorisme, et lorsque l'entreprise doute des données dont elle dispose déjà. Les prestataires de services sur crypto-actifs (PSCA, ou CASP en anglais) sont soumis à des seuils plus stricts, détaillés plus bas.

Pour les particuliers, l'identification correspond au parcours KYC bien connu. Pour les sociétés, c'est l'étape du bénéficiaire effectif qui fait l'essentiel du travail, et notre guide sur le bénéficiaire effectif (UBO) explique le fonctionnement de ce contrôle.

SDD, CDD et EDD en un coup d'œil

Selon l'article 20, paragraphe 2, de l'AMLR, les entreprises déterminent l'étendue de leurs contrôles à partir d'une analyse individuelle du risque : un risque accru impose l'EDD, un risque plus faible permet la SDD.

Vigilance simplifiée : allégée, jamais nulle

La SDD n'est pas une exemption. Selon l'article 33 de l'AMLR, une entreprise face à une relation réellement à faible risque peut :

• vérifier le client et le bénéficiaire effectif après l'établissement de la relation, mais au plus tard dans les 60 jours ;
• mettre à jour les informations sur le client moins souvent ;
• recueillir moins d'informations sur l'objet de la relation, ou le déduire ;
• examiner les transactions moins souvent ou de manière moins approfondie.

L'entreprise doit tout de même exercer une surveillance suffisante pour repérer une activité suspecte, et doit cesser d'appliquer la SDD si elle doute des informations, si les facteurs de faible risque disparaissent ou si elle soupçonne un blanchiment de capitaux ou un contournement de sanctions.

Quand la vigilance renforcée est déclenchée

L'article 34, paragraphe 1, de l'AMLR impose l'EDD dans les cas précis que nomme le règlement ainsi que dans tout autre cas à risque plus élevé identifié par l'entreprise elle-même. Les principaux déclencheurs sont :

Pays tiers à haut risque

Le Groupe d'action financière (GAFI) publie deux listes à l'issue de chacune de ses réunions plénières de février, juin et octobre : les « juridictions à haut risque faisant l'objet d'un appel à l'action », pour lesquelles le GAFI préconise une vigilance renforcée et, dans les cas les plus graves, des contre-mesures, et les « juridictions sous surveillance renforcée ». Les déclarations les plus récentes publiées sur la page du GAFI consacrée aux juridictions à haut risque datent du 19 juin 2026, et la mise à jour de juin a ajouté la Bosnie-Herzégovine et l'Irak à la liste des juridictions sous surveillance renforcée. L'UE tient sa propre liste dans le règlement délégué (UE) 2016/1675, modifié pour la dernière fois en janvier 2026 selon la Commission européenne. Selon l'article 29, paragraphe 4, de l'AMLR, les relations d'affaires ou transactions occasionnelles impliquant des personnes d'un pays inscrit sur la liste exigent l'EDD.

Personnes politiquement exposées

Les PPE exercent ou ont exercé des fonctions publiques importantes, comme les chefs d'État, les ministres, les parlementaires, les juges des cours suprêmes, les membres des organes de direction des banques centrales et les membres des conseils d'administration d'entreprises contrôlées par l'État (article 2, paragraphe 1, point 34, de l'AMLR). Le GAFI les traite dans ses recommandations 12 et 22. Selon l'article 42 de l'AMLR, une entreprise traitant avec une PPE doit obtenir l'approbation de la direction, prendre des mesures adéquates pour établir l'origine du patrimoine et l'origine des fonds, et appliquer une surveillance continue renforcée. Il en va de même pour les membres de la famille et les personnes connues pour être étroitement associées (article 46). Être une PPE est une catégorie de risque, pas une accusation, et les contrôles supplémentaires se poursuivent au moins 12 mois après la fin du mandat (article 45). Notre guide sur le filtrage des listes de surveillance et des PPE explique comment les entreprises détectent les PPE.

Transactions inhabituelles

L'article 34, paragraphe 2, impose aux entreprises d'examiner l'origine, la destination et l'objet de toute transaction complexe, d'un montant inhabituellement élevé, suivant un schéma inhabituel ou dépourvue d'objet économique ou licite apparent. C'est le déclencheur que rencontrent le plus souvent les particuliers dans la crypto : un dépôt bien plus important que tout ce que le compte a connu auparavant.

