Le 16 juillet 2025 a été publié au Journal officiel de la Fédération (« DOF ») le décret modifiant et complétant diverses dispositions de la loi fédérale relative à la prévention et à l'identification des opérations impliquant des ressources d'origine illicite (« LFPIORPI » ou « loi »), ainsi que l'article 400 bis du Code pénal fédéral, dans le but de renforcer le Système national de lutte contre le blanchiment d’argent et de respecter les engagements pris par le Mexique auprès du Groupe d’action financière internationale (« GAFI »). Pour l’essentiel, cette réforme a élargi la liste des activités vulnérables ; elle a modifié la définition du « bénéficiaire effectif » et ajouté des obligations relatives à son identification ; elle a intégré diverses autorités au système national de lutte contre le blanchiment d’argent ; elle a rendu obligatoire l’audit annuel ; elle a ajusté les règles relatives à la procédure d’autocorrection ; et elle a introduit la formation annuelle obligatoire de la responsable de la conformité, entre autres aspects.
Une grande partie de ces obligations a fait l'objet d'une mise à jour du règlement d'application de la LFPIORPI (le « règlement ») et des règles générales (« RCG »). La première étape de cette mise à jour a eu lieu en mars 2026, avec une réforme du Règlement qui a précisé les pouvoirs du Service de l’administration fiscale (« SAT »), la logique de cumul des opérations et de l’avis de 24 heures, ainsi que le régime applicable aux personnes politiquement exposées (« PEP »), entre autres aspects. Le deuxième volet — et l’objet central de la présente analyse — est la réforme des RCG publiée par le ministère des Finances et du Crédit public le 7 août 2026.
Cette réforme des RCG introduit douze axes de changement, allant de l’approche fondée sur les risques au « bénéficiaire contrôlant », en passant par les mécanismes automatisés de suivi et l’audit annuel, avec une entrée en vigueur échelonnée des obligations entre 2026 et 2028. La présente analyse se concentre sur ces douze axes et sur ce qu’ils représentent pour le quotidien des entités assujetties, et se termine par un calendrier classant par ordre chronologique les mesures recommandées pour s’y conformer. Pour chaque axe, l’obligation d’origine est indiquée, qu’elle provienne de la loi ou du règlement, car les RCG, pour la plupart, ne créent pas de nouvelles obligations, mais complètent sur le plan opérationnel les réformes mentionnées.
Déclaration et enregistrement des activités à risque
La réforme renforce la procédure d'enregistrement et d'inscription des activités vulnérables. L'article 17 de la loi définit qui exerce des activités vulnérables et l'article 18, paragraphe IV bis, impose à ces personnes de s'enregistrer et de s'inscrire au registre, via le portail. Les RCG ajoutent un régime d'enregistrement spécifique pour ceux qui agissent par le biais de fiducies ou d'autres entités juridiques, telles que les associations en participation.
Ces réformes revêtent une importance particulière pour les opérateurs proposant des services d'échange d'actifs virtuels. Les personnes qui ne sont pas encore enregistrées devront fournir les informations prévues à l’article 10 Bis lors de leur demande d’enregistrement sur le portail ; celles qui étaient déjà enregistrées avant l’entrée en vigueur des réformes du RCG devront mettre à jour leurs informations au plus tard le 30 mai 2027 (six mois après l’entrée en vigueur, conformément à la douzième disposition transitoire). En outre, plusieurs annexes relatives à l’identification ont fait l’objet de modifications de fond qui nécessitent une mise à jour des processus et des formats internes. Les modifications les plus importantes sont les suivantes : (i) l’exclusion expresse de la carte professionnelle en tant que document d’identification valable dans toutes les annexes relatives aux clients ou aux utilisatrices ; (ii) le remplacement de la simple question concernant le bénéficiaire effectif par une obligation d’identification effective de ce dernier, applicable aux personnes morales, aux fiducies et aux organismes internationaux ; (iii) l’ajout de deux nouvelles annexes (2 bis et 2 ter) qui exigent de cartographier et d’enregistrer la structure complète des fiducies et autres entités juridiques par l’intermédiaire desquelles l’activité vulnérable est exercée ; (iv) l’autorisation expresse de la signature électronique pour l’attestation relative au bénéficiaire effectif dans les dossiers des personnes physiques, ce qui permet de formaliser les procédures d’ouverture de compte à distance ; et (v) l’obligation d’identifier le bénéficiaire effectif de l’organisme membre lui-même lors de la demande de convention de déclaration collective.
