Logiciel de conformité LBC/FT au Rwanda : guide d'achat pour les banques, la microfinance, les sociétés de paiement et les EPNFD (2026)

Réponse courte : Un bon logiciel de conformité en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT) pour une personne déclarante rwandaise remplit bien cinq fonctions : il filtre les clients au regard des données de sanctions et de personnes politiquement exposées (PPE) assez vite pour respecter le délai que fixe le Centre de renseignement financier (FIC) en matière de sanctions, qui se compte en heures ; il note le risque client ; il surveille les transactions sur tous les canaux que vous exploitez ; il transforme les alertes en dossiers documentés à temps pour respecter la règle des 24 heures applicable aux déclarations de soupçon (STR) ; et il achemine les STR et les déclarations fondées sur des seuils jusqu'au FIC via goAML. Choisissez sur la base de preuves issues de démos scénarisées sur vos propres données, et comparez les coûts sur trois ans selon la même base.

Ce guide s'adresse aux responsables de la conformité, aux directeurs des risques et aux équipes achats des banques, institutions de microfinance, prestataires de services de paiement, émetteurs de monnaie électronique, bureaux de change, sociétés de transfert de fonds, assureurs, acteurs des marchés de capitaux, prestataires de services d'actifs virtuels et entreprises et professions non financières désignées (EPNFD) du Rwanda. La loi n° 001/2025 et le règlement n° 002/FIC/2026 du FIC fixent les obligations, et les délais sont courts : 24 heures pour une transaction suspecte, deux jours ouvrables pour une déclaration fondée sur un seuil, et 24 heures entre la désignation d'une personne sanctionnée et le gel des fonds.

Creodata propose un logiciel de conformité LBC/FT au Rwanda : nous disons donc clairement, vers la fin, où nous nous situons. Les critères qui précèdent sont ceux que nous utiliserions pour choisir n'importe quel fournisseur. C'est un guide pratique, et non un avis juridique : vérifiez les exigences au regard du droit en vigueur et des orientations du FIC et de votre autorité de contrôle.

Ce que fait un logiciel de conformité LBC/FT

Un logiciel LBC/FT transforme vos données clients et transactionnelles en décisions que tout programme LBC/FT doit prendre, et conserve la preuve de chacune.

Le guide complet des plateformes LBC/FT détaille chaque fonction.

Qui a besoin d'un logiciel LBC/FT au Rwanda

La loi n° 001/2025 s'applique aux personnes déclarantes énumérées à son article 8 : les institutions financières ; les avocats, notaires, huissiers de justice professionnels et autres professionnels du droit pour certaines missions définies ; les auditeurs, comptables et conseillers fiscaux ; les agents immobiliers ; les commerçants en métaux précieux ou en pierres précieuses ; les entreprises de distribution d'argent ; les casinos et les établissements de jeux de loteries nationales ; les prestataires de services à la fiducie et à la société commerciale ; et les prestataires de services d'actifs virtuels. Lors de notre vérification du 1er octobre 2026, la page du FIC consacrée à la conformité en recensait environ 3 500 dans un tableau non daté : 408 institutions financières et 3 128 EPNFD.

La National Bank of Rwanda (Banque nationale du Rwanda, BNR) supervise les banques, les institutions de microfinance, les assureurs et les fonds de pension, les prestataires de services de paiement, les bureaux de change, les institutions financières non collectrices de dépôts et les prestataires de services à la fiducie et à la société commerciale. La Capital Market Authority (CMA) supervise les acteurs des marchés de capitaux et, en vertu de la loi n° 023/2026, agrée les entreprises d'actifs virtuels. Des organismes professionnels, le ministère de la Justice, la Rwanda Revenue Authority, le Rwanda Mining Board et le Rwanda Development Board supervisent les EPNFD, et le FIC supervise directement les agents immobiliers.

Toutes les institutions n'ont pas besoin du même système. Les lignes directrices LBC/FT de 2023 de la BNR attendent d'une institution financière de grande taille, présente en de nombreux endroits ou comptant un grand nombre de clients à risque plus élevé qu'elle utilise une surveillance automatisée, tandis qu'un bureau de change, une petite institution de microfinance ou une EPNFD a généralement besoin d'abord d'un filtrage, d'une notation des risques et de déclarations fiables, à un coût adapté à sa taille.

