KYC en Belgique : comment identifier et vérifier vos clients pour respecter les obligations AML

En bref

Le KYC (Know Your Customer) est l'obligation légale centrale de la loi belge du 18 septembre 2017 : identifier le client, vérifier son identité sur base de documents probants (extrait BCE/KBO, registre UBO, pièce d'identité) et comprendre l'objet économique de la relation. Pour une société belge, la cascade UBO en 3 niveaux est indispensable, et les documents doivent être conservés 10 ans.

KYC : la première ligne de défense anti-blanchiment

L'identification et la vérification de l'identité du client — communément appelée KYC (Know Your Customer) — est la pierre angulaire du dispositif AML belge. La loi du 18 septembre 2017 en fait une obligation incontournable pour toutes les professions assujetties : avocats, notaires, comptables, agents immobiliers, banques, prestataires de services aux sociétés.

Un KYC bâclé, c'est tout l'édifice anti-blanchiment qui s'écroule. Et le contrôleur (SPF Économie, BNB, FSMA selon les secteurs) ne pardonne pas : les sanctions tombent dès qu'un dossier client manque de pièces ou de cohérence.

Ce que dit la loi : l'obligation en 3 temps

L'article 21 de la loi du 18 septembre 2017 décompose l'obligation en trois actions distinctes :

Identifier le client (et son bénéficiaire effectif) : recueillir son identité déclarée

Vérifier cette identité sur la base de documents probants

Comprendre l'objet et la nature de la relation d'affaires envisagée

Chaque étape doit laisser une trace écrite. Pas de KYC oral, pas de "j'ai connu le client en personne donc je sais qui c'est" — la documentation est la règle.

Pour une personne physique : ce qu'il faut collecter

Pour un client particulier (ou un dirigeant agissant pour une société), vous devez recueillir :

• Nom et prénom(s)

• Date et lieu de naissance

• Adresse de résidence principale

• Nationalité

• Numéro de registre national (pour les résidents belges)

Et vérifier ces informations via :

• Une copie lisible de la carte d'identité ou du passeport en cours de validité

• Le cas échéant, un justificatif de domicile récent (moins de 3 mois) si l'adresse ne figure pas sur la pièce d'identité

Pour les personnes politiquement exposées (PEP) — chefs d'État, ministres, parlementaires, juges, hauts militaires, dirigeants d'entreprises publiques, ainsi que leurs proches et personnes liées — des mesures renforcées s'appliquent automatiquement : approbation par la direction, origine des fonds documentée, surveillance accrue.

Pour une personne morale : la cascade UBO

C'est là que le KYC devient un travail d'enquête. Pour une société, vous devez identifier :

Le client (la personne morale)

• Dénomination sociale

• Numéro d'entreprise (BCE/KBO)

• Forme juridique

• Adresse du siège social

• Représentants légaux (administrateurs, gérants)

• Objet social

Ces informations sont vérifiables en consultant la Banque-Carrefour des Entreprises (BCE/KBO) — l'API Company Belgium permet de récupérer en une requête un extrait à jour, avec les administrateurs, l'historique des dénominations, les établissements et les codes NACE.

Le bénéficiaire effectif (UBO)

L'UBO est la personne physique qui, en dernier ressort, contrôle ou détient le client. Le seuil de référence : plus de 25 % du capital ou des droits de vote, ou tout autre moyen de contrôle.

La détermination peut nécessiter de remonter plusieurs niveaux de holdings — d'où le terme cascade UBO. La méthodologie tient en 3 étapes :

Niveau 1 — Bénéficiaires directs : actionnaires personnes physiques détenant >25 %

Niveau 2 — Bénéficiaires indirects : remonter les chaînes de holdings (sociétés-mères, fonds, structures fiduciaires) jusqu'à atteindre une personne physique

Niveau 3 — Bénéficiaires par défaut : si aucun UBO ne peut être identifié, désigner les dirigeants principaux comme UBO « par défaut »

Le registre UBO belge centralise les déclarations. Vous devez le consulter et comparer avec ce que votre client vous déclare. Toute divergence → signalement obligatoire.

La vérification : documents probants, pas déclaratif

La nuance compte. L'identification, c'est ce que le client dit. La vérification, c'est ce que vous prouvez sur base de documents émis par une autorité ou un tiers de confiance :

• Extrait BCE/KBO récent (< 6 mois) → forme juridique, siège, administrateurs

• Statuts coordonnés publiés au Moniteur belge → objet social, structure du capital

• Registre UBO → bénéficiaires effectifs déclarés

• Pièce d'identité des personnes physiques identifiées

• Le cas échéant : comptes annuels, organigramme du groupe, convention d'actionnaires

Conservez l'ensemble pendant 10 ans après la fin de la relation. Format papier ou numérique — la plupart des assujettis basculent désormais sur un archivage électronique horodaté.

