LCB-FT et domiciliation : le guide complet du domiciliataire

Pourquoi une agence de domiciliation est assujettie à la LCB-FT

La domiciliation d'entreprises (code APE 82.11Z pour l'activité de services administratifs combinés de bureau) est une activité réglementée : elle suppose un agrément préfectoral (article L123-11-3 du code de commerce), elle interdit de domicilier dans un local d'habitation principale sous certaines conditions (L123-11-2), et elle impose des règles sur les associés détenant au moins 25 % du capital (L123-11-4).

Mais la contrainte la plus structurante est ailleurs. L'article L123-11-5 du code de commerce soumet les domiciliataires aux obligations du chapitre Ier du titre VI du livre V du code monétaire et financier, c'est-à-dire au dispositif national de lutte contre le blanchiment de capitaux et le financement du terrorisme (articles L. 561-1 et suivants).

La logique du législateur est simple : une adresse commerciale est un point d'entrée dans la vie économique française. Elle permet d'immatriculer une société, d'ouvrir un compte, de facturer, de recevoir du courrier. Le domiciliataire est donc placé dans la même famille d'assujettis que les banques, les notaires ou les experts-comptables — avec des obligations calibrées à son activité, mais de même nature.

Ce que cela change concrètement pour une agence

Être assujetti ne veut pas dire « faire attention ». Cela veut dire :

• disposer d'un dispositif écrit (procédures, cartographie, contrôle interne) ;
• tracer chaque diligence dans le dossier client ;
• pouvoir prouver tout cela à un agent de contrôle, plusieurs années après.

C'est le point que beaucoup d'agences sous-estiment : la conformité LCB-FT n'est pas évaluée sur l'intuition du gérant, mais sur la documentation produite. Une vérification faite mais non tracée est, en contrôle, une vérification non faite.

Ne pas confondre avec les obligations « métier »

Le régime de la domiciliation comporte un second bloc d'obligations, issu de l'article R123-168 du code de commerce : contrat écrit d'au moins trois mois renouvelable par tacite reconduction, mention des références de l'agrément, dossier justificatif par domicilié, information du greffier, signalement du courrier non retiré depuis trois mois, communication d'informations aux commissaires de justice, liste trimestrielle des personnes domiciliées au service des impôts des entreprises et aux organismes de recouvrement des cotisations sociales.

Ces obligations sont distinctes de la LCB-FT, mais elles s'appuient sur les mêmes données et sont contrôlées par la même autorité. Les traiter dans deux systèmes séparés est la première source de désorganisation dans une agence.

La cartographie des risques : le document qui conditionne tout le reste

La cartographie (ou classification) des risques est le socle. C'est un document écrit, propre à votre agence, qui identifie et hiérarchise les risques de blanchiment et de financement du terrorisme auxquels votre activité vous expose. Tout le reste du dispositif en découle : c'est elle qui justifie pourquoi tel client fait l'objet d'une vigilance allégée et tel autre d'une vigilance renforcée.

Une cartographie générique téléchargée sur internet et jamais adaptée ne remplit pas l'obligation.

Les axes à couvrir

La faire vivre

Une cartographie doit être datée, validée par la direction et révisée. On la met à jour au minimum une fois par an, et à chaque événement significatif : nouvelle offre commerciale, nouveau canal d'acquisition, évolution des listes officielles de pays à risque, retour d'expérience après une déclaration de soupçon.

Conservez les versions successives. En contrôle, l'historique des révisions est un excellent élément de preuve du caractère vivant du dispositif.

Identifier le client et le bénéficiaire effectif sur documents probants

L'obligation d'identification s'applique avant l'entrée en relation d'affaires. Elle porte sur deux niveaux : le client (la société domiciliée et son représentant) et le ou les bénéficiaires effectifs.

Le client

Pour une personne morale : dénomination, forme juridique, siège, numéro d'immatriculation. La vérification se fait sur un document probant récent — typiquement un extrait d'immatriculation. Pour une société en cours de constitution, le projet de statuts, avec régularisation dès l'immatriculation obtenue.

Pour le représentant qui signe : identité vérifiée sur un document officiel d'identité en cours de validité, et vérification de son pouvoir d'engager la société (statuts, procès-verbal de nomination, délégation). Ce dernier point est souvent oublié.

