KYC : Le guide complet pour sécuriser votre onboarding client

Le KYC (Know Your Customer) est la procédure de connaissance client devenue incontournable dans l’écosystème financier. Pourtant, entre contraintes réglementaires et expérience utilisateur, trouver le bon équilibre reste un défi. Décryptage d’un processus qui ne concerne plus seulement les banques mais s’est élargi à une multitude d’acteurs.

Le KYC, ou “Know Your Customer”, désigne l’ensemble des procédures permettant de vérifier l’identité et l’activité de vos clients conformément aux réglementations de customer due diligence en vigueur. Concrètement, il s’agit de collecter et d’analyser certaines données de vos utilisateurs avant de leur donner accès à vos services financiers.

Cette procédure s’inscrit dans un cadre légal strict : la lutte contre le blanchiment d’argent et le financement du terrorisme (LCB-FT). Et les chiffres parlent d’eux-mêmes : selon la Direction des Affaires juridiques, le blanchiment de capitaux représenterait 1,3 % du PIB européen*, soit des centaines de milliards d’euros. Face à cette réalité, les exigences des régulateurs se sont considérablement renforcées.

Au-delà de l’obligation légale, le KYC est aussi un outil de prévention contre les risques de fraude, d’usurpation d’identité, de perte d’argent et les risques opérationnels qui peuvent sérieusement impacter l’activité et la réputation des entreprises.

Si vous pensiez que le KYC concernait uniquement le secteur des banques ou des services bancaires traditionnels, détrompez-vous. La liste des organisations, institutions et entités soumises à ces obligations s’est considérablement allongée avec les directives européennes successives.

Sont notamment concernés (liste non exhaustive, conformément à l’article L.561-2 du Code monétaire et financier) :

• Les établissements financiers (crédit, paiement, monnaie électronique)
• Les compagnies d’assurance et mutuelles
• Les entreprises d’investissement
• Les prestataires de services sur cryptoactifs
• Les opérateurs de jeux
• Les négociants en œuvres d’art, pierres et métaux précieux
• Les professions libérales (experts-comptables, avocats, notaires)

Le KYC s’inscrit dans une longue série de directives européennes anti-blanchiment (AMLD), dont la première remonte à 1991. Depuis, le dispositif n’a cessé d’évoluer, dernièrement avec :

La 5AMLD (5ème Directive Anti-Blanchiment), entrée en vigueur en juillet 2018, a harmonisé les pratiques KYC à l’échelle européenne et introduit pour la première fois des méthodes d’identification numérique totalement sécurisées. Concrètement, vos clients peuvent désormais interagir en ligne avec vous sans avoir à se déplacer physiquement pour déposer leurs justificatifs.

La 6AMLD, entrée en vigueur en décembre 2020, a renforcé le dispositif en harmonisant la définition du blanchiment de capitaux dans toute l’UE. Elle dresse une liste détaillée de 22 infractions principales, de la fraude fiscale à la cybercriminalité en passant par les délits environnementaux.

Le règlement eIDAS (electronic IDentification, Authentication and trust Services), adopté en 2014, définit les Prestataires de Services de Confiance (PSC), qu’ils soient qualifiés ou non-qualifiés, mais seuls les prestataires qualifiés sont soumis à un niveau d’exigence renforcé. Il établit un cadre juridique européen pour l’identification électronique et les services de confiance en ligne tels que :

• La signature électronique qualifiée pour signer un document ayant valeur légale.
• Le cachet électronique pour apposer une preuve d’origine sur un document.
• L’horodatage électronique pour attester la date et l’heure d’une action.
• L’envoi recommandé électronique pour garantir l’envoi et la réception d’un document.
• L’archivage électronique pour conserver et protéger de manière pérenne et intègre.

En France, le référentiel PVID (Prestataire de Vérification d’Identité à Distance) définit les exigences techniques et organisationnelles pour les acteurs qui proposent des solutions de vérification d’identité à distance. Ce référentiel, établi par l’ANSSI (Agence nationale de la sécurité des systèmes d’information), garantit un niveau de sécurité équivalent à une vérification physique.

Les sociétés référencées PVID doivent notamment :

• Vérifier l’authenticité des documents d’identité (détection des faux)
• S’assurer de la présence physique de la personne (liveness detection)
• Vérifier la concordance entre le document et la personne
• Conserver les preuves de vérification de manière sécurisée

Pour une fintech, faire le choix d’un prestataire certifié PVID est souvent la solution la plus sûre pour garantir la conformité de ses processus KYC.

Mettre en place un processus KYC efficace, pour une connaissance client conforme et pérenne, demande de la rigueur et le respect de certaines étapes clés et itératives selon le contexte :

• onboarding : vérification de tous les nouveaux partenaires
• ongoing due diligence : contrôle régulier des partenaires existants.
• customer due diligence raisonnable : vérification simple des partenaires présentant un risque faible.
• due diligence renforcée : contrôle exhaustif des partenaires présentant un risque élevé.

Première étape : récupérer les données indispensables concernant votre client.

