Publié le 07/10/2026 · Mis à jour le 08/10/2026

Choisir un logiciel de conformité anti-blanchiment : critères vérifiables

Une démonstration montre un tableau de bord, un score, un bouton vert. Ce qui distingue un logiciel se voit plus tard : le jour où votre superviseur demande un dossier de 2026, ou celui où vous changez d'éditeur. Voici ce qu'il faut demander avant de signer, et la pièce qui prouve la réponse.

Ce guide décrit le droit de l'Union européenne. Ce que chaque État fixe lui-même (l'autorité qui vous contrôle, la cellule de renseignement financier qui reçoit vos déclarations, la façon de les déposer) se lit pays par pays : France, Belgique, Luxembourg et les autres États membres.

Commençons par le mot qui donne son titre à ce guide. Un critère vérifiable est une exigence que vous contrôlez vous-même, chez n'importe quel éditeur, avant de signer : une question précise, et une pièce qu'on vous montre ou qu'on vous remet. « Notre logiciel est conforme » n'en est pas un. « Montrez-moi la piste d'audit de ce dossier de démonstration, et dites-moi comment la vérifier sans vous » en est un.

Trois textes de l'Union fixent ce que vous devez pouvoir faire et montrer : la directive (UE) 2015/849, en vigueur ; le règlement (UE) 2024/1624, dit AMLR, applicable à partir du 10 juillet 2027 pour la plupart des entités assujetties ; et le règlement général sur la protection des données (RGPD, règlement (UE) 2016/679). Aucun ne soumet un logiciel anti-blanchiment à un agrément. Un outil se juge donc à ce qu'il vous permet de faire et de prouver. La grille qui suit en tire treize critères ; pour chacun, la question à poser, la preuve à demander et, quand il existe, le texte qui le motive.

Ce que l'outil couvre

1. Le périmètre : votre profession, votre État, vos textes

Le socle de l'Union est commun ; le reste ne l'est pas. L'autorité qui vous contrôle, la cellule qui reçoit vos déclarations, le portail de dépôt et ce que votre loi ajoute à la directive restent nationaux. Un outil pensé pour le droit d'un seul État peut appliquer chez vous une règle qui n'y existe pas, ou en oublier une qui y existe. Et le 10 juillet 2027, l'AMLR remplacera une grande partie des règles transposées par un texte directement applicable : l'outil devra suivre.

La question à poser. « Pour ma profession et mon État, quels textes votre outil applique-t-il, à quelle date les avez-vous relus, et comment passera-t-il à l'AMLR le 10 juillet 2027 ? »

La preuve à demander. La liste des textes et des paramètres propres à votre État, avec la date de leur dernière relecture, et le journal des changements réglementaires des douze derniers mois.

Ce que dit le droit de l'Union. La directive énumère les entités assujetties (art. 2) ; l'AMLR les reprend (art. 3) et s'applique à partir du 10 juillet 2027 (art. 90).

2. La cotation du risque : un résultat que vous pouvez expliquer

C'est vous qui attribuez un profil de risque au client, et c'est vous qui devrez le justifier devant votre superviseur. Un score sans explication ne vous aide pas, il vous expose. À partir du 10 juillet 2027, l'AMLR range la décision sur le profil de risque parmi les tâches qui ne se sous-traitent jamais ; et si un prestataire exécute une tâche pour vous, il vous demande de pouvoir montrer au superviseur que vous en comprenez le raisonnement.

La question à poser. « Sur quels facteurs le score repose-t-il, avec quel poids, et pourquoi ce client de démonstration sort-il en risque élevé ? Le même dossier donne-t-il toujours le même score ? »

La preuve à demander. La fiche de cotation d'un dossier de démonstration, facteur par facteur, et la version du barème appliqué, conservée avec le dossier.

Ce que dit le droit de l'Union. Vous devez pouvoir démontrer que vos mesures sont appropriées aux risques identifiés (directive, art. 13, § 4 ; AMLR, art. 20, § 4, à partir de 2027). L'AMLR exclut de toute sous-traitance la décision sur le profil de risque du client (art. 18, § 3, point c) et demande de comprendre le raisonnement d'une tâche sous-traitée (art. 18, § 2).

3. Le criblage : quelles listes, de quand, et où partent les noms

Un criblage vaut ce que valent ses listes. Il faut savoir lesquelles sont interrogées (les sanctions de l'Union et celles des Nations unies, les listes propres à votre État, les personnes politiquement exposées), à quel rythme l'éditeur les recharge, et si la date de la version utilisée reste dans le dossier. Une alerte écartée sur une liste vieille de trois semaines ne prouve pas grand-chose.

