En matière de surveillance continue et de mise à jour du dossier KYC, une alerte générée est une alerte qu’il faut traiter, et non ignorer ou clore mécaniquement parce que le nombre d’alertes émises est trop important. Et croyez-nous, le nombre de faux positifs peut vite devenir ingérable et nuire à votre KYC (Know Your Customer ou connaissance client).
En effet, la gestion des alertes est l’étape où le dispositif de surveillance révèle réellement sa valeur ou ses lacunes. Mais plutôt que de se concentrer sur les outils, sujet abondamment traité sur internet, nous préférons répondre à plusieurs questions opérationnelles.
Comment les équipes humaines organisent-elles concrètement le traitement ? Quelle gouvernance mettre en place ? Comment produire une trace défendable, quel que soit l’outil utilisé ? Car il faut bien comprendre que le paramétrage de l’outil dépend de l’outil KYC en lui-même, mais aussi du cadre fixé en amont. Explications !
Organiser le flux de traitement : ce qui doit être défini avant qu’une alerte arrive
Un flux d’alertes non structuré en amont produit inévitablement des décisions incohérentes, des retards, une charge de travail considérable et des lacunes documentaires. La gouvernance du traitement se prépare, elle ne s’improvise pas au moment où l’alerte tombe. Voici comment faire.
Les trois niveaux de traitement des alertes KYC à formaliser
Trois paliers de traitement doivent être définis dans la procédure interne, avec des rôles précis attachés à des fonctions et pas seulement à des noms de personnes afin de pouvoir garantir la continuité en cas d’absence ou départ.
Niveau 1 du traitement d’une alerte : l’analyste de premier rang
L’analyste de premier rang réalise la qualification initiale : écartement des faux positifs manifestes, collecte du contexte client et vérification des champs d’identité.
Un délai maximum doit être fixé dans la procédure, un délai de 48 heures ouvrées est une référence raisonnable pour les alertes standard, une réaction immédiate pour une alerte de gel des avoirs.
Prenons l’exemple d’un cabinet d’expertise comptable. Une alerte est générée sur le nom d’un client dirigeant de TPE, dont le patronyme est identique à celui d’une personne désignée sur une liste de sanctions européennes.
L’analyste de niveau 1 vérifie les champs discriminants, à savoir la date de naissance, la nationalité et l’adresse. Si les deux personnes ont le même nom, mais des dates de naissance différentes et des nationalités distinctes, alors il documente la comparaison, conclut à un faux positif et clôt l’alerte avec justification écrite.
Pour une étude notariale, par exemple, une alerte comportementale est générée sur un client dont le volume de transactions immobilières a doublé en six mois. L’analyste de niveau 1 vérifie le dossier client, comme l’héritage d’un portefeuille immobilier de ses parents, ce qui explique l’augmentation. Il consigne la justification avec référence à l’acte de succession versé au dossier et clôt l’alerte.
Niveau 2 du traitement d’une alerte : le responsable conformité
Le responsable conformité ou responsable LCB-FT prend en charge les alertes qualifiées comme nécessitant une investigation approfondie, celles que le niveau 1 ne peut pas clore sur la base des éléments disponibles.
Il décide d’escalader ou de clôturer l’alerte après investigation et documente le raisonnement complet.
Pour un cabinet d’expertise comptable, par exemple, admettons que le niveau 1 remonte une alerte sur un client dont les virements internationaux ont triplé vers un pays classé sur liste grise du GAFI, sans explication spontanée. Le responsable conformité contacte le client, demande la justification des flux, obtient des factures correspondant à un nouveau contrat export. Il verse les pièces au dossier et conclut à une alerte levée avec investigation documentée.
Niveau 3 du traitement d’une alerte : la direction ou le responsable LCB-FT
La direction ou le responsable conformité LCB-FT (selon ses attributions) valide les cas susceptibles de déboucher sur une déclaration de soupçon à Tracfin ou sur une décision de rupture de la relation d’affaires. Ce niveau ne doit jamais être court-circuité pour les cas graves, la décision doit être prise à un niveau hiérarchique qui engage l’organisation.
C’est aussi pour cette raison que le responsable LCB-FT doit bénéficier d’une indépendance de jugement (par exemple, ne pas être rattaché au service commercial) et qu’il doit être directement rattaché à la direction générale.
Exemple d’organisation hiérarchique interne
L’absence de ces trois niveaux formalisés ou leur confusion dans la pratique est l’une des lacunes les plus fréquemment relevées lors des contrôles de conformité par les autorités de supervision.
La matrice de priorisation : toutes les alertes ne se valent pas
Le volume d’alertes peut rapidement dépasser la capacité de traitement des équipes. C’est précisément ce que mesure le rapport de l’ACPR d’avril 2023 sur les dispositifs automatisés qui documente des taux de faux positifs pouvant dépasser 95 %.
