Checklist audit de conformité : préparer et réussir un contrôle réglementaire

Un audit de conformité se prépare des mois avant l'arrivée des contrôleurs. L'ACPR (Autorité de contrôle prudentiel et de résolution) a mené 156 contrôles sur place en 2024, couvrant aussi bien les établissements bancaires que les organismes d'assurance. Les entités qui échouent partagent un point commun : elles sous-estiment la phase de préparation documentaire.

Cet article propose une checklist structurée pour anticiper chaque étape d'un contrôle réglementaire, avec un focus particulier sur la vérification KYC/AML — le maillon où se concentrent la majorité des non-conformités constatées. Pour une vision globale des obligations qui encadrent ces audits, consultez notre guide complet de la conformité réglementaire.

Qu'est-ce qu'un audit de conformité et pourquoi s'y préparer

Un audit de conformité est un examen systématique des procédures, contrôles internes et dossiers d'un établissement assujetti pour vérifier le respect des obligations légales et réglementaires. En France, les principaux régulateurs habilités à conduire ces contrôles sont l'ACPR, l'AMF (Autorité des marchés financiers) et Tracfin.

L'enjeu financier est considérable. L'ACPR dispose d'un pouvoir de sanction pouvant aller jusqu'à 100 millions d'euros ou 10 % du chiffre d'affaires annuel, conformément à l'article L612-39 du Code monétaire et financier. En 2024, la Commission des sanctions de l'ACPR a prononcé des blâmes et sanctions pécuniaires significatifs à l'encontre d'établissements présentant des carences dans leurs dispositifs LCB-FT.

La préparation ne se limite pas à rassembler des documents la veille du contrôle. Elle implique une revue continue des processus, une mise à jour des cartographies des risques et un entraînement des équipes aux interactions avec les contrôleurs.

Les trois phases d'un contrôle ACPR

Phase 1 : la notification et le cadrage

L'ACPR adresse une lettre de mission précisant le périmètre du contrôle, la période couverte et la liste des premiers documents demandés. Ce courrier est envoyé en général deux à quatre semaines avant le début de la mission sur place.

Dès réception, le responsable conformité doit constituer une équipe projet dédiée, identifier les interlocuteurs clés par domaine et organiser la collecte documentaire initiale. Les contrôleurs attendent une réponse structurée et exhaustive dans les délais impartis.

Phase 2 : le contrôle sur place

Les inspecteurs procèdent par entretiens, revues de dossiers et tests sur échantillons. Ils vérifient la cohérence entre les procédures écrites et les pratiques réelles. L'ACPR insiste sur le principe de « loyauté dans les échanges » : toute rétention d'information ou obstruction aggrave les constats.

Phase 3 : le rapport et le contradictoire

Un rapport provisoire est remis à l'établissement, qui dispose d'un délai pour formuler des observations. La qualité de cette réponse contradictoire influence directement les suites données — de la simple recommandation à la saisine de la Commission des sanctions.

Checklist complète : les documents à préparer avant un audit

Voici la liste des pièces et éléments que les contrôleurs demandent systématiquement lors d'un audit de conformité LCB-FT et KYC. Organisez-les par catégorie pour un accès immédiat.

Cette checklist couvre les fondamentaux. Pour les établissements soumis aux exigences renforcées de la 6e directive anti-blanchiment (AMLD6), les obligations s'étendent aux structures complexes de bénéficiaires effectifs et aux mécanismes de coopération transfrontalière — des obligations que nous détaillons dans notre article sur les évolutions introduites par la directive européenne.

La vérification documentaire : maillon faible de la conformité audit

34 % des échecs de conformité surviennent à l'étape de vérification documentaire. L'analyse de CheckFile.ai sur 2 400 dossiers de vérification montre que les causes principales se répartissent ainsi : documents expirés (18 %), copies non certifiées (9 %) et pièces manquantes (7 %).

Ces chiffres révèlent un paradoxe. Les établissements investissent dans des politiques de conformité sophistiquées, mais trébuchent sur l'exécution opérationnelle : un passeport périmé non détecté, un justificatif de domicile de plus de trois mois accepté par erreur, un extrait Kbis absent du dossier d'une personne morale.

Lors d'un contrôle ACPR, les inspecteurs prélèvent un échantillon de dossiers clients et vérifient la complétude et la validité de chaque pièce. Un taux d'anomalie élevé sur l'échantillon déclenche un examen élargi et alourdit considérablement les constats.

Comment réduire ce risque

Trois mesures permettent de diviser par deux le taux d'anomalies documentaires :

• Automatiser la vérification à l'entrée en relation. Un outil de vérification d'identité détecte en temps réel les documents expirés, les incohérences entre pièces et les formats non conformes.
• Mettre en place des alertes d'expiration. Les pièces d'identité et justificatifs ont des durées de validité. Un système de rappel automatique évite l'accumulation de documents périmés dans les dossiers actifs.
• Auditer les dossiers existants avant le contrôle. Une revue systématique du stock de dossiers, même partielle (20 % des clients les plus à risque), permet d'identifier et corriger les lacunes avant l'arrivée des inspecteurs.

Préparer les équipes aux entretiens avec les contrôleurs

Les inspecteurs de l'ACPR ne se limitent pas aux documents. Ils interrogent les opérationnels — chargés de clientèle, analystes KYC, responsables de la conformité — pour évaluer si les procédures sont comprises et appliquées au quotidien.