Autres cas à risque plus élevé

Les relations de correspondance transfrontalières ont leurs propres règles d'EDD, y compris pour les PSCA qui traitent avec des entreprises crypto hors de l'UE (article 37). Et la liste n'est pas fermée : l'annexe III de l'AMLR cite d'autres facteurs de risque plus élevé, comme les structures de propriété complexes, les actionnaires prête-noms, les activités à forte intensité d'espèces et les produits favorisant l'anonymat.

Ce que recueille la vigilance renforcée

L'article 34, paragraphe 4, énumère les mesures qu'une entreprise peut appliquer, proportionnellement au risque, notamment :

1. Davantage d'informations sur le client et les bénéficiaires effectifs, ainsi que sur la nature envisagée de la relation.
2. L'origine des fonds et l'origine du patrimoine du client et des bénéficiaires effectifs. L'origine des fonds indique d'où vient l'argent de cette transaction. L'origine du patrimoine indique comment la personne a constitué l'ensemble de sa fortune. Notre guide origine des fonds vs origine du patrimoine recense les justificatifs généralement acceptés.
3. Les raisons de transactions spécifiques et leur cohérence avec la relation.
4. L'approbation de la direction pour nouer ou poursuivre la relation.
5. Une surveillance renforcée : des contrôles plus fréquents et un examen plus attentif des schémas de transactions.

En pratique, les dossiers d'EDD comprennent aussi généralement un filtrage des médias défavorables et une justification écrite de la décision. Les entreprises utilisent souvent des outils spécialisés pour le filtrage et la surveillance. Le filtrage AML d'iDenfy, par exemple, contrôle les clients par rapport aux données de sanctions, de PPE et de listes de surveillance, et les filtre de nouveau en continu.

Surveillance continue : la vigilance ne s'arrête pas à l'entrée en relation

L'article 26 de l'AMLR impose aux entreprises de surveiller les transactions au regard de ce qu'elles savent du client et de tenir les informations client à jour, au moins chaque année pour les clients soumis à l'EDD et tous les cinq ans pour les autres, et plus tôt si la situation change.

C'est pourquoi une plateforme peut demander des documents des années après votre inscription : une nouvelle correspondance PPE, un pays nouvellement inscrit sur une liste ou un changement dans l'utilisation du compte peut faire passer un client de la CDD à l'EDD. Notre guide sur la surveillance des transactions AML dans la crypto en explique le fonctionnement, et les signaux d'alerte AML dans la crypto recense les schémas qui déclenchent généralement un examen.

Si une entreprise ne peut pas mener à bien la vigilance, l'article 21 prévoit qu'elle ne doit pas exécuter la transaction ni nouer la relation, qu'elle doit mettre fin à une relation existante et envisager de déposer une déclaration de transaction suspecte. C'est pourquoi des comptes sont restreints lorsque les documents demandés n'arrivent jamais.

Comment la CDD et l'EDD s'appliquent aux entreprises crypto

Les PSCA sont des entités assujetties au titre de l'AMLR, et plusieurs règles ont été rédigées spécifiquement pour eux :

• Des seuils plus bas. Selon l'article 19, paragraphe 3, les PSCA doivent appliquer une CDD complète aux transactions occasionnelles de 1 000 EUR ou plus, et doivent au minimum identifier et vérifier le client en dessous de ce montant. Les autres entreprises appliquent un seuil de 10 000 EUR.
• Les wallets auto-hébergés. L'article 40 impose aux PSCA d'évaluer le risque des transferts vers et depuis des adresses auto-hébergées et d'appliquer des mesures d'atténuation. Celles-ci peuvent consister à identifier la personne derrière le transfert, à s'informer sur l'origine et la destination des crypto-actifs, ou à exercer une surveillance renforcée.
• La Travel Rule. Le règlement européen sur les transferts de fonds s'applique depuis le 30 décembre 2024. Il exige que les informations sur le donneur d'ordre et le bénéficiaire accompagnent les transferts de crypto-actifs entre prestataires. Voir la Travel Rule crypto expliquée.
• Le risque on-chain. Les plateformes filtrent les wallets depuis lesquels les clients déposent et vers lesquels ils retirent, et un dépôt remonté jusqu'à un mixeur ou une adresse sanctionnée peut faire basculer un client ordinaire vers l'EDD. Notre guide sur l'analyse blockchain explique le fonctionnement de ce traçage.

