- Un **IBAN virtuel (vIBAN)** a le même format qu'un IBAN classique mais redirige les paiements vers un compte master identifié par un IBAN différent : pour un tiers, les deux sont visuellement indiscernables.
- L'Autorité bancaire européenne (ABE) a documenté ce risque dans son rapport EBA/Rep/2024/08 de mai 2024, après un exercice de collecte d'informations mené en 2023-2024 auprès des prestataires de services de paiement européens.
- Le risque de blanchiment central tient à l'utilisateur final : il peut rester inconnu de l'établissement qui tient le compte master, en particulier lorsque les vIBAN sont distribués par un établissement tiers établi dans un autre État membre.
- L'article 22(3) du règlement (UE) 2024/1624 (AMLR) impose désormais une identification et une vérification explicites de l'utilisateur d'un IBAN virtuel, d'application directe en Belgique dès le 10 juillet 2027.
- Un établissement belge qui héberge des comptes master pour des partenaires de paiement doit documenter le numéro de vIBAN, les dates d'ouverture et de clôture du compte sous-jacent, et contractualiser l'accès à l'identité de l'utilisateur final avant d'activer la relation.
Un identifiant qui ressemble à un IBAN mais qui n'en est pas un
L'IBAN virtuel s'est installé discrètement dans l'infrastructure de paiement européenne, porté par la montée de l'embedded finance et des plateformes qui distribuent des moyens de paiement sans détenir elles-mêmes d'agrément bancaire complet. Techniquement, un vIBAN a exactement le même format qu'un IBAN classique : seize caractères en Belgique (code pays, clé de contrôle, code banque et numéro de compte). La différence se joue en amont, invisible pour l'expéditeur du paiement.
Un vIBAN redirige un paiement vers un compte master, lui-même identifié par un IBAN différent de celui qui a été communiqué au payeur. Ce compte master peut être ouvert au nom de l'utilisateur final du vIBAN, ou au nom d'un établissement tiers qui répartit ensuite les flux entre plusieurs clients. C'est cette seconde configuration, documentée par l'Autorité bancaire européenne (ABE) dans son rapport sur les IBAN virtuels publié en mai 2024, qui concentre l'essentiel du risque AML/CFT.
Pourquoi l'ABE a tiré la sonnette d'alarme
Le rapport de l'ABE résulte d'un exercice de collecte mené en 2023 et 2024 auprès des prestataires de services de paiement de plusieurs États membres. Il part d'un constat simple : rien, dans la structure d'un vIBAN, ne permet à un tiers de le distinguer d'un IBAN ordinaire. Un fournisseur, un partenaire commercial ou une contrepartie bancaire qui reçoit un vIBAN sur une facture ou un ordre de virement n'a aucun moyen de savoir, à la lecture du numéro, qu'il s'agit d'un identifiant redirigé.
L'ABE relève plusieurs familles de risques. Le premier concerne directement la lutte contre le blanchiment : l'utilisateur final du vIBAN peut rester inconnu de l'établissement qui tient le compte master, notamment lorsque les vIBAN sont distribués par un établissement tiers, potentiellement établi dans un autre État membre que celui du compte master. Le rapport documente également des interprétations divergentes entre autorités nationales de contrôle sur la qualification même d'un vIBAN, des zones d'ombre dans le reporting au titre de la directive sur les services de paiement (PSD2) lorsque l'utilisateur final n'est pas lui-même titulaire du compte master, et des risques pour la protection des utilisateurs qui ignorent parfois sous quel régime de garantie des dépôts leurs fonds sont réellement couverts.
| Criterion | IBAN classique | IBAN virtuel (vIBAN) |
|---|---|---|
| Compte associé | Un compte, un IBAN, une correspondance directe | Redirige vers un compte master identifié par un IBAN différent |
| Identification du titulaire par un tiers | Déductible du format (code banque, code pays du titulaire) | Non déductible : visuellement indiscernable d'un IBAN classique |
| Qui connaît l'utilisateur final | L'établissement teneur de compte, directement | Potentiellement un distributeur tiers, pas l'établissement teneur du compte master |
| Cadre AML explicite avant 2027 | Oui, vigilance client standard | Aucune disposition dédiée avant l'AMLR |
L'AMLR comble le vide juridique à partir de 2027
Jusqu'à l'entrée en application du règlement (UE) 2024/1624, dit AMLR, aucun texte européen ne définissait juridiquement l'IBAN virtuel ni n'imposait d'obligation de vigilance qui lui soit propre. L'AMLR reprend la définition posée par l'ABE, qualifiant le vIBAN d'identifiant causant la redirection d'un paiement vers un compte de paiement identifié par un IBAN différent de cet identifiant, et en fait pour la première fois un objet de vigilance à part entière.
L'article 22(3) de l'AMLR impose aux établissements de crédit et établissements financiers qui émettent des IBAN virtuels d'identifier et de vérifier l'identité de toute personne physique ou morale à laquelle un IBAN virtuel est attribué pour utilisation, selon les mêmes verbes que l'identification standard prévue à l'article 22(1). Ce règlement étant d'application directe, sans loi de transposition, les établissements belges concernés y seront soumis dès le 10 juillet 2027, date d'application générale de l'AMLR dans les vingt-sept États membres.
