Arrêté du 28 mars 2021 relatif à la certification de conformité des services d’entrée en relation d’affaires à distance

JO du 7 avril 2021

Afin de lutter contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT), le code monétaire et financier impose notamment des obligations aux personnes physiques et morales assujetties aux règles de LCB-FT, en particulier en matière d’identification à distance.

 En application de l’article L.561-5 du code monétaire et financier, ces personnes physiques et morales doivent ainsi avant d’entrer en relation d’affaires avec leur client ou de l’assister dans la préparation ou la réalisation d’une transaction :

* identifier leur client et, le cas échéant, le bénéficiaire effectif ;
* vérifier ces éléments d’identification sur présentation de tout document écrit à caractère probant.
Dans ce cadre, ce texte vient préciser la procédure de certification de conformité des services d’entrée en relation d’affaire à distance.

Il invite le service à compétence nationale nommé « Agence nationale de la sécurité des systèmes d’information » à publier sur son site internet :

* un référentiel technique précisant les exigences applicables aux services d’entrée en relation d’affaires à distance ;
* les exigences applicables aux organismes chargés de l’évaluation et de la certification de ces services.
La certification de la conformité des services d’entrée en relation d’affaires à distance au référentiel technique est assurée par des organismes de certification autorisés. Précisément, le texte fixe les conditions en application desquelles le service à compétence nationale mentionné ci-dessus autorise ces organismes à certifier la conformité des services d’entrée en relation d’affaire à distance. A défaut de tels organismes, la certification est réalisée directement par ce service à compétence nationale.

Dans ce cadre et en premier lieu, ce texte fixe la procédure applicable à l’autorisation par le service à compétence nationale des organismes de certification. La demande d’autorisation doit être adressée au service à compétence nationale par l’organisme candidat. Ce service publie sur son site internet la liste des pièces à joindre à cette demande. Dès réception du dossier complet, le service à compétence nationale procède à son instruction et en informe l’organisme candidat.

Dans le cadre de l’instruction de la demande d’autorisation, le service à compétence nationale contrôle sur pièce et sur place l’organisme candidat. Il évalue notamment, dans le cadre de son contrôle, la compétence du personnel, les moyens, les ressources et l’activité antérieure de l’organisme. En fonction des résultats du contrôle, le service à compétence nationale peut accorder une autorisation à l’organisme candidat. Il lui notifie sa décision.

Une autorisation est valable pour une durée maximale de trois ans et peut être renouvelée. Le service à compétence nationale publie sur son site internet la liste des organismes de certification qu’il autorise. Il peut contrôler à tout moment que les organismes de certification qu’il a autorisés continuent de respecter les exigences applicables. Le texte précise les cas dans lesquels le service peut suspendre ou retirer les autorisations qu’il a accordées.

En second lieu, ce texte définit la procédure de certification des services d’entrée en relation d’affaire à distance par les organismes autorisés. Cette procédure comporte une évaluation du respect par ces services des exigences mentionnées dans le référentiel technique. Elle peut être réalisée par un organisme de certification autorisé ou par un organisme distinct respectant les exigences applicables aux organismes chargés de l’évaluation et de la certification de ces services. Lorsque la certification est assurée directement par le service à compétence nationale, l’évaluation est réalisée par un organisme distinct de ce dernier.

Le texte précise les éléments que les organismes de certification autorisés doivent publier sur leur site internet. Dans le cadre de la procédure de certification, les organismes de certification autorisés ou, s’il est chargé de cette certification, le service à compétence nationale, procèdent à des tests sur les services proposés par les prestataires candidats.

Les certifications sont accordées par les organismes de certification autorisés ou le service à compétence nationale après avis du ministre de l’Intérieur. Les certifications accordées sont valables pour une durée de deux ans renouvelables.

Les organismes de certification autorisés et le service à compétence nationale publient sur leur site internet la liste des services d’entrée en relation d’affaires à distance qu’ils ont certifiés. Ils peuvent contrôler à tout moment que les services qu’ils ont certifiés continuent de respecter les exigences applicables.

Le texte précise les cas dans lesquels les organismes de certification autorisés ou le service à compétence nationale peuvent suspendre ou abroger les certifications qu’ils ont accordées.