En écrivant sur les lacunes entre le KYC, le KYB et la surveillance continue, je partais d’une hypothèse que l’on retrouve souvent dans les contenus des fournisseurs : dans les solutions de vérification d’identité, la « surveillance continue » se résumerait à un nouveau filtrage périodique des sanctions, sans grand-chose de plus.
C’est faux. Les outils de surveillance continue LCB-FT peuvent couvrir les listes de sanctions, les listes de surveillance, les PPE et les médias défavorables, pour les personnes physiques comme pour les personnes morales. Ils s’appuient sur des milliers de sources médiatiques, avec un filtrage contextuel et des cycles d’actualisation allant de quelques heures à un mois selon le flux. Ce sont des produits solides, qui accomplissent un travail sérieux, et il en va globalement de même pour leurs principaux concurrents.
La lacune n’est donc pas là où je le pensais. Elle se situe à un endroit plus intéressant et, une fois qu’on l’a repérée, impossible de l’ignorer.
La lacune ne tient pas à la couverture. Elle tient à la question posée.
Le KYC vérifie si une personne est bien celle qu’elle prétend être
Vérification des documents, détection du vivant, comparaison biométrique, validation de l’adresse, puis filtrage des listes de sanctions et de PPE à l’inscription.
La technologie dans ce domaine est devenue excellente. Un parcours bien conçu vérifie une personne en moins d’une minute, et la détection du vivant est aujourd’hui assez performante pour que la plupart des attaquants se soient tournés vers d’autres étapes du parcours.
Elle répond à une question d’identité, et elle y répond correctement. Elle ne dit pas ce que cette personne fait, ni ce qu’elle devient. Ce n’est pas une critique. C’est un périmètre, que les fournisseurs définissent clairement.
Le KYB, un problème nettement plus complexe
Le KYB vérifie si une entreprise existe réellement et qui la détient et la contrôle effectivement. La plupart des présentations expédient le sujet en un paragraphe, ce qui ne lui rend pas justice.
La difficulté est structurelle, au sens propre. Une personne a une identité. Une entreprise a une structure, et les structures sont créées par des personnes, parfois par des personnes qui préféreraient qu’elles ne soient pas lisibles.
Un contrôle KYB rigoureux examine donc plusieurs niveaux. Vérification de l’entité dans un registre des entreprises. Identification des dirigeants. Puis identification des bénéficiaires effectifs : il s’agit de déterminer quelles personnes physiques se trouvent réellement derrière l’entité, généralement celles qui en détiennent au moins vingt-cinq pour cent. Ce seuil varie toutefois selon les juridictions et, soyons honnêtes, toute personne suffisamment motivée peut assez facilement le contourner. FinCEN et les directives antiblanchiment de l’EU ne fixent pas tout à fait la limite au même endroit.
Vient ensuite la chaîne de détention. La société A est détenue par la holding B, immatriculée dans une juridiction dont le registre est peu fourni. Celle-ci appartient à deux entités situées dans un troisième pays, dont l’une est un trust. Au bout de cette chaîne se trouvent des personnes. Le travail consiste à les retrouver.
La qualité des registres varie énormément, ce que presque personne ne mentionne. Certaines juridictions publient librement les informations sur les bénéficiaires effectifs. D’autres ne publient que les données d’immatriculation. D’autres encore publient un nom et une date, puis considèrent le reste comme relevant du secret commercial. La qualité d’un fournisseur KYB dépend toujours des registres auxquels il a accès, et aucun ne peut inventer des données qu’un gouvernement a choisi de ne pas collecter. OpenCorporates permet de constater à quel point les données sous-jacentes sont disparates.
Tout cela pour dire que le KYB est difficile, que les bons fournisseurs le font bien et qu’il vaut davantage que ce qu’en perçoivent la plupart des acheteurs.
Mais voici ce qui me paraît le plus important à son sujet, et que je n’ai vu personne formuler par écrit.
Un contrôle KYB est un instantané d’une structure précisément conçue pour pouvoir être modifiée.
C’est à cela que servent les structures d’entreprise. Les sociétés transfèrent leur siège dans une autre juridiction. Des dirigeants sont nommés et démissionnent. Des actions changent de mains. Des filiales apparaissent dans de nouvelles juridictions. Rien de cela n’est suspect. C’est la vie ordinaire des entreprises, et cela se produit constamment.
