Conformité LBC en Espagne 2026 : ce que votre entreprise doit savoir sur la réglementation anti-blanchiment

Conformité LBC en Espagne : le cadre réglementaire que votre entreprise doit maîtriser

Le cadre juridique espagnol de lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT) repose sur la Loi 10/2010 du 28 avril et son règlement d’application, le Décret Royal 304/2014 du 5 mai, qui transposent les directives européennes successives en matière de lutte contre le blanchiment et établissent un système complet d’obligations pour un large éventail d’entités assujetties. Par-dessus ce socle national s’est édifié un ensemble croissant de réglementation européenne : la Sixième Directive Anti-Blanchiment (6AMLD), le nouveau règlement européen LBC adopté en 2024, qui s’applique directement en Espagne sans transposition nationale, et la création de l’Autorité européenne de Lutte contre le Blanchiment de Capitaux (AMLA), opérationnelle depuis Francfort avec des pouvoirs de supervision directe sur certaines entités à haut risque à partir de 2026.

Comprendre précisément ce qu’exige ce cadre, à savoir qui est une entité assujettie, quelles mesures doivent être adoptées, quelle exposition à la surveillance existe et quelles sont les conséquences du non-respect, est le fondement pour construire un programme de conformité LBC qui fonctionne réellement plutôt que de n’exister que sur le papier.

Entités assujetties en vertu de l’article 2 de la Loi 10/2010

L’article 2 de la Loi 10/2010 définit le champ personnel de la réglementation LBC. Les principales catégories d’entités assujetties sont les suivantes :

Déterminer si une activité spécifique relève du champ personnel de la loi n’est pas toujours évident, notamment pour les cabinets d’avocats combinant conseil et contentieux, ou pour les plateformes d’investissement alternatif gérant des capitaux privés. BMC réalise des analyses de périmètre pour les entreprises incertaines de leur statut d’entité assujettie.

Obligations fondamentales dans le cadre LBC espagnol

Une fois le statut d’entité assujettie confirmé, la Loi 10/2010 et le RD 304/2014 établissent un système d’obligations graduées que le programme LBC/FT doit couvrir intégralement :

Vigilance standard à l’égard de la clientèle (CDD)

Toutes les entités assujetties doivent identifier et vérifier l’identité de leurs clients avant d’établir la relation d’affaires ou avant d’exécuter des opérations occasionnelles supérieures à 1 000 € (250 € pour les établissements de paiement). La vérification requiert des documents originaux : carte d’identité nationale, NIE ou passeport pour les personnes physiques ; statuts et extrait du Registre du Commerce pour les personnes morales. Elle ne peut être remplacée par la déclaration du client lui-même.

La vigilance standard implique également de comprendre la nature de l’activité du client, l’origine des fonds devant être utilisés dans la relation et l’objet de la relation elle-même. Ces informations doivent être documentées et mises à jour tout au long de la durée de la relation.

Identification du bénéficiaire effectif

L’identification du bénéficiaire effectif génère le plus grand nombre d’échecs de conformité et fait l’objet du contrôle le plus intense lors des inspections SEPBLAC. Le bénéficiaire effectif est la personne physique qui détient ou contrôle en dernier ressort le client, en général toute personne qui détient directement ou indirectement plus de 25 % du capital social ou des droits de vote.

Pour les structures simples comportant deux ou trois associés personnes physiques, l’identification est relativement directe. La complexité surgit avec les structures de holding, la dispersion du capital, les fondations, les trusts, les comptes nominaux ou les contrats d’assurance avec bénéficiaires différés. Le registre des bénéficiaires effectifs du Registre du Commerce espagnol (créé en 2021) facilite la vérification, mais n’exonère pas l’entité assujettie de l’obligation de vérifier et de documenter activement le résultat.

Lorsque le bénéficiaire effectif ne peut être déterminé avec certitude, cela doit être explicitement consigné dans le dossier client et, selon le profil de risque, une vigilance renforcée ou un refus de la relation d’affaires peut s’imposer.