Le bénéficiaire effectif

C'est la personne physique qui, en dernier ressort, contrôle la société. Il ne faut jamais se contenter du nom du gérant : il faut remonter la chaîne de détention jusqu'aux personnes physiques.

Trois réflexes :

1. Reconstituer l'organigramme de détention par écrit, même sommaire, et le dater. Un simple schéma dans le dossier vaut mieux qu'une case cochée.
2. Ne pas s'appuyer uniquement sur un registre public. Les informations issues d'un registre peuvent servir de point de départ mais ne dispensent pas de vos propres vérifications.
3. Vérifier l'identité de chaque bénéficiaire effectif identifié, avec un document probant, comme pour le représentant.

Si l'actionnariat est opaque, si le client refuse de le documenter, ou si les explications ne tiennent pas, c'est un signal : à ce stade, la question n'est plus de compléter le dossier, mais de savoir si vous entrez en relation.

Comprendre l'objet et la nature de la relation d'affaires

L'assujetti doit recueillir et analyser les éléments d'information permettant de comprendre pourquoi ce client s'adresse à vous et ce qu'il va faire. Pour un domiciliataire, cela se traduit par un petit nombre de questions, posées et consignées :

• Quelle est l'activité réelle de la société ? Est-elle cohérente avec son objet social et avec son code APE ?
• Pourquoi une domiciliation plutôt qu'un local ? Le motif est-il cohérent (structure naissante, activité itinérante, siège séparé de l'exploitation) ?
• Où l'activité est-elle effectivement exercée ? Y a-t-il un établissement, des salariés, un site ?
• Quel volume de courrier attendu, quel type d'expéditeurs ?
• Quels services annexes sont demandés, et pourquoi ?

Ces réponses ne sont pas des formalités : elles constituent votre référence de normalité. Sans elles, la vigilance continue est impossible, parce que vous n'avez rien à quoi comparer ce que vous observez ensuite.

La vigilance continue : allégée, normale, renforcée

La vigilance est modulée selon le risque identifié par votre cartographie. Le principe : plus le risque est élevé, plus les mesures sont approfondies et fréquentes.

Deux erreurs fréquentes :

• Classer par défaut en « faible ». La vigilance allégée doit être justifiée, pas subie faute de temps.
• Figer le niveau à l'entrée en relation. La vigilance est continue : le niveau se réévalue.

Les événements qui doivent déclencher une réévaluation

• Changement de dirigeant, de bénéficiaire effectif, de dénomination ou d'activité.
• Changement d'adresse du dirigeant, notamment vers un pays à risque.
• Courrier anormal : volume soudain, expéditeurs incohérents (administrations fiscales étrangères, huissiers, banques multiples), courrier jamais retiré.
• Injoignabilité du client, coordonnées obsolètes.
• Retard ou anomalie de paiement, paiement par un tiers non expliqué.
• Demande d'attestation de domiciliation inhabituelle ou pressante.
• Création en série de sociétés par le même dirigeant à la même adresse.

Chacun de ces événements doit laisser une trace : date, constat, analyse, décision. Trois lignes suffisent, mais elles doivent exister.

Personnes politiquement exposées et pays à risque

Les PPE

Une personne politiquement exposée est une personne physique exerçant ou ayant exercé des fonctions publiques importantes, ainsi que les membres directs de sa famille et les personnes connues pour lui être étroitement associées. Le statut de PPE n'est pas un motif de refus : il déclenche une vigilance renforcée.

En pratique, une agence doit pouvoir montrer :

• comment elle détecte les PPE (question posée au client dans le formulaire d'entrée en relation, contrôle sur une base de données, ou les deux) ;
• quand elle recontrôle (à l'entrée en relation, puis périodiquement) ;
• ce qu'elle fait quand un client est identifié comme PPE : validation par la direction, recueil d'informations sur l'origine du patrimoine et des fonds, suivi renforcé.

Le même raisonnement vaut pour le criblage des mesures de gel des avoirs et des listes de sanctions : la question de contrôle n'est pas « avez-vous cherché ? » mais « pouvez-vous me montrer la trace horodatée de la recherche ? ».

