IDP en assurance : 5 priorités KYC et antifraude

1. Prioriser les parcours d’assurance à fort impact

Le point de départ n’est pas le document que la technologie sait lire. C’est le parcours que l’entreprise veut améliorer, avec un résultat vérifiable pour l’assuré, l’adhérent et les équipes.

Les meilleurs cas d’usage combinent généralement une volumétrie élevée, des contrôles répétitifs, un délai visible et un coût significatif de l’erreur. Dans une mutuelle, il peut s’agir de l’affiliation, des ayants droit, des factures de soins ou de la prévoyance. Chez un assureur, les priorités peuvent porter sur la souscription, l’indemnisation, le changement de bénéficiaire ou le contrôle d’un RIB.

Un pilote trop étroit mesure souvent la performance d’extraction sans démontrer de gain opérationnel. Le bon périmètre couvre au minimum la réception, la complétude, les règles de contrôle, l’orientation des exceptions et la restitution au système métier.

Avant le lancement, cinq indicateurs permettent d’établir une référence :

• le délai médian entre la réception et la décision ;
• le taux de dossiers complets dès le premier envoi ;
• le nombre de ressaisies et de manipulations par dossier ;
• la part des dossiers repris manuellement, avec leurs motifs ;
• le nombre de demandes complémentaires adressées au client.

Cette mesure de bout en bout évite de confondre un bon score technique avec une amélioration réelle du service. Elle permet aussi de comparer un flux très volumique mais peu risqué à un flux plus réduit où chaque erreur a un impact financier ou réglementaire important.

2. Transformer les documents en données contrôlées

Un document numérisé n’est pas encore une donnée métier. Une chaîne d’IDP complète doit capter la pièce, en vérifier la qualité, reconnaître sa typologie, extraire les champs utiles, normaliser les valeurs, appliquer les règles métier puis relier le résultat au bon dossier.

Cette succession est déterminante. Un RIB peut être correctement lu mais ne pas correspondre au titulaire attendu. Une facture peut être authentique mais hors période. Une attestation peut être valide et pourtant rattachée au mauvais bénéficiaire.

Le système doit donc produire, pour chaque donnée critique, une valeur, un niveau de confiance, le contrôle appliqué et un statut exploitable. Si le seuil n’est pas atteint, il doit présenter à l’agent la zone concernée et la raison de la reprise, sans transformer silencieusement une incertitude en vérité.

Mesurer plus qu’un taux d’OCR

Une moyenne globale masque les classes faibles. L’évaluation doit être ventilée par type de pièce, canal, qualité d’image et champ métier :

• classification : précision et rappel par catégorie, complétés par une matrice de confusion ;
• extraction : exactitude champ par champ après normalisation, avec un poids supérieur pour l’identité, l’IBAN, les dates et les montants ;
• contrôles : taux de faux positifs et de faux négatifs, rapprochés de leur coût métier ;
• bout en bout : part des dossiers exploitables sans reprise, délai, volume d’exceptions et stabilité sous charge.

Le jeu de test doit être séparé des données d’apprentissage, versionné et représentatif de la production : photos mobiles, scans partiels, pièces anciennes, formats multilingues et pics de volume. Toute modification d’un modèle, d’une règle ou d’une typologie doit déclencher une non-régression sur ce corpus.

Cette méthode rejoint l’approche du NIST AI Risk Management Framework : une mesure n’a de sens que si le jeu d’évaluation, les segments et les conditions de test sont documentés.

3. Concevoir un KYC continu et proportionné

Le KYC en assurance recouvre l’identification du client, la cohérence de sa situation et, pour les activités concernées, les obligations de lutte contre le blanchiment et le financement du terrorisme. Son périmètre varie selon les produits, les branches et le niveau de risque ; il doit donc être qualifié avec les fonctions conformité et juridique.

Sur le plan opérationnel, quatre exigences se retrouvent dans de nombreux parcours :

• identifier la personne et vérifier les justificatifs présentés ;
• rapprocher identité, coordonnées, représentants, bénéficiaires et moyens de paiement ;
• appliquer le niveau de vigilance adapté au risque ;
• conserver la preuve datée des informations, contrôles et décisions.

