Comme vous le savez, la surveillance continue KYC est une obligation légale. Elle ne consiste pas à refaire intégralement le dossier d’un client à intervalles réguliers.
Elle repose sur l’actualisation de sa connaissance tout au long de la relation, le suivi des évolutions susceptibles de modifier son niveau de risque et, lorsque nécessaire, le refiltrage des personnes concernées.
Bonne nouvelle, une partie de ces contrôles peut être automatisée : collecte et mise à jour des données, vérifications sur des sources externes, détection de changements ou de nouvelles correspondances, génération d’alertes, etc.
L’enjeu est alors de définir précisément ce que l’outil doit surveiller et à quel moment une intervention humaine reste nécessaire. On vous explique comment faire !
Surveillance continue KYC : ce qu’on peut réellement automatiser
La réglementation impose une vigilance constante pendant toute la durée de la relation d’affaires (article 561-6 du Code Monétaire et Financier, CMF). Les informations permettant de conserver une connaissance appropriée et actualisée du client doivent donc être recueillies, mises à jour et analysées avec une fréquence et une profondeur adaptées au niveau de risque (article R.561-12 du CMF).
L’automatisation de la mise à jour des données pendant toute la relation
Le KYC initial permet d’identifier le client, de vérifier son identité et de recueillir les informations nécessaires à la connaissance de la relation d’affaires. Il ne constitue toutefois qu’un point de départ.
Pendant toute la relation, les informations pertinentes doivent rester suffisamment à jour pour vous permettre d’évaluer le risque et la cohérence des opérations avec le profil connu du client.
L’automatisation peut faciliter la détection d’une modification des informations connues sur le client ou déclencher une demande de mise à jour lorsque certains éléments évoluent. Elle permet ainsi de limiter les relances manuelles et de conserver un dossier plus facilement actualisé.
Refiltrer les clients après l’entrée en relation
Le refiltrage ne signifie pas nécessairement reprendre l’intégralité du KYC depuis le début. Il peut porter sur un élément précis qui nécessite une nouvelle vérification : identité, bénéficiaire effectif, statut de personne politiquement exposée (PPE), présence sur une liste de sanctions ou autre information pertinente pour l’évaluation du risque.
L’automatisation permet alors de lancer ces vérifications sans attendre qu’un collaborateur pense à effectuer manuellement une nouvelle recherche. L’outil peut comparer les données du client avec les sources définies dans le dispositif et signaler une nouvelle correspondance ou une évolution nécessitant une analyse.
Les limites d’une surveillance continue manuelle
Sans automatisation, la surveillance constante peut rapidement devenir difficile à piloter lorsque les dossiers se multiplient :
- fichiers dispersés ;
- contrôles effectués trop tard ;
- oubli de renouvellement ;
- recherches manuelles chronophages ;
- difficulté à suivre les changements ;
- alertes non centralisées, traitées trop tard, voire restées sans suite ;
- traçabilité compliquée.
Le risque n’est pas seulement de perdre du temps. Il est légal ! La non-conformité de la surveillance continue expose votre entreprise à des sanctions administratives, financières, voire pénales.
Avant d’automatiser : définissez les règles et votre processus de surveillance
Un outil ne peut automatiser correctement que des contrôles clairement définis. Avant de paramétrer une solution, vous devez donc déterminer ce qui doit déclencher une nouvelle vérification, à quelle fréquence et quelles actions sont attendues en cas d’alerte.
En outre, on n’automatise pas une mauvaise procédure ! Il faut donc également vérifier, corriger, voire redéfinir votre processus de surveillance constante. On fait le point.
Identifier les événements qui déclenchent un contrôle
Certains changements dans la situation du client ou dans la relation d’affaires peuvent justifier une actualisation des informations ou une nouvelle évaluation, notamment :
| Événement | Contrôle à prévoir |
| Changement d’identité | Actualisation des données |
| Changement de dirigeant | Vérification du dossier |
| Nouveau bénéficiaire effectif | Vérification et réévaluation |
| Modification importante de l’activité | Réévaluation du risque |
| Nouvelle correspondance sur une liste | Analyse de l’alerte |
| Apparition d’une PPE | Adaptation du niveau de vigilance |
| Évolution significative du profil | Nouvelle évaluation |
Ce tableau illustre une logique de déclenchement, il ne constitue pas une liste réglementaire universelle. Ces déclencheurs doivent être définis en fonction de votre activité, de votre dispositif LCB-FT et du niveau de risque associé à vos relations d’affaires. On vous explique.
