Une agence immobilière remet à un contrôle un document intitulé « Classification et évaluation des risques ». La Commission nationale des sanctions lit ce document et constate que, malgré ce titre, il n'analyse ni n'évalue rien. L'article L. 561-4-1 du code monétaire et financier fixe pourtant précisément ce qu'une classification des risques doit contenir : cinq critères, jamais quatre, appliqués à l'activité réelle de l'entreprise qui l'établit.
Ce document est celui qui conditionne tout le reste du dispositif. Sans classification des risques sérieuse, les procédures internes exigées par l'article L. 561-32 n'ont rien sur quoi s'appuyer, et la vigilance appliquée à chaque client devient arbitraire. C'est la raison pour laquelle la Commission nationale des sanctions retient ce grief dans la quasi-totalité des dix-neuf décisions rendues entre juin 2025 et juillet 2026 sur des professionnels de l'immobilier et de la domiciliation.
Les cinq critères, énumérés par le texte
L'article L. 561-4-1 du code monétaire et financier, en vigueur depuis le 14 février 2020 (ordonnance n° 2020-115 du 12 février 2020, article 3), impose aux personnes assujetties d'évaluer les risques de blanchiment de capitaux et de financement du terrorisme présentés par leur activité, et de prendre en compte des facteurs de risque, notamment ceux relatifs à leurs clients, aux produits ou services proposés, aux conditions des transactions proposées, aux canaux de distribution utilisés, ainsi qu'aux pays ou territoires d'origine ou de destination des fonds.
Cinq critères s'en dégagent, et il faut les retenir dans cet ordre exact :
- la nature des produits ou services offerts ;
- les conditions de transaction proposées ;
- les canaux de distribution utilisés ;
- les caractéristiques des clients ;
- le pays ou territoire d'origine ou de destination des fonds.
Beaucoup de documents commerciaux n'en citent que quatre, en omettant les canaux de distribution. C'est une erreur qui prive la classification d'un critère entier, celui qui distingue une vente en agence d'une vente entièrement à distance, ou une entrée en relation directe d'une entrée en relation par l'intermédiaire d'un apporteur d'affaires.
Ce que le texte impose, et ce qu'il n'impose pas
| Ce que L. 561-4-1 impose | Ce qu'il n'impose pas |
|---|---|
| Évaluer les risques selon cinq critères précis | Un modèle unique valable pour toutes les entreprises |
| Adapter la classification à l'activité réelle de l'entreprise | Un document rédigé une fois pour toutes, sans révision |
| Documenter les niveaux de vigilance associés à chaque niveau de risque | Une simple liste de facteurs sans mesures concrètes |
| Tenir la classification à jour et pouvoir le prouver | Un guide de fédération professionnelle tenant lieu de classification |
Une classification qui porte le nom de l'entreprise, pas celui du métier
Cinq décisions de la Commission nationale des sanctions le disent chacune avec des mots différents, et la convergence est frappante. Dans une décision concernant un groupe de sociétés, la Commission a relevé l'absence de tout document « prenant en compte notamment les différents pôles d'activité de la société et la typologie diverse de la clientèle ». Dans une autre, une cartographie obtenue en cochant des cases d'un livret générique a été écartée parce qu'elle « ne recense ni n'évalue les risques propres » aux deux sites commerciaux de la société concernée. Une troisième décision a jugé qu'une section intitulée « Classification et évaluation des risques », malgré son titre, n'en était pas une.
La règle qui en découle est simple à énoncer et difficile à appliquer avec sérieux : une classification des risques doit pouvoir être lue et reconnue comme propre à l'entreprise qui l'a rédigée. Un document qui pourrait être signé, sans en changer une ligne, par n'importe quel confrère du même métier ne satisfait jamais à l'article L. 561-4-1.
Le cas le plus lourd de la série
La décision la plus sévère rendue sur ce fondement concerne une agence immobilière dont la procédure interne comptait trois pages de généralités, sans évaluation ni classification des risques adaptée. Le détail qui a emporté la sanction est le suivant : selon cette procédure, les fiches d'analyse n'aboutissaient à une déclaration de soupçon qu'en présence de cinq risques sur dix recensés. Une grille de notation qui fixe un seuil de déclaration est un manquement en soi, et non une méthode acceptable, parce que le soupçon s'apprécie et ne se compte pas. Les sanctions prononcées dans ce dossier ont atteint 100 000 euros pour la société, avec des interdictions d'exercer de six mois avec sursis pour les dirigeants.
