Know Your Supplier (KYS) : checklist de vérification fournisseurs au Québec

Le Know Your Supplier (KYS) est le processus par lequel une organisation vérifie systématiquement l'identité légale, la situation de conformité et les coordonnées bancaires de ses fournisseurs avant et pendant toute relation commerciale. Au Québec et au Canada, ce processus s'inscrit dans un cadre réglementaire distinct du droit européen : le Centre d'analyse des opérations et déclarations financières du Canada (CANAFE) administre la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (LRPCFAT), tandis que l'Autorité des marchés financiers du Québec (AMF Québec) encadre les entités financières provinciales. À noter : l'AMF Québec est une institution distincte de l'AMF France, bien que le sigle soit identique.

Le Québec se distingue des autres provinces par l'application de la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), pleinement en vigueur depuis le 22 septembre 2023, qui est plus contraignante que la loi fédérale LPRPDE en matière de collecte, d'utilisation et de transfert de renseignements personnels dans le cadre d'un processus KYS.

D'après notre analyse de plus de 180 000 dossiers traités mensuellement, les équipes achats qui automatisent leur processus KYS réduisent de 83 % le temps de traitement et de 67 % le coût par dossier fournisseur (analyse interne CheckFile, 2026).

Qu'est-ce que le Know Your Supplier (KYS) au Québec ?

Le KYS est l'application des principes du KYC (Know Your Customer) au côté de l'approvisionnement : plutôt que de connaître ses clients, il s'agit de connaître ses fournisseurs. Le processus couvre trois dimensions : la vérification de l'identité légale, l'authentification des coordonnées bancaires et l'évaluation continue du profil de risque.

Un programme KYS complet au Québec inclut :

• La vérification de l'existence légale et du statut de l'entreprise (active, dissoute, liquidée)
• L'identification des bénéficiaires ultimes (UBO) conformément à la LRPCFAT et au Registraire des entreprises du Québec (REQ)
• Le contrôle des listes de sanctions (liste de sanctions autonomes du Canada — DFAIT, listes OFAC et ONU)
• La vérification des Personnes Politiquement Exposées (PPE) au sein de la direction
• L'analyse des actualités négatives (adverse media screening)
• L'authentification des coordonnées bancaires pour prévenir la fraude au changement de virement

Depuis les modifications à la LRPCFAT entrées en vigueur en 2023, les entités déclarantes au Canada sont tenues d'effectuer une vérification renforcée des bénéficiaires ultimes pour les partenaires commerciaux à risque élevé, avec des pénalités pouvant atteindre 2 millions de dollars canadiens par infraction (CANAFE — Guide de conformité à la LRPCFAT).

Cadre réglementaire canadien et québécois du KYS

LRPCFAT (Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes) : loi fédérale principale en matière de LBC/FT, administrée par CANAFE. Les entités déclarantes (banques, coopératives de crédit, caisses populaires, négociants en valeurs mobilières, agents immobiliers, comptables) doivent vérifier l'identité de leurs clients et, par extension, des prestataires stratégiques impliqués dans des transactions déclarables.

AMF Québec (Autorité des marchés financiers du Québec) : supervise les entités financières constituées en vertu du droit québécois — caisses Desjardins, sociétés de gestion de valeurs, conseillers en placement. Les lignes directrices de l'AMF Québec sont distinctes des circulaires de l'ACPR française.

Registraire des entreprises du Québec (REQ) : le registre des entreprises au Québec est géré par le REQ, qui attribue le numéro d'entreprise du Québec (NEQ), distinct du numéro de constitution fédéral. Le portail du REQ permet de vérifier le statut, les dirigeants et les actionnaires des entreprises québécoises.

Loi 25 (en vigueur intégrale depuis septembre 2023) : plus contraignante que la LPRPDE fédérale, la Loi 25 impose des évaluations des facteurs relatifs à la vie privée (ÉFVP) avant la mise en œuvre de tout système KYS traitant des renseignements personnels. Elle exige également un consentement explicite pour la collecte de données à des fins non essentielles et encadre strictement les transferts de renseignements hors Québec (Commission d'accès à l'information du Québec — CAI).

Terminologie québécoise du KYS

Le Québec utilise des termes qui diffèrent parfois du français international ou de la terminologie française :

Checklist KYS au Québec et au Canada : les 12 vérifications

1–4 : Vérification de l'identité légale

5–6 : Vérification des coordonnées bancaires

L'authentification des coordonnées bancaires canadiennes (institution, numéro de transit et de compte, correspondance avec le NAS ou le NEQ du titulaire) est la protection la plus efficace contre la fraude aux virements bancaires. Ce type d'attaque représente 31 % des cas de fraude documentaire fournisseur recensés dans notre analyse. La vérification doit être effectuée à chaque modification bancaire, quel que soit le canal de communication utilisé.

7–9 : Screening sanctions, PPE et adverse media

Le contrôle doit couvrir la liste de sanctions autonomes du Canada (administrée par Affaires mondiales Canada — justice.gc.ca/fr/dept/pub/trsrnat), la liste SDN de l'OFAC et les listes du Conseil de sécurité de l'ONU. La détection des PPE doit s'étendre aux administrateurs, actionnaires majoritaires et bénéficiaires ultimes.

