Conformité KYC/AML des néobanques et banques digitales au Canada 2026 : guide CANAFE et LRPCFAT

Les néobanques et banques numériques canadiennes sont soumises aux mêmes obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) que les institutions financières traditionnelles — mais la quasi-totalité d'entre elles opèrent à titre d'entreprises de services monétaires (ESM) sous la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (LRPCFAT) (L.C. 2000, ch. 17), supervisées par le Centre d'analyse des opérations et des déclarations financières du Canada (CANAFE). Les modifications de 2024 à la LRPCFAT ont renforcé les exigences de déclaration des bénéficiaires effectifs et ont précisé que les néobanques opérant comme ESM sont soumises à l'ensemble des obligations CANAFE. L'application de la loi est concrète : CANAFE a imposé une pénalité de 9,2 millions de dollars canadiens à TD Banque en 2020, 1,1 million de dollars à Desjardins en 2024, et 200 000 dollars à la Banque Nationale en 2023.

Cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique, financier ou réglementaire.

Avertissement réglementaire : Les obligations LCB-FT évoluent régulièrement. Consultez un conseiller juridique ou votre responsable de conformité avant de prendre toute décision opérationnelle.

Pour un aperçu plus large des processus KYC dans les services financiers, consultez notre guide d'onboarding bancaire et de vérification KYC.

Le cadre réglementaire des néobanques au Canada

La structure réglementaire applicable à une néobanque canadienne dépend de son statut. La grande majorité des banques numériques et des prêteurs fintech opèrent à titre d'entreprises de services monétaires (ESM) sous la LRPCFAT — et non comme banques à charte (Schedule I, II ou III) sous la Loi sur les banques. Certaines établissent des partenariats avec des banques à charte (ex. Peoples Bank, Banque Canadienne de l'Ouest) dans le cadre de modèles de banque en tant que service (BaaS), où la banque détient la licence prudentielle auprès du BSIF (Bureau du surintendant des institutions financières) et la néobanque gère la relation client.

CANAFE (le nom français de FINTRAC) est l'unité de renseignement financier du Canada et le régulateur LCB-FT en vertu de la LRPCFAT. Son portail de conformité est accessible à fintrac-canafe.gc.ca. Le texte intégral de la LRPCFAT est disponible à laws-lois.justice.gc.ca.

Au Québec, l'Autorité des marchés financiers (AMF Québec) réglemente les courtiers en valeurs mobilières, les assureurs et les courtiers en hypothèques. Certains produits de néobanque — notamment les comptes d'investissement ou les produits d'épargne liés à l'assurance — requièrent une autorisation de l'AMF en plus de l'inscription à CANAFE. L'AMF a publié en 2025 de nouvelles lignes directrices sur l'onboarding numérique pour les institutions de paiement. Son site officiel est lautorite.qc.ca.

Inscription à CANAFE : première étape obligatoire

Toute néobanque qui fournit des services monétaires — dont le change de devises, les virements de fonds, l'émission ou le rachat de mandats-poste, ou le traitement de monnaies virtuelles — doit s'inscrire auprès de CANAFE avant de fournir ces services. L'inscription se fait en ligne via le portail CANAFE. Ne pas s'inscrire constitue une violation de l'article 54 de la LRPCFAT et peut entraîner des pénalités administratives pécuniaires.

Parmi les néobanques canadiennes opérant sous la supervision de CANAFE, on trouve Neo Financial, KOHO, Banque EQ et Wealthsimple. Revolut Canada détient une inscription comme ESM auprès de CANAFE et est autorisée par l'AMF Québec.

Exigences KYC pour l'onboarding numérique au Canada

Les néobanques opérant comme ESM doivent vérifier l'identité de leurs clients en vertu de la Partie 1, Division 5 du Règlement sur la LRPCFAT. Pour les particuliers, l'obligation fondamentale est de vérifier l'identité avant de fournir le service — pas après l'ouverture du compte.

