Le KYC expliqué : processus, exigences et API (FR)

Le KYC, ou Know Your Customer (connaissance client), est le processus qu'une organisation utilise pour établir l'identité d'un client, évaluer le risque de la relation et maintenir cette compréhension à jour. Dans les secteurs réglementés, le KYC opérationnalise la diligence raisonnable client : il relie les preuves d'identité, la vérification, l'évaluation des risques, le filtrage, les décisions, les enregistrements et l'examen continu.

Le KYC n'est pas synonyme d'une simple numérisation de document. Une vérification de document peut valider une preuve, tandis qu'un programme KYC complet décide quelle preuve est suffisante, comment les cas à risque plus élevé sont traités, quand un client doit être réexaminé et comment chaque décision peut être expliquée ultérieurement.

Points clés à retenir

• Le KYC est un cycle de vie, pas une vérification unique. Il commence avant ou pendant l'intégration et se poursuit lorsque les données d'identité, l'exposition aux sanctions, la propriété ou le comportement changent.
• L'eKYC est la prestation numérique du KYC. Il peut utiliser des documents, des bases de données faisant autorité, la biométrie, le NFC et d'autres preuves à distance, mais il ne supprime pas l'obligation de conformité sous-jacente.
• Le KYC et l'AML sont liés mais différents. Le KYC identifie et évalue le client ; l'AML est le cadre de contrôle plus large qui peut également inclure la surveillance des transactions, les enquêtes, les rapports et la gouvernance.
• Le risque détermine la profondeur. Les demandeurs à faible risque peuvent suivre un chemin plus simple, tandis que les relations à risque plus élevé peuvent nécessiter une diligence raisonnable renforcée et un examen humain.
• Une API KYC n'est qu'une partie du modèle opérationnel. Les équipes ont également besoin de politiques, d'orchestration, de gestion des exceptions, de registres d'audit, de contrôles de confidentialité et de surveillance.

Que signifie KYC ?

Le KYC signifie en savoir suffisamment sur un client pour prendre et maintenir une décision défendable concernant la relation. Les obligations légales exactes varient selon la juridiction, le secteur, le produit, le type de client et le niveau de risque. Le modèle opérationnel courant consiste à identifier le client, à vérifier des preuves fiables, à comprendre le but et la nature attendue de la relation, à évaluer le risque et à surveiller les changements importants.

Les orientations du Groupe d'action financière (GAFI) sur l'identité numérique considèrent les systèmes d'identité numérique comme un moyen de soutenir l'identification et la vérification des clients. Elles ne transforment pas un résultat technologique en conformité automatique : l'organisation réglementée reste responsable de juger si le système, le niveau d'assurance et les contrôles sont appropriés au risque.

Le KYC est souvent utilisé de manière informelle comme raccourci pour la vérification d'identité. Ce raccourci est utile dans les conversations sur les produits, mais incomplet dans un programme de conformité. La vérification d'identité répond à la question de savoir si la personne présentant des preuves est liée à l'identité revendiquée. Le KYC demande également si la relation est comprise, si le risque est acceptable et si le profil client reste à jour.

KYC, eKYC, CDD, AML, CIP et KYB comparés

Terme	Signification pratique	Portée typique	Erreur courante
KYC	Connaître et évaluer un client individuel	Identité, risque, filtrage, décisions, enregistrements, examen	Le traiter comme un téléchargement de document unique
eKYC	KYC réalisé via des canaux numériques	Capture de preuves à distance, validation, biométrie, vérifications de base de données	Supposer que « électronique » signifie une assurance inférieure
CDD	Diligence raisonnable client	Identité, bénéficiaire effectif le cas échéant, but, risque, surveillance	Réduire la CDD au filtrage des sanctions
EDD	Diligence raisonnable renforcée pour les cas à risque élevé	Plus de preuves, vérifications de l'origine des fonds ou du patrimoine, approbations, surveillance plus étroite	Appliquer le même flux de travail à chaque niveau de risque
AML	Cadre de contrôle anti-blanchiment d'argent	KYC, filtrage, surveillance des transactions, enquêtes, rapports	Utiliser KYC et AML comme termes interchangeables
CIP	Exigences d'identification du client, notamment aux États-Unis	Collecte et vérification des informations d'identification	Supposer que les règles CIP d'un pays sont universelles
KYB	Connaissance de l'entreprise	Statut de l'entité, propriété, contrôleurs, activité commerciale, personnes liées	Vérifier l'entreprise mais pas ses bénéficiaires effectifs

Ces termes se chevauchent car ils décrivent différentes couches du même problème opérationnel. Le KYC est axé sur le client. La CDD est le processus légal et opérationnel basé sur les risques. L'AML est le cadre plus large de lutte contre la criminalité financière. L'eKYC décrit le canal. Le KYB applique un raisonnement similaire à une entité juridique et à sa propriété.