Un collaborateur qui ne sait pas expliquer la procédure de vigilance renforcée crée un doute systémique. Les contrôleurs en déduisent que la formation est insuffisante ou que les procédures ne sont pas effectivement déployées.

Bonnes pratiques pour les entretiens

• Organiser des sessions de simulation avec les équipes concernées deux à trois semaines avant le contrôle.
• Préparer des fiches synthétiques par processus : entrée en relation, revue périodique, gel des avoirs, déclaration de soupçon.
• Désigner un point de contact unique pour centraliser les demandes des inspecteurs et éviter les réponses contradictoires.
• Rappeler le principe de transparence : ne pas dissimuler une faiblesse identifiée, mais montrer le plan d'action correctif en cours.

Intégrer les nouvelles réglementations 2025-2026

Le cadre réglementaire évolue rapidement. Trois textes majeurs impactent directement la préparation d'un audit de conformité en 2026 :

Pour les établissements utilisant des solutions automatisées de vérification KYC, l'AI Act impose de documenter les jeux de données d'entraînement, les taux d'erreur et les mécanismes de contrôle humain. Ces éléments seront exigés lors des prochains audits.

Audit interne : répétition générale avant le contrôle

Un audit interne de conformité réglementaire mené six mois avant un contrôle externe permet d'identifier les faiblesses et de les corriger. La méthodologie suit les mêmes étapes qu'un contrôle ACPR : cadrage du périmètre, collecte documentaire, tests sur échantillons, entretiens, rapport de constats.

L'audit interne n'est pas un exercice cosmétique. L'article L561-32 du Code monétaire et financier impose aux établissements assujettis de mettre en place un dispositif de contrôle interne incluant un audit périodique du dispositif LCB-FT. Les contrôleurs vérifient l'existence, la fréquence et la qualité de ces audits internes.

Le rapport d'audit interne, accompagné du plan d'action correctif et du suivi de sa mise en oeuvre, constitue d'ailleurs l'un des premiers documents demandés lors d'un contrôle sur place. Un plan d'action réalisé à 80 % envoie un signal de maturité. Un plan d'action à 20 % de réalisation déclenche des investigations approfondies.

Après le contrôle : transformer les constats en amélioration continue

La réception du rapport provisoire ouvre une période contradictoire. Chaque constat doit faire l'objet d'une réponse factuelle : acceptation avec plan d'action daté, ou contestation argumentée avec preuves à l'appui. Les réponses vagues ou dilatoires sont contre-productives.

Les établissements qui traversent le mieux les audits sont ceux qui intègrent les recommandations dans un cycle d'amélioration continue. Cela implique un suivi trimestriel des plans d'action, des indicateurs de conformité suivis en comité, et une mise à jour de la cartographie des risques en conséquence. L'ensemble de ces principes s'inscrit dans les obligations LCB-FT qui structurent le dispositif de conformité des établissements assujettis.

---

Cet article est publié à titre informatif uniquement et ne constitue pas un conseil juridique, financier ou réglementaire. Consultez un professionnel qualifié pour des recommandations adaptées à votre situation.

---

FAQ

Comment se préparer à un audit de conformité ACPR

Commencez par constituer une équipe projet dès réception de la lettre de mission. Rassemblez les documents listés dans la checklist ci-dessus, vérifiez la complétude des dossiers clients sur un échantillon représentatif, et organisez des simulations d'entretien avec les collaborateurs susceptibles d'être interrogés. Prévoyez un espace dédié et sécurisé pour les inspecteurs.

Quels sont les motifs de sanction les plus fréquents lors d'un contrôle LCB-FT

Les sanctions prononcées par la Commission des sanctions de l'ACPR portent principalement sur : l'absence ou l'insuffisance de la cartographie des risques, des carences dans les procédures de vigilance renforcée à l'égard des PPE, le défaut de formation des collaborateurs, et l'insuffisance du dispositif de déclaration de soupçon à Tracfin.

Quelle est la différence entre un audit interne et un contrôle ACPR

L'audit interne est conduit par l'établissement lui-même (ou un prestataire mandaté) dans le cadre de son dispositif de contrôle permanent et périodique. Le contrôle ACPR est une mission diligentée par le régulateur, avec un pouvoir d'investigation et de sanction. L'audit interne sert de répétition et permet de corriger les faiblesses avant le contrôle externe.

Combien de temps dure un contrôle sur place de l'ACPR

La durée varie selon la taille de l'établissement et le périmètre du contrôle. Pour un établissement de taille intermédiaire, un contrôle sur place dure en moyenne trois à six mois, entre la notification initiale et la remise du rapport provisoire. Les missions portant sur le dispositif LCB-FT complet se situent dans le haut de cette fourchette.

Comment intégrer l'AI Act dans la préparation d'un audit de conformité

Si votre établissement utilise des outils d'IA pour la vérification d'identité ou le filtrage des transactions, documentez le fonctionnement de ces systèmes : données d'entraînement, métriques de performance, mécanismes de supervision humaine, et procédures de traitement des contestations. L'AI Act classe ces usages dans la catégorie « haut risque » (Annexe III), ce qui implique des obligations spécifiques de transparence et d'audit.

---

La vérification documentaire reste le point de fragilité le plus fréquent lors des audits de conformité. Automatiser cette étape réduit le risque d'anomalie et libère les équipes pour se concentrer sur l'analyse des cas complexes. Testez CheckFile.ai pour évaluer comment la vérification automatisée de documents renforce votre dispositif avant le prochain contrôle.