Pour une personne physique, cela inclut :

• Identité complète (nom, prénom, date et lieu de naissance)
• Adresse postale
• Email et téléphone
• Pièce d’identité valide (CNI, passeport, titre de séjour)
• Justificatif de domicile

Pour une personne morale, la liste diffère et on parlera d’ailleurs plutôt de KYB pour Know Your Business :

• Documents de constitution de l’entreprise
• Extrait Kbis récent
• Statuts
• Identification des bénéficiaires effectifs, au sens de l’article R.561-1 du CMF (détention de plus de 25 % du capital, ou des droits de vote, ou contrôle effectif par tout autre moyen)
• Informations sur les dirigeants

Une fois les documents collectés, place aux vérifications. Cette étape peut être :

• Automatisée : des algorithmes d’IA analysent les documents pour détecter les falsifications (vérification des hologrammes, cohérence des polices, etc.).
• Manuelle : un opérateur spécialisé contrôle la cohérence du dossier.

Avec la vidéo en direct (vidéo KYC), votre client se filme en direct, présente son document d’identité sous différents angles et prouve ainsi qu’il est bien la personne qu’il prétend être.

Votre client figure-t-il sur une liste de sanctions internationales ? Est-il une Personne Politiquement Exposée (PPE) ? Ces vérifications sont, elles aussi, obligatoires.

Vous devez croiser le profil de votre client avec :

• Les listes de sanctions internationales (ONU, UE, OFAC)
• Les registres de gel des avoirs
• Les listes de PPE (personnes exerçant des fonctions politiques importantes)

En fonction des résultats, l’établissement attribue un niveau de risque selon sa propre méthodologie interne de classification. Ce scoring détermine la fréquence de surveillance et les mesures de vigilance renforcée éventuelles.

Le KYC ne s’arrête pas à l’entrée en relation : il implique aussi une surveillance continue pour :

• Détecter les transactions atypiques
• Mettre à jour les informations clients
• Réagir aux changements de situation (déménagement, changement de dirigeant, etc.)
• Renouveler les documents expirés

Vous devez conserver l’ensemble des documents et preuves de vérification, généralement 5 ans après la fin de la relation commerciale, sauf obligations spécifiques plus longues. Cette documentation vous protège en cas de contrôle de l’ACPR (Autorité de contrôle prudentiel et de résolution).

Côté utilisateur, le parcours type s’est considérablement simplifié grâce à la digitalisation.

Votre client se rend sur votre application ou votre site web pour créer son compte. Il renseigne ses informations de base : nom, prénom, email, téléphone, date de naissance. Simple et rapide.

Le client photographie ou scanne ses justificatifs :

• Recto et verso de sa pièce d’identité
• Son justificatif de domicile

Pour faciliter l’opération, certaines solutions proposent une capture intelligente qui détecte automatiquement les contours du document et optimise la qualité de l’image.

Étape clé, le client lance une session vidéo (en direct ou enregistrée selon la solution choisie) durant laquelle il :

• Présente son visage face caméra
• Effectue quelques mouvements pour prouver sa présence physique (liveness detection)
• Montre son document d’identité sous différents angles
• Lit parfois une phrase aléatoire pour renforcer la preuve

Une fois tous les éléments transmis, votre système et/ou vos équipes valident le dossier. Le client reçoit une notification :

• Validation positive : son compte est activé, il peut accéder à vos services
• Demande de complément : un document est illisible ou manquant
• Refus : le dossier présente des incohérences ou un risque trop élevé

En veillant à des relances simples et non intrusives, vous devrez périodiquement demander à vos clients de mettre à jour leurs comptes : modifier et/ou valider leurs informations, renouveler un document expiré.

D’après une étude de 2023**, les banques d’affaires mondiales dépensent en moyenne 2 598 dollars pour un seul examen KYC, et 48% ont perdu des clients en raison d’un onboarding inefficace. Ces chiffres illustrent le dilemme auquel vous êtes confrontés.

Un KYC mal optimisé peut devenir un gouffre financier. Entre les technologies de vérification, les équipes de compliance et la gestion des refus ou des abandons, les coûts s’accumulent vite.

Un parcours trop long ou trop compliqué fait fuir les clients. Dans un monde où l’expérience mobile est reine, une procédure KYC fastidieuse peut vous faire perdre jusqu’à la moitié de vos prospects.

Dans le cadre de la lutte contre le blanchiment d’argent et le financement du terrorisme (LCB-FT), les régulateurs sont exigeants. Un KYC trop laxiste vous expose à des sanctions réglementaires pouvant atteindre plusieurs millions d’euros, sans compter l’atteinte à votre réputation.

Les technologies d’IA et de machine learning révolutionnent le KYC. L’analyse automatique des documents, la détection de fraude et le scoring de risque permettent de traiter la majorité des dossiers sans intervention humaine.
Cependant, ce n’est pas magique, il faut garder à l’esprit que le succès de ce type de projet repose sur la synergie des compétences entre les équipes métier, la conformité et l’IT.

La vidéo en streaming est largement utilisée dans les secteurs financiers pour renforcer la sécurité de l’identification, sans gêner l’expérience utilisateur.

Combiner le KYC avec une signature électronique qualifiée (SEQ conforme eIDAS) vous permet de contractualiser dès la validation de l’identité. Vous gagnez du temps tout en bénéficiant d’une sécurité juridique maximale.

Si vous êtes une fintech en développement, s’appuyer sur un partenaire Banking-as-a-Service qui intègre nativement le KYC dans son infrastructure peut vous faire gagner des mois de développement et de mise en conformité.

Pour trouver le bon équilibre entre conformité, sécurité et expérience utilisateur lors de la mise en place de votre processus KYC, n’hésitez pas à nous contacter.

Sources :
* Lettre de la DAJ – Rapport de la Cour des comptes sur l’évolution du dispositif de lutte contre le blanchiment de capitaux – 09/03/2023
** Fenergo Global KYC Trends in 2023