La vérification des documents n'est pas un programme KYC. Elle ne l'a jamais été.

Le marché du KYC souffre d'un problème de définition.

Chaque année, les établissements financiers réglementés lancent des appels d’offres intitulés « solution KYC ». Ils reçoivent des propositions émanant de spécialistes de la vérification d’identité, de plateformes de lecture de documents et d’opérateurs de BPO chargés de l’examen de documents en grande quantité. Tous ces prestataires apportent des solutions à de réels problèmes opérationnels. Aucun d’entre eux ne propose toutefois de programme de conformité « Know Your Customer » (KYC). La confusion n’est pas d’ordre sémantique : il s’agit d’une lacune structurelle que les régulateurs sont de mieux en mieux à même d’identifier, et avec le règlement anti-blanchiment (AMLR), qui entrera en vigueur en juillet 2027, le coût de cette confusion est sur le point de devenir vérifiable.

Principaux enseignements

• Les termes « KYC » et « vérification d'identité » ne sont pas synonymes. Un processus KYC réglementé comporte au moins huit étapes distinctes, chacune étant assortie de ses propres obligations en matière de traçabilité. La vérification des documents couvre les deux premières. Les six autres ne sont absolument pas prises en charge par un outil de vérification d'identité.
• Les spécialistes de l'IDV se limitent à la vérification de l'identité. La conformité intervient après la vérification du document. Le filtrage anti-blanchiment, la notation des risques, la cartographie du graphique des bénéficiaires effectifs finaux (UBO), la diligence raisonnable renforcée (EDD) et la surveillance continue ne relèvent pas, par nature, du périmètre architectural d'un outil de vérification d'identité.
• Les prestataires de services externalisés (BPO) apportent une dimension humaine à ce même processus incomplet. L'examen manuel de documents à grande échelle présente un intérêt opérationnel. Il ne génère toutefois ni piste d'audit structurée, ni moteur de notation des risques configurable, ni fonctionnalité d'examen périodique automatisé.
• Le KYC n’est pas une séquence linéaire. Il s’agit d’un processus continu, déclenché par des événements. Toute nouvelle information, qu’il s’agisse d’un changement de bénéficiaire effectif, d’une couverture médiatique négative ou d’une anomalie dans une transaction, peut relancer n’importe quelle étape à tout moment. Les outils ponctuels conçus pour des vérifications ponctuelles ne sont pas en mesure de gérer cela. Découvrez notre point de vue sur surveillance KYC. 
• La réglementation AMLR 2027 fait de chaque paramètre de conformité une responsabilité institutionnelle. Les entités réglementées doivent documenter, justifier et assumer chaque décision en matière de conformité. « C'est notre prestataire qui s'en est chargé » n'est pas une réponse vérifiable face à un organisme de réglementation.
• L'écart entre la vérification des documents et l'orchestration du KYC est d'ordre architectural, et non fonctionnel. Il ne peut être comblé en ajoutant davantage de solutions ponctuelles ou en augmentant les effectifs. Il nécessite une couche d'orchestration dédiée, reposant sur un système de référence en matière de conformité.

Que signifie réellement « KYC » pour une autorité de régulation ?

Le terme « KYC » est utilisé de deux manières distinctes sur le marché. La première est d'usage courant : il s'agit de tout processus impliquant une vérification de l'identité d'une personne. La seconde relève de la réglementation : il s'agit de l'ensemble des obligations auxquelles un établissement soumis à surveillance doit se conformer avant d'établir une relation d'affaires, et tout au long de cette relation.

Les autorités de régulation utilisent la deuxième définition. Les recommandations du Groupe d’action financière (GAFI), les cinquième et sixième directives anti-blanchiment de l’UE (AMLD5/AMLD6) et la future directive AMLR décrivent le KYC comme un processus de conformité en plusieurs étapes, dont la mise à jour est assurée en continu. La conformité en matière de lutte contre la criminalité financière coûte déjà 274,1 milliards de dollars aux institutions financières à l’échelle mondiale (LexisNexis Risk Solutions, 2023). Une grande partie de ce coût est due à des processus fragmentés et manuels, articulés autour d’outils ponctuels qui ne couvrent que la partie visible d’une obligation bien plus vaste.