Vigilance renforcée : PPE et juridictions à haut risque

La vigilance renforcée est obligatoire lorsque le client, le produit ou l’opération présente un profil de risque élevé. Les cas les plus courants sont les suivants :

• Personnes politiquement exposées (PPE) : hauts responsables publics, membres de leur famille immédiate et proches associés. La définition inclut expressément les ressortissants de pays tiers et les dirigeants d’organisations internationales. La vigilance renforcée pour les PPE requiert l’approbation de la direction générale pour ouvrir ou poursuivre la relation d’affaires, ainsi qu’une surveillance renforcée continue tout au long de celle-ci.

• Clients de juridictions à haut risque : pays figurant sur les listes de juridictions non coopératives de la FATF, sur les listes de pays à haut risque de l’UE, ou sur les listes espagnoles de paradis fiscaux à des fins LBC. La vigilance renforcée requiert une vérification supplémentaire de l’origine des fonds et peut nécessiter une vérification en personne ou une confirmation par un tiers de confiance.

• Opérations inhabituelles : opérations dont le volume, la nature ou la structure est inhabituel ou injustifié du point de vue d’une activité commerciale ou économique légitime. Cette catégorie requiert que le responsable de la conformité dispose d’une connaissance sectorielle suffisante pour identifier des schémas inhabituels dans le flux normal des affaires.

Déclaration des opérations suspectes au SEPBLAC

L’obligation de déclaration au SEPBLAC ne requiert pas une certitude quant au blanchiment de capitaux : des indices ou soupçons raisonnables sont suffisants. Les déclarations sont soumises via le système RCPBC du SEPBLAC et sont accompagnées de l’interdiction de divulgation : l’entité assujettie ne peut pas informer le client qu’une déclaration a été effectuée.

L’absence de déclaration constitue une infraction grave en vertu de la Loi 10/2010. Le fait de déclarer de bonne foi protège l’entité assujettie de toute responsabilité pénale pour complicité dans le blanchiment de capitaux, à condition qu’elle ait agi avec la diligence requise.

Outre les déclarations individuelles d’opérations suspectes, les entités assujetties doivent effectuer des déclarations périodiques au SEPBLAC sur certaines catégories d’opérations, notamment les déclarations de mouvements de fonds et, pour certains secteurs, des déclarations systématiques indépendamment de tout soupçon.

Représentant SEPBLAC et Organe de Contrôle Interne (OCI)

Toutes les entités assujetties doivent désigner un représentant SEPBLAC disposant d’une séniorité suffisante. Cette personne est l’interlocuteur de l’inspection, responsable des communications avec le SEPBLAC et de la certification de la conformité du programme auprès du régulateur.

La réglementation distingue le représentant SEPBLAC de l’Organe de Contrôle Interne (OCI), qui est l’organe interne, individuel ou collégial, responsable de la gestion opérationnelle du programme LBC : révision des dossiers clients, approbation de l’acceptation des clients à haut risque, instruction des alertes internes et décision d’escalade vers une déclaration SEPBLAC.

Pour les petites et moyennes entreprises, le représentant SEPBLAC et le responsable de l’OCI sont généralement la même personne. Pour les entités de plus grande taille, la séparation des fonctions et la constitution d’une équipe dédiée à la conformité LBC est une bonne pratique.

OCI interne vs OCI externalisé : les entités assujetties de plus grande taille constituent généralement une unité de conformité spécialisée en interne. Les entités de taille moyenne et plus petite, notamment les cabinets de services professionnels tels que les cabinets d’avocats et les conseillers fiscaux, peuvent externaliser les fonctions d’OCI à un prestataire spécialisé tout en conservant la responsabilité ultime et le représentant SEPBLAC en interne. BMC propose des services externalisés d’OCI et de représentant SEPBLAC pour les entités assujetties sans structure interne suffisante.

Le SEPBLAC : enregistrement, supervision et obligations formelles

Le SEPBLAC agit à la fois comme Unité de Renseignement Financier (URF) de l’Espagne et comme superviseur des entités assujetties du secteur non financier. Ses inspections ont augmenté de façon significative depuis 2022, avec un accent sur les secteurs identifiés comme déficients par l’évaluation FATF de 2023.