La durée de validité d’une vérification KYB est donc bien plus courte que celle d’une vérification KYC. L’identité d’une personne est relativement stable. La structure d’une entreprise ne l’est pas, et presque personne ne tient compte de cette différence.
Ce que désigne réellement la surveillance continue
Venons-en au terme qui crée la confusion. Je tiens à être précis, car me tromper serait à la fois injuste et contre-productif.
Lorsqu’un fournisseur de solutions de vérification d’identité parle de « surveillance continue », il désigne la surveillance continue LCB-FT. Il s’agit d’un véritable produit, pas d’un argument marketing.
Prenons l’exemple le plus clair. Certains types de logiciels actualisent en continu les profils des demandeurs et des entités en fonction des évolutions des listes de sanctions, des listes de surveillance et des médias défavorables dans le monde entier. Ils couvrent les personnes morales comme les personnes physiques. Ils analysent un très grand nombre de sources médiatiques, classent les correspondances par type et utilisent un modèle de langage pour aider les analystes à les trier.
Ce n’est pas une capacité limitée. Toute entreprise qui doit répondre des risques liés à ses clients devrait disposer d’un dispositif de ce type.
Deux détails opérationnels méritent d’être connus. Ils figurent dans la documentation plutôt que dans les contenus marketing. Il s’agit généralement d’une option, pas d’une fonctionnalité incluse par défaut. Et la surveillance commence habituellement à son activation : les entités approuvées avant l’achat doivent donc faire l’objet d’un nouveau filtrage pour intégrer le périmètre surveillé.
Ce ne sont pas des pièges. Mais ces deux points sont déterminants si vous pensiez que la surveillance était incluse et rétrospective, comme beaucoup d’acheteurs.
Où se situe donc la lacune ?
Voici la conclusion à laquelle je suis arrivé, après m’être trompé au départ.
La surveillance continue LCB-FT est conçue pour répondre à une question, et elle y répond bien : ce client présente-t-il un risque de criminalité financière ?
C’est exactement la bonne question pour une banque, un prestataire de paiement, une plateforme d’échange, un prêteur ou un opérateur de jeux d’argent. Vous avez des clients. Vous faites circuler des fonds pour leur compte. Si l’un d’eux blanchit de l’argent, cela engage votre responsabilité réglementaire et vous devez le savoir dès que son profil de risque évolue.
Pensez maintenant à un fonds.
Vous n’avez pas de clients. Vous avez des sociétés du portefeuille. Vous leur versez des fonds une fois, vous conservez votre participation pendant sept ou huit ans, et aucun fonds ne transite par vous pour leur compte.
Votre question n’est pas de savoir si cette entité vous expose à un risque de criminalité financière. Vous voulez savoir si cette entreprise a changé d’une manière qui affecte votre participation.
Or, la plupart des éléments qui répondent à cette question ne sont tout simplement pas des signaux LCB-FT.
Quatre situations qui ne génèrent jamais de correspondance LCB-FT
Passez en revue ce qui tourne réellement mal au sein d’un portefeuille et demandez-vous ce qui déclencherait une alerte dans un système de surveillance conçu pour la criminalité financière.
Une société du portefeuille transfère son siège du Delaware aux îles Vierges britanniques et nomme deux nouveaux dirigeants. C’est un événement consigné dans un registre. Ce n’est ni une correspondance avec une liste de sanctions, ni une correspondance PPE. À moins qu’un journaliste n’en parle, ce n’est pas non plus une information issue des médias défavorables. Cela ne génère aucun signal LCB-FT, car il n’y a rien de criminel. C’est simplement un fait concernant une société dont vous détenez une partie, et il peut avoir considérablement modifié votre situation réglementaire.
L’actionnaire principal de la plateforme d’échange par laquelle une société du portefeuille effectue ses règlements est visé par des sanctions. Votre société est désormais exposée. Mais la désignation concerne une entité qui n’est ni votre demandeur, ni votre client, ni la contrepartie d’une de vos transactions. C’est une exposition indirecte, au deuxième degré, qui se situe hors du périmètre d’un système construit autour de vos relations directes.