Adapter les contrôles au niveau de risque
La surveillance continue ne repose pas nécessairement sur les mêmes contrôles pour tous les clients. La réglementation prévoit que la nature et l’étendue des informations collectées, leur fréquence de mise à jour et les analyses réalisées soient adaptées au risque présenté par la relation d’affaires.
Un client présentant un risque élevé devra ainsi faire l’objet d’une surveillance plus approfondie qu’une relation présentant un risque faible.
Source : Guide LCB-FT Tracfin
Avant de choisir votre outil, il faut formaliser quoi contrôler, quand, sur quels clients et quelle action déclencher en cas d’alerte.
Le choix de la solution vient ensuite.
Conseil pratique : une solution adaptée doit tenir compte du secteur d’activité, des obligations applicables et du fonctionnement réel de l’entreprise. Un outil conçu pour les besoins d’une banque ne répondra pas nécessairement à ceux d’un cabinet d’expertise comptable, ce dernier a besoin d’un outil KYC pour expert-comptable.
Les obligations LCB-FT constituent un cadre commun, mais les données exploitées, les formulaires, les profils clients et les processus de contrôle peuvent varier. Une solution doit donc pouvoir correspondre à votre secteur ou être suffisamment configurable pour s’intégrer à votre fonctionnement.
L’automatisation de la surveillance continue KYC en pratique
Une fois les règles définies, l’automatisation peut prendre en charge une grande partie des contrôles répétitifs. Le principe est simple : les informations du client sont centralisées, comparées à des sources pertinentes, puis les changements ou correspondances détectés sont transformés en alertes à traiter.
Centraliser les données et automatiser les contrôles
L’automatisation commence par les données dont vous disposez déjà sur vos clients : identité, structure juridique, dirigeants, bénéficiaires effectifs, activité, niveau de risque et documents associés.
Un outil automatisé récupère et actualise certaines informations manquantes ou obsolètes et vérifie la cohérence des données enregistrées ainsi que l’authenticité des justificatifs. Des technologies de eKYC comme l’OCR, l’analyse automatisée de documents ou la vérification d’identité facilitent la collecte et la mise à jour de certaines informations.
Bon à savoir : la majorité des outils offrent une collecte des données simplifiée grâce à une plateforme où les clients peuvent simplement déposer leurs documents. De plus, la procédure de vérification et d’authentification des documents est instantanée. Autrement dit, vos clients sont immédiatement informés d’une pièce illisible, non conforme, périmée, etc.
Mais ces technologies ne constituent pas, à elles seules, une surveillance continue. Leur intérêt dépend de leur intégration dans le processus global. Une donnée modifiée doit pouvoir être identifiée, comparée au dossier existant et, si nécessaire, déclencher une action.
Automatiser le refiltrage et l’évaluation du risque
Le refiltrage ou screening consiste à confronter régulièrement les données des clients et bénéficiaires effectifs aux sources externes pertinentes pour votre dispositif : Registre national des entreprises, listes de sanctions (GAFI, mesures de gel des avoirs, OFAC, liste consolidée européenne, personne politiquement exposée (PPE), etc.).
L’outil détecte une nouvelle correspondance et compare également les nouvelles informations avec celles déjà enregistrées afin d’identifier une évolution du profil client (scoring).
Ces résultats permettent d’alimenter le niveau de risque attribué à la relation. Un changement dans la structure de l’entreprise, l’activité, les bénéficiaires effectifs ou les informations issues d’un screening peut ainsi conduire à une nouvelle évaluation.
Conseil pratique : pour effectuer des contrôles sur des sources externes, l’outil doit préalablement y avoir été connecté. Inutile de vous connecter à toutes les bases existantes. Nous vous conseillons de lister les sources externes réellement utiles.
Bon à savoir : l’intelligence artificielle peut intervenir dans certaines étapes selon l’outil KYC utilisé, notamment pour rapprocher des informations ou faciliter l’analyse de volumes importants de données. Elle reste toutefois un moyen d’automatiser certaines opérations, pas une décision de conformité à elle seule.
Transformer les résultats en alertes exploitables
Une surveillance automatisée n’est réellement utile que si ses résultats peuvent être traités. Une simple notification indiquant « correspondance détectée » oblige encore le collaborateur à reprendre toute la recherche.
Une alerte exploitable doit idéalement permettre de comprendre :
- quel client est concerné ;
- quelle information a changé ou quelle correspondance a été détectée ;
- pourquoi le contrôle a généré une alerte ;
- quel niveau de risque est associé ;
- quelle vérification doit être réalisée ;
- quelle décision a finalement été prise ;
- quelles preuves doivent être conservées.
