e-KYC et LBA/FT en Tunisie : les règles de l'onboarding

La Tunisie dispose désormais de règles écrites pour l'e-KYC, qui permet d'ouvrir un compte sans passer en agence : une circulaire pour les banques en février 2025, une autre pour les établissements de paiement en septembre 2026. Les deux s'appuient sur un dispositif de lutte contre le blanchiment et le financement du terrorisme (LBA/FT) qui se durcit à l'approche d'une nouvelle évaluation internationale. Pour les fintechs, l'entrée en relation à distance est maintenant légale, mais elle s'accompagne d'obligations d'audit, de tests et de reporting.

Le socle LBA/FT

Le dispositif repose sur la loi organique n° 2015-26 du 7 août 2015 relative à la lutte contre le terrorisme et à la répression du blanchiment d'argent, modifiée par la loi organique n° 2019-9 du 23 janvier 2019. Elle impose aux banques, établissements de paiement, intermédiaires en Bourse et autres assujettis d'identifier leurs clients, de surveiller les opérations et de déclarer leurs soupçons.

Les déclarations sont adressées à la Commission tunisienne des analyses financières (CTAF), la cellule de renseignement financier tunisienne. Depuis 2021, elles transitent par la plateforme goAML. La circulaire n° 2017-08 de la Banque centrale de Tunisie (BCT) sur l'identification de la clientèle reste la référence en matière de vérification d'identité.

La pression internationale

• Le Parlement européen a inscrit la Tunisie sur la liste européenne des pays à haut risque en février 2018, selon North Africa Post.
• Le Groupe d'action financière (GAFI) l'a retirée de sa liste des juridictions sous surveillance renforcée lors de sa plénière d'octobre 2019.
• Dans son rapport de suivi de 2020, le GAFI jugeait la Tunisie conforme ou largement conforme pour 36 de ses 40 recommandations, sans aucune note « non conforme ».
• En juin 2025, le CMF annonçait que la Tunisie serait soumise à une évaluation mutuelle du GAFIMOAN durant la période 2025-2026.

Cette évaluation explique le resserrement de la supervision ces dernières années. Un mauvais résultat renchérirait les relations de correspondance bancaire pour l'ensemble du secteur, fintechs comprises.

Les chiffres : des déclarations de soupçon en forte hausse

Selon le rapport d'activité 2024 de la CTAF, repris par WMC et La Presse :

• La CTAF a reçu 1 236 déclarations de soupçon en 2024, soit 45 % de plus qu'en 2023.
• Les établissements de paiement en ont transmis 119, contre 4 en 2023. La CTAF l'explique surtout par l'exposition des mandats internationaux aux réseaux de trafic de migrants.
• Parmi les dossiers traités, plus de 61 % concernaient le trafic de migrants et 15 % les paris sportifs.
• La CTAF cite les technologies numériques, en particulier les crypto-actifs, comme un risque croissant (voir le statut des cryptoactifs en Tunisie). La mise à jour de l'évaluation nationale des risques inclut pour la première fois les établissements de paiement.

Le message est clair : les superviseurs considèrent désormais les fintechs comme une véritable zone de risque.

Banques : la circulaire 2025-06 sur l'enrôlement électronique

Le 28 février 2025, la BCT a publié la circulaire n° 2025-06, qui fixe les règles minimales de l'enrôlement électronique des clients par les banques, après avis du comité de contrôle de la conformité. Ses six chapitres et 18 articles imposent notamment de :

• recourir à un procédé automatisé ou semi-automatisé pour collecter, vérifier et conserver les données d'identification ;
• atteindre un niveau de vérification au moins équivalent à celui exigé en présence physique du client, au sens de la circulaire 2017-08 ;
• appliquer des mesures de vigilance proportionnées au profil de risque ;
• s'appuyer sur la reconnaissance faciale et la biométrie, avec un faible taux d'identités acceptées à tort, calculé selon une méthode définie par le texte ;
• chiffrer les dossiers KYC, stocker les pièces d'identité de façon sécurisée et en contrôler régulièrement l'intégrité ;
• tester les technologies avant leur déploiement, tenir un registre de performance et prévoir des procédures en cas de tentative de fraude.

Établissements de paiement : la circulaire 2026-10

Le 25 septembre 2026, la BCT a publié la circulaire n° 2026-10 relative aux établissements de paiement, qui remplace la circulaire 2018-16. Selon Managers, elle entre en vigueur trois mois après sa publication. Elle autorise explicitement l'entrée en relation à distance si la vérification est au moins aussi robuste qu'une identification en face à face :

• contrôle de l'authenticité des pièces et de la présence effective du client (preuve de vie) ;
• authentification à au moins deux facteurs ;
• consentement explicite au traitement des données personnelles ;
• tests avant mise en production, tests d'intrusion et audits de sécurité par des organismes agréés par l'Agence nationale de la cybersécurité (ANCS), puis audits au moins tous les deux ans et après tout changement majeur.

Le KYC est graduel : plus le niveau de compte est élevé, plus les informations exigées sont nombreuses, avec les plafonds présentés dans le graphique ci-dessous. Les retraits d'espèces sont limités à 3 000 dinars par jour au niveau 2 et à 10 000 dinars au niveau 3. Une personne ne peut détenir qu'un compte de paiement par établissement. Pour le cadre d'agrément, voir notre article sur les établissements de paiement en Tunisie.

Ce que cela change pour les fondateurs

• L'onboarding à distance est un produit réglementé, pas une simple fonctionnalité. Il faut budgéter les audits par des organismes agréés par l'ANCS, les tests d'intrusion et les recertifications.
• Concevoir par niveaux. Un compte de niveau 1 permet aux portefeuilles mobiles d'enrôler vite ; les plafonds supérieurs supposent une vigilance complète.
• La biométrie est une donnée personnelle. Consentement, chiffrement et conservation recoupent les obligations de protection des données.
• La surveillance compte autant que l'enrôlement. La hausse des déclarations des établissements de paiement montre que le superviseur attend un vrai suivi des opérations, notamment transfrontalières.
• Le prestataire ne décharge pas de la responsabilité. Qu'il soit local ou étranger, les tests, audits et la gestion des incidents restent à la charge de l'établissement agréé.

Avec l'évaluation du GAFIMOAN en cours, les superviseurs vérifieront la mise en œuvre réelle de ces règles, pas seulement leur existence sur le papier.