Se lancer sur un nouveau marché européen sans devoir refondre son cadre de conformité

Vous vous lancez sur un nouveau marché de l'UE, qu'il s'agisse de votre premier marché ou du suivant. Vous n’avez pas besoin de devenir un expert des exigences locales en matière de « Know Your Business » (KYB), des attentes des autorités de contrôle ou des règles d’accès aux registres. Vous avez besoin d’un cadre de conformité adapté, correctement configuré pour ce marché dès le premier jour, afin d’être prêt pour un audit dès votre lancement. La complexité réglementaire est bien réelle et profonde. Mais ce n’est pas à vous de vous en charger. C’est le rôle de votre fournisseur d’infrastructure de conformité.

Principaux enseignements

• Il n'est pas nécessaire de maîtriser les règles de conformité locales pour démarrer votre activité en toute conformité. Ce dont vous avez besoin, c'est d'un partenaire qui a déjà effectué ce travail et qui le transpose en un flux de travail correctement paramétré avant même que vous n'accueilliez votre premier client.
• « Conformité fonctionnelle » et « prêt pour un audit » ne sont pas synonymes. La collecte des documents appropriés est nécessaire, mais pas suffisante. Les autorités de régulation attendent des décisions traçables, des seuils de risque justifiés et des procédures d’escalade documentées, capables de résister à un examen minutieux bien après la sur onboarding .
• Les divergences d'un pays à l'autre sont profondes, et non pas superficielles. Les seuils applicables aux bénéficiaires effectifs, les critères d'acceptation des documents, les conditions déclenchant l'obligation de diligence renforcée et les règles d'accès aux registres varient considérablement d'un marché de l'UE à l'autre. Un processus conforme en France peut ne pas passer l'audit en Allemagne ou aux Pays-Bas sur plusieurs plans (pour en savoir plus, consultez cet article expliquant comment éviter la complexité liée aux spécificités de chaque pays).
• L'AMLA 2027 approche, mais ce sont les cadres nationaux qui s'appliquent à vous aujourd'hui. Le règlement anti-blanchiment (AMLR) entrera en vigueur le 10 juillet 2027. D'ici là, l'ACPR, la BaFin, la DNB et la FCA procèdent chacune à des contrôles dans le cadre de leur propre réglementation nationale. Attendre l'harmonisation n'est pas une stratégie de mise en conformité.
• Le problème de configuration en matière de conformité est d'ordre opérationnel, et non juridique. Une note réglementaire vous indique ce que prévoit la loi. Elle ne configure pas votre matrice de risques, vos seuils de déclenchement des contrôles de due diligence renforcée (EDD) ni votre piste d'audit. Ce travail nécessite une expertise en matière de supervision, et non des conseils juridiques.

Concrètement, comment cela se traduit-il ?

Lorsqu’une fintech de taille moyenne se lance sur un nouveau marché européen avec Ondorse, le cadre de conformité propre à ce marché n’est pas élaboré à partir de zéro. Il est déjà cartographié. Les connexions aux registres du commerce locaux sont pré-intégrées. Les normes de vérification d’identité exigées par l’autorité de régulation locale sont préconfigurées. Les seuils de déclenchement de la diligence raisonnable renforcée (EDD) reflètent les attentes spécifiques des autorités de surveillance de la juridiction cible, et ne constituent pas un simple copier-coller du dispositif national.

Avant l'intégration du premier client, Maël Fasan, consultant senior en conformité chez Ondorse, examine et valide l’ensemble de la configuration. Le rôle de Maël n’est pas de résumer les dispositions de la réglementation. Il consiste à traduire l’esprit de la réglementation en une configuration précise du flux de travail, en paramètres de matrice de risques et en architecture de piste d’audit qui résistent à l’examen minutieux de chaque marché. Il s’est déjà retrouvé face aux régulateurs européens. Il connaît bien l’écart entre ce qu’exige la directive et ce qu’un inspecteur de la BaFin ou de la DNB s’attend à voir dans un dossier.