Documents d'identité acceptables

Le Règlement sur la LRPCFAT prévoit trois méthodes de vérification de l'identité pour les particuliers :

1. Méthode de la pièce d'identité avec photo émise par un gouvernement : présenter une seule pièce d'identité gouvernementale avec photo, comme un passeport canadien, un permis de conduire provincial ou une carte d'identité provinciale
2. Méthode du dossier de crédit : confirmer l'identité à l'aide d'un dossier de crédit provenant d'un bureau de crédit admissible (Equifax ou TransUnion) actif depuis au moins trois ans
3. Méthode du double processus : combiner deux documents ou sources de données fiables et différentes (ex. permis de conduire + facture de services publics)

Pour l'onboarding entièrement numérique sans agent en personne, la méthode du double processus ou la combinaison d'un téléversement de document avec une vérification auprès d'un bureau de crédit est l'approche la plus pratique pour les ESM.

Le numéro d'assurance sociale (NAS) est l'équivalent canadien du numéro d'identification national. La conformité à la LRPCFAT n'exige pas des néobanques qu'elles collectent le NAS, mais celui-ci est requis à des fins de déclaration fiscale en vertu de la Loi de l'impôt sur le revenu. Les ESM qui collectent des NAS doivent respecter les lignes directrices de l'ARC et les exigences de consentement prévues par la LPRPDE.

Terminologie québécoise : dans les communications avec les clients québécois, on privilégie le terme courriel (et non « email »), cellulaire (et non « téléphone portable »), et compagnie est souvent préféré à « entreprise » dans le langage courant du milieu des affaires.

Au Québec, le NEQ (numéro d'entreprise du Québec) est l'identifiant à 10 chiffres attribué aux entreprises québécoises — l'équivalent du SIRET français. Le Registraire des entreprises du Québec (REQ) est le registre provincial des compagnies ; un Certificat de conformité du REQ sert de preuve d'existence juridique pour les entités québécoises, équivalent du certificat de constitution de Corporations Canada pour les entités fédérales. Le texte des lois québécoises est accessible via legisquebec.gouv.qc.ca.

Vérification des bénéficiaires effectifs

Les modifications de 2024 à la LRPCFAT ont considérablement renforcé les exigences en matière de bénéficiaires effectifs pour les ESM. Lors de l'onboarding d'une compagnie ou d'une autre entité, la néobanque doit désormais :

• Identifier tous les bénéficiaires effectifs détenant 25 % ou plus des parts ou des droits de vote
• Prendre des mesures raisonnables pour vérifier l'identité de chaque bénéficiaire effectif
• Obtenir et consigner la structure de propriété de l'entité, y compris les sociétés holding intermédiaires
• Mettre à jour les informations sur les bénéficiaires effectifs lorsque la relation d'affaires évolue substantiellement

Obligations déclaratives envers CANAFE

Les obligations déclaratives en vertu de la LRPCFAT se structurent autour de trois types de rapports, chacun avec des déclencheurs et des délais distincts.

Déclarations d'opérations importantes (DOI)

Une néobanque doit soumettre une DOI à CANAFE lorsqu'elle reçoit 10 000 dollars canadiens ou plus en espèces dans le cadre d'une seule opération, ou dans le cadre de deux opérations ou plus totalisant 10 000 dollars ou plus sur une période de 24 heures consécutives, si la néobanque sait que ces opérations ont été effectuées par la même personne ou entité ou pour son compte.

Les DOI doivent être soumises dans les 15 jours civils suivant l'opération.

Déclarations de télévirements (DT)

Une DT doit être soumise lorsqu'une ESM envoie ou reçoit un télévirement international de 10 000 dollars canadiens ou plus. Ce seuil s'applique directement aux néobanques de remise de fonds et aux plateformes de paiement transfrontalier. Les DT doivent être soumises dans les 5 jours ouvrables.

Déclarations d'opérations douteuses (DOD)

Les DOD n'ont pas de seuil monétaire. Une néobanque doit soumettre une DOD lorsqu'il y a des motifs raisonnables de soupçonner qu'une opération ou une tentative d'opération est liée au blanchiment de capitaux ou au financement du terrorisme. Le soupçon doit être documenté. Les indicateurs de blanchiment publiés par CANAFE servent de référentiel pour calibrer les programmes de surveillance des opérations.