Reste une question qu'on pose rarement : le nom de votre client sort-il de l'outil pour être criblé chez un fournisseur de données ? Si oui, ce fournisseur traite des données personnelles pour votre compte, et il doit figurer, avec son pays, dans la liste des sous-traitants.

La question à poser. « D'où viennent vos listes, à quel rythme sont-elles rechargées, et la date de chacune figure-t-elle dans le dossier ? Le nom de mon client quitte-t-il vos serveurs pour être criblé ailleurs, et si oui, chez qui ? »

La preuve à demander. Un résultat de criblage de démonstration qui affiche la date des listes, la liste écrite des sources, et la liste des sous-traitants.

Ce que dit le droit de l'Union. Aujourd'hui, la directive impose de déterminer si le client ou son bénéficiaire effectif est une personne politiquement exposée (art. 20). À partir du 10 juillet 2027, l'AMLR ajoute aux mesures de vigilance la vérification des sanctions financières ciblées (art. 20, § 1, point d), à refaire régulièrement, à une fréquence proportionnée à votre exposition (art. 26, § 4). Un fournisseur qui traite ces noms pour votre compte est un sous-traitant au sens du RGPD (art. 28).

Ce que l'outil prouve

4. La piste d'audit : qui a fait quoi, quand, sans retouche

Le jour d'un contrôle, on ne vous demandera pas ce que vous savez aujourd'hui, mais ce que vous saviez le jour de l'entrée en relation, et ce que vous en avez fait. Une piste d'audit répond à cette question si chaque action y porte son auteur et sa date, et si personne, l'éditeur compris, ne peut la réécrire sans que cela se voie.

La question à poser. « Comment puis-je prouver, sans vous et après la fin de mon abonnement, que ce dossier n'a pas été modifié depuis sa clôture ? »

La preuve à demander. L'export de la piste d'audit d'un dossier de démonstration, et la méthode de vérification, décrite par écrit et utilisable par un tiers.

Ce que dit le droit de l'Union. La directive impose de conserver les documents et informations de vigilance cinq ans après la fin de la relation d'affaires (art. 40). À partir du 10 juillet 2027, l'AMLR précise qu'ils ne sont pas caviardés, et ne permet de garder une simple référence à la place d'une copie que si l'information ne peut être ni modifiée ni altérée (art. 77, § 1 et 2).

5. La décision humaine, et la place de l'IA

Un logiciel peut préparer une entrée en relation, une cotation, une déclaration. Il ne doit en trancher aucune. Le droit de l'Union le dira en toutes lettres en 2027, et il vise aussi l'intelligence artificielle : une décision issue d'un traitement automatisé n'y est admise que si elle fait l'objet d'une intervention humaine significative.

Demandez donc deux choses. Ce que fait l'IA, tâche par tâche : quel modèle, chez quel fournisseur, dans quel pays, et si l'outil fonctionne encore quand on l'éteint. Et où s'enregistre la validation humaine : par qui, quand, et ce qui a été corrigé.

La question à poser. « Quelle décision votre outil peut-il prendre sans qu'un humain la valide ? Que reçoit l'IA, qui l'exploite, où, et ces données servent-elles à entraîner un modèle ? »

La preuve à demander. Un dossier de démonstration où la validation humaine apparaît avec son auteur et sa date, et le fournisseur d'IA dans la liste des sous-traitants.

Ce que dit le droit de l'Union. À partir du 10 juillet 2027, l'AMLR admet des décisions issues de processus automatisés ou de systèmes d'IA à trois conditions, dont une intervention humaine significative sur toute décision de nouer, de refuser ou de maintenir une relation d'affaires, ou de changer l'étendue de la vigilance (art. 76, § 5). Il exclut de la sous-traitance la décision d'entrer en relation et la déclaration à la cellule (art. 18, § 3). Le RGPD encadre déjà les décisions fondées exclusivement sur un traitement automatisé (art. 22).

6. La déclaration de soupçon : le format, et qui en connaît l'existence

L'outil prépare la déclaration ; vous la déposez. Deux points se vérifient avant de signer. Le format d'abord : chaque cellule de renseignement financier a son mode de dépôt, plusieurs dans l'Union utilisent goAML, d'autres un portail propre, et un outil qui ne produit pas celui qu'accepte votre cellule vous laisse tout ressaisir. La confidentialité ensuite : l'existence d'une déclaration ne se révèle ni au client, ni à un tiers hors des communications que la directive organise. Dans un outil partagé par une équipe ou par un réseau, qui la voit ?

La question à poser. « Quels formats d'export l'outil produit-il, lequel accepte la cellule de mon État, et qui, dans mon équipe ou chez vous, peut voir qu'une déclaration existe ? »

La preuve à demander. Un export de démonstration dans le format qu'accepte votre cellule, et la matrice des droits : qui voit quoi, rôle par rôle.