Approche fondée sur les risques
L'obligation de mettre en place une approche fondée sur les risques (« AFR ») n'est pas instaurée par les RCG. Elle a été intégrée à la suite de la réforme de la LFPIORPI, à son article 18, paragraphe VII, qui impose aux personnes exerçant des activités vulnérables de réaliser une évaluation permettant d'identifier, d'analyser et d'atténuer les risques liés à leurs clients ou utilisatrices. Toutefois, les articles transitoires de la loi ont subordonné son entrée en vigueur aux RCG. Par conséquent, à la suite de la réforme des RCG, l’obligation de disposer d’une méthodologie permettant d’identifier, d’analyser, de comprendre, de mesurer et d’atténuer les risques découlant des activités vulnérables a été intégrée au chapitre II quater, en tenant compte au minimum du type d’actes ou d’opérations effectués, des clients ou utilisatrices, des pays et zones géographiques concernés, ainsi que des transactions et des canaux utilisés. Il convient également d’identifier les contrôles ou mesures d’atténuation existants et d’évaluer leur mise en œuvre effective. La méthodologie doit figurer dans le manuel des politiques internes ou dans un autre document, prendre en compte les informations pertinentes issues de l’évaluation nationale des risques et de ses mises à jour, et s’appuyer sur des données d’exploitation couvrant une période d’au moins douze mois. En outre, il doit y avoir une cohérence entre les données utilisées pour l’évaluation et celles contenues dans les mécanismes automatisés.
Il est important de noter que l'évaluation devra également être réalisée avant la mise en œuvre de nouveaux moyens, canaux, modalités, produits ou services, ou avant d'orienter l'activité vers de nouveaux types de clients ou d'utilisatrices. Cela intègre l'analyse des risques dans des décisions qui pouvaient auparavant être considérées comme essentiellement commerciales ou opérationnelles. De même, le SAT pourra examiner la méthodologie et les mesures d’atténuation, exiger des ajustements et demander des plans d’action ; l’évaluation devient ainsi un élément soumis à contrôle au sein du système de conformité, et non plus un simple document interne. Elle devra être mise à la disposition de l’autorité, sur simple demande, à compter du 1er mars 2027.
Niveau de risque et profil transactionnel
La réforme introduit un deuxième niveau d'analyse : outre le risque général auquel est exposé l'assujetti, il convient d'évaluer le niveau de risque individuel de chaque client ou utilisateur.
L'article 23 bis impose de définir au moins trois niveaux de classification : faible, moyen et élevé ; l'article 23 bis, paragraphe 1, impose de réévaluer le client ou l'utilisatrice au moins tous les six mois, en augmentant la fréquence lorsque son niveau de risque est plus élevé. Pour déterminer la classification, l'article 23 bis, paragraphe 2, prend en compte des éléments tels que :
- activité économique
- nationalité
- résidence
- sources de revenus
- objet de la relation
- volume
- fréquence
- volume d'opérations
- origine
- affectation des ressources.
Le « profil transactionnel » est également officiellement mis en place ; il vise à déterminer le comportement attendu de chaque client en tenant compte des informations disponibles, du nombre et du montant des opérations, de leur fréquence, ainsi que de l'origine et de la destination des fonds. Sur cette base, un système d'alertes devra être mis en place afin de permettre d'identifier en temps utile tout changement ou écart dans son comportement.
Auparavant, la réforme de 2025 avait modifié l’article 18, paragraphe I, de la LFPIORPI afin de renforcer l’obligation d’identifier et de connaître directement les clients ou les utilisatrices, ainsi que de vérifier leur identité. Ce qui est important dans cette réforme, c’est que l’obligation « d’identifier et de connaître » se décompose en une partie documentaire et une autre de suivi tout au long de la relation ; on distingue ainsi deux obligations complémentaires : l’identification (constituer le dossier avec les données et les documents du client ou de l’utilisatrice au début de la relation) et la connaissance du client (comprendre son activité, l’origine de ses ressources et son comportement attendu au cours de la relation d’affaires) ; la réforme renforce surtout ce deuxième aspect. Alors qu’auparavant, il fallait déjà vérifier au moins une fois par an que les dossiers des clients ou des utilisatrices étaient complets et à jour, désormais, la connaissance du client devra également s’étendre à son comportement tout au long de la relation.