KYC à distance : ce qui est admis

Depuis 2020, l'identification 100 % à distance est explicitement encadrée. Les méthodes acceptées :

• eID + lecteur de carte (carte d'identité belge avec authentification cryptographique)

• itsme® (identité électronique mobile reconnue par l'État belge)

• Vidéo-identification avec lecture en direct de la pièce d'identité, par un opérateur formé, avec enregistrement conservé

• Système d'identification électronique notifié au niveau européen (eIDAS)

L'envoi d'une simple photo de carte d'identité par e-mail n'est pas un KYC valable. C'est un point que les autorités de contrôle vérifient systématiquement.

L'obligation de comprendre la relation d'affaires

Au-delà de l'identité, vous devez comprendre l'objet économique de la relation : que va faire ce client avec vos services ? D'où viennent les fonds qu'il manipule ? La cohérence entre son profil et ses opérations est-elle plausible ?

Un client qui ouvre soudainement plusieurs comptes pour des activités sans lien avec son objet social déclaré → red flag. Une PME wallonne qui négocie avec des contreparties basées dans des juridictions opaques sans raison commerciale apparente → red flag. Le KYC initial alimente la surveillance continue prévue par l'article 35 de la loi.

Les mesures renforcées : quand et comment

L'article 19 impose des mesures renforcées dans plusieurs cas :

• Client à haut risque (PEP, juridiction à risque, structure opaque)

• Opération inhabituelle ou complexe sans justification économique évidente

• Relation à distance sans recours à un système d'identification électronique de niveau substantiel

• Pays tiers à haut risque identifiés par la Commission européenne

Concrètement : approbation par la direction, vérification supplémentaire de l'origine des fonds, fréquence de réexamen accrue (annuelle au minimum, parfois trimestrielle).

Construire un processus KYC opérationnel : la check-list

Cartographier les types de clients (particuliers, sociétés belges, sociétés étrangères, fiducies) et les documents requis pour chaque type

Standardiser un formulaire KYC numérique avec champs obligatoires, alimenté en partie par l'API BCE/KBO pour pré-remplir les sociétés belges

Automatiser la consultation du registre UBO et la comparaison avec les déclarations du client

Définir une matrice de risque (faible / standard / élevé) qui déclenche les mesures correspondantes

Archiver les pièces sur 10 ans avec horodatage et accès traçable

Réviser chaque dossier client à fréquence adaptée au risque (annuel, semestriel, trimestriel)

Comment Company Belgium accélère vos KYC

Company Belgium automatise la chaîne KYC pour les professions assujetties :

• Pré-remplissage des fiches société à partir d'un numéro BCE/KBO : dénomination, forme juridique, siège, administrateurs, codes NACE, historique

• Cascade UBO récupérée en 3 niveaux et comparée automatiquement au registre belge — divergences signalées en clair

• Identification à distance alignée avec les standards belges reconnus (eID, itsme®)

• Matrice de risque intégrée qui déclenche les mesures simplifiées ou renforcées selon le profil

• Surveillance continue : alertes automatiques en cas de changement BCE (nouvel administrateur, modification de dénomination, dépôt de comptes)

• Archivage chiffré et horodaté sur 10 ans, accessible en cas d'audit

Le KYC d'une société belge passe de plusieurs heures à quelques minutes, sans rien sacrifier sur la qualité du contrôle.

En résumé

Le KYC est l'épine dorsale de la conformité AML. Bien fait, il protège le professionnel, sécurise les opérations et nourrit la confiance. Mal fait, c'est la première chose que le contrôleur ira chercher en cas d'inspection — et la plus facile à reprocher.

Pour les centres de domiciliation belges, les obligations KYC s'inscrivent dans le cadre plus large de la conformité AML pour prestataires de services aux sociétés, qui couvre également le monitoring, les déclarations CTIF et la conservation des données pendant 10 ans.

L'outillage compte : un accès direct à la BCE/KBO, au registre UBO, et une plateforme qui archive et horodate, transforme un processus chronophage en formalité maîtrisée. C'est exactement ce que vise Company Belgium pour ses clients assujettis.