LPRPDE, Loi 25 et protection des données KYC

Les données d'identité collectées lors de l'onboarding KYC constituent des renseignements personnels soumis au cadre de protection de la vie privée du Canada.

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s'applique à l'échelle fédérale et exige :

• Un consentement éclairé avant la collecte, l'utilisation ou la communication de renseignements personnels
• La minimisation des données : ne collecter que ce qui est nécessaire à la finalité identifiée
• Des limites de conservation : détruire ou anonymiser les renseignements personnels lorsqu'ils ne sont plus nécessaires
• La notification des atteintes au Commissariat à la protection de la vie privée du Canada (priv.gc.ca) et aux personnes concernées en cas d'atteinte présentant un risque réel de préjudice grave

La Loi 25 du Québec (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, 2021) impose des normes plus strictes aux néobanques traitant les données de résidents québécois :

• Notification obligatoire des incidents de confidentialité à la Commission d'accès à l'information (CAI) dans les 72 heures
• Évaluations des facteurs relatifs à la vie privée (ÉFVP) pour tout traitement automatisé à risque élevé (y compris la vérification de documents par intelligence artificielle)
• Droit à la portabilité des renseignements pour les individus
• Désignation d'un responsable de la protection des renseignements personnels

Le site officiel de la CAI est cai.gouv.qc.ca.

Manquements fréquents et application par CANAFE

Le bilan des mesures d'application de CANAFE à l'égard des néobanques et des institutions traditionnelles illustre clairement les zones de risque dans les programmes de conformité.

Les pénalités administratives pécuniaires (PAP) de CANAFE en vertu de l'article 73.1 de la LRPCFAT peuvent atteindre 1 000 dollars par violation pour les violations mineures, jusqu'à 100 000 dollars par violation pour les violations graves, et jusqu'à 500 000 dollars pour les violations très graves.

Construire un programme de conformité pour néobanque

Un programme de conformité pour une néobanque canadienne doit être documenté, fondé sur les risques et intégré opérationnellement.

Composantes obligatoires du programme

Nomination d'un responsable de la conformité : le Règlement sur la LRPCFAT exige que les ESM nomment un responsable de la conformité chargé de mettre en œuvre le programme de conformité. Cette personne doit disposer de l'autorité et des ressources nécessaires pour exercer ses responsabilités.

Politiques et procédures écrites : le programme doit être documenté par écrit et couvrir : l'identification des clients, la tenue de documents, la production de rapports, la surveillance des opérations, la formation des employés et l'examen de l'efficacité.

Évaluation des risques : une évaluation des risques à l'échelle de l'entreprise doit identifier les risques spécifiques liés à la clientèle, aux produits, aux canaux de distribution et à l'exposition géographique de la néobanque. L'évaluation doit être révisée au moins tous les deux ans.

Formation des employés : tous les employés et agents impliqués dans les activités liées aux clients ou au traitement des opérations doivent recevoir une formation adaptée à leur rôle. Les registres de formation doivent être conservés.

Examen de l'efficacité : le programme de conformité doit faire l'objet d'un examen de son efficacité au moins tous les deux ans par un examinateur interne ou externe.

Conservation des dossiers : l'article 24 de la LRPCFAT exige que les dossiers soient conservés pendant au moins cinq ans à compter de la date de l'opération ou de la relation d'affaires. Les dossiers doivent être accessibles à CANAFE dans les 30 jours suivant une demande écrite.

Infrastructure technologique et vérification des documents

L'onboarding numérique à grande échelle exige une infrastructure de vérification automatisée capable d'appliquer des normes de vérification cohérentes à chaque interaction client. La vérification manuelle seule ne peut pas soutenir le volume, la rapidité ou la cohérence requis par les exigences du programme de CANAFE.

