Comment choisir une solution AML : critères d'évaluation et checklist
Guide d'évaluation des solutions anti-blanchiment (LCB-FT) : 12 critères essentiels, checklist de sélection et grille de notation pour entreprises.
Résumer cet article avec
ChatGPT
Claude
Perplexity
Gemini
GrokChoisir une solution AML (Anti-Money Laundering) consiste à évaluer les plateformes de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) selon leur capacité à détecter les opérations suspectes, filtrer les listes de sanctions, assurer le monitoring transactionnel et produire les déclarations réglementaires. L'ACPR a infligé 44 millions d'euros d'amendes en 2024 pour des manquements aux obligations LCB-FT — un record qui traduit un durcissement structurel du contrôle, pas un pic conjoncturel.
Cette sévérité croissante place les responsables conformité devant un choix à fort enjeu : la solution AML retenue conditionne la capacité de l'entreprise à détecter, déclarer et prouver sa diligence pendant 5 à 10 ans. Ce guide propose un cadre d'évaluation structuré : 12 critères pondérés, 30 questions à poser aux éditeurs, une grille de notation et une méthodologie de sélection en 5 étapes. Pour une vue d'ensemble sur la conformité documentaire, voir notre guide conformité documentaire.
Pourquoi une solution AML dédiée est devenue indispensable
La pression réglementaire s'accélère
Le cadre réglementaire européen anti-blanchiment subit une transformation majeure entre 2024 et 2027. La directive AMLD6 (6e directive anti-blanchiment), adoptée en 2024, apporte trois changements fondamentaux :
- Création de l'AMLA (Anti-Money Laundering Authority) : l'autorité européenne de supervision directe, basée à Francfort, supervisera directement les 40 entités financières les plus à risque dès 2028 et fixera les standards techniques pour l'ensemble des entités assujetties.
- Élargissement du périmètre : les agents immobiliers, les marchands de biens de luxe, les clubs de football professionnel et les plateformes crypto entrent dans le champ des obligations LCB-FT.
- Harmonisation des règles : le règlement AMLR (Anti-Money Laundering Regulation), directement applicable dans tous les États membres, remplace la transposition nationale et élimine les divergences d'interprétation.
Les limites des approches manuelles et artisanales
Les entreprises qui gèrent leur conformité AML avec des tableurs Excel, des processus manuels ou des modules intégrés à leur ERP atteignent un plafond opérationnel. Trois symptômes le signalent :
- Taux de faux positifs supérieur à 90 % sur le filtrage des listes de sanctions. C'est la moyenne constatée par le Wolfsberg Group sur les systèmes à base de règles simples. Chaque alerte nécessite 15 à 30 minutes de traitement manuel.
- Incapacité à détecter les schémas complexes : le blanchiment par structuration (smurfing), les sociétés écrans en cascade et les montages utilisant des cryptoactifs échappent aux contrôles basés sur des seuils fixes.
- Non-conformité du reporting : Tracfin exige des déclarations de soupçon structurées, horodatées et traçables. Un processus manuel ne garantit ni la complétude ni la traçabilité exigées lors d'un contrôle ACPR.
Les 12 critères essentiels d'une solution AML
Chaque critère est évalué sur une échelle de 1 à 5 et pondéré selon son impact sur la conformité et l'efficacité opérationnelle.
Critère 1 : filtrage des listes de sanctions et PEP (pondération : 15 %)
Le filtrage est le socle de toute solution AML. Il compare les clients et les contreparties aux listes de sanctions internationales (UE, OFAC, ONU, HM Treasury) et aux bases de personnes politiquement exposées.
Ce qu'il faut évaluer :
- Nombre de listes couvertes (minimum : 1 500 listes, 200+ juridictions)
- Fréquence de mise à jour (standard : quotidienne ; optimal : temps réel)
- Algorithme de fuzzy matching (gère les variantes orthographiques, les translittérations, les alias)
- Taux de faux positifs (benchmark : <5 % après paramétrage)
- Capacité de whitelisting documenté et auditable
Score 5/5 : couverture exhaustive, mise à jour en temps réel, fuzzy matching avancé avec scoring de pertinence, faux positifs <3 % après calibrage.