Les exigences rwandaises qui orientent le choix

La plupart des démos se ressemblent jusqu'à ce que vous les confrontiez aux règles qui s'appliquent réellement à vous. Sauf mention de la loi, les numéros d'articles ci-dessous sont ceux du règlement n° 002/FIC/2026 du FIC.

• Les déclarations via goAML. Le FIC reçoit les déclarations sur son portail goAML, goweb.fic.gov.rw. Les banques déposent leurs déclarations des transactions en espèces et des virements électroniques en XML dès que le FIC les autorise à passer en production, et le FIC publie son schéma, ses règles métier et un validateur XML. Demandez à chaque fournisseur un fichier construit selon le schéma du FIC, et la façon dont il suit chaque déclaration après sa transmission.
• Les STR dans les 24 heures. L'obligation couvre les tentatives de transaction et tous les montants (loi, article 32), et le règlement impose de déclarer la transaction ou l'activité « endéans 24 heures à compter de sa survenance » (article 39). Le tri, l'investigation et la décision du responsable de la conformité doivent tous tenir dans ce délai.
• Les déclarations fondées sur des seuils dans les deux jours ouvrables. Le règlement fixe 10 millions FRW pour un client occasionnel, 3 millions FRW dans un casino, 15 millions FRW pour les commerçants en métaux précieux ou en pierres précieuses, et 1 million FRW lorsqu'un virement électronique est en jeu, les transactions liées étant additionnées (articles 41 et 42). La FAQ et les modèles bancaires du FIC décrivent encore la règle de 2023, selon laquelle les institutions financières déclaraient les transactions en espèces de 10 millions FRW ou plus pour tous leurs clients et les virements de 1 million FRW ou plus : le système doit donc offrir des seuils paramétrables, et vous devriez confirmer les attentes actuelles auprès du FIC. Consultez notre guide des déclarations goAML au FIC du Rwanda.
• Un filtrage des sanctions qui se compte en heures. Le règlement du FIC sur les sanctions financières ciblées exige un filtrage au regard de la liste consolidée des Nations unies et de la liste nationale du Rwanda, avant toute nouvelle relation d'affaires comme à chaque modification des listes, et un gel « sans préavis ». Les orientations du FIC de janvier 2026 sur le principe « sans délai » prévoient le filtrage de tous les clients dans les 5 heures, un rapport négatif dans les 2 heures suivant le filtrage et, en cas de correspondance, un gel et un rapport dans les 6 heures suivant la fin du filtrage. Ses orientations de 2025 y ajoutent un filtrage lors des revues de connaissance du client (KYC), à chaque modification des informations sur le client et avant le traitement de toute transaction, à partir du nom, de la date de naissance, de la nationalité, de l'adresse et de la pièce d'identité. Un moteur de filtrage qui ne met à jour ses listes qu'une fois par jour ne peut pas tenir ce rythme de manière fiable.
• Les virements électroniques. Au-delà d'un seuil de minimis de 1 million FRW, les virements transfrontaliers comportent les noms et numéros de compte du donneur d'ordre et du bénéficiaire, l'adresse et la date de naissance du donneur d'ordre, et des identifiants pour les personnes morales. L'institution destinataire rapproche le nom et le compte du bénéficiaire de ses propres données et traite comme suspects les virements auxquels manquent les informations requises (articles 22 à 30).
• PPE et bénéficiaires effectifs. « Une personne politiquement exposée étrangère est toujours considérée comme un client à haut risque » (article 10), avec l'autorisation de la haute direction et des vérifications sur l'origine du patrimoine et des fonds. Les PPE nationales relèvent des mêmes mesures lorsque la relation présente un risque plus élevé. Les lignes directrices du FIC sur les bénéficiaires effectifs considèrent comme une participation de contrôle plus de 25 % des actions, ou au moins 25 % des droits de vote.
• Évaluation annuelle des risques, audit et rapport de conformité. L'évaluation institutionnelle des risques est documentée et refaite au moins une fois par an (article 5). L'audit indépendant a lieu au moins une fois par an et porte sur « la fiabilité, l'intégrité et le respect de délai des rapports internes et réglementaires et la gestion des systèmes d'informations » (article 33). Un rapport annuel de conformité est adressé à votre autorité de contrôle, avec copie au FIC (article 44).
• Des documents conservés dix ans. Les relevés de transactions, les dossiers de vigilance, les documents de filtrage des sanctions, les affaires refusées et les registres de formation sont conservés au moins 10 ans (loi, article 21). La ligne directrice du FIC de janvier 2026 sur la conservation des documents y ajoute les notes internes sur les décisions de déclarer ou non, des contrôles d'accès, des journaux d'activité des utilisateurs et des sauvegardes pour chaque système de stockage, ainsi qu'un registre des destructions.
• Les attentes de la BNR en matière de surveillance. Pour les institutions que supervise la BNR, ses lignes directrices de 2023 prévoient que le système de surveillance doit être capable d'agréger les transactions fractionnées et de signaler les transactions inhabituelles, que la direction réexamine périodiquement les critères de filtrage et les seuils, et que la méthodologie et l'efficacité du système fassent l'objet d'une validation indépendante. Les institutions déclarent chaque semaine à la BNR le nombre de STR et de déclarations des transactions en espèces transmises au FIC, et chaque mois les comptes de PPE. Le règlement n° 63/2023 de la BNR sanctionne le « manquement à l'obligation de maintenir un système interne de détection et de signalement des activités inhabituelles et suspectes » d'une amende allant de 10 millions FRW pour une banque commerciale à 250 000 FRW pour la plus petite catégorie.