Onze fausses chaînes Telegram commencent à se faire passer pour le service d’assistance d’une société du portefeuille et à soutirer de l’argent à ses utilisateurs. Aucun système LCB-FT ne couvre cela. Il n’existe pas de liste de surveillance des usurpateurs. Il ne s’agit pas d’un délit financier commis par la société de votre portefeuille, mais d’un délit commis à son encontre, et tout le modèle regarde dans l’autre direction.
Un fondateur est personnellement mis en cause dans une procédure civile au sein d’une juridiction dont les actes judiciaires ne figurent dans aucune base commerciale. L’affaire apparaîtra peut-être un jour dans les médias défavorables, si une publication s’en empare. Ou peut-être pas.
Aucune de ces situations ne révèle une défaillance des produits LCB-FT. Elles se situent toutes hors de la question à laquelle ces produits sont conçus pour répondre.
Le modèle du demandeur et pourquoi il ne convient pas aux fonds
Un élément d’architecture sous-jacent explique pourquoi les fonds peinent à adapter les plateformes de vérification d’identité à leurs besoins. Il mérite d’être explicité.
Regardez comment ces systèmes sont construits. Il y a un demandeur. Il est vérifié, puis approuvé, rejeté ou mis en attente d’examen. Les demandeurs approuvés peuvent ensuite être surveillés. Il existe des niveaux de vérification, des outils de création de processus, des boutons d’approbation et des statuts de rejet.
C’est un entonnoir. Il a été conçu autour de l’entrée en relation, car c’est ce que les clients de ces produits font toute la journée.
Un fonds n’a pas d’entonnoir. Il détient déjà des participations dans trente-huit sociétés et ne peut pas simplement s’en défaire. Il ne les a pas approuvées, il y a investi. Et lorsqu’un signal apparaît, la relation ne prend pas fin : la participation est illiquide et sera conservée pendant des années quoi qu’il arrive.
On peut greffer un portefeuille sur un système conçu autour des demandeurs, et certaines entreprises le font. Mais on passe alors son temps à lutter contre le modèle, parce qu’on utilise un produit d’entrée en relation pour gérer une participation.
Quatre questions, pas trois niveaux
Le malentendu le plus courant consiste à y voir des niveaux croissants de rigueur. Le KYC serait élémentaire, le KYB approfondi et la surveillance le niveau avancé. Cette lecture est fausse, et c’est elle qui empêche les acheteurs de bien comprendre ce qu’ils ont acheté.
Ce ne sont pas des niveaux. Ce sont des questions différentes, et acheter le niveau « supérieur » ne vous donne pas accès aux autres.
| KYC | KYB | Surveillance continue LCB-FT | Intelligence des risques liés aux entités | |
| La question | Cette personne existe-t-elle réellement ? | Cette entreprise existe-t-elle réellement et qui la contrôle ? | Ce client est-il devenu un risque de criminalité financière ? | Qu’est-ce qui a changé concernant cette entité ? |
| Le périmètre observé | Une personne physique | Une entité et sa chaîne de détention | Sanctions, PPE, listes de surveillance, médias défavorables | Registres, dirigeants, contreparties, réseaux sociaux, médias |
| Le moment | À l’entrée en relation | À l’entrée en relation | En continu, à partir de l’activation | En continu, tant que vous détenez la participation |
| Le public visé | Clients | Clients | Clients | Entités auxquelles vous êtes exposé sans effectuer de transactions avec elles |
Qui a besoin de quoi, et dans quelle combinaison
Une fois les questions distinguées, la réponse devient assez claire.
Si vous faites entrer en relation de nombreux particuliers, que vous soyez une fintech grand public, une plateforme d’échange ou une place de marché, vous avez besoin du KYC. Achetez une solution : elle fonctionne, et sa mise en service sera plus rapide que vous ne le pensez.
Si vous faites entrer en relation des entreprises, vous avez besoin d’un KYB rigoureux, avec une véritable couverture des registres et une identification effective des bénéficiaires effectifs. C’est plus difficile qu’il n’y paraît et cela mérite d’y mettre le prix.
Si vous devez répondre du risque de criminalité financière de vos clients, il vous faut ajouter une surveillance continue LCB-FT à ces deux dispositifs. Dans la plupart des juridictions concernées, ce n’est pas facultatif : la recommandation 10 du GAFI prévoit une vigilance constante sur les relations d’affaires, et non un simple contrôle à l’entrée.