Comment fonctionne le processus KYC ?

Les flux KYC les plus solides séparent la politique des preuves. La politique définit ce qui doit être prouvé et ce qui se passe à chaque niveau de risque. Les preuves et les vérifications techniques soutiennent cette politique.

1. Définir la politique et le déclencheur

Commencez par la raison de la vérification. L'ouverture de compte, une transaction réglementée, un paiement, une récupération de compte, une augmentation de limite ou un changement de profil important peuvent nécessiter des niveaux d'assurance différents. Définissez les juridictions, les types de clients, les preuves acceptées, les relations interdites, les règles d'escalade, les périodes de rétention et les propriétaires avant de choisir les champs de l'API.

2. Collecter les informations d'identification

Ne collectez que les attributs nécessaires au but et à l'obligation applicable. Les champs courants incluent le nom légal, la date de naissance, l'adresse de résidence, la nationalité et un identifiant gouvernemental. Les clients professionnels nécessitent des données d'entité et des informations sur la propriété.

La minimisation des données est importante ici. La collecte de plus de données ne crée pas automatiquement plus d'assurance ; elle peut créer des risques pour la confidentialité, la sécurité et les opérations si l'information n'a pas d'utilisation définie.

3. Résoudre l'identité revendiquée

La résolution d'identité détermine si les attributs fournis désignent une personne réelle et distincte dans la population pertinente. La preuve peut être un document délivré par le gouvernement, une accréditation numérique, un enregistrement de base de données faisant autorité ou une combinaison autorisée.

Le modèle actuel de preuve d'identité du NIST sépare la résolution, la validation et la vérification. Cette distinction est utile en dehors de l'utilisation par le gouvernement américain car elle empêche les équipes de regrouper trois questions différentes en un seul score.

4. Valider les preuves et les attributs

La validation demande si la preuve est authentique, précise et acceptable selon la politique. Un flux de documents peut inspecter le format, l'expiration, les champs imprimés et lisibles par machine, les caractéristiques de sécurité, la falsification et les données de l'émetteur. Un flux de base de données peut comparer les attributs soumis avec des sources faisant autorité ou crédibles.

La validation doit renvoyer des preuves, des avertissements et des codes de motif, pas seulement « réussi » ou « échec ». Une zone lisible par machine non concordante, un document expiré et un document non pris en charge sont des conditions opérationnelles différentes et peuvent nécessiter des actions différentes.

5. Vérifier que le demandeur est le titulaire légitime

La vérification lie la personne dans le flux à l'identité validée. Dans un flux de documents à distance, cela peut impliquer une capture en direct, une détection de vivacité et une comparaison faciale un-à-un entre le demandeur et le portrait sur la preuve.

Ces vérifications répondent à différentes questions :

• Validation de document : la preuve est-elle authentique et acceptable ?
• Correspondance faciale : le visage présenté correspond-il au portrait de référence ?
• Vivacité : une personne vivante est-elle présente lors de la capture plutôt qu'un artefact de présentation ?
• Intégrité de la capture : le média est-il passé par le capteur et le canal attendus plutôt que d'être injecté ?

Aucune réponse unique ne remplace les autres.

6. Filtrer et évaluer le risque client

L'évaluation des risques combine les résultats d'identité avec le but de la relation, la géographie, l'exposition au produit, le type de client et d'autres facteurs de politique. Si nécessaire, le filtrage peut couvrir les sanctions, les personnes politiquement exposées, les médias défavorables et d'autres sources pertinentes.

Une correspondance potentielle n'est pas nécessairement une correspondance confirmée. Les noms peuvent se heurter, les listes peuvent être incomplètes et le contexte est important. Les bons flux de travail conservent les champs correspondants et les données source, appliquent des seuils et acheminent les cas ambigus ou à risque plus élevé vers des examinateurs formés.

