CRS/AEOI : le vrai test, ce n’est pas de déclarer. C’est de pouvoir le prouver

Un client ouvre un compte. Il coche une case, signe une auto-certification, et l’affaire semble classée. Trois ans plus tard, un contrôle interne découvre que son adresse a changé, que sa résidence fiscale n’a jamais été mise à jour, et que l’établissement a continué à le déclarer  ou pire, à ne pas le déclarer sur la base d’une information périmée.

Ce scénario n’a rien d’exceptionnel. C’est même, pour beaucoup d’établissements financiers, le quotidien du CRS (Common Reporting Standard), la norme commune de déclaration portée par l’OCDE dans le cadre de l’AEOI (Automatic Exchange of Information).

Sur le papier, le principe est limpide : identifier les comptes concernés, déterminer la résidence fiscale de leurs titulaires, et transmettre l’information aux administrations compétentes. Dans la réalité d’un établissement financier, avec des dizaines de systèmes, des référentiels clients qui ne se parlent pas toujours entre eux et des milliers de dossiers à traiter, la mécanique se révèle nettement plus exigeante.

Pourquoi le CRS existe

Remontons un peu en arrière. À la sortie de la crise financière de 2008, la lutte contre l’évasion fiscale devient une priorité politique mondiale. Les États-Unis dégainent les premiers avec FATCA, un dispositif unilatéral et coercitif. Le G20, lui, demande à l’OCDE de construire quelque chose de plus large : un standard que la majorité des pays du monde pourraient adopter ensemble.

C’est ainsi que naît le CRS, adopté par l’OCDE en février 2014. Contrairement à FATCA, il ne cible pas une nationalité en particulier. Il repose sur un principe plus universel : la résidence fiscale. Si vous êtes résident fiscal d’un pays participant, et que vous détenez un compte financier dans un autre pays participant, votre établissement doit, sous certaines conditions, en informer l’administration fiscale qui la transmettra à votre pays de résidence.

En France, ce mécanisme repose sur l’article 1649 AC du Code général des impôts, modifié par la loi de finances rectificative pour 2015, et précisé par le décret n° 2016-1683 du 5 décembre 2016.

Le dispositif en trois mouvements : identifier, déterminer, déclarer

Derrière la complexité apparente du CRS, la logique tient en trois étapes.

Identifier  l’établissement doit d’abord savoir s’il est lui-même concerné. Toutes les entreprises ne sont pas des « institutions financières déclarantes » au sens du CRS : établissements de dépôt, conservateurs d’actifs, certaines entités d’investissement et certains organismes d’assurance en font partie, selon des critères précis fixés par décret.

Déterminer  une fois ce statut établi, il faut identifier la résidence fiscale de chaque titulaire de compte, et parfois celle des personnes qui contrôlent une entité cliente.

Déclarer  enfin, transmettre les informations requises à l’administration fiscale nationale, qui se charge de l’échange avec les juridictions partenaires.

Simple à énoncer. Beaucoup moins simple à industrialiser à l’échelle d’un portefeuille de plusieurs centaines de milliers de comptes.

L’auto-certification : bien plus qu’une formalité

Au cœur du dispositif se trouve un document que beaucoup de clients remplissent sans y prêter attention : l’auto-certification. C’est elle qui permet à l’établissement de documenter la ou les résidences fiscales déclarées par le titulaire.

Mais cette auto-certification n’a de valeur que si elle est cohérente avec le reste du dossier client. Le décret français est explicite sur ce point : pour les nouveaux comptes d’entités, l’établissement doit vérifier la vraisemblance de l’auto-certification au regard des informations déjà recueillies à l’ouverture du compte.

Autrement dit : une auto-certification qui contredit l’adresse enregistrée, le numéro de téléphone, ou les éléments du dossier KYC n’est pas simplement suspecte. Elle doit déclencher une vérification complémentaire.

Les indices qui ne mentent pas (ou qui, du moins, doivent alerter)

Quand l’auto-certification ne suffit pas à trancher, le CRS prévoit une recherche d’indices de rattachement fiscal :

• une adresse de résidence ou postale à l’étranger ;
• un numéro de téléphone étranger ;
• un ordre de virement permanent vers un compte situé dans un autre pays ;
• une adresse « poste restante » ou « à l’attention de » ;
• une procuration donnée à une personne résidant à l’étranger.