Les pays à risque

Lorsqu'un client, un bénéficiaire effectif ou une opération présente un lien avec un pays à haut risque figurant sur les listes officielles applicables, la vigilance renforcée s'impose. Deux règles simples :

1. Ne travaillez jamais de mémoire. Reportez-vous aux listes officielles en vigueur au moment du contrôle, et notez dans le dossier la date de consultation.
2. Traitez le lien, pas seulement le siège. Une société immatriculée en France dont le bénéficiaire effectif réside dans un pays à risque est concernée.

Désigner un déclarant et un correspondant Tracfin

Tout assujetti doit désigner deux fonctions, qui peuvent être portées par une même personne dans une petite structure mais doivent être formellement identifiées :

• le déclarant, habilité à transmettre les déclarations de soupçon à Tracfin ;
• le correspondant, interlocuteur de Tracfin pour les échanges courants, les demandes de renseignements et les droits de communication.

Ce que vous devez pouvoir présenter : une décision écrite de désignation, datée et signée par la direction, précisant les noms, fonctions et coordonnées, ainsi que la preuve de la déclaration de ces personnes auprès de Tracfin. Prévoyez aussi un suppléant : l'absence du déclarant ne suspend pas l'obligation de déclarer.

Pensez à mettre à jour ces désignations en cas de départ. Un déclarant qui a quitté l'agence depuis deux ans est un manquement facile à constater.

La déclaration de soupçon : quand et comment

Le déclenchement

On déclare lorsqu'on sait, soupçonne ou a de bonnes raisons de soupçonner que des sommes ou opérations proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an, ou sont liées au financement du terrorisme. Le soupçon suffit : il n'est pas nécessaire d'avoir la preuve, ni de qualifier l'infraction.

Pour un domiciliataire, les signaux d'alerte typiques relèvent de l'incohérence : société sans activité vérifiable, dirigeant injoignable ou non résident sans explication, création de multiples structures à la même adresse, refus persistant de fournir les pièces, courrier révélant une activité sans rapport avec l'objet déclaré, tentative d'obtenir une attestation pour un usage étranger à la domiciliation.

Les lignes directrices conjointes DGCCRF–Tracfin consacrées aux sociétés de domiciliation détaillent ces cas de figure. C'est le document de référence à faire lire à toute l'équipe : lignes directrices DGCCRF–Tracfin (PDF).

La transmission

La déclaration est adressée à Tracfin par voie dématérialisée via le portail ERMES. Elle doit être faite en principe avant la réalisation de l'opération lorsque c'est possible, et sans délai lorsque le soupçon apparaît après coup.

Une déclaration utile est une déclaration circonstanciée : identité complète du client et des bénéficiaires effectifs, description factuelle de ce qui a été observé, chronologie, explication du raisonnement, pièces jointes.

Trois règles à graver

1. Confidentialité absolue. Il est interdit d'informer le client, ou un tiers, de l'existence d'une déclaration ou des suites qui lui sont données.
2. Déclarer n'est pas rompre. La déclaration n'emporte pas obligation automatique de mettre fin au contrat, et la rupture ne doit pas révéler la déclaration.
3. Conserver la preuve. L'accusé de réception ERMES et une copie du dossier support sont archivés, dans un espace à accès restreint.

Conserver les documents cinq ans après la fin de la relation

L'obligation de conservation porte sur cinq ans à compter de la fin de la relation d'affaires (et non à compter de la collecte). Elle couvre :

• les documents d'identification du client, du représentant et des bénéficiaires effectifs ;
• les éléments recueillis sur l'objet et la nature de la relation d'affaires ;
• les analyses de risque et les traces de vigilance, y compris les examens renforcés ;
• les documents relatifs aux opérations et au courrier traité, selon leur nature.

Attention à l'articulation avec le RGPD : la conservation LCB-FT est une obligation légale, mais elle a une finalité et une durée déterminées. Au-delà, les données doivent être purgées. Deux points pratiques :

• datez la fin de relation d'affaires dans votre système, sinon le point de départ des cinq ans est indéterminable ;
• restreignez les accès aux dossiers archivés et gardez une trace des consultations.

Le format électronique est admis, à condition que les documents restent lisibles, intègres et restituables. Une archive papier dispersée entre plusieurs bureaux, ou un disque dur sans sauvegarde, est un risque opérationnel autant qu'un risque de conformité.