Ce que dit le droit de l'Union. La directive impose de déclarer à la cellule de renseignement financier (art. 33) et interdit de révéler au client, ou à un tiers hors des communications qu'elle organise, qu'une déclaration a été transmise (art. 39). À partir du 10 juillet 2027, l'AMLR reprend les deux règles (art. 69 et 73) et charge l'AMLA de préparer les normes techniques qui préciseront le format des déclarations (art. 69, § 3).

7. La réponse au contrôleur et à la cellule

Une demande de la cellule ou du superviseur n'arrive jamais au bon moment. Ce qui compte alors, c'est le temps qu'il vous faut pour sortir un dossier complet, lisible par quelqu'un qui ne connaît pas votre outil, et pour dire si vous avez été en relation avec telle personne ces cinq dernières années.

La question à poser. « Combien de temps me faut-il, seul, pour exporter un dossier complet, et pour dresser la liste de tous mes dossiers, ouvrable dans un tableur ? »

La preuve à demander. L'export d'un dossier complet, fait devant vous pendant la démonstration, chronomètre en main, puis lu par quelqu'un qui n'a jamais vu l'outil.

Ce que dit le droit de l'Union. La directive exige des systèmes qui permettent de répondre de manière rapide et complète aux demandes de la cellule ou d'autres autorités sur vos relations d'affaires des cinq dernières années (art. 42), et une évaluation des risques documentée, tenue à la disposition des autorités (art. 8, § 2). À partir du 10 juillet 2027, l'AMLR reprend la première exigence (art. 78) et fixe à cinq jours ouvrables le délai de réponse aux demandes de la cellule (art. 69, § 1).

Où vont les données

8. L'hébergement : le pays de chaque copie

Le RGPD n'impose aucun pays. Il encadre ce qui sort de l'Union : un transfert vers un pays tiers n'est permis que dans les conditions qu'il fixe, décision d'adéquation de la Commission ou mécanisme de transfert prévu par le texte. La question vaut pour toutes les copies : la base de production, les sauvegardes, les pièces, et aussi l'assistance par IA, le support et la supervision technique, qui peuvent faire intervenir un autre pays que celui de l'hébergement.

La question à poser. « Dans quels pays se trouvent la production, chacune des sauvegardes et l'assistance par IA ? Une donnée part-elle vers un pays tiers, même pour le support, et si oui, sur quel fondement ? »

La preuve à demander. La liste des lieux de traitement, sauvegardes comprises, et pour tout transfert hors de l'Union, le mécanisme retenu, écrit dans le contrat.

Ce que dit le droit de l'Union. RGPD, art. 44 à 46 : un transfert vers un pays tiers suppose une décision d'adéquation (art. 45) ou, à défaut, l'un des mécanismes de l'article 46, comme les clauses contractuelles types. Le sous-traitant ne transfère que sur vos instructions documentées (art. 28, § 3, point a).

9. Les sous-traitants : le contrat, et la liste complète

Dès qu'un éditeur traite pour vous les données personnelles de vos dossiers, il est votre sous-traitant au sens du RGPD. Il vous doit un contrat écrit qui dit ce qu'il traite, pour combien de temps, et ce que deviennent les données à la fin. Il vous doit aussi la liste de ses propres sous-traitants : hébergement, sauvegardes, envoi des courriels, paiement, IA. Aucun ne s'ajoute sans votre autorisation écrite, spécifique ou générale ; dans le second cas, vous êtes informé de tout changement et pouvez vous y opposer.

La question à poser. « Pouvez-vous me remettre votre accord de sous-traitance et la liste complète de vos sous-traitants, avec leur rôle et leur pays ? Comment serai-je prévenu d'un ajout ? »

La preuve à demander. L'accord lui-même, avec les mentions qu'exige l'article 28, et une liste datée des sous-traitants, que vous comparez à celle des pages publiques de l'éditeur.

Ce que dit le droit de l'Union. RGPD, art. 28 : un contrat écrit, un contenu minimal, des sous-traitants ultérieurs soumis à votre autorisation. Si l'éditeur exécute pour vous une tâche de vigilance, l'AMLR demandera aussi, à partir du 10 juillet 2027, un accord écrit et des contrôles réguliers de votre part (art. 18, § 4).

10. La sécurité : chiffrement, clés, accès, restauration

Un dossier de vigilance contient des pièces d'identité, des justificatifs de patrimoine, parfois un soupçon. Le RGPD cite le chiffrement parmi les mesures de sécurité, et demande de pouvoir rétablir les données après un incident et de tester régulièrement l'efficacité des mesures prises. Un sigle sur une diapositive suffit rarement à juger : demandez ce qui est chiffré, qui détient les clés, comment on se connecte, et quand une sauvegarde a été restaurée pour la dernière fois.

