Un client passe les contrôles KYC à l’entrée en relation. Son identité est confirmée, il ne figure sur aucune liste de sanctions, son dossier ne présente aucun problème et vous ouvrez son compte. À cet instant, tout est en règle.
Dix-huit mois plus tard, ce même client est ajouté à une liste de sanctions. Ou devient une personne politiquement exposée. Ou se retrouve cité dans une enquête pour fraude qui fait la une de la presse locale. Pourtant, sa prochaine revue KYC n’est prévue que dans un an. Pendant toute cette période, vous fournissez des services à un client que vous refuseriez aujourd’hui, sans qu’aucun élément de votre processus soit prévu pour vous en avertir.
Ce n’est pas un cas marginal. C’est ainsi que fonctionne, par conception, le KYC périodique. Imaginez un client qui commence à effectuer des mouvements de fonds suspects au troisième mois d’un cycle de revue de douze mois. Dans un modèle fondé sur un calendrier, personne ne surveille activement la situation entre deux revues. Le comportement n’est donc signalé qu’au douzième mois, et la déclaration d’activité suspecte que vous finissez par déposer repose sur des informations vieilles de neuf mois. Lorsque vous intervenez, il est trop tard pour prévenir le préjudice. Il ne vous reste qu’à le documenter.
Le problème ne vient pas d’un KYC mal réalisé, mais du fait qu’un KYC effectué une seule fois répond à la mauvaise question. Lorsque vous vérifiez un client à l’entrée en relation, vous établissez qui il est le premier jour. Ce que vous devez réellement savoir, chaque jour ensuite, c’est si vous pouvez toujours entretenir une relation avec lui sans risque. Il s’agit de passer de la vérification, qui correspond à un instant précis, à l’assurance, qui s’inscrit dans la durée. C’est précisément ce qui distingue une simple case cochée d’une véritable gestion du risque. Et, comme nous le verrons, c’est aussi ce qui distingue le respect de vos obligations réglementaires d’une simple apparence de conformité.
Le KYC vérifie un instant donné, tandis que le risque continue d’évoluer.
Le processus KYC à l’entrée en relation constitue essentiellement un instantané : il consigne l’identité du client, son origine et les risques connus qu’il présente le jour du contrôle. Cet instantané est nécessaire et, dans la plupart des cas, imposé par la loi. Mais une obligation légale ne suffit pas nécessairement à répondre au besoin réel. C’est précisément le cas du KYC : dès le lendemain de l’entrée en relation, l’exigence formelle et la réalité des besoins commencent à diverger. Le problème est que l’instantané commence à devenir obsolète dès sa création, car le client ne reste pas figé dans l’état où il se trouvait lors de sa vérification.
Nous avons développé un raisonnement similaire pour les entreprises bénéficiaires d’investissements et les sociétés en portefeuille dans Au-delà de l’entrée en relation. Ici, il est question de vos clients, mais la logique est identique : une due diligence effectuée une seule fois ne couvre que le passé, tandis que le risque se situe dans le présent. L’objectif n’est pas d’obtenir un meilleur instantané, mais une vision actualisée en continu. La question à laquelle répond l’entrée en relation — qui est ce client — diffère de celle qui vous protège dans la durée : correspond-il toujours à ce que vous pensiez de lui, et pouvez-vous toujours lui fournir vos services sans risque ?
Ce qui change réellement après l’entrée en relation
Il faut préciser ce qu’un contrôle ponctuel ne peut pas voir, car il est facile d’admettre que « le risque évolue » tout en sous-estimant ce que cela implique.
Un client peut devenir une personne politiquement exposée à la suite d’une nomination. Il peut être inscrit sur une liste de sanctions, directement ou par l’intermédiaire d’une entité qu’il contrôle. Il peut aussi faire l’objet de médias défavorables, d’une enquête, d’une mise en accusation ou d’allégations de fraude qui n’existaient pas lors de son entrée en relation. Les bénéficiaires effectifs d’une entreprise cliente peuvent changer : les personnes précédemment validées ne sont alors plus celles qui la contrôlent. Son activité peut s’étendre à des secteurs ou à des territoires présentant un risque plus élevé. Ses transactions peuvent également commencer à raconter une autre histoire que celle annoncée dans son profil à l’entrée en relation. Aucune de ces situations n’est visible dans un contrôle effectué une seule fois, puis archivé. Chacune peut transformer un client dont l’acceptation était justifiée en un client que vous refuseriez désormais. Un exemple fréquent et problématique est celui d’un client initialement accepté comme simple particulier, puis nommé à une fonction publique et devenu, du jour au lendemain, une personne politiquement exposée, alors que votre dossier décrit toujours le compte à faible risque ouvert deux ans auparavant.