Contrôle interne et formation des collaborateurs

Les procédures internes

Vous devez disposer de procédures écrites décrivant, pour votre agence : l'entrée en relation, la collecte et la vérification des pièces, la détermination du niveau de vigilance, le criblage PPE et sanctions, la remontée d'alerte interne, le processus de déclaration de soupçon, l'archivage. Elles doivent être datées, diffusées et appliquées. Une procédure que personne dans l'équipe ne sait décrire est un manquement.

Adaptez le niveau de formalisme à votre taille : pour une agence de quelques personnes, un document de quinze pages clair et suivi vaut mieux qu'un manuel de cent pages inutilisé.

Le contrôle interne

Il s'agit de vérifier périodiquement que le dispositif fonctionne. Dans une petite structure, cela peut prendre la forme d'un contrôle par échantillonnage : chaque trimestre, tirer quelques dossiers au sort, vérifier leur complétude par rapport à la procédure, consigner les écarts et les actions correctives dans un compte rendu daté.

Ce compte rendu est l'un des documents les plus valorisants en contrôle : il montre que l'agence se surveille elle-même.

La formation

Chaque collaborateur concerné doit être formé et informé, à l'embauche puis régulièrement. Le contenu à couvrir : le cadre légal, les typologies propres à la domiciliation, les signaux d'alerte, la conduite à tenir face à une alerte, l'interdiction de divulgation.

Ce qui compte pour la preuve : support de formation, date, liste d'émargement ou attestation, et plan de formation pluriannuel. Une formation orale non tracée n'existe pas dans un dossier de contrôle.

Checklist LCB-FT du domiciliataire

Dispositif (au niveau de l'agence)

• Cartographie des risques écrite, propre à l'agence, datée et validée par la direction
• Révision annuelle de la cartographie, versions antérieures conservées
• Procédures internes écrites, diffusées à l'équipe, datées
• Déclarant et correspondant Tracfin désignés par écrit, déclarés, coordonnées à jour, suppléant prévu
• Accès au portail ERMES opérationnel et testé
• Modalités de criblage PPE et sanctions définies, avec traçabilité horodatée
• Plan de formation, supports, émargements des trois dernières années
• Contrôle interne périodique par échantillonnage, comptes rendus datés et plan d'actions correctives
• Politique d'archivage : cinq ans après la fin de la relation, accès restreint, sauvegarde

Dossier client (à l'entrée en relation)

• Identification de la société sur document probant récent
• Identité du représentant vérifiée (pièce en cours de validité) et pouvoir d'engager la société vérifié
• Bénéficiaires effectifs identifiés, chaîne de détention documentée et datée, identités vérifiées
• Objet et nature de la relation d'affaires recueillis et consignés (activité réelle, motif, lieu d'exercice, courrier attendu)
• Criblage PPE, sanctions et pays à risque effectué, résultat daté et archivé
• Niveau de vigilance déterminé et motivé par écrit
• Mesures renforcées appliquées et documentées si le risque est élevé
• Contrat écrit conforme (durée minimale de trois mois renouvelable par tacite reconduction, mention des références de l'agrément)

Vie du dossier

• Revue périodique planifiée selon le niveau de risque, avec date de prochaine échéance
• Pièces d'identité et justificatifs suivis en date d'expiration, relances tracées
• Événements notables consignés (changement de dirigeant, de BE, d'adresse, anomalie de courrier, impayé)
• Courrier non retiré depuis trois mois : traitement et signalement au greffier documentés
• Liste trimestrielle transmise au service des impôts des entreprises et aux organismes de recouvrement des cotisations sociales
• Liste annuelle des personnes domiciliées au 1er janvier transmise au service des impôts des entreprises avant le 15 janvier
• Déclarations de soupçon : accusés de réception ERMES et dossiers support archivés, accès restreint
• Fin de relation d'affaires datée dans le système (point de départ des cinq ans)

Ce guide décrit un cadre général et ne remplace pas l'analyse d'un conseil pour une situation particulière. Wedom structure ces obligations — cartographie, dossiers de vigilance, échéances et pistes d'audit — directement dans le logiciel de gestion de l'agence.