Un point mérite d’être souligné : la présence d’un indice ne rend pas automatiquement un compte déclarable. Elle oblige simplement l’établissement à pousser l’analyse un cran plus loin. C’est précisément à cet endroit que la qualité des données fait toute la différence entre un dispositif qui fonctionne et un dispositif qui multiplie les faux positifs.

Le cas des entités : quand il faut remonter jusqu’au bénéficiaire final

Pour les personnes morales, le CRS impose une étape supplémentaire : classifier l’entité, puis, si elle est qualifiée d’« entité non financière passive » (Passive NFE), identifier les personnes physiques qui la contrôlent réellement.

Bonne nouvelle pour les équipes conformité : le décret français autorise, dans certains cas, à s’appuyer sur les informations déjà collectées au titre de la lutte contre le blanchiment de capitaux (AML/CFT) pour identifier ces personnes. Le CRS n’est donc pas condamné à fonctionner en vase clos — il peut, et il devrait, s’articuler avec les données KYC et AML déjà en possession de l’établissement.

Ce qui doit être déclaré, concrètement

Catégorie	Exemples
Identification du titulaire	Nom, adresse et informations d’identification requises
Résidence fiscale	Juridiction(s) de résidence fiscale
Identification fiscale	NIF / TIN lorsque requis
Compte	Numéro de compte ou identifiant équivalent
Valeur du compte	Solde ou valeur en fin de période
Revenus financiers	Intérêts, dividendes et autres revenus concernés

CRS et FATCA : cousins, pas jumeaux

Il est tentant de traiter le CRS comme une simple extension de FATCA. C’est une erreur qui coûte cher en organisation. Les deux dispositifs partagent un objectif — la transparence fiscale — mais reposent sur des logiques différentes.

CRS / AEOI	FATCA
Standard international développé par l’OCDE	Dispositif fiscal américain
Approche multilatérale	Approche centrée sur les États-Unis
Critère central : résidence fiscale	Critère central : statut fiscal américain
Auto-certification CRS	Formulaires fiscaux américains standardisés (W8-BEN, W8-BEN-E, W9)
Pas de retenue punitive équivalente	Retenue de 30 % possible en cas de non-conformité

Cette différence de logique coopération administrative d’un côté, coercition financière de l’autre explique pourquoi un établissement ne peut pas se contenter de dupliquer son dispositif FATCA pour traiter le CRS. Les deux référentiels doivent coexister, avec leurs règles propres.

« Le défi du CRS n’est plus seulement de déclarer. Il est de pouvoir démontrer que l’information déclarée est fiable, cohérente et maîtrisée. »

Le vrai sujet : la donnée, pas le formulaire

C’est probablement le point le plus sous-estimé du CRS. Un établissement peut avoir une procédure impeccable sur le papier et se heurter, dans les faits, à des données incomplètes, obsolètes ou tout simplement incohérentes entre systèmes.

Une adresse enregistrée dans le référentiel client qui ne correspond pas à la résidence fiscale déclarée dans l’auto-certification, elle-même différente de ce que montre le dossier KYC : ce genre d’écart, loin d’être anecdotique, est exactement ce qui transforme un dispositif CRS conforme sur le papier en un vrai risque opérationnel.

La chaîne de valeur de la donnée CRS ressemble à ceci :

Collecte → Contrôle → Classification → Enrichissement → Validation → Reporting → Contrôle qualité

Chaque maillon compte. Un seul défaillant, et c’est toute la chaîne qui perd en fiabilité.

CRS, KYC, AML : la fin des silos ?

Les établissements les plus avancés ont compris une chose : les données nécessaires au CRS recoupent largement celles déjà collectées pour le KYC et l’AML/CFT. Adresse, identité, structure de détention, personnes exerçant le contrôle ce sont souvent les mêmes informations, demandées à des moments différents, par des équipes différentes, parfois dans des systèmes différents.

L’enjeu, pour beaucoup d’organisations, n’est donc plus de collecter davantage de données, mais d’éviter de les collecter deux fois et surtout d’éviter qu’elles se contredisent d’un référentiel à l’autre.

Qui porte le sujet, en interne ?