10–12 : Vérifications sectorielles spécifiques

Selon le secteur du fournisseur : licences professionnelles provinciales, certifications ISO, assurance responsabilité civile professionnelle, attestation de conformité CSST/CNESST (Commission des normes, de l'équité, de la santé et de la sécurité du travail) pour les prestataires avec main-d'œuvre, et confirmation de l'inscription au registre de la TPS/TVH de l'ARC.

Scoring de risque fournisseur

L'Indice de Risque Documentaire CheckFile positionne les dossiers fournisseurs dans les secteurs à fort volume transactionnel à un score moyen de 6,2/10, justifiant l'automatisation des contrôles pour maintenir l'exhaustivité des vérifications.

Particularités du KYS au Québec

NEQ vs numéro de constitution fédéral : les entreprises québécoises peuvent être constituées soit en vertu de la Loi sur les sociétés par actions du Québec (LSAQ) — auquel cas elles ont un NEQ —, soit en vertu de la Loi canadienne sur les sociétés par actions (LCSA) — auquel cas elles ont un numéro de constitution fédéral (LE). Une vérification croisée dans les deux registres est recommandée pour les fournisseurs dont le statut de constitution est incertain.

Caisses Desjardins : les coopératives de crédit québécoises (caisses Desjardins) sont supervisées par l'AMF Québec et non par le Bureau du surintendant des institutions financières (BSIF) fédéral, contrairement aux banques à charte. Cette distinction importe pour la vérification des références bancaires d'un fournisseur utilisant une caisse Desjardins.

Loi 25 et évaluations des facteurs relatifs à la vie privée (ÉFVP) : avant de déployer tout outil de vérification KYS — y compris des plateformes SaaS — qui traite des renseignements personnels de fournisseurs québécois, une ÉFVP est obligatoire si les données sont transmises hors Québec. La Commission d'accès à l'information (CAI) publie des gabarits d'ÉFVP adaptés aux besoins des PME.

KYS, KYC et KYB : quelles différences ?

Pour approfondir la vérification des entreprises partenaires, consultez notre guide KYB : vérification des documents d'entreprise et la checklist de due diligence pour les entreprises.

Automatiser le processus KYS au Québec

La gestion manuelle d'un processus KYS pour un portefeuille de 100 fournisseurs actifs représente entre 200 et 300 vérifications par an, avec un risque d'oubli croissant à mesure que le portefeuille s'élargit.

CheckFile permet d'automatiser la collecte et la vérification des extraits REQ, des coordonnées bancaires, des listes de sanctions canadiennes et des enregistrements TPS/TVH — avec une piste d'audit conforme aux exigences de tenue de dossiers de CANAFE. Pour une méthodologie complète, consultez le guide de vérification des documents.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique, financier ou réglementaire en droit québécois ou canadien. Pour toute situation spécifique, consultez un expert juridique ou compliance qualifié au Québec.

Questions fréquemment posées

Qu'est-ce que le Know Your Supplier (KYS) au Québec ?

Le KYS au Québec est le processus de due diligence par lequel une organisation vérifie l'identité légale (REQ, Corporations Canada), les bénéficiaires ultimes, le profil de conformité aux sanctions canadiennes (liste DFAIT) et les coordonnées bancaires de ses fournisseurs — dans le cadre de la LRPCFAT administrée par CANAFE et de la Loi 25 pour les renseignements personnels.

Quelle est la différence entre l'AMF Québec et l'AMF France ?

Les deux institutions partagent le sigle AMF mais sont entièrement distinctes. L'AMF Québec (Autorité des marchés financiers du Québec) est un organisme gouvernemental québécois qui supervise les marchés financiers, les caisses et les assureurs dans la province. L'AMF France (Autorité des marchés financiers) est le régulateur français des marchés boursiers. Elles n'ont aucun lien institutionnel.

Comment la Loi 25 affecte-t-elle le processus KYS ?

La Loi 25 (pleinement en vigueur depuis septembre 2023) oblige toute organisation collectant des renseignements personnels dans le cadre d'un processus KYS à réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP) avant de déployer de nouveaux outils ou de transférer des données hors Québec. Elle exige également la désignation d'un responsable de la protection des renseignements personnels et la publication d'une politique de confidentialité accessible.

Quels documents collecter auprès d'un fournisseur québécois ?

Le dossier KYS d'un fournisseur québécois doit inclure : extrait REQ récent (<3 mois), actes constitutifs, registre des actionnaires/bénéficiaires ultimes, IBAN/coordonnées bancaires certifiés sur en-tête officiel, attestation de régularité CNESST, et confirmation d'inscription à la TPS/TVH auprès de l'ARC. Chaque document doit être vérifié dans la source officielle et non simplement collecté auprès du fournisseur.

CANAFE et ACPR sont-ils équivalents ?

Non. CANAFE est l'unité de renseignement financier du Canada, chargée de recevoir et analyser les déclarations de transactions douteuses transmises par les entités déclarantes au titre de la LRPCFAT. L'ACPR est l'Autorité de contrôle prudentiel et de résolution française — elle supervise les banques et assureurs français. Elles ont des mandats comparables mais opèrent dans des juridictions entièrement distinctes.