Critère 2 : monitoring transactionnel (pondération : 15 %)
Le monitoring transactionnel analyse les flux financiers pour détecter les opérations suspectes. C'est le critère qui différencie le plus les solutions entre elles.
Ce qu'il faut évaluer :
- Nombre de scénarios de détection préconfigurés (minimum : 50 scénarios standards)
- Capacité à créer des scénarios personnalisés (éditeur de règles visuel vs développement sur mesure)
- Détection des schémas complexes (structuration, layering, round-tripping)
- Temps de traitement (analyse en temps réel vs batch quotidien)
- Taux de détection sur les typologies Tracfin publiées
Score 5/5 : 100+ scénarios préconfigurés, éditeur de règles no-code, détection en temps réel, couverture des typologies GAFI et Tracfin.
Critère 3 : gestion des alertes et workflow d'investigation (pondération : 12 %)
Une solution qui génère des alertes sans fournir un workflow d'investigation structuré crée plus de problèmes qu'elle n'en résout. Le volume d'alertes quotidien dans une banque de taille moyenne atteint 200 à 500 par jour — sans un outil de triage efficace, les analystes se noient.
Ce qu'il faut évaluer :
- Scoring et priorisation automatique des alertes
- Interface d'investigation avec vue consolidée (client, transactions, documents, historique)
- Workflow paramétrable (niveaux d'escalade, délais, affectation automatique)
- Piste d'audit de chaque décision (qui a traité, quelle décision, à quelle date)
- Productivité attendue : nombre d'alertes traitées par analyste par jour (benchmark : 40-60)
Critère 4 : couverture réglementaire et reporting (pondération : 12 %)
La solution doit produire les déclarations et rapports exigés par les régulateurs sans retraitement manuel.
Ce qu'il faut évaluer :
- Génération automatique des déclarations de soupçon (format Tracfin/ERMES en France)
- Reporting réglementaire périodique (questionnaire ACPR, rapport annuel LCB-FT)
- Couverture multi-juridictionnelle (SAR pour le UK, STR pour les pays GAFI)
- Registre des opérations suspectes non déclarées (archive avec justification)
- Adaptabilité aux évolutions réglementaires (délai de mise à jour post-publication d'un texte)
Critère 5 : évaluation des risques client (pondération : 10 %)
L'approche par les risques (Risk-Based Approach) est au cœur d'AMLD6. La solution doit permettre de classifier les clients selon leur niveau de risque et d'adapter la due diligence en conséquence.
Ce qu'il faut évaluer :
- Modèle de scoring de risque paramétrable (facteurs client, géographiques, produit, canal)
- Nombre de niveaux de risque (minimum : 3 — faible, moyen, élevé ; optimal : 5 niveaux avec granularité)
- Reclassification automatique en fonction des événements (transaction suspecte, changement de pays, inscription sur une liste)
- Documentation de la méthodologie (exigée par l'ACPR lors des contrôles sur place)
Critère 6 : connaissance client et due diligence (pondération : 8 %)
Au-delà du KYC initial, la solution AML doit gérer les niveaux de due diligence : simplifiée (SDD), standard (CDD) et renforcée (EDD).
Ce qu'il faut évaluer :
- Automatisation de la collecte documentaire selon le niveau de risque
- Vérification des bénéficiaires effectifs (UBO) avec seuil à 15 % (AMLD6)
- Gestion des structures complexes (chaînes de détention, trusts, fondations)
- Revue périodique automatisée (déclenchement par le niveau de risque et l'ancienneté)
Critère 7 : intelligence artificielle et machine learning (pondération : 8 %)
L'IA dans l'AML ne relève plus du marketing. Les régulateurs (EBA, ACPR) encouragent explicitement son usage pour réduire les faux positifs et détecter les nouveaux schémas de blanchiment.