Et si votre exposition concerne des entités dans lesquelles vous avez investi plutôt que des clients que vous avez intégrés — fonds de capital-risque, fonds crypto, family office ou équipe de développement d’entreprise détenant des participations minoritaires —, les trois premiers dispositifs couvrent le début de la relation, mais aucun ne couvre les sept années qui suivent.
C’est la quatrième question. Elle relève d’un autre produit, dont la plupart des entreprises ignorent l’existence.
Questions fréquentes
Le KYC vérifie si une personne est bien celle qu’elle prétend être : vérification des documents, détection du vivant et contrôles biométriques, validation de l’adresse, puis filtrage des listes de sanctions et de PPE. Le KYB vérifie si une entreprise existe réellement et qui la détient et la contrôle effectivement. C’est un problème nettement plus complexe, car les chaînes de détention traversent plusieurs juridictions et les registres ne concordent pas.
Une personne a une identité et un document pour la prouver. Une entreprise a des immatriculations dans plusieurs juridictions, des dirigeants qui changent et des bénéficiaires effectifs qui peuvent se trouver plusieurs entités plus haut dans la chaîne. Retrouver les personnes physiques derrière la structure représente l’essentiel du travail, et c’est la partie que les présentations superficielles passent sous silence.
C’est le terme qui crée le plus de confusion, car il désigne deux choses différentes. D’une part, un nouveau filtrage périodique d’un client existant par rapport à des listes. D’autre part, la détection de changements dans le monde réel, tels que des dépôts aux registres, des contentieux, des mesures prises par les autorités et des médias défavorables, qu’aucune liste ne recensera jamais.
Dans tout ce qui ne génère jamais de correspondance LCB-FT. Une grande partie des problèmes réels d’un portefeuille — un changement discret d’actionnariat, la démission d’un dirigeant, l’ouverture d’un contentieux ou l’apparition d’une société dans les dossiers des autorités — ne déclenchera aucune alerte dans une plateforme de filtrage, car ces plateformes sont conçues pour comparer des noms à des listes.
Parce que ces plateformes reposent sur le modèle du demandeur : une personne ou une entité se présente, fait l’objet d’une vérification, devient cliente, et le dossier est complet. L’exposition d’un fonds fonctionne autrement. La relation commence au virement et dure des années, sans que personne dépose une nouvelle demande.
Ce ne sont pas trois niveaux d’un même dispositif, contrairement au malentendu le plus courant. Ils répondent à des questions différentes : qui est cette personne, quelle est cette société et qui la contrôle, et qu’est-ce qui a changé depuis notre dernier examen ? Une quatrième question se pose en arrière-plan : prendrions-nous encore la même décision aujourd’hui ? Aucun élément de l’ensemble de solutions habituel n’y répond.
Conclusion
Ils ne forment pas une échelle. C’est ce malentendu qu’il faut corriger, car il explique pourquoi tant d’entreprises pensent avoir acheté une capacité dont elles ne disposent pas.
Le KYC vérifie une personne. Le KYB vérifie une structure, le fait bien, et le fait une fois. La surveillance continue LCB-FT surveille de manière exhaustive le risque de criminalité financière de vos clients, à partir de données de grande qualité.
Savoir ce qui a changé concernant une entité à laquelle vous êtes exposé — ses dirigeants, sa juridiction, ses contreparties, sa présence publique, son actionnariat — constitue un quatrième sujet à part entière. Et la plupart des fonds n’ont aucun dispositif pour le traiter.
Nous avons expliqué en détail les raisons de cette lacune ici et cartographié l’ensemble des fournisseurs ici, si vous préférez situer chaque solution avant de prendre une décision.
Si vous préférez voir directement comment cela fonctionne, Beady AI surveille en continu les entités auxquelles vous êtes exposé — sociétés du portefeuille, fondateurs, contreparties — en couvrant les sanctions, les médias défavorables, les registres des entreprises et les usurpations d’identité. Chaque signal renvoie à sa source primaire. Réservez une session et nous testerons la plateforme sur vos participations réelles. Cela prend une vingtaine de minutes, et une seule vous suffira pour savoir si cette quatrième question vous concerne.