Dans la pratique, un programme KYC / « Know Your Business » (KYB) conforme comprend huit étapes distinctes :

1. Collecte: Recueillir les informations d'identification et les documents auprès du client ou de la personne morale
2. Vérification d'identité (IDV): s'assurer que la personne est bien celle qu'elle prétend être, à l'aide de méthodes certifiées
3. Cartographie des bénéficiaires effectifs: identification et vérification de la chaîne des bénéficiaires effectifs (UBO) pour les personnes morales
4. Vérification préalable en matière de lutte contre le blanchiment d'argent: vérification de toutes les parties concernées par rapport aux listes de sanctions, aux registres des personnes politiquement exposées (PPE) et aux informations négatives parues dans la presse
5. Évaluation des risques: classification du client sur la base d'une matrice de risques configurable et propre à l'établissement
6. Vérification renforcée (EDD): examen approfondi des profils à haut risque, déclenché automatiquement lorsque certaines conditions sont remplies
7. Décision en matière de conformité: approbation ou rejet de la relation, accompagnée d'une justification documentée
8. Suivi continu et réévaluation périodique: réévaluer en permanence le profil de risque tout au long du cycle de vie du client

Chacune de ces étapes entraîne des obligations. Des données spécifiques doivent être collectées et conservées. Les décisions doivent être documentées et traçables. Les paramètres doivent être configurables et justifiables par l'institution elle-même. La vérification des documents concerne l'étape 2. Parfois l'étape 1. Les six autres sont laissées à la charge d'un tiers.

Ces huit étapes ne constituent pas un modèle en cascade. C’est l’erreur la plus courante commise par les établissements dans la conception de leurs programmes de conformité, et par les prestataires dans leur approche commerciale. Un véritable programme KYC n’est pas une séquence que l’on exécute une seule fois lors de onboarding. Il s’agit d’un ensemble de tâches conditionnelles qui s’adaptent en permanence aux nouvelles informations. Un changement dans la structure de l’UBO au cours de la troisième année relance l’étape 3. Une alerte médiatique défavorable relance l’étape 4 et peut déclencher l’étape 6. Un changement de produit de la part de l’établissement relance les étapes 5 et 7 pour des segments de clientèle entiers. Tout outil, ou toute externalisation des processus métier (BPO), reposant sur l’hypothèse que le KYC est un onboarding linéaire échouera dès que la complexité du monde réel entrera en jeu.

Où s'arrêtent réellement les spécialistes de l'IDV ?

Les prestataires de services de vérification des documents d'identité (IDV) répondent à une question : cette personne est-elle bien celle qu'elle prétend être ? Ils numérisent un document, en extraient les données, effectuent des contrôles de présence et renvoient un résultat. Les meilleurs d’entre eux sont certifiés : en France, les prestataires opérant selon la norme PVID (Prestataire de Vérification d’Identité à Distance) sont accrédités par l’ANSSI et satisfont à l’exigence « Niveau d’assurance substantiel » du règlement eIDAS. Cette certification est importante. Son champ d’application est également défini de manière précise et strictement limité à l’identité.

Un outil d’identification des personnes physiques (IDV) ne connaît pas l’appétit pour le risque de votre établissement. Il ne peut pas appliquer votre matrice de risques. Il ne procède pas à une vérification croisée de la personne identifiée par rapport aux listes consolidées de l’Office of Foreign Assets Control (OFAC), des Nations unies ou de l’Union européenne. Il ne cartographie pas les structures des bénéficiaires effectifs (UBO). Il ne déclenche pas de vérification approfondie (EDD) sur la base d’un signalement de personnalité politique exposée (PEP) ou d’une chaîne de propriété complexe. Il ne rend pas de décision en matière de conformité. Il génère un score de correspondance biométrique et un résultat de validation des documents.

La décision en matière de conformité qui découle de ce résultat relève de votre établissement. Les autorités de régulation vous imposent de justifier chaque paramètre utilisé pour prendre cette décision : quelles listes ont été analysées, quel seuil de correspondance a été retenu, qui a examiné le signalement, quelle procédure de vérification renforcée (EDD) a été appliquée et pourquoi. Aucune de ces informations n’est disponible au sein d’un outil IDV.

Il est essentiel de noter qu’un outil d’IDV est conçu pour un moment précis : le onboarding . Il n’a pas d’état. Il ne sait pas ce qui est arrivé au client le mois dernier, ne peut pas réagir à une mise à jour de la liste des sanctions ce soir, et ne peut pas signaler que le document qu’il a vérifié il y a deux ans est désormais périmé. Il ne s’agit pas d’une lacune fonctionnelle, mais d’un choix architectural. Les outils d’IDV sont conçus pour répondre à une question ponctuelle. Le KYC est une obligation permanente.