Dans la pratique, une opération qui, prise isolément, ne dépasse pas le seuil peut déclencher une alerte si elle s'écarte de manière significative des informations dont dispose l'entité assujettie concernant le client. Ainsi, les informations recueillies au cours du processus d'identification ne sont plus uniquement documentaires et commencent à avoir des conséquences sur la surveillance, la classification des risques et l'éventuelle transmission de déclarations. Ces politiques internes des entités exerçant des activités vulnérables devront être entièrement définies au plus tard le 1er mars 2027.
Personnes politiquement exposées
Les nouvelles RCG comportent un chapitre spécifique consacré aux personnes politiquement exposées. Conformément à l’article 23 quater, est considérée comme PPE toute personne physique qui exerce ou a exercé des fonctions publiques importantes, au Mexique ou à l’étranger, telles que les chefs d’État ou de gouvernement, les dirigeants politiques, les hauts fonctionnaires gouvernementaux, judiciaires ou militaires, les cadres supérieurs d’entreprises publiques et les responsables ou membres importants de partis politiques et d’organisations internationales. Sont assimilés à cette catégorie le conjoint, le concubin ou la concubine, les parents par consanguinité ou par alliance jusqu’au deuxième degré, ainsi que les associés ou partenaires ayant des liens patrimoniaux. Une PEP nationale conserve ce statut pendant l’année suivant la fin de son mandat.
Afin de vérifier cette qualité, l’article 23 quater 1 introduit, pour la première fois, la possibilité de consulter l’application « Consulta PEP 2.0 » de l’Unité de renseignement financier (« UIF »), mécanisme qui pourra être utilisé tant par les personnes exerçant des activités vulnérables, à l’aide de leur signature électronique avancée, que par les entités financières, après autorisation de l’UIF. Lorsqu’un client ou un utilisateur est une PEP et présente en outre un niveau de risque élevé, des mesures de diligence raisonnable renforcées doivent être appliquées : obtenir l’approbation d’un dirigeant, ou consigner les motifs lorsque la personne exerçant l’activité vulnérable est une personne physique, avant de conclure l’acte ou l’opération et, dans le cas de PEP étrangères, recueillir des documents supplémentaires. La consultation via « Consulta PEP 2.0 » sera disponible neuf mois après l’entrée en vigueur. Étant donné que la réforme des RCG entrera en vigueur le 30 novembre 2026, l’outil devrait pouvoir être utilisé à partir du 30 août 2027.
Bénéficiaire-contrôleur
La réforme législative de juillet 2025 a déjà modifié la notion de « bénéficiaire contrôlant » : elle a abaissé le seuil de contrôle de 50 % à 25 %, a créé le chapitre IV bis prévoyant l'enregistrement auprès du ministère de l'Économie, et a assimilé cette notion à celles de « bénéficiaire final » et de « propriétaire effectif ».
Toutefois, les RCG développent l’aspect opérationnel de ces obligations. Auparavant, les RCG ne comportaient aucune section consacrée au bénéficiaire contrôlant ; l’identification de ce qui était alors appelé le « propriétaire bénéficiaire » se limitait à quelques mentions figurant à l’article 12 et dans ses annexes. Les nouvelles RCG créent le chapitre III quinquies « Du bénéficiaire contrôlant » (articles 23 quinquies à 23 quinquies 3), qui constitue la nouveauté la plus importante en la matière et, au sein de celui-ci, introduisent la méthodologie hiérarchique permettant d’identifier dans tous les cas le bénéficiaire contrôlant d’un client personne morale et, le cas échéant, les personnes physiques. Un ordre séquentiel est désormais établi : il consiste à identifier, en premier lieu, la personne qui détient directement ou indirectement 25 % ou plus du capital social ; si cela ne permet pas de l’identifier, la personne qui exerce le contrôle par d’autres moyens liés à la stratégie, à la direction ou à la prise de décision ; et, à défaut, le dirigeant le plus haut placé.