Les obligations formelles vis-à-vis du SEPBLAC comprennent :

• Inscription au registre des entités assujetties pour les secteurs ne relevant pas d’un autre superviseur sectoriel
• Déclarations périodiques sur certaines catégories d’opérations, indépendamment de tout soupçon
• Disponibilité des documents lors des inspections : l’ensemble des documents du programme LBC et des dossiers clients doit être mis à disposition dans le délai spécifié dans l’avis d’inspection, qui peut être aussi court que 48 heures pour les inspections inopinées
• Notification des changements de représentant SEPBLAC à chaque fois que la personne désignée change

Ce que le SEPBLAC demande en premier lors de chaque inspection :

1. Évaluation des risques documentée et datée
2. Manuel de prévention mis à jour (date de la dernière révision)
3. Dossiers de vigilance des trois dernières années avec preuves de vérification du bénéficiaire effectif
4. Registres de formation du personnel et des organes de direction
5. Journal des opérations déclarées au SEPBLAC, ainsi que de celles envisagées mais non déclarées avec justification documentée
6. Documentation relative au représentant SEPBLAC et à l’OCI

Évaluation mutuelle FATF 2023 de l’Espagne : principaux constats

L’évaluation mutuelle FATF de 2023 a reconnu la solidité du cadre juridique espagnol et l’action pénale active en matière d’infractions de blanchiment de capitaux, mais a identifié des faiblesses spécifiques de mise en oeuvre avec des conséquences directes pour les entités assujetties :

Conseillers juridiques et comptables : faibles taux de conformité en matière de CDD et sous-déclaration significative des opérations suspectes. Le recours au secret professionnel comme obstacle à la déclaration a été signalé comme une préoccupation spécifique. Les associations professionnelles d’avocats et d’économistes ont ensuite reçu des orientations plus précises sur les obligations de leurs membres.

Prestataires de services aux sociétés : lacunes dans la vérification des bénéficiaires effectifs pour la constitution de sociétés impliquant des structures de holding ou des arrangements nominaux.

Surveillance fondée sur les risques : la FATF a recommandé que les superviseurs sectoriels, notamment le SEPBLAC pour les secteurs sans autre régulateur, adoptent une approche de supervision plus clairement fondée sur les risques, concentrant les ressources d’inspection sur les entités assujetties et les types d’opérations présentant le risque le plus élevé.

En conséquence directe, le SEPBLAC a intensifié les inspections, publié des orientations de surveillance actualisées et renforcé ses exigences en matière de qualité des dossiers KYC. Les entreprises disposant de programmes LBC déficients ou obsolètes sont entrées dans un environnement de risque de sanction matériellement plus élevé depuis 2023.

Le paquet législatif européen LBC 2024 et l’AMLA

Le paquet législatif européen LBC adopté en 2024 est la réforme la plus significative de l’architecture LBC européenne depuis la Quatrième Directive en 2015 :

Application directe du règlement LBC

Le nouveau règlement LBC est un règlement européen, et non une directive, et s’applique donc directement et sans transposition dans tous les États membres. Ses dispositions en matière de vigilance, de bénéficiaire effectif et d’exigences de programme interne seront directement opposables aux entités assujetties espagnoles. Cela crée un chevauchement temporaire avec la Loi 10/2010 que les opérateurs doivent gérer avec soin jusqu’à ce que le législateur espagnol mette à jour le droit national.

L’AMLA : supervision directe depuis Francfort

L’Autorité de Lutte contre le Blanchiment de Capitaux (AMLA) commencera ses opérations en 2025 et exercera une supervision directe sur certaines entités financières à haut risque sélectionnées à partir de 2026. Les critères de sélection comprennent le volume des opérations transfrontalières, le profil de risque sectoriel et les antécédents en matière d’infractions. Pour les entités assujetties du secteur non financier, l’AMLA exercera une supervision indirecte, en coordonnant les superviseurs nationaux et en établissant des normes techniques contraignantes.