La question à poser. « Qu'est-ce qui est chiffré au repos, avec quel algorithme, et qui détient les clés ? Puis-je imposer un second facteur d'authentification à toute mon équipe ? Quand avez-vous restauré une sauvegarde pour la dernière fois, et sous quel délai me prévenez-vous d'une violation de données ? »

La preuve à demander. Une description technique écrite, la date du dernier test de restauration, et l'engagement de notification inscrit dans l'accord de sous-traitance.

Ce que dit le droit de l'Union. RGPD, art. 32 : chiffrement, capacité à rétablir la disponibilité des données, tests réguliers. Art. 33, § 2 : le sous-traitant notifie toute violation de données au responsable du traitement dans les meilleurs délais.

11. La conservation, et l'effacement

Garder trop peu vous expose devant le superviseur ; garder trop longtemps, devant l'autorité de protection des données. La règle de l'Union tient en deux temps : cinq ans après la fin de la relation, puis l'effacement, sauf ce que prévoit votre droit national. L'éditeur doit savoir vous dire quand un dossier s'efface, et quand sa dernière copie de sauvegarde disparaît à son tour.

La question à poser. « Combien de temps un dossier est-il conservé après la fin de la relation, comment l'effacement se déclenche-t-il, et combien de temps survit-il dans les sauvegardes ? »

La preuve à demander. La politique de conservation écrite, avec ses durées, sauvegardes comprises.

Ce que dit le droit de l'Union. Directive, art. 40 : cinq ans après la fin de la relation d'affaires ou la date de la transaction occasionnelle, puis effacement des données personnelles, sauf disposition contraire du droit national, qui peut prolonger la conservation de cinq ans au plus. À partir du 10 juillet 2027, l'AMLR fait aussi courir les cinq ans de la date d'un refus d'entrer en relation (art. 77, § 3). RGPD, art. 5, § 1, point e : pas plus longtemps que nécessaire.

Ce que dit le contrat

12. La réversibilité : partir avec ses dossiers

Vous changerez peut-être d'outil un jour. Vos obligations, elles, ne changeront pas : un dossier clos en 2026 doit rester lisible et probant jusqu'en 2031 au moins. Le droit de récupérer vos données n'est donc que la moitié de la question. L'autre moitié, c'est leur forme : des fichiers que vous ouvrez sans l'éditeur, avec de quoi montrer qu'ils n'ont pas été modifiés.

La question à poser. « À la fin du contrat, que récupérerai-je, dans quel format, pendant combien de temps et à quel prix ? La preuve d'intégrité restera-t-elle vérifiable sans abonnement ? »

La preuve à demander. La clause de sortie, écrite, et un export complet d'essai, ouvert sur votre propre poste.

Ce que dit le droit de l'Union. RGPD, art. 28, § 3, point g : au terme de la prestation, le sous-traitant supprime les données ou vous les renvoie, à votre choix, et détruit les copies existantes, sauf obligation légale de les conserver.

13. Le prix, et ce qu'il comprend

Un prix mensuel ne dit rien tant qu'on ignore ce qu'il comprend. Comptez ce que votre activité consommera : utilisateurs, dossiers, criblages et re-criblages, volume des pièces. Regardez ensuite ce qui est en option, le prix au renouvellement, et ce que coûte la sortie.

La question à poser. « Que comprend le prix, que coûte chaque option, comment évolue-t-il au renouvellement, et que me coûtera l'export complet de mes dossiers le jour où je partirai ? »

La preuve à demander. Une grille tarifaire écrite, renouvellement et sortie compris, annexée au contrat.

Ce que dit le droit de l'Union. Aucun texte de l'Union cité dans ce guide ne règle ce point : c'est une affaire de contrat, à lire avant de signer.

Et Vigilae, sur ces treize critères

Vigilae est un logiciel de conformité LCB-FT. Voici sa réponse à la grille, critère par critère, chacune avec la page publique qui en décrit l'essentiel. Posez-nous les mêmes questions qu'aux autres éditeurs, et demandez-nous les mêmes preuves.

Ce que Vigilae ne fait pas, sa page À propos le dit sans détour : il ne transmet jamais de déclaration de soupçon à votre place ; il ne dit pas si votre dispositif est conforme, seul votre superviseur le peut ; et il ne détient aucune certification. Vigilae prépare, l'humain décide, le déclarant reste seul responsable.

Article informatif, à jour au 08/10/2026, ne constituant pas un conseil juridique. Les critères disent ce que les textes de l'Union exigent de vous ; ils ne remplacent ni la lecture de votre loi nationale ni celle du contrat que vous signerez.

Questions fréquentes