En ce qui concerne les fiducies, les nouvelles RCG précisent pour la première fois qui peut avoir le statut de bénéficiaire contrôlant (fiduciaires, constituants, administrateurs de fiducie, protecteurs, membres du comité technique) et imposent de remonter la chaîne de propriété et de contrôle lorsque l’une de ces entités est elle-même une personne morale ou une structure juridique, jusqu’à la personne physique qui exerce le contrôle en dernier ressort.
Il est important de distinguer cette identification – effectuée par les entités assujetties à l’égard de leurs clients – d’une obligation distincte et de portée plus large introduite par la loi à compter de 2025 dans son chapitre IV bis : celle qui impose aux sociétés commerciales elles-mêmes d’identifier leur propre bénéficiaire effectif et d’enregistrer ces informations dans le système électronique géré par le ministère de l’Économie (articles 33 bis et 33 ter de la loi). Les RCG révisées ne développent pas cette obligation sociétaire, mais uniquement l’obligation d’identification imposée aux entités exerçant des activités vulnérables à l’égard de leurs clients ; par conséquent, ces deux régimes coexistent en parallèle.
Par ailleurs, les nouvelles RCG imposent expressément de documenter la procédure suivie pour identifier le bénéficiaire effectif – et pas seulement le résultat –, de conserver les informations et les registres qui l'étayent, et de les tenir à jour pendant toute la durée de la relation d'affaires. Une liste exhaustive d’exceptions est également réaffirmée, dans lesquelles il ne sera pas nécessaire de recueillir les données du bénéficiaire effectif : lorsque le client est coté à la bourse mexicaine ou sur des marchés étrangers reconnus, ou lorsqu’il s’agit de l’une des personnes morales énumérées dans les annexes 4 Bis, 6 Bis, 7-A et 7 Bis-A des RCG.
Une autre nouveauté importante réside dans le fait que les RCG établissent un lien entre l'identification du bénéficiaire effectif et la nouvelle méthodologie d'évaluation des risques, elle aussi récemment mise en place : l'article 23 bis 4 des RCG impose de classer dans la catégorie « risque élevé » certains clients non résidents liés à des juridictions à risque ou à des régimes fiscaux préférentiels, ainsi que les personnes politiquement exposées étrangères.
En outre, l'article 23 quinquies, paragraphe 3, habilite la CRF à émettre des lignes directrices, après avis de l'administration fiscale (SAT), en vue de la mise en œuvre de l'ensemble de ce chapitre ; celles-ci seront publiées sur le portail Internet sans qu'il soit nécessaire de modifier les RCG.
Avis de 24 heures
Outre le système de notifications en fonction des montants, la réforme précise la « notification de 24 heures » (article 7 bis du règlement), qui s'applique même lorsque l'opération n'aboutit pas, et précise les « rapports », notion que le règlement révisé a intégrée en tant que catégorie autonome dans son article 2 (définie comme celle qui est présentée conformément aux règles de caractère général), distincte des « avis », sur laquelle le SAT exerce des pouvoirs de réception et de contrôle.
Signalements pour soupçon
La réforme lie les nouveaux profils transactionnels et les systèmes d’alerte à la transmission de la déclaration de soupçon. À partir de la connaissance du client et de son comportement attendu, il convient de détecter les opérations ou les comportements qui s’écartent de ce profil, de les analyser et de déterminer s’il existe des éléments permettant de les relier à des opérations impliquant des fonds d’origine illicite. Un écart par rapport au profil transactionnel génère une alerte et oblige à l'analyser, mais n'implique pas automatiquement l'envoi d'une déclaration dans les 24 heures : celle-ci n'est requise que lorsque l'analyse révèle des éléments reliant l'opération à des fonds d'origine illicite et permettant d'identifier la personne impliquée.
Manueldespolitiquesinternes
Le Manuel des politiques internes est une obligation prévue à l'article 18, paragraphe VIII, de la loi, qui renvoie aux RCG pour sa mise en œuvre. Auparavant, ces dernières exigeaient déjà la mise en place d'un document définissant les lignes directrices en matière d'identification des clients ainsi que certains critères, mesures et procédures internes, cependant, les nouvelles RCG remplacent cette approche par un véritable Manuel des politiques internes, qui devra intégrer la méthodologie de gestion des risques et contenir des procédures relatives à l’identification et à la connaissance du client, à la classification par risque, à la diligence raisonnable, aux personnes politiquement exposées (PPE), au profil transactionnel, aux alertes, à l’accumulation d’opérations, à la formation, à l’audit et aux autres éléments exigés par les RCG.