Le CRS n’appartient à aucune direction en particulier. C’est précisément ce qui en fait un sujet difficile à piloter.

• Compliance s’assure que les procédures répondent aux exigences réglementaires.
• KYC / Onboarding collecte l’information dès l’entrée en relation.
• Operations traite les dossiers et les exceptions au quotidien.
• Data garantit la qualité et la traçabilité des informations.
• IT fournit les systèmes capables de collecter, rapprocher et transmettre les données en toute sécurité.
• Contrôle interne identifie les anomalies et les écarts.

Six fonctions, un seul dispositif. C’est souvent là que les projets CRS achoppent : non pas sur la compréhension de la règle, mais sur la coordination entre équipes qui ne parlent pas toujours le même langage.

Un dossier jamais vraiment clos

Autre piège fréquent : traiter le CRS comme une case à cocher une fois pour toutes à l’ouverture du compte. Or la situation d’un client évolue déménagement, changement de statut, restructuration d’une entité, nouvelle personne aux commandes. Chacun de ces événements peut remettre en cause une auto-certification déjà en place.

L’administration fiscale française le rappelle d’ailleurs explicitement : les établissements peuvent demander une nouvelle auto-certification dès qu’un changement de circonstances est identifié. Le CRS doit donc être pensé comme un processus de surveillance continue, pas comme une formalité d’entrée en relation.

Ce qui change depuis 2026

Le cadre CRS n’est pas figé. L’OCDE a fait évoluer le standard pour élargir son périmètre à certains produits de monnaie électronique, aux monnaies numériques de banque centrale et à certaines expositions aux crypto-actifs une version consolidée a été publiée en 2025.

Côté français, le décret n° 2025-1277 du 19 décembre 2025 est venu modifier le décret de 2016, avec plusieurs dispositions entrées en vigueur au 1er janvier 2026, notamment sur le traitement de certains produits liés aux crypto-actifs.

Le message est clair : la conformité CRS n’est jamais un chantier terminé. C’est un dispositif vivant, qui doit pouvoir absorber les évolutions réglementaires sans tout reconstruire à chaque fois.

Vers l’industrialisation

À mesure que les volumes augmentent, le traitement artisanal montre ses limites. Les établissements les plus matures orientent leurs efforts vers cinq capacités clés :

1. Centraliser les données réglementaires pour obtenir une vision cohérente du client ;
2. Automatiser les contrôles de cohérence et de complétude ;
3. Gérer les exceptions en orientant les cas complexes vers les bonnes équipes ;
4. Assurer la traçabilité de chaque décision de classification ;
5. Sécuriser le reporting par des contrôles systématiques avant transmission.

Cette trajectoire rapproche naturellement des fonctions qui, historiquement, travaillaient chacune de leur côté : Compliance, Data, Operations et IT.

En conclusion

Le CRS/AEOI n’est plus un simple exercice déclaratif annuel. C’est un test permanent de la capacité d’un établissement à connaître réellement ses clients, à maintenir des données fiables dans la durée, et à documenter chaque décision de classification.

Sa coexistence avec FATCA, le KYC et l’AML/CFT ne simplifie pas l’équation elle impose une approche intégrée, où réglementation, données et opérations avancent ensemble plutôt qu’en silos.

Le défi du CRS n’est plus seulement de déclarer. Il est de pouvoir démontrer que l’information déclarée est fiable, cohérente et maîtrisée.

 

Références réglementaires et sources

• OCDE, Consolidated text of the Common Reporting Standard, publié le 2 juin 2025 (standard adopté en février 2014, évolutions ultérieures intégrées)
• OCDE, Automatic Exchange of Information: Guide on Promoting and Assessing Compliance by Financial Institutions
• France : Code général des impôts, article 1649 AC
• France : Loi n° 2015-1786 du 29 décembre 2015 (article 44)
• France : Décret n° 2016-1683 du 5 décembre 2016
• France : Décret n° 2025-1277 du 19 décembre 2025 (entrée en vigueur au 1er janvier 2026)
• France : BOFiP, BOI-INT-AEA-20-40
• France : DGFiP, informations sur l’auto-certification de résidence fiscale
• États-Unis : Internal Revenue Service (IRS), documentation FATCA

Dernière vérification des références : septembre 2026.