L’objectif est de passer d’un résultat automatisé à un véritable processus de traitement, avec une intervention humaine seulement là où elle est nécessaire.
Gérer les alertes KYC
Vous l’avez compris, l’automatisation ne vous dispense pas d’analyser les alertes. Elle permet surtout de détecter plus rapidement les situations nécessitant une intervention.
Le traitement peut suivre une logique simple : alerte → qualification → vérification → décision → action → traçabilité
Par exemple, une correspondance avec une personne homonyme sur une liste ne signifie pas automatiquement qu’il s’agit du client concerné. C’est ce que l’on appelle un faux positif. Vous devez vérifier les éléments disponibles, écarter ou confirmer la correspondance et documenter votre décision.
| L’outil détecte |
L’humain doit |
| Une correspondance potentielle | Vérifier s’il s’agit bien de la même personne |
| Une modification de données | Contrôler et actualiser le dossier |
| Une hausse du niveau de risque | Examiner les éléments à l’origine du changement |
| Une situation nécessitant une vigilance renforcée | Appliquer les mesures prévues par le dispositif |
Conseil pratique : il est indispensable de prévoir une priorisation des alertes, car le volume d’alertes peut rapidement dépasser la capacité de traitement des équipes. Or, toutes les alertes ne se valent pas. Une alerte de gel des avoirs ou de sanctions doit être traitée immédiatement, sans aucun délai, alors qu’une alerte de mise à jour documentaire (pièce expirée) peut être intégrée dans un traitement groupé hebdomadaire.
En outre, les faux positifs peuvent représenter la majorité du volume d’alertes dans un dispositif de filtrage. Pour limiter le nombre de fausses alertes (faux positifs), il faut bien paramétrer la sensibilité de l’outil.
L’outil permet donc d’automatiser la détection, le rapprochement et le déclenchement des alertes. L’analyse des situations ambiguës, la décision à prendre et les éventuelles mesures à mettre en œuvre restent du ressort de l’humain.
Les points à vérifier avant d’automatiser votre surveillance continue KYC
Pour vous aider dans l’automatisation de votre surveillance constante et votre refiltrage KYC, voici un outil de préparation du projet que vous pouvez utiliser avant de choisir ou paramétrer un outil de KYC automatisé afin de bien définir vos règles et le processus de surveillance.
| Étape | Points à vérifier/questions à se poser |
« Réponses » |
| 1. Cartographier les données | Quelles données KYC détenez-vous ?
Où sont-elles stockées ? Sont-elles à jour ? |
Par exemple : identité, structure juridique, dirigeants, activité, bénéficiaires effectifs, justificatifs.
Base de données interne Pas toutes |
| 2. Définir les déclencheurs | Quels événements doivent provoquer une nouvelle vérification ? | Par exemple : Changement d’identité/dirigeant/bénéficiaire effectif
Modification importante de l’activité Apparition d’une PPE |
| 3. Identifier les sources | Quelles bases ou listes doivent être interrogées ?
À quelle fréquence ? |
|
| 4. Paramétrer les contrôles | Quels contrôles doivent être automatiques ?
Pour quels profils de risque ? |
|
| 5. Définir les alertes | Quels événements génèrent une alerte ?
Quels niveaux de priorité ? |
|
| 6. Organiser le traitement | Qui reçoit l’alerte ?
Dans quel délai ? Quelle vérification doit être effectuée ? |
|
| 7. Prévoir la validation humaine | Dans quels cas l’outil ne peut-il pas conclure seul ? | |
| 8. Assurer la traçabilité | Quelles informations doivent être conservées pour justifier les contrôles et décisions ? | |
| 9. Tester le dispositif | Comment vérifier que les alertes sont pertinentes et que les faux positifs restent maîtrisés ? |
Conseil pratique : vous pouvez compléter ce tableau non exhaustif en fonction de vos besoins et de votre activité afin d’en faire un vrai brief.
Automatiser la surveillance continue KYC ne consiste pas à remplacer le professionnel par un outil. Il s’agit d’automatiser les vérifications répétitives, de détecter plus rapidement les changements et de structurer le traitement des alertes, tout en conservant une analyse humaine lorsque la situation l’exige. Vous gagnez certes en temps, mais surtout en conformité de votre dispositif LCB-FT. Vous êtes expert-comptable ? Legal2Digital peut vous aider !