Les conséquences progressives d’un angle mort
Pour comprendre comment cette lacune cause des dommages, il est utile d’en suivre les étapes, car la défaillance passe généralement inaperçue sur le moment. Prenons une société de paiement qui accepte une entreprise cliente : les contrôles des dirigeants ne révèlent aucun problème, les bénéficiaires effectifs ne présentent aucun élément préoccupant, aucune correspondance avec les sanctions n’est détectée et le compte est classé à risque moyen, avec une revue tous les deux ans. Toutes les étapes nécessaires ont été correctement exécutées.
Quatre mois plus tard, l’un des bénéficiaires effectifs est discrètement ajouté à une liste de sanctions après l’instauration d’un nouveau régime de sanctions visant son pays d’origine. Aucun dispositif de la société ne surveille ce changement, et le compte continue de fonctionner normalement. Les paiements se poursuivent, dont certains, comme on le découvrira ensuite, sont liés à la personne sanctionnée. La société n’ignore pas une alerte. Elle n’en a simplement jamais reçu, parce qu’elle ne surveillait pas la situation entre deux revues.
Dix-huit mois plus tard, la revue prévue a lieu et les sanctions sont enfin appliquées. À ce stade, la société a déjà traité seize mois de transactions qu’elle n’était pas autorisée à prendre en charge. Elle doit mettre en œuvre un programme de remédiation, gérer une déclaration d’activité suspecte portant sur des faits anciens et expliquer au régulateur pourquoi il lui a fallu près de deux ans pour repérer une information connue en quelques jours. Chaque action, prise isolément, pouvait se défendre. Le résultat constitue pourtant une grave défaillance, dont la seule cause était l’absence de surveillance entre les revues. Cette surveillance continue était précisément ce que la société n’avait pas prévu, son calendrier de revue lui ayant donné l’impression qu’elle était déjà assurée.
La revue périodique a toujours été un compromis
Si un KYC ponctuel ne suffit manifestement pas, la réponse habituelle est la revue périodique : contrôler à nouveau chaque client tous les un à cinq ans, et plus souvent pour les clients à risque élevé. C’est mieux que rien et, pendant longtemps, c’était la seule solution praticable, car chaque contrôle était manuel et il était impossible de tous les effectuer en permanence.
Mais l’angle mort est inhérent au modèle périodique. Par définition, personne ne surveille la situation entre deux revues. Un changement qui intervient le mois suivant une revue reste donc indétecté jusqu’à la prochaine, parfois plusieurs années plus tard. Les revues elles-mêmes figurent parmi les tâches de conformité les plus manuelles et les plus coûteuses. Elles prennent souvent la forme de vagues de demandes généralisées de renouvellement des justificatifs, qui irritent précisément les clients fidèles à faible risque que vous souhaitez le moins mécontenter. Personne ne concevrait aujourd’hui, en partant de zéro, un processus lent, coûteux et contraignant qui laisse malgré tout de longues périodes sans visibilité. Il place aussi les équipes de conformité dans une position délicate : à chaque revue, elles doivent valider un client qu’elles n’ont en réalité pas réexaminé depuis la précédente.
Les régulateurs attendent déjà davantage qu’une case cochée
Voici ce qui tranche la question. La surveillance continue n’est pas une option que les entreprises les plus prévoyantes choisissent d’adopter en avance. Elle fait déjà partie des attentes. La recommandation 10 du FATF prévoit une due diligence continue et la tenue à jour des informations de due diligence client, au-delà d’un simple contrôle à l’entrée en relation. Au Royaume-Uni, la disposition 28(11) des Money Laundering Regulations 2017 impose une surveillance continue de la relation d’affaires et la tenue à jour des dossiers de due diligence client. La FCA considère cette surveillance comme une obligation de fond distincte de l’entrée en relation. Les régulateurs américains suivent la même ligne : les règles de due diligence client du FinCEN comportent un volet de surveillance continue. Et le futur Anti-Money Laundering Regulation de l’EU va encore plus loin, avec un cadre harmonisé qui, à partir de 2027, repose largement sur des profils de risque client actualisés en continu plutôt que sur des dossiers statiques.
