KYC bancaire : 5 priorités pour fiabiliser l’onboarding et détecter la fraude documentaire

1. Contrôler la qualité documentaire dès le dépôt

Une pièce de mauvaise qualité produit des erreurs en cascade : extraction incertaine, contrôle incohérent, demande complémentaire puis reprise manuelle. Le contrôle doit intervenir pendant que le client peut encore reprendre sa photo ou fournir la bonne page.

Pour les parcours à distance, les orientations EBA/GL/2022/15, applicables depuis le 2 octobre 2023 et reprises par l’ACPR, précisent les mesures attendues pour évaluer les solutions d’entrée en relation, organiser les contrôles internes et encadrer le recours à des prestataires.

Une chaîne d’IDP bancaire peut enchaîner :

1. analyse de netteté, cadrage, reflets et résolution ;
2. détection du type de document et de sa version ;
3. extraction et normalisation des données ;
4. contrôles de format, de date et de complétude ;
5. rapprochement entre identité, adresse, justificatifs et compte ;
6. recherche de signaux d’altération ou de réutilisation ;
7. restitution des résultats au dossier KYC ;
8. orientation des exceptions vers un analyste.

Le résultat doit conserver la donnée, son origine, le niveau de confiance, la règle appliquée et la version du service. Cette granularité rend possible une reprise ciblée : vérifier uniquement un IBAN ou une date plutôt que relire tout le dossier.

Évaluer la chaîne avec les bonnes métriques

Une moyenne globale est insuffisante. Les mesures doivent être ventilées par type de pièce, pays, canal, qualité d’image et champ critique :

• classification : précision, rappel et matrice de confusion par catégorie ;
• extraction : exactitude après normalisation, notamment pour l’identité, l’adresse, les dates et les numéros ;
• fraude : taux de faux positifs et de faux négatifs par scénario ;
• processus : taux de dossiers exploitables sans reprise, délai de décision et volume d’exceptions.

Le jeu de test doit être représentatif des conditions réelles, séparé de l’apprentissage et versionné. Chaque mise à jour de modèle ou de règle déclenche une non-régression. En production, la dérive est suivie par typologie documentaire et par motif de reprise.

La mesure métier reste décisive : un moteur peut gagner quelques points d’extraction tout en augmentant les contrôles manuels. L’objectif est de réduire le coût et le délai du dossier sans dégrader la maîtrise du risque.

2. Piloter un KYC continu et événementiel

L’entrée en relation n’est qu’une photographie. L’identité, l’adresse, les représentants d’une personne morale, les bénéficiaires effectifs ou le profil de risque peuvent évoluer. Le dispositif doit déterminer quand actualiser la connaissance client et quelles preuves réclamer.

En France, l’article L. 561-6 du Code monétaire et financier impose, pendant toute la durée de la relation d’affaires, une vigilance constante et un examen attentif des opérations au regard d’une connaissance actualisée du client.

Une architecture événementielle évite les campagnes uniformes. Elle peut déclencher une revue lorsqu’une pièce expire, qu’un représentant change, qu’une opération s’écarte du profil ou qu’une information fiable contredit le dossier.

Pour chaque événement, les règles doivent préciser :

• le niveau de risque et le délai de traitement ;
• les données à confirmer ou à mettre à jour ;
• les justificatifs acceptés ;
• les contrôles automatisables ;
• les situations nécessitant une appréciation humaine ;
• les preuves à conserver.

L’IDP prépare cette revue en classant les pièces, en comparant les données et en signalant les divergences. Les règles KYC déterminent ensuite le niveau de vigilance. Cette séparation évite de transformer une extraction automatique en décision de conformité implicite.

Le KYB des personnes morales ajoute une difficulté : statuts, extraits de registre, organigrammes, procès-verbaux et pièces des représentants doivent être rapprochés. La complétude du dossier dépend autant de la structure juridique que de la qualité documentaire.

Le cadre européen évoluera le 10 juillet 2027 avec l’application du règlement (UE) 2024/1624, qui harmonisera directement une partie des obligations de vigilance LCB-FT, et l’échéance de transposition de la directive (UE) 2024/1640.

3. Détecter la fraude par un faisceau de signaux

Un document peut être lisible, complet et falsifié. À l’inverse, une anomalie technique peut provenir d’une simple conversion de fichier. La décision ne doit donc pas reposer sur un détecteur unique.

Une approche robuste croise quatre niveaux :

• document : métadonnées, compression, incohérences de police, zones retouchées et structure du fichier ;
• contenu : concordance entre identité, dates, montants, adresses et zones de contrôle ;
• dossier : cohérence entre les différentes pièces et les informations déclarées ;
• historique : réutilisation d’un document, d’un identifiant, d’un appareil ou d’un compte dans plusieurs parcours, lorsque le traitement est licite.