Ce qu'il faut évaluer :
- Type de modèles utilisés (supervisé, non supervisé, réseaux de neurones de graphes)
- Explicabilité des décisions (obligation réglementaire : chaque alerte doit être justifiable)
- Capacité d'apprentissage sur vos données (modèle pré-entraîné vs fine-tuning)
- Réduction des faux positifs mesurée (benchmark : 40 à 70 % de réduction vs règles simples)
- Détection d'anomalies sans scénario prédéfini (essentiel pour les nouvelles typologies)
Critère 8 : intégration technique et API (pondération : 7 %)
La solution AML doit s'intégrer dans un écosystème existant : core banking, CRM, systèmes de paiement, outils de GED.
Ce qu'il faut évaluer :
- API REST documentée avec versioning
- Connecteurs natifs (SWIFT, SEPA, core banking principaux)
- Capacité de traitement (nombre de transactions par seconde)
- Temps d'intégration moyen (benchmark : 8 à 16 semaines)
- Support des formats de données standards (ISO 20022, XML, JSON)
Critère 9 : gestion des données et confidentialité (pondération : 5 %)
Les données AML sont parmi les plus sensibles de l'entreprise. Leur traitement est encadré par le RGPD et les réglementations sectorielles.
Ce qu'il faut évaluer :
- Localisation des données (hébergement en UE obligatoire pour les données de résidents européens)
- Chiffrement au repos et en transit (AES-256 minimum)
- Gestion des durées de conservation (5 ans après la fin de la relation d'affaires en France)
- Droit à l'effacement vs obligation de conservation (gestion de la tension entre RGPD Art. 17 et L. 561-12 du CMF)
- Certification de sécurité (ISO 27001, SOC 2 Type II)
Critère 10 : évolutivité et scalabilité (pondération : 3 %)
La solution doit accompagner la croissance de l'activité sans dégradation de performance ni surcoût disproportionné.
Ce qu'il faut évaluer :
- Architecture cloud-native vs on-premise (impact sur la scalabilité)
- Coût marginal par transaction à volume croissant
- Capacité multi-entités (gestion de plusieurs filiales, marques, juridictions)
- Performances documentées à différentes échelles de volume
Critère 11 : support et accompagnement (pondération : 3 %)
Le support dépasse le cadre technique. Un éditeur AML doit fournir un accompagnement réglementaire continu.
Ce qu'il faut évaluer :
- Disponibilité du support (24/7, horaires bureau, jours ouvrés uniquement)
- Langue du support (français indispensable pour les interactions avec l'ACPR)
- Veille réglementaire incluse (alertes sur les évolutions, mise à jour des scénarios)
- Customer Success Manager dédié (à partir de quel seuil de facturation)
Critère 12 : coût total de possession (pondération : 2 %)
Le TCO d'une solution AML dépasse largement le coût de licence. Voir notre article sur les logiciels de conformité LCB-FT pour un benchmark tarifaire détaillé.
Ce qu'il faut évaluer :
- Structure tarifaire (par transaction, par utilisateur, forfait annuel)
- Coûts d'intégration et de paramétrage initial
- Coûts de maintenance et de mise à jour (inclus ou facturés en extra)
- Coûts de formation (initiale et continue)
- Coût de sortie (migration des données, réversibilité contractuelle)
Checklist de sélection : les 30 questions à poser aux éditeurs
Fonctionnalités et détection (10 questions)
- Combien de listes de sanctions et de PEP couvrez-vous, et quelle est la fréquence de mise à jour ?
- Votre algorithme de fuzzy matching gère-t-il les translittérations arabe-latin et les caractères chinois ?
- Combien de scénarios de monitoring transactionnel sont préconfigurés, et peut-on en créer de nouveaux sans développement ?
- Quel est votre taux de faux positifs mesuré chez des clients comparables à notre profil ?
- Vos modèles IA sont-ils explicables au sens de l'EBA Guidelines on the Use of ML (EBA/GL/2024/06) ?
- Détectez-vous les opérations en cryptoactifs et les transferts cross-chain ?
- Comment gérez-vous la détection des bénéficiaires effectifs dans les structures multi-niveaux ?
- Quelle est votre couverture des typologies de blanchiment publiées par Tracfin dans ses rapports annuels ?
- Proposez-vous une détection d'anomalies non supervisée (en complément des scénarios à base de règles) ?
- Comment gérez-vous le batch screening vs le screening en temps réel, et quel est le temps de latence ?