C’est ce modèle qui fait de la conformité un problème déjà résolu, plutôt qu’une découverte postérieure au lancement. Vous découvrirez ci-dessous pourquoi cela est important, et pourquoi l’alternative s’avère plus difficile que ne le prévoient la plupart des fintechs en pleine expansion.

Pourquoi chaque marché de l'UE pose-t-il un problème de conformité qui lui est propre ?

Les directives européennes relatives à la lutte contre le blanchiment de capitaux (AMLD) ont été conçues comme des instruments d’harmonisation minimale. Les États membres les ont transposées dans leur législation nationale, en y ajoutant leurs propres interprétations, des seuils plus stricts et des exigences spécifiques en matière de surveillance. Il en résulte que la France, l’Allemagne, la Belgique, les Pays-Bas et le Royaume-Uni appliquent chacun un régime de conformité distinct : s’ils partagent le même vocabulaire, leurs modalités opérationnelles divergent fortement.

Le tableau ci-dessous montre comment cinq paramètres clés en matière de conformité varient selon les marchés auxquels une fintech de taille moyenne en expansion en Europe est généralement confrontée en premier lieu.

Chacun de ces paramètres doit être correctement configuré dans votre flux de travail onboarding avant de traiter votre premier client sur ce marché. Et non pas après votre premier constat d'audit. Les cinq marchés ci-dessus constituent les premières étapes les plus courantes d'une expansion européenne. Ondorse couvre un ensemble plus large de juridictions, voir la carte complète de couverture →

Et la situation est sur le point de se compliquer. En vertu de l’AMLR, l’ensemble des données obligatoires concernant les bénéficiaires effectifs finaux (UBO) s’élargit considérablement : la date et le lieu de naissance, l’adresse complète (y compris le pays), toutes les nationalités, le numéro de la pièce d’identité et le numéro d’identification personnel deviennent tous des champs obligatoires. Or, aucune de ces informations n’est généralement disponible dans les registres publics. (consalty, juillet 2026) Les entités assujetties devront les collecter directement auprès du client. De plus, si un client est enregistré dans un autre État membre de l’UE, l’AMLR exige de consulter le registre des bénéficiaires effectifs de cet État membre, ce qui implique soit d’établir des connexions avec les registres de chaque pays, soit de demander au client de fournir lui-même l’extrait correspondant. La plateforme de registre centralisée à l’échelle de l’UE, dotée d’une interface commune en anglais, ne devrait pas être disponible avant la mi-2027. D’ici là, chaque vérification transfrontalière d’un UBO constitue un problème opérationnel propre à chaque pays.

Quels sont les écueils lorsqu’une entreprise de fintech met en place, à partir de zéro, un dispositif de conformité sur un nouveau marché ?

La plupart des fintechs en pleine expansion abordent un nouveau marché de la même manière : elles confient le projet à leur responsable de la conformité, font appel à un cabinet d'avocats local pour obtenir une note d'information sur la réglementation, puis demandent à leur équipe d'ingénieurs d'adapter le flux de travail existant. Ce processus comporte des sources d'échec récurrentes.