Le sommaire minimal qui tient devant un contrôle
Les décisions dessinent, en creux, ce qu'une classification doit contenir pour résister à un contrôle :
- les cinq critères de l'article L. 561-4-1, déclinés sur la clientèle, les produits, les canaux, les conditions de transaction et les pays propres à l'entreprise ;
- les niveaux de vigilance associés à chaque niveau de risque identifié ;
- les mesures concrètes à mettre en œuvre pour chaque niveau ;
- un volet de contrôle interne, distinct de la classification elle-même ;
- la mention des sources publiques utilisées pour l'évaluation, comme le rapport annuel de Tracfin ou les analyses sectorielles des risques.
Dater la classification, en trois mentions
Une classification non datée est traitée, en contrôle, comme si elle n'existait pas. Dans un dossier de domiciliation, le document produit lors d'un second contrôle était formalisé mais non daté, et postérieur au premier contrôle qui avait révélé son absence. Dans un autre, le protocole produit après coup n'était pas daté non plus. Trois mentions suffisent à éviter ce défaut : la date d'établissement de la version, la date d'approbation par une personne nommée, et la date de la prochaine revue programmée. Cette troisième mention est la plus importante : elle prouve un cycle, ce que l'article L. 561-4-1 et le décret n° 2026-310 du 24 avril 2026 attendent tous les deux. Un document unique daté de plusieurs années prouve l'inverse de ce qu'il cherche à démontrer.
Les réflexes à prendre
- Vérifier que les cinq critères figurent bien dans le document, canaux de distribution compris.
- Décliner chaque critère sur l'activité réelle de l'entreprise, jamais sur une description générique du métier.
- Associer un niveau de vigilance concret à chaque niveau de risque identifié.
- Ajouter un volet de contrôle interne distinct de la classification proprement dite.
- Dater la version, son approbation et la prochaine revue programmée.
- Ne jamais fixer un seuil de déclaration dans la classification : le soupçon s'apprécie, il ne se compte pas.
- Citer les sources publiques utilisées, comme le rapport annuel de Tracfin.
Questions fréquentes
Un guide de fédération professionnelle peut-il tenir lieu de classification des risques ?
Non. Un document à caractère général, comme un guide de fédération ou des lignes directrices administratives, ne peut jamais remplacer un protocole interne personnalisé. La Commission nationale des sanctions l'a rappelé dans plusieurs décisions concernant des agences immobilières et des sociétés de domiciliation.
Faut-il réécrire la classification chaque année même si rien n'a changé ?
Non, mais il faut tracer la revue. Si l'activité n'a pas évolué, la version peut rester identique, mais un registre des revues, avec une ligne par revue datée et signée, doit exister pour prouver que le document reste vivant.
Peut-on fixer un pourcentage de critères qui déclenche une déclaration de soupçon ?
Non. La Commission a sanctionné une grille qui fixait un seuil de cinq risques sur dix pour déclencher une déclaration. Une telle grille peut servir à organiser un examen, jamais à conditionner l'obligation de déclarer, qui repose sur l'appréciation du soupçon.
Les canaux de distribution comptent-ils vraiment comme un critère distinct ?
Oui. L'article L. 561-4-1 les cite expressément aux côtés des produits, des conditions de transaction, des clients et des pays. Une classification qui n'en compte que quatre, en omettant les canaux, est incomplète au regard du texte.
À retenir
- L'article L. 561-4-1 du code monétaire et financier fixe cinq critères de classification des risques, pas quatre.
- Un document générique, même bien rédigé, ne satisfait jamais l'article s'il ne reflète pas l'activité propre de l'entreprise.
- Fixer un seuil de déclaration dans la classification a valu la sanction la plus lourde de la série, 100 000 euros.
- Dater l'établissement, l'approbation et la prochaine revue prouve le cycle attendu par le texte.
- La classification conditionne l'ensemble des procédures internes de l'article L. 561-32.
Sources
- Code monétaire et financier, article L. 561-4-1, ordonnance n° 2020-115 du 12 février 2020, article 3.
- Décisions de la Commission nationale des sanctions rendues entre juin 2025 et juillet 2026 sur les professionnels de l'immobilier et de la domiciliation.
Cette classification est le socle des procédures internes de l'article L. 561-32 et de la vigilance simplifiée de l'article L. 561-9. Le programme complet de la formation LCB-FT détaille la méthode de construction d'une classification des risques : consultez-le sur /programme ou téléchargez le programme Dirigeant et référent.
Campus Tracfin, la référence de la formation LCB-FT pour les professions non financières, propose le parcours Collaborateur, 3 heures, 47 € net de taxe, et le parcours Dirigeant et référent, 5 heures, 117 € net de taxe, pour l'immobilier, la domiciliation et l'assurance. La formation, 100 % en ligne, délivre une attestation de réalisation et détaille la classification des risques dans son programme, disponible en téléchargement au format programme Collaborateur.