Collecte d'informations ABE
2023-2024L'Autorité bancaire européenne interroge les prestataires de services de paiement sur l'émission et l'usage des IBAN virtuels dans le marché intérieur.
Publication du rapport ABE
Mai 2024Le rapport EBA/Rep/2024/08 documente les risques AML/CFT, de reporting PSD2 et de protection des utilisateurs, et appelle à une clarification réglementaire.
Adoption de l'AMLR
31 mai 2024Le règlement (UE) 2024/1624 reprend la définition du vIBAN et introduit, à son article 22(3), une obligation explicite d'identification de l'utilisateur final.
Rapport final de l'AMLA sur la norme technique
1er octobre 2026L'AMLA transmet à la Commission européenne le rapport final du projet de norme technique sur la vigilance client, qui précise les informations à documenter pour un utilisateur de vIBAN : identité, numéro de vIBAN, dates d'ouverture et de clôture du compte sous-jacent. Le texte doit encore être adopté par la Commission avant publication au Journal officiel.
Application directe en Belgique
10 juillet 2027L'AMLR s'applique sans transposition : les établissements belges qui émettent, distribuent ou hébergent des IBAN virtuels doivent être en conformité à cette date.
Ce que l'article 22(3) impose concrètement
Pour un établissement belge, l'obligation se décompose en trois éléments cumulatifs. D'abord, les données d'identification standard déjà exigées pour tout client au titre de l'article 22(1) de l'AMLR : nom, date de naissance ou numéro d'immatriculation, adresse, et les pièces justificatives habituelles. Ensuite, le numéro d'IBAN virtuel lui-même, qui doit être rattaché nommément à la personne qui l'utilise. Enfin, les dates d'ouverture, et le cas échéant de clôture, du compte de paiement ou bancaire sous-jacent, c'est-à-dire du compte master.
Un projet de norme technique de réglementation sur la vigilance à l'égard de la clientèle, élaboré sous mandat de l'Autorité de lutte contre le blanchiment (AMLA), détaille ce même triptyque pour les établissements qui attribuent des IBAN virtuels à leurs clients. La consultation publique sur ce projet s'est close en mai 2026, et l'AMLA a transmis son rapport final à la Commission européenne le 1er octobre 2026 : le texte doit encore être adopté par la Commission et publié au Journal officiel avant de devenir contraignant, mais il confirme déjà la direction prise par l'article 22(3), sans en modifier la substance.
Ce qu'un établissement belge émetteur ou distributeur de vIBAN doit documenter
Identité complète de l'utilisateur final
Mêmes données que pour un titulaire de compte classique, y compris lorsque la relation commerciale est portée par un partenaire tiers.
Numéro de l'IBAN virtuel attribué
Rattaché nommément à la personne physique ou morale qui l'utilise, pas seulement au contrat-cadre de distribution.
Dates d'ouverture et de clôture du compte sous-jacent
Compte master associé, pour permettre une reconstitution rapide de la chaîne en cas de demande de la CTIF.
Accès contractuel plus rapide que le délai légal de 5 jours ouvrables
Clause imposant au partenaire qui distribue les vIBAN de transmettre l'identité de l'utilisateur final plus vite que le plancher fixé par l'article 22(3) de l'AMLR.
Qualification PSD2 du compte sous-jacent
Statut clarifié avant mise en service, pour éviter une divergence de traitement entre le reporting paiement et le dossier AML.
Le point aveugle : quand le distributeur n'est pas le teneur du compte master
Le cas le plus délicat, et celui que l'ABE met le plus en avant, survient lorsque l'établissement qui distribue les IBAN virtuels à ses clients n'est pas celui qui tient le compte master sous-jacent. Dans ce schéma, fréquent dans les montages de banking-as-a-service, l'établissement teneur du compte master voit transiter des flux attribués à des vIBAN dont il ne connaît, par défaut, ni l'utilisateur final ni l'historique de relation.
L'AMLR ne laisse pas ce point à la seule négociation contractuelle : l'article 22(3) prévoit déjà un canal légal pour le combler. L'établissement émetteur du vIBAN doit transmettre l'identité de l'utilisateur final à l'établissement qui tient le compte master sans délai et, en tout état de cause, dans les cinq jours ouvrables suivant la demande de ce dernier.
Cette logique rejoint celle déjà posée pour la correspondance bancaire : un établissement qui exécute des opérations pour le compte d'un tiers reste tenu d'une vigilance sur le client final de ce tiers, même quand il ne le voit jamais directement. Le registre central des comptes bancaires tenu par la BNB n'a, à ce jour, pas explicitement étendu son périmètre de déclaration aux IBAN virtuels : c'est précisément cette zone grise que l'article 22(3) de l'AMLR vient combler côté vigilance client, sans attendre une extension équivalente du registre.