Changements clés pour les entités assujetties

• Extension aux CASP : les prestataires de services sur actifs cryptographiques relevant de MiCA deviennent des entités assujetties à part entière, soumises aux mêmes obligations de KYC et de déclaration que les établissements financiers traditionnels.
• Renforcement des exigences en matière de bénéficiaire effectif : critères et méthodologies harmonisés pour l’identification des bénéficiaires effectifs dans les structures multicouches à travers l’UE.
• Listes européennes de pays à risque : la Commission maintiendra des listes de pays à risque élevé et modéré avec des seuils de vigilance spécifiques, remplaçant le patchwork actuel de listes nationales et internationales.
• Exigences minimales harmonisées pour les programmes : le règlement LBC établit le contenu minimal obligatoire des programmes LBC/FT, les normes techniques de l’AMLA fournissant des procédures détaillées, ce qui relève le plancher pour les programmes moins développés.

Conformité LBC intégrée : connexion entre LBC, conformité pénale et alerte éthique

Un programme de conformité LBC efficace ne peut pas être conçu comme un silo isolé. Les synergies avec d’autres cadres réglementaires sont directes :

La conformité pénale (article 31 bis du Code pénal espagnol) et le programme LBC partagent la même logique préventive : les deux visent à établir des contrôles empêchant la société d’être utilisée à des fins illicites et, si des infractions se produisent, permettant à la société de démontrer qu’elle avait adopté des mesures préventives adéquates. La cartographie des risques pénaux doit inclure le risque de complicité dans des infractions de blanchiment de capitaux comme risque prioritaire dans de nombreux secteurs.

Le canal d’alerte éthique requis par la Loi 2/2023 sert simultanément de mécanisme de signalement interne pour les violations du programme LBC, de canal de communication des soupçons ne remplissant pas le seuil de déclaration obligatoire au SEPBLAC, et de canal d’alerte pour l’OCI. Un dispositif d’alerte bien conçu intègre ces trois flux d’information dans un système unique géré avec les mêmes normes de confidentialité et de non-représailles.

La protection des données (RGPD/LOPDGDD) est également pertinente : les dossiers KYC contiennent des données personnelles des clients et des bénéficiaires effectifs dont le traitement doit être conforme au RGPD. La base juridique (obligation légale en vertu de la Loi 10/2010), les durées de conservation (dix ans), les mesures de sécurité et les droits des personnes concernées, limités dans le contexte LBC par l’interdiction de divulgation, doivent être correctement documentés dans les registres des activités de traitement.

Ce que produit un programme LBC correctement mis en oeuvre

Un programme de conformité LBC correctement mis en oeuvre génère des résultats concrets et mesurables :

• Réussite des inspections SEPBLAC sans sanction, grâce à la qualité de la documentation et à la préparation du personnel.
• Réduction du risque de responsabilité pénale pour les administrateurs et les dirigeants, qui peuvent démontrer que la société a adopté des mesures préventives raisonnables.
• Accès à des clients et à des contreparties de meilleure qualité : les grands groupes d’entreprises et les établissements financiers exigent la preuve de programmes LBC opérationnels avant d’entrer en relation d’affaires.
• Confiance réglementaire : un bon bilan de conformité SEPBLAC réduit la fréquence et l’intensité des inspections futures et facilite un engagement constructif sur des requêtes spécifiques.
• Adaptation efficace au paquet européen LBC : un programme solide aujourd’hui constitue la base la plus efficace pour satisfaire aux nouvelles normes de l’AMLA sans tout reconstruire depuis zéro.

L’équipe de conformité LBC de BMC combine une expertise technique en réglementation LBC/FT avec une expérience concrète des inspections SEPBLAC et de la défense de clients dans des procédures pénales de blanchiment de capitaux. Contactez-nous pour une revue de votre programme sans engagement.

Sources et cadre réglementaire

• BOE — Loi 10/2010 du 28 avril relative à la prévention du blanchiment de capitaux et du financement du terrorisme
• BOE — Décret Royal 304/2014 portant application de la Loi 10/2010
• SEPBLAC — Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales
• FATF — Rapport d’évaluation mutuelle Espagne 2023
• EUR-Lex — Sixième Directive Anti-Blanchiment (6AMLD) 2018/1673
• EUR-Lex — Règlement AMLA (UE) 2024/1620
• Ministère espagnol de l’Économie — Secretaría General del Tesoro