En outre, le manuel devra définir les critères permettant de déterminer l'ouverture, la limitation ou la résiliation des relations commerciales, lesquels devront être cohérents avec la méthodologie de gestion des risques. Le SAT pourra même ordonner des modifications lorsqu’il le jugera nécessaire pour garantir le respect des règles. Le manuel mis à jour, comprenant la méthodologie de gestion des risques ainsi que les autres exigences du manuel stipulées dans les RCG en vigueur, devra être disponible à compter du 1er mars 2027.
Mécanismes automatisés
Le suivi au moyen de mécanismes automatisés est une obligation prévue à l'article 18, alinéa X, de la loi, introduite en 2025, dont les modalités opérationnelles ont été transmises aux RCG. Les mécanismes automatisés peuvent être mis en œuvre à l'aide de tableurs, de bases de données ou d'autres moyens équivalents — pas nécessairement des logiciels spécialisés —, à condition qu'ils remplissent les fonctions requises et qu'ils puissent être vérifiés par l'autorité compétente.
Ces mécanismes doivent permettre, entre autres, de conserver et de consulter les dossiers, de regrouper les opérations effectuées par un même client, de détecter les écarts par rapport à son profil transactionnel, d'effectuer des cumuls, d'alimenter la méthodologie de gestion des risques, d'appliquer le modèle de classification des clients et de générer des alertes. L'historique des modifications apportées au niveau de risque et au profil transactionnel devra également être conservé pendant une durée minimale de dix ans, et ces mesures devront être mises en œuvre au plus tard le 1er juin 2027.
Notifications électroniques
La réforme modifie également le régime des notifications de l'autorité. La consultation du portail, auparavant bimensuelle, devient obligatoire au moins une fois par jour ouvrable (articles 5 et 6 des RCG), et la notification électronique est réputée effectuée le quatrième jour ouvrable suivant son envoi, même si le destinataire ne l'a pas ouverte. Dans la pratique, il est conseillé de désigner un responsable et un suppléant chargés de la consultation quotidienne et de tenir un registre des accès, car les délais courent indépendamment du fait que le Portail soit consulté ou non.
Audit
Les nouvelles RCG viennent également compléter l'obligation de présenter l'audit annuel prévue à l'article 18, paragraphe XI, de la loi, entrée en vigueur en 2025, qui doit porter sur la période allant du 1er janvier au 31 décembre de chaque année, et de remettre le rapport d'audit au plus tard le dernier jour ouvrable du mois de mars suivant l'année auditée.
Conformément à l'article 12 bis du règlement, qui exige déjà l'obtention et la conservation de l'avis issu d'un audit interne ou externe, ainsi que de la documentation attestant de la correction des observations ou des incohérences, les RCG régissent de manière plus détaillée la périodicité, la portée et les éléments probants devant étayer cet exercice.
L'audit vise à évaluer la cohérence entre les dispositions du Manuel des politiques internes, la méthodologie de gestion des risques, la classification des clients et la réalité des opérations.
Le type d'auditeur dépendra du niveau de risque de l'entité assujettie : lorsque le risque est faible ou moyen, l'audit interne est suffisant, et il peut être réalisé à titre volontaire par une personne externe et indépendante ; si le risque est élevé, l'audit doit alors obligatoirement être réalisé par une personne externe et indépendante. Cette personne devra être titulaire d'une certification en cours de validité délivrée par la CRF et respecter des règles strictes d'indépendance vis-à-vis de l'entité assujettie.
La première période d'audit annuelle s'étendra du 1er janvier au 31 décembre 2028, et le rapport d'audit devra être remis à l'entité auditée au plus tard le dernier jour ouvrable du mois de mars 2029. Les pièces justificatives de ce rapport, ainsi que les preuves de la mise en œuvre des mesures correctives, devront être conservées pendant une durée minimale de cinq ans, conformément à l'article 51 du RCG, à compter de la remise du rapport, et remises au SAT sur simple demande.
Formation et sélection
Les nouvelles RCG précisent désormais le contenu minimal de la formation, son lien avec la méthodologie EBR, l'expérience requise des formateurs, les justificatifs à conserver et les exigences applicables au processus de sélection.