Les solutions KYC bancaires de CheckFile prennent en charge la vérification des permis de conduire provinciaux canadiens, des passeports, des certificats de constitution de Corporations Canada et de tous les registres provinciaux, ainsi que des documents d'appui utilisés dans la méthode de vérification du double processus. La couverture inclut plus de 3 200 types de documents dans 32 juridictions.

La sécurité des données pour l'infrastructure KYC doit satisfaire aux exigences de la LPRPDE et, le cas échéant, de la Loi 25. L'architecture de sécurité de CheckFile est conçue pour répondre aux exigences de protection des données des institutions financières. Pour la planification du programme et les tarifs, consultez la tarification CheckFile.

Questions fréquemment posées

Quelle est la différence entre CANAFE et l'AMF Québec pour les néobanques ?

CANAFE supervise la conformité LCB-FT pour toutes les entités déclarantes en vertu de la LRPCFAT, y compris les néobanques opérant comme ESM. L'AMF Québec réglemente les valeurs mobilières, les assurances et les hypothèques au Québec. La plupart des néobanques sont des ESM soumises à CANAFE, mais celles qui offrent des produits d'investissement ou d'assurance au Québec doivent également obtenir une autorisation de l'AMF. En 2025, l'AMF a publié de nouvelles lignes directrices sur l'onboarding numérique pour les institutions de paiement opérant au Québec — accessibles sur lautorite.qc.ca.

Les néobanques canadiennes doivent-elles soumettre des DOD même pour de petites opérations ?

Les déclarations d'opérations douteuses n'ont pas de seuil monétaire en vertu de la LRPCFAT. Une DOD doit être soumise dès lors qu'il existe des motifs raisonnables de soupçonner qu'une opération — quelle qu'en soit la valeur — est liée au blanchiment de capitaux ou au financement des activités terroristes. La décision de soumettre une DOD est fondée sur le soupçon, pas sur la valeur de l'opération. CANAFE publie des indicateurs de blanchiment pour aider les ESM à calibrer leurs programmes de surveillance.

Comment la Loi 25 du Québec s'applique-t-elle aux données KYC collectées lors de l'onboarding ?

La Loi 25 s'applique à toute néobanque traitant des renseignements personnels de résidents québécois. Elle exige la notification des incidents de confidentialité à la CAI dans les 72 heures, des évaluations des facteurs relatifs à la vie privée pour les traitements automatisés à risque élevé (y compris la vérification de documents par IA), le droit à la portabilité des données, et la désignation d'un responsable de la protection des renseignements personnels. Ces exigences viennent s'ajouter aux obligations fédérales de la LPRPDE. Le site de la CAI (cai.gouv.qc.ca) publie des lignes directrices sur l'application de la Loi 25 aux entreprises technologiques.

Quels documents sont requis pour vérifier une compagnie canadienne en vertu de la LRPCFAT ?

Pour vérifier une compagnie canadienne, une ESM doit confirmer son existence à l'aide d'un document gouvernemental tel qu'un certificat de constitution de Corporations Canada ou son équivalent provincial. Au Québec, le Certificat de conformité du REQ (Registraire des entreprises du Québec) remplit cette fonction. La néobanque doit également identifier tous les bénéficiaires effectifs détenant 25 % ou plus en obtenant et en vérifiant la structure de propriété et de contrôle. Le NEQ (numéro d'entreprise du Québec) est l'identifiant à 10 chiffres qui distingue chaque entité québécoise dans le registre du REQ.

Quels sont les seuils de déclaration de CANAFE pour les paiements transfrontaliers ?

Les déclarations de télévirements (DT) doivent être soumises pour les virements internationaux de 10 000 dollars canadiens ou plus. Ce seuil s'applique à chaque virement individuellement, ou à deux opérations ou plus effectuées dans les 24 heures consécutives par la même personne totalisant 10 000 dollars ou plus. Les déclarations d'opérations importantes (DOI) s'appliquent au même seuil de 10 000 dollars pour les opérations en espèces. Aucun seuil monétaire ne s'applique aux DOD, qui sont déclenchées par le soupçon indépendamment du montant.