Know Your Customer (KYC) est le nom donné au processus de vérification de l’identité du client. Il reste présent tout au long de la relation client et joue un rôle clé dans le cadre de la lutte contre la fraude, le blanchiment d’argent et la criminalité financière au sens large. Fort heureusement, la plupart des pays ont intégré le KYC à leur arsenal réglementaire. Mais comment le mettre en œuvre de manière efficace ? Les institutions financières adoptent généralement une démarche en trois temps.
Le processus KYC dans le secteur bancaire
Rappelons pourquoi les institutions financières ont besoin du processus KYC : si dans de nombreux secteurs il est important de connaître l’identité des clients et leurs activités, ceci est encore plus vrai dans le secteur financier.
Les activités criminelles dans ce secteur sont une menace non seulement pour l’institution concernée, mais aussi pour les autres clients, le grand public et même l’économie dans son ensemble. Les institutions financières sont donc extrêmement réglementées et soumises à des exigences KYC et LCB-FT très strictes. En cas de manquement, les sanctions sont sévères et les risques pour la réputation sont élevés.
Des réglementations ont été mises en place dans de nombreux pays afin de faire appliquer et de contrôler les processus KYC. Elles ont été créées par le Groupe d’action financière (GAFI) dans les années 1990 — et mises en œuvre aux États-Unis dans le cadre du Patriot Act de 2001. Au total, plus de 190 pays suivent les recommandations du GAFI en matière de KYC.
KYC banque : les 3 composantes
Bien que chaque institution financière reste libre d’organiser dans les détails la mise en œuvre du processus KYC, il existe une procédure standard en trois étapes spécifiées dans les réglementations de nombreux pays. On parle souvent des trois composantes ou des trois piliers du KYC :
- Le Customer Identification Program (CIP) ou programme d’identification du client
- La Customer Due Diligence (CDD) ou vigilance raisonnable à l’égard de la clientèle
- La surveillance continue
Le Customer Identification Program (CIP) ou programme d’identification du client
La première étape du processus KYC consiste à vérifier que le client est bien celui qu’il prétend être. Chaque client, particulier ou entreprise, doit donc faire l’objet d’une vérification d’identité.
Cela implique de collecter certaines données d’identité pour toutes les personnes concernées (y compris les bénéficiaires effectifs pour les entreprises). Les justificatifs demandés sont généralement ceux qui contiennent les informations suivantes :
- Nom
- Adresse
- Date de naissance
- Numéro d’identité officiel
- Autres documents d’identité officiels (tels que passeport ou permis de conduire)
Les entreprises peuvent également devoir fournir des permis d’exploitation, des statuts, des accords de partenariat ou des bilans financiers. Les institutions financières doivent également déterminer la structure de propriété de l’entreprise et identifier les bénéficiaires effectifs ultimes (BEU).
Le programme d’identification du client comprend aussi un volet sur la collecte et l’utilisation des données recueillies. Les institutions doivent être en mesure de les vérifier rapidement, et les procédures pour ce faire doivent être soigneusement documentées et respectées par l’ensemble du personnel concerné.
La Customer Due Diligence (CDD) ou vigilance raisonnable à l’égard de la clientèle
La vigilance raisonnable va un cran plus loin dans la vérification et établit si les institutions financières font confiance au client. Cette étape consiste à évaluer le niveau de risque d’un client et à déterminer dans quelle mesure on peut lui faire confiance.
Il existe trois niveaux de diligence raisonnable. Le premier niveau de vigilance s’applique à tous les clients et vise à évaluer leur niveau de risque. Il faudra souvent dans ce cas recueillir des informations supplémentaires, déterminer où se trouve le client et vérifier les types de transactions réalisées. Pour les entreprises, cette vigilance normale doit s’appliquer à toutes les personnes identifiées comme bénéficiaires effectifs ultimes.
La vigilance allégée ou Simplified Due Diligence (SDD). Pour les clients et les comptes considérés comme présentant un risque très faible, il est possible d’opter pour une vigilance allégée. Dans ce cas, il n’est pas nécessaire d’effectuer la totalité des contrôles de vigilance classique.
La vigilance renforcée ou Enhanced Due Diligence (EDD). À l’inverse, un client considéré comme présentant un risque plus élevé doit faire l’objet d’une analyse approfondie : c’est la vigilance renforcée. Il peut s’agir de demander plus d’informations au client, de procéder à des contrôles supplémentaires auprès de différents organismes ou sources d’informations publics ou d’examiner de plus près les comptes et les transactions.
Les instances de régulation sont chargées de déterminer le besoin de vigilance renforcée, mais ne donnent pas de consignes sur la manière de procéder. Il revient donc à chaque institution financière de déterminer elle-même le niveau de risque.
La vigilance raisonnable est un processus continu, qui ne s’arrête pas une fois qu’un nouveau client est acquis. L’activité et le profil de risque d’un client peuvent évoluer au fil du temps, ce qui implique des contrôles réguliers. Les données recueillies devront par ailleurs être intégralement conservées à des fins d’audit interne ou réglementaire.
Une surveillance continue
Le processus KYC ne se limite pas à une vérification de l’identité des nouveaux clients lors de l’onboarding. Bien que cette étape soit importante et permette également d’évaluer le profil de risque initial des clients, les institutions financières doivent par ailleurs mettre en place un programme de surveillance continue.
Cette surveillance permettra d’identifier tout changement dans l’activité du client qui nécessiterait de modifier le profil de risque ou de collecter des informations supplémentaires. Le niveau et la fréquence des contrôles dépendent du risque perçu et de la stratégie de l’institution financière.
Le suivi doit porter sur des facteurs tels que :
- Le type, la fréquence et le montant des transactions
- Un changement de géolocalisation du client ou des transactions
- L’ajout à une liste de personnes politiquement exposées (PEP) ou une liste de sanctions
- Une presse négative
Comme pour les deux précédentes composantes du processus KYC (le programme d’identification du client et la vigilance raisonnable), les institutions financières doivent avoir mis en place des mécanismes solides pour gérer cette surveillance continue — notamment pour donner l’alerte en cas d’activité suspecte.
Faites appel à un prestataire de services KYC
Les réglementations LCB-FT et le protocole en trois étapes sont un bon point de départ pour mettre en place un processus KYC. Mais il existe cependant de nombreuses exigences spécifiques et des étapes techniques indispensables à sa mise en œuvre. Un prestataire de vérification d’identité peut vous aider à choisir les meilleures pratiques et la technologie la plus adéquate. Il vous tiendra également au courant de toute évolution de la réglementation, quel que soit le pays concerné.
Ces dernières années, l’identification à distance est devenue un enjeu majeur en raison de la digitalisation massive des services. C’est dans ce contexte que le référentiel d’exigences destiné aux Prestataires de Vérification d’Identité à Distance (PVID) est né. Son but ? Lutter contre la fraude et la criminalité financière lors de l’identification à distance.
Mais les processus KYC et LCB-FT ne se limitent pas simplement à une liste de critères à respecter. Les institutions financières souhaitent aussi que leurs solutions offrent une expérience utilisateur simple et sécurisée. Si les clients ont besoin d’être rassurés en matière de sécurité, ils ne souhaitent pas pour autant être ralentis ou gênés.
Les processus d’onboarding et de KYC constituent le premier échange entre le client et l’institution financière, il est donc crucial de faire bonne impression.