Sur le calendrier : l'AMLR s'applique à partir du 10 juillet 2027. D'ici là, les entreprises de l'UE suivent les lois nationales transposant les directives AML actuelles, qui reposent sur la même structure à trois niveaux. L'AMLR a également chargé la nouvelle Autorité européenne de lutte contre le blanchiment de capitaux (AMLA) d'élaborer, pour le 10 juillet 2026, des normes techniques sur les informations à recueillir à chaque niveau (article 28), en vue de leur adoption par la Commission. Selon son propre site, l'AMLA a commencé ses activités à Francfort à l'été 2025 et prévoit d'entamer la supervision directe de certaines entreprises en 2028. Pour le volet agrément des règles crypto de l'UE, voir qu'est-ce que MiCA.

Aux États-Unis, les banques, les courtiers en valeurs mobilières, les fonds communs de placement et les sociétés de contrats à terme appliquent la règle de vigilance à l'égard de la clientèle de FinCEN (31 CFR 1010.230), selon la même logique fondée sur le risque.

Pour les utilisateurs : pourquoi la plateforme demande davantage

Si une plateforme vous demande des bulletins de salaire, un contrat de vente ou des déclarations fiscales, c'est généralement que l'un des déclencheurs ci-dessus vous a fait passer en EDD, le plus souvent un dépôt important ou inhabituel. Répondre de façon complète et cohérente est le moyen le plus rapide d'en sortir. Nos conseils pour la vérification d'identité passent en revue les erreurs courantes.

Les applications de JewelSwap sont des logiciels DeFi non custodiaux et ne mènent pas elles-mêmes de vigilance à l'égard de la clientèle. Notre article sur le KYC dans la DeFi explique pourquoi.

Questions fréquentes

Quelle est la différence entre la CDD et l'EDD ?

La CDD est l'ensemble standard de contrôles appliqués à chaque client : identité, bénéficiaires effectifs, objet de la relation, statut au regard des sanctions et des PPE, et surveillance continue. L'EDD ajoute des mesures pour les cas à risque plus élevé, comme des justificatifs de l'origine des fonds et de l'origine du patrimoine, l'approbation de la direction et une surveillance plus fréquente.

Qu'est-ce qui déclenche la vigilance renforcée ?

Les principaux déclencheurs sont une personne politiquement exposée, un membre de sa famille ou une personne qui lui est étroitement associée, un lien avec un pays tiers à haut risque, une transaction complexe ou inhabituellement importante sans objet clair, certaines relations de correspondance, et tout autre risque plus élevé que l'entreprise identifie dans sa propre évaluation.

Qu'est-ce que la vigilance simplifiée ?

La SDD est une version allégée de la CDD pour les cas à faible risque documentés. Selon l'AMLR, une entreprise peut différer la vérification jusqu'à 60 jours, mettre à jour les informations moins souvent et surveiller de façon moins intensive, mais elle ne peut jamais renoncer entièrement à la vigilance.

Une PPE est-elle automatiquement à haut risque ?

Une PPE déclenche toujours des mesures renforcées selon les règles de l'UE : approbation de la direction, vérification de l'origine du patrimoine et de l'origine des fonds, et surveillance renforcée. Il s'agit d'une catégorie de risque, pas d'une accusation, et les mesures se poursuivent au moins 12 mois après la fin du mandat de la personne.

À quelle fréquence les informations client doivent-elles être mises à jour ?

Selon l'AMLR, applicable à partir du 10 juillet 2027, les mises à jour doivent avoir lieu au moins une fois par an pour les clients soumis à la vigilance renforcée et au moins tous les cinq ans pour tous les autres clients, et plus tôt lorsque la situation change.

Quand les plateformes crypto doivent-elles appliquer la CDD ?

Selon l'AMLR, les prestataires de services sur crypto-actifs appliquent la CDD à l'entrée en relation d'affaires et pour les transactions occasionnelles de 1 000 EUR ou plus. En dessous de 1 000 EUR, ils doivent tout de même identifier et vérifier le client.

Pour aller plus loin

• Bénéficiaire effectif (UBO) : définition et vérification
• Origine des fonds vs origine du patrimoine
• Guide de conformité AML crypto pour les plateformes et les VASP
• Filtrage des listes de surveillance et des PPE dans la crypto
• Qu'est-ce que le KYC dans la crypto ?

Cet article est fourni à titre éducatif et ne constitue pas un conseil juridique ou financier. Les références juridiques renvoient au règlement (UE) 2024/1624, au règlement (UE) 2023/1113 et au 31 CFR 1010.230 tels que publiés, vérifiés le 8 octobre 2026. Les dates des listes du GAFI proviennent du site du GAFI et les informations sur la liste de l'UE du site de la Commission européenne, tous deux consultés le 8 octobre 2026. Les règles et les listes évoluent ; vérifiez les versions en vigueur avant de vous y fier.