Autant vous dire que sans priorisation, les équipes traitent les alertes dans l’ordre d’arrivée au risque de laisser des alertes à haut risque attendre derrière des alertes anodines et les faux positifs.
Une bonne matrice de priorisation repose sur deux axes.
- Le niveau de risque LCB-FT du client : un client classé en vigilance renforcée dont une alerte est générée est prioritaire sur un client en risque standard avec une alerte similaire.
- La nature de l’alerte :
- une alerte de gel des avoirs ou de sanctions doit être traitée immédiatement, sans aucun délai ;
- une alerte comportementale (déviation par rapport au volume habituel, par exemple) peut s’inscrire dans une file de traitement à 48 à72 heures ;
- une alerte de mise à jour documentaire (pièce expirée) peut être intégrée dans un traitement groupé hebdomadaire.
Par exemple, dans une étude notariale, si lors d’une vente immobilière à 1,2 M€, une alerte est générée simultanément sur l’acheteur (comportementale) et sur le vendeur (sanctions). Alors, la matrice priorise immédiatement l’alerte sanctions tandis que l’alerte comportementale sur l’acheteur peut être traitée dans les 24 heures suivantes.
La matrice de priorisation doit être écrite, versée dans la procédure et appliquée de façon constante. Son absence crée une dépendance au jugement individuel, difficilement défendable en cas de contrôle de conformité.
Qualifier une alerte sans se tromper : la pratique
Qualifier une alerte consiste à répondre à une question précise : « cette alerte signale-t-elle un risque réel ou une correspondance fortuite ? » et il ne faut pas systématiquement se fier à la fiabilité générale du client.
Faux positif ou signal réel : les critères de distinction
Les faux positifs représentent l’immense majorité du volume d’alertes dans les dispositifs de filtrage (environ 90 % et 99 % selon les configurations). Les causes les plus fréquentes de faux positifs sont :
- l’homonymie ;
- les données incomplètes (absence de date de naissance ou de nationalité dans le dossier client) ;
- la translittération approximative de noms étrangers ;
- le paramétrage trop sensible sur les niveaux de similarité.
Trois critères permettent de statuer rapidement et de façon documentée.
- La correspondance d’identité : la concordance doit porter sur au moins deux champs distinctifs pour être considérée comme significative (nom + date de naissance ou nom + nationalité + pays de résidence, par exemple). Un nom seul ne suffit jamais à conclure.
Dans le cas d’une étude notariale, si une alerte est générée sur « Jean Dupont », nom figurant sur une liste de surveillance, le notaire vérifie son client : Jean Dupont est né en 1971 à Lyon, de nationalité française. La personne figurant sur la liste est née en 1958 au Maroc et est de nationalité marocaine. Deux champs discriminants ne correspondent pas, alors l’alerte est un faux positif documenté comme tel.
- La cohérence contextuelle : l’opération déclenchant l’alerte est-elle cohérente avec la situation connue du client ? Une alerte sur un virement de 150 000 € vers un pays tiers mérite un examen différent selon que le client est un importateur international actif ou un retraité sans activité professionnelle déclarée.
Par exemple, pour un cabinet d’expertise comptable, une alerte est générée sur un client PME qui reçoit un virement de 80 000 € d’une entité étrangère. Le contexte du dossier révèle qu’il s’agit d’un client exportateur actif avec plusieurs clients européens référencés. La correspondance avec une facture de prestation en attente permet de lever l’alerte en moins de 30 minutes. À l’inverse, si ce client était un commerce de détail local sans activité internationale déclarée, l’alerte justifierait une investigation approfondie de niveau 2.
- L’historique du client : des alertes similaires ont-elles déjà été générées sur ce même client ? Avec quelle conclusion ? Un historique de faux positifs documentés sur le même critère est un élément de contexte qui accélère la qualification, sans jamais, toutefois, dispenser de vérifier.
Documenter la qualification : le minimum requis
Comme nous le disions, la décision doit être documentée, que l’alerte soit levée ou transmise à l’échelon supérieur. Aussi, la note de qualification doit comporter, sans exception :
- les champs vérifiés et le résultat de la comparaison, champ par champ ;
- la source consultée : version de la liste et date de consultation ;
- la conclusion motivée en une à trois phrases claires et non ambiguës ;
- l’identité et la fonction de l’analyste, avec horodatage.
Un faux positif levé sans ces éléments est, en cas de contrôle conformité par une autorité de supervision, aussi problématique qu’une alerte non traitée. L’autorité ne vérifie pas seulement que les alertes graves ont été escaladées, elle vérifie que la méthode de qualification des autres est traçable et cohérente.
Piloter le dispositif de gestion d’alertes dans la durée : les indicateurs
Au-delà du traitement au cas par cas, un dispositif de gestion des alertes doit être piloté comme un processus, c’est-à-dire avec des indicateurs, des revues périodiques et une capacité à s’auto-corriger.