Lorsqu'un établissement réglementé choisit un prestataire de services d'identification des utilisateurs (IDV) et qualifie ce dernier de « solution KYC », il a ainsi franchi la deuxième étape sur huit. Les six obligations restantes constituent un passif non traité, qui se retrouve dans les boîtes de réception des e-mails, les tableurs et le jugement individuel des responsables de la conformité.

Quels sont les avantages d'un BPO ? Et quels sont ses inconvénients ?

Le recours à un prestataire de services d'externalisation des processus métier (BPO) dans le cadre du KYC permet d'ajouter des vérificateurs humains à la phase de vérification des documents. Les analystes examinent les documents, signalent les anomalies et transmettent les dossiers aux équipes internes chargées de la conformité. Cela résout un véritable problème : l'examen d'un grand nombre de documents prend beaucoup de temps, et le jugement humain avisé permet de détecter les cas limites que les systèmes automatisés ne parviennent pas à repérer.

Cela résout précisément ce problème. Aucun autre.

Voici les failles structurelles qui apparaissent lorsqu'un établissement réglementé s'appuie sur des prestataires de vérification de documents, une couche de BPO ou une combinaison des deux pour constituer son infrastructure KYC :

• Il n'existe pas de processus structuré de dépistage en matière de lutte contre le blanchiment d'argent. Les contrôles relatifs aux sanctions et aux personnes politiquement exposées (PPE) sont effectués de manière ponctuelle, voire pas du tout, sans seuil de correspondance configurable ni trace documentée de la prise de décision.
• Il n'existe pas de système d'évaluation des risques. La classification des risques liés aux clients repose sur le jugement individuel des analystes, et non sur une matrice reproductible et vérifiable mise au point par l'équipe chargée de la conformité.
• Pas de gestion centralisée des bénéficiaires effectifs. Les structures de propriété effective sont consignées dans des documents, mais elles ne font l'objet d'aucune modélisation, d'aucune vérification par rapport aux registres, ni d'aucune mise à jour au fil du temps.
• Il n'existe pas de déclenchement automatique de l'EDD. Les profils à haut risque font l'objet d'une remontée informelle, sans règle systématique définissant quand l'EDD est requise ni ce qu'elle doit contenir.
• Pas de suivi des événements juridiques. Le statut des entités juridiques évolue en permanence : procédures d'insolvabilité, liquidations, transferts de propriété. Un service d'externalisation des processus métier (BPO) analyse les documents à un moment donné. Il ne assure pas le suivi en temps réel de la situation juridique des entités de votre portefeuille.
• Aucune anomalie n'est signalée par rapport aux sources officielles. Lorsqu'un client déclare des informations relatives à la propriété qui contredisent celles figurant dans le registre officiel, une plateforme automatisée les signale immédiatement. Les vérificateurs humains qui travaillent à partir de documents n'ont pas la capacité de recouper chaque donnée avec celles du registre en temps réel au moment de la vérification, et encore moins de manière continue.
• Absence de processus de résolution des alertes de filtrage. Lorsqu'une correspondance PEP ou une alerte liée aux sanctions est détectée, elle doit faire l'objet d'une enquête, être validée, documentée et résolue de manière traçable. Un prestataire de services externalisés (BPO) gère ce processus au moyen d'escalades par e-mail et de notes. Ce processus ne génère aucune piste d'audit pouvant être examinée par une autorité de régulation.
• Absence de piste d'audit. L'historique des décisions, des signalements et des examens est dispersé entre les fils de discussion par e-mail, les espaces de stockage partagés et les notes de dossier. Il n'est pas exportable, ne comporte pas d'horodatage au niveau de chaque décision et ne peut être invoqué en cas de contrôle réglementaire.
• Pas de contrôle périodique. Les dossiers clients ne sont pas automatiquement signalés lorsque des documents arrivent à expiration, que la structure de l'actionnariat change ou que des seuils réglementaires sont franchis.
• Pas d'évolutivité. Chaque augmentation de volume nécessite une augmentation proportionnelle des effectifs. Il n'existe aucun levier d'automatisation sur lequel s'appuyer.

Au-delà de ces défaillances opérationnelles, il existe un problème réglementaire structurel souvent négligé : lorsque les données de conformité sont dispersées entre case management d’un prestataire de services externalisés (BPO), le portail d’un fournisseur de solutions IDV, l’export hebdomadaire d’un outil de filtrage et un CRM, l’établissement n’est pas en mesure de présenter aux autorités de régulation une vue cohérente et unifiée d’un client donné. Le risque ne s’évalue pas en examinant isolément des points de données individuels. Il s’évalue en analysant la cohérence des signaux tout au long de l’historique complet d’un client. Les autorités de contrôle commencent à sanctionner non seulement les mauvaises décisions individuelles en matière de conformité, mais aussi l’impossibilité structurelle de disposer de cette vue d’ensemble cohérente en l’absence d’un système centralisé permettant de la centraliser. Une infrastructure de conformité fragmentée constitue en soi un risque sur le plan de la surveillance.