Conformité et reporting (8 questions)
- Générez-vous automatiquement les déclarations de soupçon au format ERMES/Tracfin ?
- Produisez-vous les éléments nécessaires au questionnaire annuel ACPR (section LCB-FT) ?
- Quel est votre délai moyen de mise à jour après publication d'un nouveau texte réglementaire ?
- Couvrez-vous les spécificités AMLD6 (seuil UBO à 15 %, registres centralisés, AMLA) ?
- Comment documentez-vous la piste d'audit pour chaque alerte traitée ?
- Supportez-vous les déclarations multi-juridictionnelles (SAR UK, STR, etc.) ?
- Quelle est votre approche de la gestion des tensions RGPD vs obligations de conservation LCB-FT ?
- Fournissez-vous des rapports d'activité LCB-FT prêts à présenter au conseil d'administration ?
Technique et intégration (7 questions)
- Votre API est-elle documentée en OpenAPI 3.0+ avec un environnement de sandbox ?
- Quels connecteurs natifs proposez-vous (core banking, CRM, systèmes de paiement) ?
- Quel est le temps d'intégration moyen observé chez vos clients ?
- Quelle est votre capacité de traitement (transactions par seconde) et votre SLA de disponibilité ?
- Où sont hébergées les données, et proposez-vous un hébergement souverain européen ?
- Disposez-vous de certifications ISO 27001 et/ou SOC 2 Type II ?
- Comment gérez-vous les mises à jour de version sans interruption de service ?
Commercial et support (5 questions)
- Quelle est votre structure tarifaire et comment évolue le coût à volume croissant ?
- Quel est le coût d'intégration, de formation et de migration inclus ou facturé en extra ?
- Proposez-vous un Customer Success Manager dédié et un support en français ?
- Quelles sont les conditions de réversibilité et de portabilité des données en fin de contrat ?
- Quel est le délai de résiliation et les pénalités contractuelles en cas de sortie anticipée ?
Grille de notation : évaluez les solutions en parallèle
Utilisez ce modèle pour noter chaque solution évaluée. Multipliez le score (1 à 5) par la pondération pour obtenir un score pondéré. Le score total maximum est de 500.
| Critère | Pondération (%) | Solution A (score × pond.) | Solution B (score × pond.) | Solution C (score × pond.) |
|---|---|---|---|---|
| 1. Filtrage sanctions/PEP | 15 | ___ / 75 | ___ / 75 | ___ / 75 |
| 2. Monitoring transactionnel | 15 | ___ / 75 | ___ / 75 | ___ / 75 |
| 3. Gestion des alertes | 12 | ___ / 60 | ___ / 60 | ___ / 60 |
| 4. Couverture réglementaire | 12 | ___ / 60 | ___ / 60 | ___ / 60 |
| 5. Évaluation des risques | 10 | ___ / 50 | ___ / 50 | ___ / 50 |
| 6. Due diligence (KYC/KYB) | 8 | ___ / 40 | ___ / 40 | ___ / 40 |
| 7. IA et machine learning | 8 | ___ / 40 | ___ / 40 | ___ / 40 |
| 8. Intégration technique | 7 | ___ / 35 | ___ / 35 | ___ / 35 |
| 9. Données et confidentialité | 5 | ___ / 25 | ___ / 25 | ___ / 25 |
| 10. Évolutivité | 3 | ___ / 15 | ___ / 15 | ___ / 15 |
| 11. Support | 3 | ___ / 15 | ___ / 15 | ___ / 15 |
| 12. TCO | 2 | ___ / 10 | ___ / 10 | ___ / 10 |
| Total | 100 | ___ / 500 | ___ / 500 | ___ / 500 |
Seuils de décision :
- Score >400 : solution mature et complète, à privilégier
- Score 300-400 : solution solide avec des axes d'amélioration identifiés
- Score 200-300 : solution partielle, nécessite des compléments ou ne convient qu'à des besoins limités
- Score <200 : solution inadaptée aux exigences AML d'une entité assujettie
Les pièges classiques du choix d'une solution AML
Piège 1 : le lock-in technologique
Certains éditeurs rendent la migration volontairement difficile : formats de données propriétaires, absence d'export standardisé des historiques d'audit, scénarios de détection non portables. Le coût de migration d'une solution AML se situe entre 50 000 et 300 000 € pour une entreprise de taille intermédiaire. Négociez la portabilité dès le contrat initial.