• La note réglementaire décrit ce que prévoit la loi, et non la manière dont l'autorité de contrôle procède concrètement à ses contrôles. Il existe un écart entre le texte de la Wwft et ce que la DNB s'attend à trouver dans un dossier lors d'un contrôle prudentiel. Cet écart n'est perceptible que par les professionnels disposant d'une expérience directe en matière de surveillance prudentielle.
• Les règles relatives à l'acceptation des documents ne figurent pas dans la loi. La question de savoir si un DigiD néerlandais constitue une vérification d'identité valable, si un extrait du registre du commerce allemand téléchargé il y a 45 jours est toujours à jour, ou si une déclaration UBO bulgare signée par un notaire local satisfait aux normes de l'ACPR française en matière d'onboarding transfrontalière : rien de tout cela ne figure dans la directive. Ces éléments relèvent des orientations des autorités de contrôle, de la jurisprudence et du savoir-faire institutionnel.
• La configuration des processus de travail prend du retard par rapport aux avis juridiques. Les équipes techniques reçoivent les exigences de conformité plusieurs semaines après la note juridique et les transposent de manière imparfaite. Il en résulte un processus de travail qui se rapproche de l'esprit de la conformité sans pour autant répondre aux attentes réglementaires.
• Les matrices de risque sont reprises du marché national. Les pondérations de risque sectorielles, les scores de risque pays et les seuils d'EDD calibrés pour un portefeuille français ou britannique ne peuvent pas être transposés à un portefeuille belge ou allemand sans recalibrage.
• L'AMLR crée des pièges contre-intuitifs qu'aucune note juridique ne signalera. En vertu de la nouvelle AMLR, les scénarios de vérification « à faible risque » s'avèrent paradoxalement plus stricts que les obligations standard en matière de diligence raisonnable (CDD) dans certaines configurations. Le registre du commerce allemand (Handelsregister) est une source de vérification acceptée dans le cadre de la CDD standard, mais pas dans le cadre de la voie « à faible risque ». (consalty, juillet 2026) Une équipe chargée de la conformité qui se fie à une note réglementaire ne s'en rendra pas compte. En revanche, un professionnel ayant soumis ces règles à des tests de résistance le remarquera.
• La piste d'audit est souvent une réflexion après coup. C'est généralement lors d'un contrôle réglementaire, et non lors de la configuration, qu'une fintech se rend compte pour la première fois que sa piste d'audit ne précise pas pourquoi un client donné a été automatiquement approuvé.

Que signifie réellement « prêt pour un audit », marché par marché ?

Être prêt pour un audit n'est pas un objectif que l'on atteint une seule fois avant le lancement. Il s'agit d'un choix architectural.

Pour l'ACPR en France, la préparation à l'audit signifie que : chaque décision (approbation, renvoi à un niveau supérieur, rejet) est consignée avec la version de l'ensemble de règles qui l'a générée ; la note de risque est justifiée au regard du document de classification des risques propre à la fintech ; et le dossier de diligence renforcée (EDD) précise qui a pris la décision finale et sur quelle base.

Pour la BaFin en Allemagne, cela signifie que : la requête adressée au registre de transparence est consignée même si elle ne donne aucun résultat, la session VideoIdent est conservée et peut être consultée, et la matrice de risques prend explicitement en compte les secteurs signalés dans les évaluations sectorielles des risques de la BaFin.

Pour la DNB aux Pays-Bas, cela signifie que : le graphique des bénéficiaires effectifs est complet et recoupé avec le registre néerlandais des bénéficiaires effectifs, tout écart par rapport aux procédures standard de diligence raisonnable à l'égard de la clientèle (CDD) est documenté, et le processus génère un dossier que l'inspecteur de la DNB peut consulter sans avoir à poser de questions complémentaires.

Ces exigences ne sont pas regroupées dans un seul document. Elles sont issues de circulaires, de questions-réponses des autorités de contrôle, de décisions d’application de la réglementation et d’échanges directs avec les régulateurs. C’est précisément ce savoir institutionnel que Maël apporte à chaque nouvelle configuration de marché sur la plateforme d’Ondorse.

La loi AMLA 2027 modifie-t-elle ce calcul ?

Pas encore, et pas autant que tu pourrais l'espérer.

L'AMLA est entrée en vigueur le 1er juillet 2025: basée à Francfort, elle supervisera directement, à partir de 2028, environ 40 des entités soumises à l'obligation de conformité de l'UE présentant le plus haut niveau de risque. Pour les milliers d'autres fintechs réglementées, son impact immédiat est indirect : elle coordonne les autorités de surveillance nationales, élabore des normes techniques réglementaires (RTS) qui définiront la mise en œuvre de l'AMLR et renforce les exigences en matière d'audit dans l'ensemble des États membres.

Le règlement AMLR entrera en vigueur le 10 juillet 2027: il s'agit d'un règlement directement applicable, ce qui signifie qu'aucune transposition nationale n'est nécessaire, et que, pour la première fois, les mêmes règles en matière de diligence raisonnable à l'égard de la clientèle (CDD) et les mêmes normes de vérification des bénéficiaires effectifs s'appliqueront de manière uniforme dans toute l'Union européenne. C'est là un fait véritablement significatif.