Notre guide de la loi n° 001/2025 détaille ces obligations. Si votre groupe est aussi présent au Kenya ou en Ouganda, consultez nos guides d'achat pour le KenyaEN et l'OugandaEN : les règles y sont différentes.

Les types de fournisseurs de logiciels LBC/FT au Rwanda

Une recherche de logiciel ou de solutions LBC/FT au Rwanda fait apparaître des fournisseurs de natures très différentes. Savoir à quel type de fournisseur vous avez affaire vous indique ce qu'il faut tester.

Ces types peuvent se combiner, par exemple un service de vérification d'identité à l'entrée en relation et un système LBC/FT pour tout ce qui suit, à condition qu'ils partagent une même fiche client.

Critères d'évaluation

Notez chaque fournisseur selon les mêmes exigences, pondérées avant la première démo.

Comment mener l'évaluation

1. Fixez les priorités avec la conformité, les risques, l'informatique et les achats avant de rencontrer les fournisseurs.
2. Dressez une liste élargie de fournisseurs et écartez ceux qui ne satisfont pas à vos exigences impératives.
3. Lancez un appel d'offres (RFP) avec vos questions et les preuves attendues. Notre liste de contrôle et grille de notation gratuites pour l'appel d'offres LBC/FTEN a été rédigée pour le Kenya, mais la plupart des exigences restent valables une fois que vous y substituez le FIC, la loi n° 001/2025 et votre autorité de contrôle.
4. Organisez des démos scénarisées sur vos propres données : une PPE étrangère à l'entrée en relation ; une quasi-correspondance avec la liste nationale du Rwanda ; une mise à jour de la liste des Nations unies refiltrée sur toute votre clientèle, chronomètre en main ; un virement transfrontalier entrant sans informations sur le donneur d'ordre ; des dépôts en espèces d'un même client occasionnel qui dépassent ensemble 10 millions FRW ; et une alerte menée jusqu'à une STR transmise, avec le délai de 24 heures visible tout au long du processus.
5. Appelez des références de taille et de secteur comparables, et demandez ce qui s'est mal passé.
6. Notez individuellement, puis harmonisez en comité, et archivez la grille de notation avec les documents de décision.