Les entités exerçant des activités à risque doivent mettre en place des programmes de formation destinés aux membres du conseil d'administration, au gérant unique, aux dirigeants, aux cadres, à la responsable de la conformité ainsi qu'aux employés chargés de l'accueil du public, de l'identification des clients, de l'envoi d'avis ou de la réalisation d'audits.
Les formations doivent être dispensées au moins une fois par an, être conformes à la méthodologie de gestion des risques et être animées par des personnes justifiant d'une expérience minimale de cinq ans dans ce domaine. Les justificatifs de ces formations doivent être conservés pendant une durée minimale de dix ans (article 39 bis 1).
Par ailleurs, lors de la sélection du personnel, il faudra obtenir une déclaration signée attestant de l'expérience antérieure dans les secteurs concernés et de l'absence de condamnations pour des délits contre le patrimoine ou de mesures d'inéligibilité.
Associations et sociétés à but non lucratif
La réforme prévoit également des mesures spécifiques à l'intention des associations et des sociétés à but non lucratif. Conformément aux articles 38 bis à 38 bis 2, la CRF mettra en œuvre des mesures proportionnées et fondées sur les risques liés à l'infraction prévue à l'article 139 quater du Code pénal fédéral, qui comprendront des programmes de formation et de sensibilisation, ainsi que le suivi des opérations liées à des donateurs ou à des pays à haut risque.
Calendrier de mise en conformité
| Date | Motifs | Action recommandée |
| 7 août 2026 | Publication au Journal officiel de la Fédération (DOF) de l'accord n° 115/2026 (réforme des RCG). Cet accord est adopté en vertu de l'article 6, paragraphe VII, de la loi. | N/A |
| 30 novembre 2026 | Entrée en vigueur générale des nouvelles RCG (disposition transitoire n° 1). Elle découle des dispositions transitoires de la réforme de la loi de 2025, qui avaient reporté l'entrée en vigueur des RCG. | À compter de cette date, les nouvelles RCG deviennent obligatoires et les délais décrits dans ce calendrier commencent à courir. |
| 1er janvier 2027 | Début de la première période annuelle de formation (disposition transitoire n° 7 ; art. 39 bis). Loi : art. 18, al. IX et art. 20. | Organiser, au moins une fois par an, des formations ou des ateliers destinés au conseil d'administration, au gérant unique, aux dirigeants, aux cadres, à la responsable de la conformité et au personnel chargé de l'accueil du public, de l'identification des clients, de l'envoi des avis ou de la réalisation d'audits (art. 39 bis). |
| 1er mars 2027 | Méthodologie d'évaluation des risques mise à la disposition de l'autorité, sur simple demande (deuxième disposition transitoire). Loi : art. 18, al. VII (et art. 19, mesures simplifiées en fonction du risque). | Mettre à la disposition de l'autorité, sur simple demande, la méthodologie de l'approche fondée sur les risques. |
| 1er mars 2027 | Manuel des politiques internes mis à jour, incluant la méthodologie de gestion des risques (troisième disposition transitoire). Loi : art. 18, al. VIII. | Disposer d'un manuel des politiques internes mis à jour, intégrant la méthodologie de gestion des risques, ainsi que les critères et procédures permettant de se conformer à chacune des obligations en matière de lutte contre le blanchiment d'argent et le financement du terrorisme (art. 37 bis). |
| 1er mars 2027 | Classification par niveau de risque, profil transactionnel et procédure relative au bénéficiaire contrôlant, applicables aux actes ou opérations (disposition transitoire n° 4). Loi : art. 18, al. I et III. | Appliquer aux actes ou opérations la classification par niveau de risque (faible, moyen ou élevé) et le profil transactionnel, et consigner la procédure d'identification du bénéficiaire effectif. |
| 1er mars 2027 | Nouvelles procédures de sélection du personnel applicables aux nouvelles embauches (disposition transitoire n° 6 ; art. 39 bis 2). Loi : art. 18, al. IX. | Appliquer aux nouvelles embauches les procédures de sélection du personnel, y compris la déclaration signée prévue à l'article 39 bis, paragraphe 2. |