S'organiser avant l'échéance de 2027
Pour un établissement de paiement, un établissement de monnaie électronique ou un établissement de crédit belge, trois chantiers méritent d'être engagés dès maintenant, avant que l'approche du 10 juillet 2027 ne transforme un ajustement progressif en course contre le calendrier.
Le premier est une cartographie exhaustive des vIBAN émis ou hébergés : combien, pour quels partenaires de distribution, avec quel niveau actuel de documentation de l'utilisateur final. Le second est la révision des conventions de distribution pour y inscrire, de façon opposable, l'obligation pour le partenaire de transmettre l'identité de l'utilisateur final sans délai. Le troisième est l'alignement du dispositif de criblage de sanctions, qui doit porter sur l'utilisateur final du vIBAN et non uniquement sur le nom affiché dans l'ordre de paiement, dans la continuité de ce qui a déjà été renforcé pour les paiements instantanés.
Pour aller plus loin
Le cadre complet des obligations AML pour les établissements de paiement belges est détaillé dans notre pilier Obligations AML des établissements de paiement en Belgique. Pour une vigilance similaire sur des flux où l'utilisateur final reste masqué par un intermédiaire, voir aussi notre article sur la correspondance bancaire et l'AML en Belgique et notre analyse du règlement sur les transferts de fonds (TFR).
Frequently asked questions
Qu'est-ce qu'un IBAN virtuel (vIBAN) ?
Un IBAN virtuel est un identifiant qui a le même format qu'un IBAN classique mais qui redirige les paiements vers un compte de paiement identifié par un IBAN différent, appelé compte master. Pour un tiers qui reçoit cet identifiant, un vIBAN est visuellement indiscernable d'un IBAN ordinaire, ce qui est précisément ce qui en fait un vecteur de risque identifié par l'Autorité bancaire européenne (ABE).
Pourquoi les IBAN virtuels présentent-ils un risque de blanchiment ?
Le risque tient à la distance entre l'identifiant visible et le compte réel : l'utilisateur final du vIBAN peut être inconnu de l'établissement qui tient le compte master, surtout lorsque les IBAN virtuels sont distribués par un établissement tiers, parfois situé dans un autre État membre. L'ABE a documenté ce risque dans son rapport de mai 2024, qui relève aussi des divergences d'interprétation entre autorités nationales et des lacunes dans le reporting PSD2 lorsque l'utilisateur ne détient pas lui-même le compte master.
Que change l'AMLR pour les IBAN virtuels en Belgique ?
L'article 22(3) du règlement (UE) 2024/1624 impose explicitement aux établissements de crédit et établissements financiers qui émettent des IBAN virtuels d'identifier et de vérifier l'identité de toute personne physique ou morale à laquelle un tel IBAN est attribué, au même niveau d'exigence que pour un titulaire de compte classique. Ce règlement est d'application directe dans les 27 États membres, y compris la Belgique, à partir du 10 juillet 2027, sans transposition nationale.
Quelles informations un établissement belge doit-il documenter pour un utilisateur de vIBAN ?
Au-delà des données d'identification standard exigées pour tout client (article 22(1) de l'AMLR), le dossier doit comporter le numéro d'IBAN virtuel attribué à la personne et les dates d'ouverture, et le cas échéant de clôture, du compte de paiement ou bancaire sous-jacent. Le projet de norme technique de réglementation sur la vigilance à l'égard de la clientèle, dont l'AMLA a transmis le rapport final à la Commission européenne le 1er octobre 2026, reprend ce même triptyque d'informations ; le texte doit encore être adopté par la Commission et publié au Journal officiel avant de devenir contraignant.
Qui est responsable de l'identification de l'utilisateur final quand le vIBAN est distribué par un tiers ?
C'est l'un des points durs relevés par l'ABE : lorsque l'IBAN virtuel est distribué par un établissement différent de celui qui tient le compte master, ce dernier doit malgré tout pouvoir obtenir l'identité de l'utilisateur final. L'article 22(3) de l'AMLR impose déjà à l'établissement émetteur du vIBAN de transmettre cette identité sans délai et, en tout état de cause, dans les cinq jours ouvrables suivant la demande. Un établissement belge qui héberge des comptes master pour des partenaires de paiement a donc intérêt à organiser contractuellement un accès plus rapide, plutôt que de découvrir ce délai légal au moment d'un incident.
Related articles
Obligations AML du huissier de justice belge : vigilance, CTIF
Obligations AML du huissier de justice en Belgique : vigilance clientèle, saisies, déclaration CTIF via goAML et transition AMLR 2027.
Obligations AML des loueurs de coffres-forts en Belgique : fin de l'anonymat
Depuis la loi du 9 février 2024, tout loueur de coffre-fort en Belgique, banque ou non, est une entité assujettie. Vigilance, interdiction de l'anonymat et limites du PCC : le guide opérationnel.
Point de contact central AML en Belgique : obligations des PSP et EME étrangers
Quand un établissement de paiement ou de monnaie électronique étranger opérant via des agents en Belgique doit désigner un point de contact central AML : critères BNB et missions du dispositif.