Combien coûte un logiciel LBC/FT au Rwanda

Les fournisseurs tarifent leurs logiciels LBC/FT de façons très différentes : demandez donc à chaque fournisseur présélectionné de détailler les mêmes postes sur trois ans :

• Licence : par module ou par niveau, par client ou par compte, par transaction, ou un forfait entreprise.
• Données de listes : les données sur les sanctions, les PPE et les informations négatives dans les médias font souvent l'objet d'un abonnement distinct.
• Mise en œuvre : cartographie des données, intégration au système central, paramétrage des règles et formation, plus les déplacements si l'équipe du fournisseur est basée hors du Rwanda.
• Hébergement : abonnement et consommation cloud, ou serveurs et exploitation sur site.
• Support, y compris la question de savoir si les modifications du schéma goAML, des seuils et des modèles du FIC sont couvertes.
• Devise : dollars américains ou francs rwandais, et qui supporte le risque de change.
• Effort interne : le temps de vos analystes et de votre équipe informatique pendant et après la mise en œuvre.

Une licence moins chère peut masquer des coûts plus élevés de données, d'intégration ou de demandes de modification : comparez donc les totaux sur trois ans, pas les devis de la première année.

Signaux d'alerte

• Le fournisseur ne peut pas montrer un fichier goAML construit selon le schéma du FIC, ou présente les déclarations au FIC comme une fonctionnalité à venir.
• Le processus de traitement des STR n'a pas de compteur de délai, ou ne le déclenche qu'à la fin de l'investigation.
• Les listes de sanctions se mettent à jour par un lot quotidien fixe plutôt qu'à chaque modification publiée par les Nations unies ou le FIC, ou le refiltrage de toute votre clientèle prend plus que les 5 heures du FIC.
• Les seuils sont codés en dur, ou le système ignore les transactions liées.
• Un administrateur peut modifier ou supprimer des entrées de la piste d'audit.
• Les réponses sur le lieu de stockage de vos données sont vagues ou changent d'une réunion à l'autre.
• Les exigences impératives reçoivent pour réponse des dates de feuille de route.

La place de Creodata

Creodata est un éditeur de logiciels basé à Nairobi, et notre logiciel de conformité LBC/FT est la réponse d'un fournisseur régional aux critères ci-dessus. Il couvre le filtrage des sanctions, des PPE et des informations négatives dans les médias, avec une correspondance multi-écritures et un processus de traitement des faux positifs ; la notation des risques clients selon le pays, le secteur d'activité, le produit, le canal, le comportement et l'exposition PPE ou sanctions, avec des dérogations soumises au principe des quatre yeux ; la surveillance des transactions par lots et en flux continu, avec tests rétrospectifs ; la gestion des dossiers avec vigilance renforcée ; et un journal d'audit en ajout seul. Les déclarations suivent un cycle de vie brouillon, relecture, approbation et transmission, et notre logiciel de déclaration goAML pour le Rwanda, distinct, génère et valide le fichier destiné au portail du FIC, avec un téléchargement manuel si le portail est indisponible.

L'édition cloud fonctionne sur Microsoft Azure en tant qu'Azure Managed Application. Azure n'a pas de région au Rwanda : si les données doivent rester dans le pays ou dans votre propre centre de données, choisissez l'édition sur site, qui offre les mêmes fonctionnalités. Les modules font l'objet de licences distinctes, réparties en niveaux Starter, Growth et Enterprise : un bureau de change ou une EPNFD peut ainsi commencer par le filtrage, la notation des risques et les bases de la gestion des dossiers, et une banque exploiter la suite complète. D'un pays à l'autre, c'est la configuration qui change, pas le code : consultez la page Logiciel de conformité LBC/FT au Rwanda pour voir à quel module correspond chaque obligation rwandaise, et la présentation du produit LBC/FT pour l'ensemble des modules, ou réservez une démo et apportez vos propres scénarios.

Questions fréquentes

Quel est le meilleur logiciel LBC/FT au Rwanda ?

Il n'existe pas de meilleur système dans l'absolu, seulement celui qui correspond le mieux à la taille, aux canaux et aux risques de votre institution. Présélectionnez deux ou trois fournisseurs qui satisfont à vos exigences impératives, faites-leur dérouler les mêmes démos scénarisées sur vos propres données, et notez-les selon une même grille pondérée qui intègre la règle des 24 heures du FIC pour les STR et son délai de filtrage des sanctions.

Combien coûte un logiciel LBC/FT au Rwanda ?