Piège 2 : le gap de conformité entre le marketing et la réalité
« Conforme AMLD6 » est une déclaration que font tous les éditeurs en 2026. Mais AMLD6 n'est pas un label binaire. Vérifiez concrètement : le registre des bénéficiaires effectifs est-il connecté aux registres nationaux en temps réel ? Le seuil de 15 % est-il implémenté ? Les scénarios de détection couvrent-ils les nouvelles typologies liées aux cryptoactifs ? Exigez une matrice de conformité détaillée article par article.
Piège 3 : les coûts cachés
Le coût visible (licence ou prix par transaction) représente 40 à 60 % du TCO réel. Les coûts cachés incluent :
- Paramétrage des scénarios : 10 000 à 50 000 € si le paramétrage n'est pas inclus dans la licence
- Formation continue : 3 000 à 10 000 €/an (les régulateurs exigent une formation annuelle des équipes LCB-FT)
- Mises à jour réglementaires : certains éditeurs facturent chaque mise à jour de scénario post-évolution réglementaire
- Revue annuelle du dispositif : l'ACPR attend une revue annuelle documentée — si la solution ne la facilite pas, le coût de production manuelle s'ajoute
Piège 4 : l'illusion de l'IA
« Powered by AI » ne signifie rien sans métriques. Demandez : quel est le taux de réduction des faux positifs mesuré chez des clients comparables ? Les décisions de l'IA sont-elles explicables et documentées (obligation réglementaire EBA) ? Le modèle est-il entraîné sur des données européennes ou uniquement américaines ? Un modèle entraîné sur des typologies de blanchiment américaines détecte mal les schémas spécifiques au marché européen (utilisation de sociétés civiles immobilières, montages via des holdings luxembourgeoises).
Piège 5 : négliger la conduite du changement
Le meilleur outil AML du marché échoue si les équipes ne l'utilisent pas correctement. Prévoyez un budget et un calendrier de conduite du changement : formation initiale intensive (3-5 jours), accompagnement opérationnel pendant 3 mois, revue des processus après 6 mois. Le taux d'adoption cible à 6 mois doit dépasser 85 %.
Méthodologie de sélection en 5 étapes
Étape 1 : cartographier vos besoins (2-3 semaines)
Avant de contacter les éditeurs, documentez votre situation :
- Volumétrie : nombre de clients, de transactions, de contreparties à filtrer
- Périmètre réglementaire : quelles obligations spécifiques (ACPR, FCA, BaFin, etc.)
- Systèmes existants : core banking, CRM, outils actuels, flux de données
- Organisation : taille de l'équipe conformité, processus actuels, pain points
- Budget : enveloppe annuelle, capacité d'investissement année 1
Produisez un cahier des charges structuré de 15 à 20 pages. Ce document servira de base pour les consultations.
Étape 2 : présélectionner 3 à 5 solutions (2 semaines)
Envoyez le cahier des charges à 6 à 8 éditeurs et demandez une réponse écrite structurée. Éliminez sur la base de critères éliminatoires :
- Absence de couverture réglementaire locale (France/ACPR)
- Pas d'hébergement européen des données
- SLA inférieur à 99,5 %
- Pas de support en français
Retenez 3 à 5 solutions pour la phase de démonstration.
Étape 3 : démonstrations et POC (4-6 semaines)
Pour chaque solution présélectionnée :
- Démonstration guidée (2 heures) : parcours des fonctionnalités clés avec vos cas d'usage
- Démonstration inversée (2 heures) : vous pilotez, l'éditeur assiste
- POC (2-4 semaines) : test sur un échantillon de données réelles (200-500 clients, 1 mois de transactions)
Le POC doit mesurer concrètement : le taux de faux positifs, le taux de détection, le temps de traitement d'une alerte, et la qualité du reporting généré.