Pourquoi l'AMLR 2027 fait-il de cet écart un problème urgent ?

Bruna Szego, présidente de l'Autorité européenne de lutte contre le blanchiment d'argent (AMLA), s'est exprimée sans détour sur la cause du problème que ce règlement vise à résoudre :

L'AMLR (règlement (UE) n° 2024/1624), qui entrera en vigueur en juillet 2027, constitue la réponse structurelle de l'Union européenne. Pour les établissements réglementés, l'obligation qui en découle est claire : une infrastructure de conformité fragmentée engendre les mêmes failles sur le plan opérationnel.

L'AMLR n'introduit pas tant de nouvelles obligations qu'elle lève les ambiguïtés pesant sur celles qui existent déjà et les rend directement applicables dans tous les États membres de l'UE (Parlement européen, 2024). Trois dispositions répondent directement à la lacune décrite ci-dessus.

Traçabilité des paramètres de conformité. Chaque paramètre de filtrage appliqué à un dossier client, y compris les listes consultées, les seuils de correspondance utilisés et les alertes examinées, doit être documenté et attribuable à l'établissement. Le fait de déléguer ces paramètres à une configuration fournie par un prestataire sur laquelle l'établissement n'exerce aucun contrôle n'est pas conforme.

Les exigences en matière d’identification des clients ont été considérablement renforcées. L’AMLR restreint considérablement les conditions dans lesquelles s’applique la « due diligence simplifiée » (SDD), rendant ainsi l’identification des clients quasi universelle dans la pratique. Les établissements qui se sont appuyés sur de larges exemptions « à faible risque » pour reporter ou réduire onboarding devront revoir leurs programmes. Le volume va augmenter. Les établissements ne disposant pas d’un processus automatisé de vérification d’identité (IDV) intégré à un flux de conformité coordonné devront traiter ce volume manuellement.

Vérification de la propriété effective. Les AMLR renforcent les exigences en matière de vérification de la propriété effective. Les structures de propriété à plusieurs niveaux doivent faire l'objet d'une vérification, et non pas simplement d'une déclaration. Il s'agit d'un processus qui nécessite l'accès aux registres, un modèle de données capable de représenter des structures complexes, ainsi qu'une décision traçable pour chaque niveau de la chaîne de propriété. Il ne s'agit pas d'une simple lecture de documents.

Chacune de ces exigences conduit à la même conclusion structurelle : les établissements soumis à la réglementation ont besoin d'une couche d'orchestration de la conformité, et non d'un ensemble d'outils ponctuels.

À quoi ressemble concrètement le système KYC de référence en environnement de production ?

Cette évolution se concrétise au niveau de la production. Dans les établissements financiers français réglementés qui ont remplacé leurs infrastructures de conformité fragmentées par une couche d’orchestration dédiée, onboarding onboarding des entreprises passe d’une moyenne de 1,5 jour à moins de 30 minutes. Le temps consacré par les équipes de conformité aux opérations de KYB diminue de 58 %. Les taux d’automatisation atteignent 85 % ou plus, les 15 % restants étant acheminés vers des réviseurs humains pour les cas véritablement complexes, car il y aura toujours des décisions nécessitant un jugement humain et pour lesquelles aucune automatisation ne saurait se substituer à celui-ci (Ondorse, 2026).

La plateforme d’orchestration héberge la couche décisionnelle en matière de conformité : la matrice des risques, la configuration du filtrage, les règles de déclenchement de l’EDD, la piste d’audit et le calendrier des révisions périodiques. Les outils ponctuels y transmettent des données. Chaque décision, qu’elle soit automatisée ou prise par un humain, est traçable, horodatée et exportable à la demande. C’est ce que les autorités de régulation examinent. Elles ne vérifient pas si des documents ont été collectés, mais si l’établissement est en mesure de démontrer qu’il dispose d’un processus de conformité structuré, reproductible et configurable pour chaque client de son portefeuille, à tout moment.

Alors, quelles questions une équipe chargée de la conformité devrait-elle réellement poser lorsqu'elle évalue des prestataires de services KYC ?