Mais trois réalités font que cela ne constitue pas une raison d’attendre :

1. Les RTS continuent d'être publiés. Les modalités opérationnelles de la mise en œuvre de l'AMLR sont définies dans les RTS que l'AMLA élabore jusqu'en 2026 et au début de l'année 2027. (AML RightSource, 2026) Les fintechs qui reportent leur mise en conformité jusqu'à ce que l'ensemble des RTS soit finalisé ne seront pas prêtes d'ici juillet 2027.
2. La 6e directive anti-blanchiment (AMLD6) doit encore être transposée au niveau national. Cette sixième directive anti-blanchiment régit les registres des bénéficiaires effectifs et les structures nationales de surveillance. Des divergences entre les pays en matière d’accès aux registres, de qualité des registres des bénéficiaires effectifs et d’attentes en matière de surveillance persistent jusqu’en 2027 et au-delà.
3. Les autorités de contrôle nationales restent les autorités de contrôle principales jusqu'en 2028. Les pouvoirs de contrôle directs de l'AMLA ne prendront effet qu'en 2028. D'ici là, chaque entreprise de technologie financière entretient une relation réglementaire principale avec son autorité de contrôle nationale, dans le cadre de la réglementation nationale.

La période de transition prévue par l’AMLA n’est pas un répit en matière de conformité. Les fintechs qui mettent dès aujourd’hui en place, pour chaque marché, des processus corrects et prêts à être audités seront conformes à l’AMLR d’ici juillet 2027, sans avoir à se lancer dans un sprint de développement. Celles qui attendront ne le seront pas.

Comment Ondorse prend en charge cette complexité pour que vous n'ayez pas à vous en soucier

L'architecture conçue par Ondorse pour les déploiements sur plusieurs marchés tient compte à la fois de la réalité fragmentée actuelle et de l'harmonisation à venir en matière de lutte contre le blanchiment d'argent (LBCA). Un seul contrat, une seule plateforme, N pays. La gouvernance en matière de LBCA est centralisée. La configuration au niveau national, la langue, les types de documents, les seuils réglementaires et les connexions aux registres fonctionnent comme une dérogation ciblée venant s'ajouter au cadre global, et non comme une pile logique distincte.

‍

Concrètement, cela signifie :

• La mise en place d'un nouveau marché européen ne nécessite pas de reconstruire de toutes pièces la couche de conformité.
• Avant toute mise en service, Maël vérifie que la configuration de chaque pays est conforme aux exigences des autorités de surveillance locales.
• Lorsque les RTS AMLA sont publiés, la plateforme intègre automatiquement les modifications. Aucune mise à jour n'est nécessaire de la part des clients.
• De nouveaux pays peuvent être activés dans un délai de deux semaines à compter de la demande, le cadre de conformité étant déjà défini. Les marchés actuellement disponibles sur la plateforme Ondorse sont répertoriés sur notre carte de couverture mondiale. De nouvelles juridictions sont ajoutées sur demande, les configurations de conformité étant validées avant leur activation.

Un établissement de paiement agréé s'est implanté sur trois marchés de l'UE — la France, la Belgique et la Bulgarie — dans le cadre d'un contrat unique avec Ondorse. La configuration de conformité propre à chaque pays, les types de documents, les règles de vérification des bénéficiaires effectifs, les paramètres linguistiques et les critères de déclenchement de la diligence renforcée (EDD) ont tous été prédéfinis et validés par l'équipe de conformité d'Ondorse avant même l'intégration du premier client. Le responsable de la conformité de l'établissement n'a pas eu à rédiger la moindre exigence réglementaire locale. Son service informatique n'a pas eu à écrire la moindre ligne de code.

Si vous envisagez de vous développer sur le marché européen et que vous souhaitez comprendre ce que signifie « être prêt pour un audit » dans votre contexte réglementaire spécifique, c'est ici que commence la discussion.

‍