Cela varie, car les fournisseurs tarifent différemment : par module ou par niveau, par client ou par compte, selon le volume de transactions, ou sous forme de licence entreprise, les données de listes, la mise en œuvre et l'hébergement étant souvent facturés en sus. Demandez à chaque fournisseur présélectionné de détailler sur trois ans, dans la même devise, les coûts de licence, de données, de mise en œuvre, d'hébergement et de support, et comparez les totaux.

Un logiciel LBC/FT transmet-il les déclarations au FIC ?

Les déclarations de soupçon et les déclarations fondées sur des seuils parviennent au FIC via son portail goAML. Ce qui compte, c'est que le logiciel produise des fichiers construits selon le schéma du FIC et suive chaque déclaration après sa transmission. Demandez un exemple de fichier validé, et demandez comment le fournisseur gère les modifications du schéma, des seuils et des modèles du FIC. Chez Creodata, le logiciel LBC/FT gère le cycle de vie des déclarations, et la plateforme de déclaration goAML de Creodata, distincte, génère et valide le fichier.

Quels sont les délais de déclaration des STR et des déclarations fondées sur des seuils au Rwanda ?

Une transaction suspecte est déclarée « endéans 24 heures à compter de sa survenance », quel que soit le montant (article 39 du règlement n° 002/FIC/2026). Les transactions en espèces, les virements électroniques et les transferts de valeurs au-delà des seuils du FIC sont déclarés dans les deux jours ouvrables suivant la transaction (article 42). Consultez notre guide des déclarations de soupçon au Rwanda.

Les institutions de microfinance, les sociétés de paiement et les EPNFD rwandaises ont-elles besoin d'un logiciel LBC/FT ?

Généralement oui, dès que les volumes augmentent. Les obligations de base ne diminuent pas avec la taille : la règle des 24 heures pour les STR, le délai de filtrage des sanctions, l'évaluation annuelle des risques et la conservation des documents pendant 10 ans s'appliquent à toute personne déclarante. Les lignes directrices de la BNR attendent une surveillance automatisée dans les grandes institutions et dans celles qui comptent de nombreux clients à risque plus élevé, et son règlement sur les sanctions frappe d'amendes les institutions qui ne maintiennent pas de système de détection et de déclaration des activités suspectes. Une petite EPNFD peut travailler manuellement pendant un temps, mais il lui sera difficile de prouver qu'elle a refiltré chaque client dans les 5 heures suivant une modification de liste sans un système qui horodate chaque étape.

Un logiciel LBC/FT doit-il être hébergé dans le cloud ou sur site au Rwanda ?

Les deux peuvent convenir : le cloud se met en place plus vite et s'adapte plus facilement à la croissance, tandis que le déploiement sur site garde les données dans votre propre centre de données. Microsoft n'a pas de région Azure au Rwanda : ses régions Azure en Afrique se trouvent en Afrique du Sud, si bien qu'un système hébergé sur Azure stocke les données hors du pays. La ligne directrice du FIC sur la conservation des documents cite les plateformes cloud qui assurent une résidence locale des données comme un exemple de stockage sécurisé, aux côtés de serveurs internes à accès restreint et sauvegardés régulièrement. Décidez avec vos équipes juridiques et risques de ce qui est acceptable, vérifiez ce que votre autorité de contrôle attend en matière d'externalisation, et demandez à chaque fournisseur où les données sont stockées et traitées, et si les deux options offrent les mêmes fonctionnalités.

Combien de temps faut-il pour mettre en œuvre un logiciel LBC/FT ?

Cela dépend surtout des données et de l'intégration, et non du logiciel. Le filtrage et la notation des risques exigent des données clients propres ; la surveillance des transactions exige aussi des flux fiables en provenance de chaque canal, y compris le mobile money et les agents. Un plan par étapes, qui commence par le filtrage et la notation des risques et ajoute la surveillance une fois les flux éprouvés, réduit les risques. Demandez aux fournisseurs un plan qui nomme les responsabilités de part et d'autre.

---

Découvrez comment le logiciel de conformité LBC/FT au Rwanda de Creodata répond à ces critères : réservez une démo et apportez vos propres scénarios.