7. Décider, inscrire et conserver les preuves

Le résultat doit correspondre à un état explicite tel qu'approuvé, refusé, réessayer ou examen manuel. Stockez la version de la politique, les références des preuves, les réponses des fournisseurs, les codes de motif, les horodatages, les actions de l'examinateur et le raisonnement final nécessaires à l'audit et à l'appel.

Ne laissez pas le navigateur décider si l'accès est accordé. Le backend doit consommer un webhook signé ou récupérer le résultat final de l'API, vérifier l'authenticité et l'idempotence, puis mettre à jour l'état du client.

8. Surveiller et actualiser

Le KYC se poursuit après l'intégration. L'actualisation peut être périodique ou déclenchée par un événement, par exemple lorsqu'un document expire, que la propriété change, que les données de sanctions changent, que le comportement diverge du profil attendu ou qu'une action à risque plus élevé se produit. La surveillance des transactions et le filtrage AML continu sont des contrôles connexes, mais aucun ne doit réécrire silencieusement l'enregistrement d'identité original.

Qu'est-ce que l'eKYC ?

L'eKYC est le KYC effectué par des canaux électroniques. Il remplace ou complète la collecte en personne par la capture de preuves à distance, les accréditations numériques, les requêtes de bases de données faisant autorité, la vérification biométrique, les lectures de puces NFC ou une combinaison.

La question d'évaluation n'est pas « numérique ou manuel ? » C'est de savoir si les preuves, la méthode de capture, les contrôles de fraude et le processus d'exception atteignent l'assurance requise pour le cas d'utilisation. Un flux à distance bien conçu peut collecter des preuves solides et créer une piste d'audit détaillée. Un flux mal conçu peut automatiser des vérifications faibles à grande vitesse.

L'eKYC modifie également les modes de défaillance. Les équipes doivent prendre en compte les médias manipulés, les caméras virtuelles, les émulateurs d'appareils, les besoins d'accessibilité, la qualité de la caméra, la perte de réseau, les tentatives répétées et les utilisateurs qui ne peuvent pas présenter les preuves par défaut. La gestion des exceptions fait partie du contrôle, et non une simple réflexion après coup.

Comment le KYC et l'AML s'articulent-ils ?

Le KYC est l'une des composantes des contrôles AML. Il crée l'identité du client et l'image initiale du risque sur lesquelles reposent les contrôles en aval. L'AML peut également inclure le filtrage des sanctions et des PEP, le filtrage continu, la surveillance des transactions, l'enquête sur les alertes, la déclaration d'activités suspectes, la tenue de registres, la formation, la gouvernance et les tests indépendants.

La relation est plus facile à visualiser sous forme de chronologie :

1. Avant la relation : identifier, vérifier, filtrer et évaluer le risque du client.
2. Pendant la relation : surveiller l'activité et les changements par rapport au profil attendu.
3. Lorsque le risque change : actualiser les preuves, appliquer une diligence raisonnable renforcée, restreindre l'activité, enquêter ou signaler si nécessaire.
4. À la clôture : conserver les enregistrements requis et appliquer toute restriction continue.

C'est pourquoi une recherche aml kyc ne devrait pas mener à une page qui ne traite que de la capture de documents. La décision d'identité fournit le contexte ; les contrôles continus vérifient si la réalité continue de correspondre à celle-ci.

Que doit fournir une API KYC ?

Une API KYC doit offrir un contrat stable pour la création de vérifications, la réception des résultats et la gestion des exceptions. La forme exacte du point de terminaison importe moins que les garanties opérationnelles qui l'entourent.

Fonctionnalités principales de l'API

• Une référence client ou fournisseur qui associe la vérification à votre propre enregistrement.
• Idempotence pour les opérations de création et de réessai.
• Un versionnement explicite du flux de travail ou de la politique.
• Options de capture hébergées et intégrées, le cas échéant.
• Des webhooks signés et réessayables avec des états d'événement documentés.
• Un point de terminaison de récupération pour que les consommateurs puissent réconcilier les événements manqués.
• Des codes de motif structurés, des avertissements et des résultats au niveau des preuves.
• Des états distincts pour les échecs techniques, les réessais par l'utilisateur, les examens, les approbations et les refus.
• Des données de test et des scénarios de bac à sable pour les chemins de succès et d'échec.
• Documentation sur la rétention, la suppression, la résidence et le contrôle d'accès.

