KYC bancaire : 5 priorités pour fiabiliser l’onboarding et détecter la fraude documentaire

1. Contrôler la qualité documentaire dès le dépôt

Une pièce de mauvaise qualité produit des erreurs en cascade : extraction incertaine, contrôle incohérent, demande complémentaire puis reprise manuelle. Le contrôle doit intervenir pendant que le client peut encore reprendre sa photo ou fournir la bonne page.

Pour les parcours à distance, les orientations EBA/GL/2022/15, applicables depuis le 2 octobre 2023 et reprises par l’ACPR, précisent les mesures attendues pour évaluer les solutions d’entrée en relation, organiser les contrôles internes et encadrer le recours à des prestataires.

Une chaîne d’IDP bancaire peut enchaîner :

1. Analyse de netteté, cadrage, reflets et résolution 
2. Détection du type de document et de sa version 
3. Extraction et normalisation des données 
4. Contrôles de format, de date et de complétude 
5. Rapprochement entre identité, adresse, justificatifs et compte 
6. Recherche de signaux d’altération ou de réutilisation 
7. Restitution des résultats au dossier KYC 
8. Orientation des exceptions vers un analyste

Le résultat doit conserver la donnée, son origine, le niveau de confiance, la règle appliquée et la version du service. Cette granularité rend possible une reprise ciblée : vérifier uniquement un IBAN ou une date plutôt que relire tout le dossier.

Évaluer la chaîne avec les bonnes métriques

Une moyenne globale est insuffisante. Les mesures doivent être ventilées par type de pièce, pays, canal, qualité d’image et champ critique :

• Classification : précision et rappel 
• Extraction : exactitude des champs critiques
• Fraude : faux positifs / faux négatifs
• Processus : dossiers sans reprise, délai, exceptions

Le jeu de test doit être représentatif, indépendant de l’apprentissage et versionné. En production, la dérive doit être suivie par typologie documentaire et motif de reprise.

La mesure métier reste décisive : un moteur peut gagner quelques points d’extraction tout en augmentant les contrôles manuels. L’objectif est de réduire le coût et le délai du dossier sans dégrader la maîtrise du risque.

2. Piloter un KYC continu et événementiel

L’entrée en relation n’est qu’une photographie. L’identité, l’adresse, les représentants d’une personne morale, les bénéficiaires effectifs ou le profil de risque peuvent évoluer. Le dispositif doit déterminer quand actualiser la connaissance client et quelles preuves réclamer.

En France, l’article L. 561-6 du Code monétaire et financier impose, pendant toute la durée de la relation d’affaires, une vigilance constante et un examen attentif des opérations au regard d’une connaissance actualisée du client.

Une architecture événementielle évite les campagnes uniformes. Elle peut déclencher une revue lorsqu’une pièce expire, qu’un représentant change, qu’une opération s’écarte du profil ou qu’une information fiable contredit le dossier.

Pour chaque événement, les règles doivent préciser :

• Niveau de risque et le délai de traitement 
• Données à confirmer ou à mettre à jour 
• Justificatifs acceptés 
• Contrôles automatisables
• Situations nécessitant une appréciation humaine 

L’IDP prépare cette revue en classant les pièces, en comparant les données et en signalant les divergences. Les règles KYC déterminent ensuite le niveau de vigilance. Cette séparation évite de transformer une extraction automatique en décision de conformité implicite.

Le KYB ajoute une difficulté : statuts, registres, organigrammes et pièces des représentants doivent être rapprochés. La complétude dépend autant de la structure juridique que de la qualité documentaire.

Le cadre européen évoluera le 10 juillet 2027 avec l’application du règlement (UE) 2024/1624, qui harmonisera directement une partie des obligations de vigilance LCB-FT, et l’échéance de transposition de la directive (UE) 2024/1640.

3. Détecter la fraude par un faisceau de signaux

Un document peut être lisible, complet et falsifié. À l’inverse, une anomalie technique peut provenir d’une simple conversion de fichier. La décision ne doit donc pas reposer sur un détecteur unique.

Une approche robuste croise quatre niveaux :

1. Document : métadonnées, compression, polices, retouches et structure du fichier
2. Contenu : concordance entre identité, dates, montants, adresses et zones de contrôle 
3. Dossier : cohérence entre les différentes pièces et les informations déclarées 
4. Historique : réutilisation de documents, identifiants, appareils ou comptes sur plusieurs parcours.

Les signaux doivent être expliqués à l’analyste. Un score sans motif empêche de distinguer une erreur de capture, une incohérence bénigne et une manipulation probable.

Régler les seuils selon le coût de l’erreur

Le seuil optimal n’est pas nécessairement celui qui maximise un score statistique. Il doit intégrer le coût d’un faux négatif, la friction d’un faux positif et la capacité disponible pour les investigations.

Les seuils doivent varier selon le parcours et le niveau de risque. Un signal faible peut déclencher un contrôle complémentaire ; plusieurs signaux convergents peuvent orienter vers une revue renforcée.

Le retour des analystes constitue une donnée de supervision. Les motifs de confirmation et de rejet permettent d’ajuster les règles, de suivre les nouvelles formes de fraude et d’identifier les scénarios qui génèrent trop d’alertes.

4. Gouverner l’IA selon son usage bancaire

Deux composants utilisant la même technologie peuvent relever de niveaux de risque très différents. Un modèle qui classe un justificatif n’a pas le même impact qu’un système évaluant la solvabilité d’une personne physique ou établissant son score de crédit. L’annexe III du règlement européen sur l’IA classe ce second usage parmi les systèmes à haut risque, tout en excluant de ce cas d’usage les systèmes destinés à détecter la fraude financière.

La gouvernance doit partir de l’usage réel : finalité, données, décision affectée, population, degré d’autonomie et possibilité de recours. Elle doit ensuite déterminer le niveau de validation, de supervision et de documentation.

Un registre de modèle ou de service doit conserver :

• Finalité et responsables 
• Données et provenance 
• Versions, métriques et seuils 
• Incidents et conditions de suspension

Le règlement européen sur l’IA s’applique progressivement. Certaines obligations sont applicables depuis le 2 août 2026 ; celles concernant certains systèmes à haut risque entreront en application selon un calendrier ultérieur.

La protection des données complète ce cadre : minimisation, finalité, sécurité, durée de conservation et capacité à traiter une contestation.

5. Concevoir la résilience avant le passage à l’échelle

Un service KYC automatisé devient une dépendance opérationnelle. Sa continuité doit être prévue avant la mise en production : reprise sur incident, fonctionnement dégradé, retour arrière et délais de rétablissement.

Applicable depuis janvier 2025, DORA renforce les exigences de résilience numérique des entités financières, notamment sur les risques TIC, les incidents, les tests et les tiers. L’architecture et les contrats doivent donc préciser la localisation des données, les niveaux de service, la réversibilité et les responsabilités en cas d’incident.

La résilience se pilote aussi dans la durée. Un tableau de bord commun peut suivre disponibilité, volume d’exceptions, faux positifs / négatifs, incidents et délais de rétablissement. La capacité humaine doit également être testée à travers des scénarios de charge et des priorités de traitement.