La bonne question n'est pas « Ce fournisseur applique-t-il les procédures KYC ? ». Tous les fournisseurs du marché répondront par l'affirmative. Les bonnes questions s'articulent autour des six domaines fonctionnels qu'une véritable plateforme de conformité opérationnelle doit couvrir :

Interface client et onboarding

• La plateforme prend-elle en charge onboarding adaptative onboarding ajuste les exigences en matière de données et de documents en fonction du type d'entité, de la juridiction et du niveau de risque, sans intervention du service informatique ?
• Le portail peut-il être rouvert à n'importe quel moment du cycle de vie du client afin de demander des informations supplémentaires ou de procéder à une mise à jour des données KYC ?

Lutte contre le blanchiment d'argent et contrôles des entités

• La plateforme effectue-t-elle automatiquement un recoupement entre les données déclarées et les registres officiels, et signale-t-elle automatiquement les divergences ?
• Permet-il de cartographier l'intégralité des structures d'actionnariat, y compris les chaînes de bénéficiaires effectifs à plusieurs niveaux, et de remonter jusqu'aux personnes physiques bénéficiaires effectifs en dernier ressort ?
• Assure-t-il un suivi continu des événements juridiques, notamment des procédures d'insolvabilité et des changements de propriété ?

Dépistage de la LMA

• Quelles sont les listes utilisées pour le filtrage (OFAC, UE, ONU, nationales) ? Quel est le seuil de correspondance appliqué ? Et qui configure ces paramètres ?
  
• La plateforme propose-t-elle un processus documenté et vérifiable de résolution des alertes de filtrage, directement au sein de la plateforme et non par e-mail ?
• Le système déclenche-t-il automatiquement une alerte lorsqu'un client existant ou une partie liée figure pour la première fois sur une liste de personnalités politiquement exposées (PEP) ou dans une base de données de sanctions ?

Évaluation des risques et prise de décision

• Le moteur d'évaluation des risques peut-il être configuré par l'équipe chargée de la conformité sans avoir à faire appel au service informatique ?
• Qui est responsable de la prise de décision en matière de conformité : le fournisseur ou l'établissement ?

Audit et rapports

• Est-il possible d'exporter, sur demande, l'historique complet des opérations, comprenant chaque décision, chaque paramètre et chaque action effectuée par les réviseurs, à l'intention d'une autorité de régulation ?
• Chaque décision est-elle horodatée et peut-elle être rattachée à un paramètre précis et à une personne identifiée ?

Suivi continu et examen périodique

• Que se passe-t-il au moment des évaluations périodiques, à grande échelle, sans augmenter les effectifs ?
• Lorsque le profil de risque d'un client évolue au cours de son cycle de vie, quel système prend en charge cet événement et le transmet correctement ?

Un spécialiste IDV ne répond à aucune de ces questions. Un prestataire BPO répond à certaines d'entre elles, de manière informelle, en recourant à la main-d'œuvre humaine et sans résultat traçable. Une plateforme d'orchestration de la conformité est conçue pour répondre à toutes ces questions.

Pour aider votre équipe à organiser cette évaluation, Ondorse a publié un modèle gratuit d'appel d'offres couvrant l'ensemble des fonctionnalités d'une plateforme dédiée aux opérations de conformité, prêt à être envoyé aux fournisseurs.

Ondorse est conçue comme une plateforme d’orchestration de la conformité et comme le système de référence pour les données KYC. La vérification d’identité est assurée par des partenaires certifiés, notamment des prestataires accrédités PVID pour les établissements soumis à la réglementation française. La couche d’orchestration, qui couvre la notation des risques, le filtrage AML, le mappage des bénéficiaires effectifs (UBO), les workflows EDD, la piste d’audit et les révisions périodiques, est intégrée à la plateforme et peut être configurée directement par l’équipe de conformité, sans intervention du service informatique. Ondorse n’est pas un routeur reliant des solutions ponctuelles existantes. Il s’agit du système de référence où les données de conformité sont conservées dans leur contexte approprié : organisées autour du risque, et non autour des interactions commerciales. C’est cette distinction qui donne tout leur sens à l’IA, à l’automatisation et aux contrôles effectués par des tiers, car sans une vue structurée et centrée sur le risque de chaque client, aucun de ces outils ne dispose du contexte nécessaire à son fonctionnement.

Pour découvrir comment la plateforme gère l'ensemble du cycle de conformité, rendez-vous sur ondorse.co/solutions. Pour en savoir plus sur la manière de structurer votre évaluation des fournisseurs, consultez Comment choisir le bon logiciel de gestion de la conformité.