| 30 mai 2027 | Date limite (6 mois à compter de l'entrée en vigueur) pour mettre à jour les informations visées à l'article 10 bis, applicable aux personnes qui proposent de manière habituelle et à titre professionnel des services d'échange d'actifs virtuels. | Les prestataires de services dont les actifs virtuels ont déjà été enregistrés avant l'entrée en vigueur des réformes du RCG doivent mettre à jour et transmettre les informations visées à l'article 10 bis. |
| 1er juin 2027 | Date limite pour la mise en place des mécanismes automatisés (disposition transitoire n° 9 ; art. 41). Loi : art. 18, al. X. | Les mécanismes automatisés doivent remplir les fonctions prévues à l'article 41 du RCG. |
| 30 juillet 2027 | Date limite (8 mois à compter de l'entrée en vigueur) pour que le Secrétariat mette en place le système de notifications électroniques. | Obligation applicable au Secrétariat. |
| Au plus tard le 30 août 2027 | Date limite (9 mois à compter de l'entrée en vigueur) pour que la consultation de la CRF concernant les personnes politiquement exposées soit disponible via l'application « Consulta PEP 2.0 ». | À compter de cette date, il sera possible de consulter la CRF lorsqu'il n'est pas possible de déterminer si un client ou une utilisatrice est une personne politiquement exposée. |
| 31 décembre 2027 | Clôture de la première période annuelle de formation (septième disposition transitoire). Loi : art. 18, al. IX et art. 20. | Conserver les pièces justificatives relatives à la formation pendant une durée minimale de dix ans (art. 39 bis, paragraphe 1). |
| 1er janvier 2028 | Début de l'exercice 2028, première période soumise à un audit annuel (disposition transitoire n° 8 ; art. 42). Loi : art. 18, al. XI ; Règlement : art. 12 bis. | Commencer à intégrer les éléments probants de l'exercice 2028 (méthodologie de gestion des risques, classification des clients, profil transactionnel, alertes et autres contrôles prévus dans le Manuel des politiques internes) qui serviront de base à l'audit interne ou externe correspondant. |
| 31 décembre 2028 | Clôture de l'exercice 2028, période couverte par le premier audit annuel. | C'est à compter de cette date que commence le délai imparti à l'auditeur pour évaluer l'efficacité de la mise en conformité au cours de l'année 2028 et rendre son avis. |
| Dernier jour ouvrable de mars 2029 | Date limite pour la publication de l'avis relatif au premier audit annuel, portant sur l'exercice 2028. | Recevoir l'avis et présenter les résultats à l'organe d'administration, à la direction générale ou à un organe équivalent ; assurer le suivi des programmes d'actions correctives. |
| Date à confirmer | L'envoi des nouveaux avis interviendra six mois après l'entrée en vigueur de la décision établissant les nouveaux formats officiels. | Aucune mesure n'est exigée tant que la décision établissant les nouveaux formulaires officiels n'aura pas été publiée ; à compter de son entrée en vigueur, un délai de 6 mois sera accordé pour se mettre en conformité. |
Conclusion
Cette réforme déplace le centre de gravité de la conformité d’un modèle documentaire — dossiers complets, déclarations déposées dans les délais — vers un modèle de surveillance continue, où la connaissance du client, la classification des risques et le suivi automatisé doivent être assurés de manière cohérente et être disponibles pour contrôle par le SAT à tout moment. L'opérateur qui, aujourd’hui, se contente de respecter la norme documentaire devra, en 2027 et 2028, faire face à des exigences en matière de traçabilité, de technologie et de preuves qu’il ne pourra pas improviser au fur et à mesure.
Les échéances de mars et juin 2027 laissent moins d’un an de marge réelle pour : (i) repenser la méthodologie de l’EBR et le Manuel des politiques internes ; (ii) mettre en place ou adapter les mécanismes automatisés requis par l’article 41 ; et (iii) déterminer si l’audit de 2028 sera réalisé par du personnel interne ou s’il est nécessaire de faire appel à un auditeur externe certifié par la CRF — décision qu’il convient de prendre suffisamment à l’avance.
Si votre organisation exerce des activités à risque et souhaite évaluer l'impact concret des réformes, notre équipe chargée de la conformité en matière de lutte contre le blanchiment d'argent et le financement du terrorisme (PLD/FT) se tient à votre disposition pour réaliser une analyse des écarts par rapport à ces obligations et vous accompagner dans votre feuille de route de mise en œuvre.
Pour plus d'informations sur la réforme du règlement de la LFPIORPI, rendez-vous sur