Le KYC ne s’arrête pas à l’entrée en relation. Une pièce expire, un RIB change, un bénéficiaire est modifié ou la structure d’une personne morale évolue. Le dispositif doit repérer ces événements, déterminer les données devenues obsolètes et demander uniquement les justificatifs nécessaires.

L’IDP prépare cette décision : il détecte les pièces manquantes, normalise les informations et fait apparaître les divergences. Il ne remplace ni l’analyse réglementaire ni l’appréciation humaine. Cette séparation rend le parcours plus explicable et évite des campagnes de remédiation inutilement larges.

4. Croiser les signaux de fraude documentaire

Une pièce bien lue n’est pas nécessairement fiable. La fraude peut associer falsification, identité usurpée, RIB détourné et informations cohérentes en apparence. Aucun détecteur isolé ne couvre ces scénarios.

Une stratégie robuste combine plusieurs familles de signaux :

• métadonnées du fichier et traces d’altération numérique ;
• incohérences de police, de mise en page, de montants ou de dates ;
• concordance entre les zones d’un même document ;
• comparaison des données entre les pièces du dossier ;
• réutilisation d’un document, d’un identifiant ou d’un compte ;
• cohérence avec les règles métier et les données légalement accessibles.

Les contrôles doivent varier selon le risque. Un changement de compte bancaire, une facture de faible montant et une indemnisation importante ne justifient ni les mêmes seuils ni le même niveau de revue.

Une alerte n’est pas une preuve de fraude. Le système doit exposer les signaux, leur intensité et les règles déclenchées. Un signal faible peut conduire à une vérification ciblée ; plusieurs anomalies convergentes peuvent justifier une investigation renforcée.

Le réglage du seuil repose sur une matrice de coûts. Le faux négatif expose à une perte ou à un risque de conformité ; le faux positif ajoute de la friction et consomme la capacité des analystes. Le seuil, la règle d’escalade et le délai de revue doivent donc être calibrés ensemble, puis réévalués avec les retours des experts fraude.

5. Industrialiser la sécurité, la preuve et les exceptions

Le passage à l’échelle échoue rarement à cause du seul modèle. Les fragilités viennent plutôt d’une intégration incomplète, d’exceptions mal organisées, de droits d’accès trop larges ou d’une gouvernance imprécise.

Intégrer la chaîne au système d’information

La solution doit recevoir les flux, identifier le dossier, restituer des données structurées et synchroniser les statuts. Les doublons, erreurs techniques, reprises et changements de version doivent être documentés. Une API ne suffit pas si la source de vérité n’est pas définie.

Organiser la reprise humaine

L’agent a besoin du document original, de la donnée extraite, du contrôle en échec et d’actions simples pour corriger, valider ou escalader. Les motifs de décision alimentent l’audit, la supervision et l’amélioration des règles. L’intervention humaine constitue une fonction de sécurité, pas un échec de l’automatisation.

Protéger les données et la continuité

Les flux d’assurance peuvent contenir des données d’identité, financières et parfois de santé. Finalités, minimisation, habilitations, chiffrement, journalisation, conservation et localisation doivent être définis dès le cadrage.

Le règlement DORA, applicable depuis le 17 janvier 2025 aux entités financières concernées, renforce en outre les attentes en matière de résilience numérique, de gestion des incidents et de maîtrise des prestataires technologiques.

Superviser dans la durée

Les documents et les scénarios de fraude évoluent. Il faut suivre la qualité par typologie, la dérive, les temps de traitement, la charge des files d’exception et les motifs d’erreur. La gouvernance précise qui valide une règle, accepte un risque et autorise une évolution.

Choisir le premier cas d’usage

Une notation de 1 à 5 sur cinq axes facilite l’arbitrage : impact client, gain opérationnel, maîtrise du risque, maturité des données et faisabilité industrielle.

Un cas à fort impact et à bonne maturité est un bon candidat au déploiement. Un sujet à fort impact mais fondé sur des documents instables exige d’abord un travail de préparation. Cette grille crée un langage commun entre métiers, conformité, sécurité, DSI et équipes data.