Un modèle d'intégration minimal

Votre backend
  -> crée une session de vérification avec une référence client interne
  -> envoie l'utilisateur vers le flux de capture approuvé
  -> reçoit un événement signé
  -> récupère la décision finale de l'API du fournisseur
  -> applique votre propre politique et transition d'état client
  -> enregistre la preuve, le motif et la version de la politique

Le résultat du fournisseur est une donnée d'entrée pour votre décision. Maintenir la limite de la politique dans votre backend permet de modifier les seuils, les fournisseurs ou les flux de travail sans perdre le contrôle de l'état du client.

Comment les équipes devraient-elles évaluer un service KYC ?

Adéquation réglementaire et d'assurance

Demandez quel modèle de preuve d'identité le service prend en charge, quelles sont les forces des preuves disponibles, quelles juridictions et quels types de clients sont couverts, et quels tests indépendants s'appliquent à chaque composant. Une certification pour un mécanisme biométrique ne certifie pas l'ensemble du parcours d'intégration.

Résistance à la fraude

Examinez la couverture des attaques documentaires, la détection des attaques de présentation, les défenses contre l'injection, l'évaluation de la correspondance faciale, les contrôles d'appareils ou d'identités répétés, et les outils d'examen manuel. Demandez les protocoles de test, les classes d'attaques, les résultats de faux positifs et de faux négatifs, et comment les performances changent en cas de compression, de faible éclairage, d'appareils plus anciens et d'attaques inconnues.

Qualité de la couverture

« Mondial » n'est pas un plan de test. Créez une matrice des pays, des types de documents, des scripts, des sources de données et des populations de clients que vous servez réellement. Exécutez des échantillons de type production et suivez les taux d'achèvement, de rejet, d'examen et de preuves non prises en charge par segment.

Qualité des décisions et opérations

Inspectez les codes de motif, les vues des preuves, les permissions des examinateurs, les journaux d'audit, les files d'attente de cas, les contrôles de réessai et les appels. Un taux d'automatisation élevé n'est pas utile si les analystes ne peuvent pas comprendre les exceptions.

Fiabilité du développeur

Testez l'idempotence, la livraison des webhooks, la vérification des signatures, l'ordonnancement, les réessais, les délais d'attente, le versionnement de l'API, les limites de débit, la réconciliation des statuts et la fidélité du bac à sable. Définissez ce qui se passe lorsqu'un utilisateur termine le flux mais que l'événement est retardé.

Confidentialité et sécurité

Associez chaque attribut collecté et artefact biométrique à un objectif, une règle de rétention, une politique d'accès, une région et un chemin de suppression. Examinez les sous-traitants, le chiffrement, la réponse aux incidents, les journaux d'accès et la capacité à séparer les environnements et les applications.

Expérience utilisateur et inclusion

Mesurez l'achèvement et le faux rejet par document, appareil, système d'exploitation, réseau, langue et groupe démographique pertinent. Fournissez des instructions de récupération claires et un chemin alternatif pour les utilisateurs qui ne peuvent pas utiliser la méthode par défaut.

Erreurs courantes de mise en œuvre du KYC

Traiter le KYC comme une porte d'accès unique

Un résultat d'intégration propre peut devenir obsolète. Les documents expirent, les listes de surveillance changent, les comptes sont piratés et les comportements évoluent. Définissez des déclencheurs d'actualisation lors de la rédaction de la politique initiale.

Confondre vérification et acceptation des risques

Une personne peut être correctement identifiée et présenter néanmoins un risque inacceptable ou élevé. Maintenez l'identité, le filtrage, le risque client et l'éligibilité commerciale comme des décisions distinctes.

Refuser automatiquement chaque correspondance potentielle de filtrage

Les noms ne sont pas des identifiants uniques. Préservez le contexte de correspondance et examinez les résultats ambigus plutôt que de convertir chaque correspondance candidate en une identité confirmée.

Utiliser un seul flux de travail pour chaque client

Les flux uniformes peuvent surcharger les utilisateurs à faible risque tout en sous-vérifiant les cas à risque plus élevé. Utilisez une approche documentée basée sur les risques avec des branches limitées et des critères d'escalade clairs.