Les signaux doivent être expliqués à l’analyste. Un score sans motif empêche de distinguer une erreur de capture, une incohérence bénigne et une manipulation probable.

Régler les seuils selon le coût de l’erreur

Le seuil optimal n’est pas nécessairement celui qui maximise un score statistique. Il doit intégrer le coût d’un faux négatif, la friction d’un faux positif et la capacité disponible pour les investigations.

Les seuils peuvent varier selon le parcours : ouverture de compte, changement de coordonnées, crédit ou remédiation. Un signal faible peut déclencher un contrôle complémentaire ; plusieurs signaux convergents peuvent orienter le dossier vers une revue renforcée.

Le retour des analystes constitue une donnée de supervision. Les motifs de confirmation et de rejet permettent d’ajuster les règles, de suivre les nouvelles formes de fraude et d’identifier les scénarios qui génèrent trop d’alertes.

4. Gouverner l’IA selon son usage bancaire

Deux composants utilisant la même technologie peuvent relever de niveaux de risque très différents. Un modèle qui classe un justificatif n’a pas le même impact qu’un système évaluant la solvabilité d’une personne physique ou établissant son score de crédit. L’annexe III du règlement européen sur l’IA classe ce second usage parmi les systèmes à haut risque, tout en excluant de ce cas d’usage les systèmes destinés à détecter la fraude financière.

La gouvernance doit partir de l’usage réel : finalité, données, décision affectée, population, degré d’autonomie et possibilité de recours. Elle doit ensuite déterminer le niveau de validation, de supervision et de documentation.

Un registre de modèle ou de service doit conserver :

• le propriétaire métier et technique ;
• la finalité et les usages interdits ;
• les données d’entrée et leur provenance ;
• les versions du modèle, des règles et du corpus de test ;
• les métriques par segment et les seuils d’acceptation ;
• les incidents, dérogations et actions correctives ;
• les conditions de suspension ou de retour arrière.

Le règlement européen sur l’IA s’applique progressivement. Depuis le 2 août 2026, certaines obligations de transparence ainsi que le dispositif de contrôle sont applicables. Les règles relatives aux systèmes à haut risque de l’annexe III s’appliqueront le 2 décembre 2027 ; celles concernant les systèmes à haut risque intégrés à des produits réglementés relevant de l’annexe I, le 2 août 2028. Le classement dépend de l’usage et doit être établi avec les fonctions juridique, risque et conformité.

La protection des données complète ce cadre : minimisation, finalité, habilitations, durée de conservation, information, sécurité et capacité à traiter une contestation. La journalisation doit permettre d’expliquer le résultat sans conserver davantage de données que nécessaire.

5. Concevoir la résilience avant le passage à l’échelle

Un service KYC automatisé devient une dépendance opérationnelle. Sa continuité doit être prévue avant la mise en production : reprise sur incident, fonctionnement dégradé, file manuelle, capacité de retour arrière et délais de rétablissement.

Applicable depuis le 17 janvier 2025, DORA renforce les exigences de résilience numérique des entités financières concernées. Le règlement couvre notamment la gestion des risques liés aux technologies de l’information et de la communication, les incidents, les tests et les dépendances à des tiers.

Le contrat et l’architecture doivent donc préciser la localisation des données, les sous-traitants, les niveaux de service, la réversibilité, les mécanismes de journalisation et les responsabilités en cas d’incident.

Un tableau de bord commun aux métiers, à la conformité et à la DSI peut suivre : disponibilité, latence, taux d’erreur, dossiers sans reprise, volume et âge des exceptions, faux positifs, faux négatifs confirmés, dérive, incidents et délais de rétablissement.

La capacité humaine fait partie de cette résilience. Si le seuil est relevé ou si un composant devient indisponible, la file de reprise peut croître rapidement. Des scénarios de charge et des priorités de traitement doivent être testés.

De la pièce justificative à la donnée de confiance

Les cinq priorités forment une seule chaîne. La qualité du dépôt conditionne l’extraction. Les données contrôlées alimentent le KYC. Les signaux documentaires enrichissent la détection de fraude. La gouvernance et la résilience rendent l’ensemble exploitable dans la durée.

L’objectif n’est pas le taux d’automatisation maximal. Un parcours robuste traite sans friction les dossiers simples, renforce les contrôles lorsque le risque augmente et confie à un humain les situations où l’incertitude ou l’impact l’exige.