C’est l’une des dimensions les plus différenciantes d’un dispositif mature, et l’une des moins formalisées dans les organisations de taille intermédiaire.
Les KPI à suivre et ce qu’ils révèlent
Voici les KPI ou indicateurs à surveiller dans le pilotage du processus de gestion des alertes de conformité.
| Indicateur | Ce qu’il mesure | Signal d’alerte |
|---|---|---|
| Taux de faux positifs | Part des alertes levées sans investigation approfondie | > 95 % → paramétrage probablement trop sensible |
| Taux de transformation en examen renforcé | Part des alertes escaladées au niveau 2 | < 1 % → filtre trop lâche ou niveau 1 trop permissif |
| Délai moyen de traitement | Temps entre génération et clôture de l’alerte | Dépasse le délai procédural interne → problème de capacité ou de priorisation |
| Taux de déclarations de soupçon issues des alertes | Part des examens renforcés aboutissant à une déclaration de soupçon Tracfin | Selon l’ACPR (rapport avril 2023), entre 1/4 et 1/3 des examens renforcés. En dessous, vigilance sur le seuil d’escalade |
| Taux d’alertes non traitées dans les délais | Part des alertes dépassant le délai procédural sans clôture | Tout résultat non nul → problème de gouvernance ou de charge à corriger |
La revue périodique du dispositif : son contenu
Une revue du dispositif d’alertes (semestrielle a minima, trimestrielle pour les volumes importants) doit aboutir à trois livrables documentés. En voici des exemples concrets pour en comprendre la substance réelle.
Un bilan quantitatif des KPI sur la période
Il ne s’agit pas d’un simple tableau de chiffres, mais d’une comparaison avec la période précédente assortie d’une interprétation.
Par exemple, pour un cabinet d’expertise comptable : « Sur le 1er semestre, 48 alertes générées, dont 46 faux positifs (95,8 %), 2 examens renforcés, 0 déclaration de soupçon. Délai moyen de traitement : 18 heures.
Sur le S2 de l’année précédente : 31 alertes, 30 faux positifs, 1 examen renforcé. Augmentation liée à l’intégration de 12 nouveaux clients dans le secteur import-export. Paramétrage à revoir sur les alertes de virement international. »
Une analyse qualitative des alertes les plus représentatives
Elle porte sur un échantillon d’alertes et pas seulement les cas extrêmes, mais aussi les cas typiques pour évaluer la cohérence des décisions de qualification.
Pour cet exemple, prenons une étude notariale avec une revue de 5 alertes levées en faux positif sur la période. Le constat est que 3 des 5 alertes portaient sur le même nom de famille très fréquent dans la clientèle.
La recommandation qui en découle : enrichir les dossiers concernés avec la date de naissance et la nationalité pour accélérer les qualifications futures.
Sur les 2 autres alertes, revue de 1 alerte escaladée : investigation documentée conforme à la procédure, clôturée en 36 heures. Revue de 1 alerte ayant généré une déclaration de soupçon à Tracfin : la procédure a été respectée dans un délai de 22 heures entre la génération et le dépôt de la déclaration de soupçon.
Une liste d’actions correctives avec responsable et délai
Le bilan et l’analyse ont pour but d’améliorer le processus de gestion des alertes. À partir des constats, interprétations et analyses, l’idée est de dresser une liste d’actions à mener pour corriger les faux positifs récurrents.
Pour bien faire les choses, cette liste doit inclure le délai de réalisation de la modification ainsi que la personne chargée de le faire.
Voici quelques exemples.
| Action identifiée | Responsable | Délai | Origine |
|---|---|---|---|
| Enrichir les dossiers « Dupont/Martin/Bernard » avec date de naissance | Assistante de direction | 30 jours | Trop de faux positifs sur homonymies fréquentes |
| Revoir le seuil d’alerte sur les virements internationaux > 50 000 € | Responsable conformité | 15 jours | Taux de faux positifs anormalement élevé sur ce scénario |
| Former l’analyste niveau 1 sur la documentation des qualifications | Responsable conformité | 60 jours | Deux notes de qualification insuffisamment motivées relevées en revue |
| Tester le nouveau paramétrage sur les données historiques avant mise en production | Prestataire outil + responsable conformité | 45 jours | Toute modification de seuil doit être testée avant déploiement |
Cette revue est ce qui transforme un dispositif statique en un dispositif qui s’améliore en continu, mais c’est aussi ce que les lignes directrices conjointes ACPR-Tracfin recommandent de mettre en place.
La gestion des alertes en KYC est le point de jonction entre la technologie et la décision humaine et c’est précisément là que les dispositifs montrent leurs vraies limites. Un outil qui génère des milliers d’alertes non traitées ou traitées sans méthode ne protège pas, il crée seulement une illusion de conformité. Ce qui compte, c’est la capacité à démontrer, alerte par alerte et dans la durée, que les décisions prises étaient fondées, documentées et cohérentes avec la politique de risque de l’organisation.