Faire confiance à la redirection côté client

Une page de succès n'est pas une décision fiable. Confirmez le résultat côté serveur, authentifiez les événements, récupérez l'enregistrement canonique et prenez la décision d'accès dans votre propre système.

Mesurer uniquement le taux de réussite

Suivez ensemble la sécurité et les résultats utilisateur : faux positifs, faux négatifs, réessais, abandons, taux d'examen manuel, temps de résolution, preuves non prises en charge et fraude en aval. Un taux de réussite plus élevé peut être un avertissement si les contrôles se sont affaiblis.

Ignorer le chemin d'exception

Les utilisateurs réels ont des documents endommagés, des noms non concordants, des appareils limités, des handicaps et une mauvaise connectivité. Définissez les réessais, les preuves alternatives, l'examen manuel, les appels et la propriété du support avant le lancement.

La place de Didit

Didit propose des vérifications d'identité et de fraude composables qui peuvent être assemblées en un flux de travail. Le bundle KYC publié est de 0,33 $ pour la vérification d'identité, la vivacité passive, la correspondance faciale et l'analyse IP ; la formule gratuite publiée est de 500 vérifications gratuites par mois.

Pour la partie identité, voir la vérification d'identité. Pour les vérifications de présence, voir la détection de vivacité. Pour le filtrage des risques clients, voir le filtrage AML. Les équipes peuvent connecter les vérifications via l'Orchestrateur de flux de travail et consulter les tarifs au niveau du module sur la page de tarification.

Ces résultats de produits doivent toujours s'inscrire dans la politique, l'analyse juridique, le processus d'examen et le programme de surveillance de l'organisation.

Questions fréquemment posées

Que signifie KYC ?

KYC signifie Know Your Customer (connaissance client). C'est le processus d'identification d'un client, de vérification des preuves appropriées, d'évaluation du risque de la relation et de maintien à jour du profil client.

L'eKYC est-il différent du KYC ?

L'eKYC est la livraison électronique du KYC par des méthodes à distance ou numériques. L'objectif reste le même ; les preuves, la méthode de capture, les menaces de fraude et les chemins de récupération utilisateur diffèrent.

Quelle est la différence entre KYC et vérification d'identité ?

La vérification d'identité établit un lien entre une identité revendiquée et le demandeur. Le KYC utilise ce résultat en conjonction avec l'évaluation des risques, le filtrage, la politique, les enregistrements et l'examen continu.

Quelle est la différence entre KYC et AML ?

Le KYC est une partie de l'AML axée sur le client. L'AML est plus large et peut inclure la surveillance des transactions, les enquêtes, les rapports d'activités suspectes, la gouvernance et les contrôles continus.

Le KYC exige-t-il toujours un document d'identité ?

Pas universellement. Les preuves acceptées dépendent de la loi, de la politique, de l'assurance, de la juridiction et du risque. Certains flux autorisés peuvent utiliser des bases de données faisant autorité, des accréditations numériques ou des preuves combinées. Les équipes doivent confirmer l'exigence applicable plutôt que de supposer qu'une méthode convient à tous les cas.

À quelle fréquence le KYC doit-il être actualisé ?

Il n'y a pas d'intervalle universel. L'actualisation doit suivre les exigences applicables et un modèle de risque documenté, avec des examens déclenchés par des événements lorsque des signaux importants d'identité, de propriété, de sanctions, de documents ou de comportement changent.

Une API KYC peut-elle rendre une entreprise conforme ?

Aucune API ne crée la conformité par elle-même. Elle peut collecter des preuves et renvoyer des résultats structurés, tandis que l'organisation reste responsable de la politique, des décisions de risque, des exceptions, de la gouvernance, des enregistrements et de la surveillance.

Références principales

• Orientations du GAFI sur l'identité numérique
• Orientations du GAFI sur la diligence raisonnable client
• NIST SP 800-63A-4 : Preuve et inscription d'identité
• Explication de la diligence raisonnable client par le HMRC

Le KYC fonctionne lorsque les preuves d'identité, la politique de risque, les contrôles techniques, le jugement humain et la surveillance continue concordent. Construisez d'abord le cycle de vie ; puis choisissez les vérifications et le contrat API qui peuvent le prendre en charge.