Étape 4 : négociation et contractualisation (2-4 semaines)
Points de négociation prioritaires :
- Tarification : obtenez un engagement de prix sur 3 ans avec une clause de révision liée aux volumes
- SLA : exigez des pénalités financières en cas de non-respect (crédits de service)
- Réversibilité : portabilité des données dans un format standard (JSON, CSV), assistance à la migration incluse
- Mises à jour réglementaires : incluses dans la licence, pas facturées en extra
- Clause d'audit : droit d'auditer les mesures de sécurité et la conformité de l'éditeur
Étape 5 : déploiement et montée en charge (8-16 semaines)
Le déploiement suit quatre phases :
- Intégration technique (3-4 semaines) : connexion API, flux de données, tests d'intégration
- Paramétrage métier (2-3 semaines) : configuration des scénarios, calibrage des seuils, profils de risque
- Double run (3-4 semaines) : fonctionnement parallèle ancien/nouveau système, comparaison des résultats
- Bascule et optimisation (2-4 semaines) : passage en production, monitoring intensif, ajustement des seuils
Prévoyez un comité de pilotage bimensuel pendant les 6 premiers mois avec des KPI de suivi : taux de faux positifs, productivité des analystes, temps de traitement des alertes, satisfaction des équipes.
Questions fréquentes
Quelle est la différence entre une solution AML et une solution KYC ?
Le KYC (Know Your Customer) se concentre sur la vérification de l'identité du client à l'entrée en relation : documents d'identité, adresse, bénéficiaires effectifs. L'AML couvre un périmètre plus large : monitoring transactionnel continu, filtrage des listes de sanctions, détection des schémas de blanchiment, déclarations de soupçon. En pratique, les deux sont complémentaires. Certaines solutions couvrent les deux (Sumsub, Jumio), d'autres se spécialisent sur l'AML (ComplyAdvantage, Napier, NICE Actimize).
Combien de temps prend le déploiement d'une solution AML ?
Comptez 12 à 24 semaines pour un déploiement complet : intégration technique (3-4 semaines), paramétrage des scénarios (2-3 semaines), double run (3-4 semaines), montée en charge (2-4 semaines), plus un délai de stabilisation de 4 à 8 semaines. Les solutions cloud-native réduisent la phase d'intégration technique. Un déploiement bâclé en 6 semaines produira un système mal calibré avec 90 %+ de faux positifs.
Quel budget prévoir pour une solution AML ?
Le budget annuel varie de 25 000 € pour une petite entité assujettie (courtier, fintech early-stage) à 500 000 €+ pour une banque de réseau. Le TCO inclut la licence (40-60 % du total), l'intégration (15-25 %), la formation (5-10 %), et les coûts opérationnels récurrents (revue manuelle des alertes, maintenance). Pour une estimation rapide : comptez 3 à 8 € par client actif par an en tarification tout compris.
Une solution AML remplace-t-elle le responsable conformité ?
Non. La solution automatise la détection et le filtrage, mais les décisions de déclaration de soupçon, la politique de risque et la relation avec les régulateurs restent des responsabilités humaines. L'ACPR exige un déclarant Tracfin nommé et un dispositif de contrôle interne piloté par un responsable conformité identifié. La solution est un outil au service de ce responsable, pas un substitut.
Comment savoir si ma solution AML actuelle est obsolète ?
Cinq signaux d'alerte : taux de faux positifs supérieur à 85 %, absence de détection des transactions en cryptoactifs, pas de prise en charge d'AMLD6 (seuil UBO 15 %, registres centralisés), incapacité à produire les déclarations Tracfin au format ERMES, et temps de traitement d'une alerte supérieur à 25 minutes. Si trois de ces cinq critères sont réunis, une migration est à planifier dans les 12 prochains mois.
CheckFile couvre-t-il l'AML ou uniquement la vérification documentaire ?
CheckFile se positionne sur la vérification documentaire par IA : extraction, validation et contrôle d'authenticité des documents KYC et KYB. Pour le monitoring transactionnel et le filtrage des listes de sanctions, CheckFile s'interface avec des solutions AML spécialisées via API. Cette approche modulaire permet aux entreprises de combiner le meilleur outil de vérification documentaire avec le meilleur outil AML, sans dépendre d'une suite monolithique.
Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique, financier ou réglementaire.