Approche par les risques

Mise à jour : 23/10/2026

Définitions et fondements

Union européenne — Parlement européen et Conseil (directive)

La directive (UE) 2015/849 impose aux États membres de veiller à ce que les entités assujetties prennent des mesures appropriées pour identifier et évaluer les risques auxquels elles sont exposées, en tenant compte de facteurs liés à leurs clients, pays ou zones géographiques, produits, services, transactions ou canaux de distribution, proportionnées à leur nature et à leur taille ; l’évaluation est documentée, tenue à jour et mise à disposition des autorités.

Source : directive (UE) 2015/849 du 20 mai 2015, art. 8, par. 1 et 2 — CELEX 32015L0849 (https://eur-lex.europa.eu/eli/dir/2015/849/oj) — obligation légale (directive, transposée en droit français) — vérifiée le 23/10/2026

Union européenne — Parlement européen et Conseil (règlement)

Le règlement (UE) 2024/1624 reprend l’exigence sous la forme d’une évaluation des risques à l’échelle de l’entité, documentée, tenue à jour et régulièrement réexaminée, établie par le responsable de la conformité et approuvée par l’organe de direction. Il est applicable à partir du 10 juillet 2027 (10 juillet 2029 pour certaines entités).

Source : règlement (UE) 2024/1624 du 31 mai 2024, art. 10, par. 2, et art. 90 — CELEX 32024R1624 (https://eur-lex.europa.eu/eli/reg/2024/1624/oj) — obligation légale (règlement d’application directe, à compter du 10/07/2027) — vérifiée le 23/10/2026

France — Code monétaire et financier

Les personnes assujetties « appliquent les mesures de vigilance […] en fonction de l’évaluation des risques présentés par leurs activités ». Elles définissent et mettent en place des dispositifs d’identification et d’évaluation des risques et une politique adaptée, et élaborent une classification des risques tenant compte de la nature des produits ou services, des conditions de transaction, des canaux de distribution, des caractéristiques des clients et du pays ou du territoire d’origine ou de destination des fonds.

Source : Code monétaire et financier, art. L. 561-4-1 — LEGIARTI000041577873 (https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000041577873) — obligation légale — vérifiée le 23/10/2026

International — ISO (meilleure pratique)

Hors du champ de la lutte contre le blanchiment, la norme ISO 31000 définit le risque comme l’effet de l’incertitude sur les objectifs et fournit des lignes directrices de management du risque applicables à toute organisation. Elle éclaire la démarche, elle n’en est pas le fondement juridique.

Source : ISO 31000:2018, Management du risque — Lignes directrices (https://www.iso.org/standard/65694.html) — norme volontaire — vérifiée le 23/10/2026

Définition recommandée par BPA

Les définitions concordent sur le principe ; elles divergent sur l’objet : la directive et le règlement prescrivent une évaluation à l’échelle de l’entité, le code monétaire et financier attache l’intensité des mesures de vigilance à cette évaluation et y ajoute une classification des risques. BPA retient la définition du code monétaire et financier (art. L. 561-4-1), complétée par l’exigence européenne d’une évaluation documentée et tenue à jour, parce qu’elle est opposable à l’entité et qu’elle se contrôle : une classification écrite, une politique, des mesures dont l’intensité se justifie par le risque.

Ce que cela implique : pouvoir démontrer, pour chaque catégorie de clients, de produits et de canaux, le lien entre le risque évalué et la mesure appliquée.

Éclairage BPA

À ne pas confondre avec une faculté d’alléger : l’approche par les risques autorise la simplification là où le risque est faible et où la loi le permet, mais elle exige surtout de justifier le niveau retenu. Le considérant 22 de la directive (UE) 2015/849 le dit — valeur interprétative, non normative : elle « ne constitue pas une option indûment permissive ».

À ne pas confondre avec la classification des risques : la classification est l’instrument, l’approche par les risques le principe qui en commande l’usage.

Genèse : le principe, posé par les Recommandations du GAFI, est repris par la directive (UE) 2015/849 et le code monétaire et financier ; le règlement (UE) 2024/1624 en fait, à compter du 10 juillet 2027 (art. 10, par. 2, et art. 90), une évaluation à l’échelle de l’entité approuvée par l’organe de direction.

Les principales obligations liées

• Évaluer et classer les risques (code monétaire et financier, art. L. 561-4-1) et, pour les organismes visés par l’arrêté du 6 janvier 2021, mettre régulièrement à jour la classification (arrêté du 6 janvier 2021, art. 2).
• Moduler l’intensité des mesures de vigilance selon le risque : vigilance renforcée lorsque le risque paraît élevé (art. L. 561-10-1).
• Effets indirects : gouvernance (approbation de l’évaluation et de la politique par la direction ; organe de direction à compter du 10/07/2027) ; organisation (procédure de mise à jour de la classification) ; systèmes d’information (paramétrage des profils de risque) ; ressources humaines (formation à la lecture de la classification).

Points de vigilance

• La classification des risques est obligatoire (art. L. 561-4-1) ; l’arrêté du 6 janvier 2021 en exige la mise à jour régulière, notamment après tout événement interne ou externe affectant significativement les activités, les produits, les canaux, les clientèles ou les implantations.
• L’approche par les risques n’autorise pas la sous-vigilance : l’entité doit être en mesure de justifier auprès de son autorité de contrôle l’adéquation de ses mesures au risque.
• La classification doit couvrir les cinq dimensions de l’article L. 561-4-1 : produits ou services, conditions de transaction, canaux, clients, pays.
• Préparer la bascule du 10 juillet 2027 (règlement (UE) 2024/1624, art. 10, par. 2, et art. 90) : évaluation à l’échelle de l’entité, documentée et approuvée par l’organe de direction.

Concepts liés

Classification des risques · Profil de risque · Mesures de vigilance · Vigilance renforcée

Votre classification des risques tient-elle à l’examen d’un superviseur ?

BPA construit ou revoit votre classification des risques et la politique qui en découle, et forme vos équipes à la justifier. Parlons de votre dispositif.

Fiche rédigée par l’équipe BPA — dernière mise à jour : 23/10/2026