Un point mérite ici d’être précisé, tant les textes consacrés à ce sujet manquent souvent de rigueur. Le terme « KYC perpétuel », utilisé dans le secteur pour désigner un nouveau filtrage continu déclenché par des événements, n’est imposé par aucune réglementation. Les textes prévoient l’obligation de tenir à jour la due diligence client. Le KYC continu ou perpétuel est simplement la méthode par laquelle les entreprises remplissent cette obligation en pratique. La véritable question n’a donc jamais été de savoir s’il fallait surveiller les clients en continu, mais comment le faire. Présenté ainsi, le KYC continu apparaît moins comme une amélioration réservée aux précurseurs que comme une application directe des règles déjà en vigueur.
De la vérification à l’assurance : le fonctionnement du KYC continu
Le KYC continu remplace le calendrier par l’événement : au lieu de rechercher périodiquement des changements chez toutes les personnes concernées, vous surveillez les changements pertinents et réévaluez la situation lorsqu’ils surviennent.
En pratique, plusieurs mesures fonctionnent de concert. Il s’agit de filtrer en continu vos clients et les personnes qui leur sont liées à partir des listes de sanctions, des listes de PPE, des médias défavorables et des listes de surveillance, afin de détecter toute nouvelle correspondance dès son apparition. Il faut aussi surveiller les changements de bénéficiaires effectifs pour savoir si les personnes qui exercent le contrôle ont changé. Le niveau de vigilance doit être fondé sur le risque : les clients à faible risque sont régulièrement contrôlés en arrière-plan, tandis que tout changement significatif concernant un client à risque élevé est immédiatement transmis pour examen approfondi. En outre, chaque décision de valider un client, d’actualiser des informations ou de transmettre un dossier doit reposer sur des éléments probants reliés à leur source, auditables et prêts à être examinés par un contrôleur. Les notations de risque client cessent ainsi d’être de simples estimations à un instant donné pour devenir un suivi dynamique.
Il faut préciser ce que « perpétuel » ne signifie pas, car le terme peut induire en erreur. Il ne s’agit ni de réaliser tous les contrôles sur chaque client chaque jour, ni de submerger votre équipe d’alertes permanentes. Le système est déclenché par des événements réels, et non par le calendrier. Lorsqu’il est bien conçu, il réduit la charge de travail, puisque vous ne consacrez plus de temps à des revues lorsque rien n’a changé. Le calendrier doit alors servir de filet de sécurité pour les rares clients dont la situation reste silencieuse, plutôt que de méthode principale pour l’ensemble des clients.
Comment définir de bons déclencheurs
La réussite ou l’échec du KYC continu dépend entièrement des déclencheurs, c’est-à-dire des événements qui amènent le système à déterminer qu’un client mérite un examen complémentaire. Bien paramétrés, ils permettent à l’ensemble du système de fonctionner discrètement en arrière-plan. Mal paramétrés, ils vous exposent soit à ne rien détecter, soit à être submergé. Quelques catégories sont essentielles.
Les déclencheurs liés au filtrage sont les plus évidents : une nouvelle correspondance avec une liste de sanctions ou de PPE, ou de nouveaux médias défavorables citant le client ou une personne qui le contrôle. Les déclencheurs liés à la détention du capital s’activent lorsque les bénéficiaires effectifs ou les personnes exerçant le contrôle d’une entreprise cliente changent, car les personnes validées ne sont peut-être plus celles qui la dirigent. Les déclencheurs comportementaux proviennent de l’activité du client : transactions incompatibles avec son profil à l’entrée en relation, variation soudaine des volumes ou contreparties présentes dans des zones inattendues. Les déclencheurs géographiques et ceux liés au statut détectent le passage d’un client ou de son activité vers un territoire ou un secteur à risque plus élevé. Enfin, les déclencheurs liés à la relation s’activent lors d’événements structurels : changement de dirigeants, fusion ou nouveau signataire habilité.
Ce qui compte, c’est l’action associée à chaque déclencheur. Chaque événement ne nécessite pas une révision complète du dossier. Un système efficace traite les changements mineurs par une mise à jour discrète en arrière-plan, oriente les changements substantiels vers un contrôle ciblé et transmet directement les cas graves, comme une correspondance actuelle avec une liste de sanctions, à un analyste, avec les éléments probants déjà joints. Il est essentiel d’adapter la réponse à la gravité du cas : c’est la condition pour que le KYC continu ne se transforme pas en un flux permanent de bruit. La réponse doit dépendre de la gravité de la situation, et non du seul fait qu’un événement s’est produit.
Le titulaire du compte n’est pas le seul à changer
Les revues périodiques comme les contrôles ponctuels tendent à insuffisamment couvrir les personnes qui entourent le client. Un compte d’entreprise ne se résume pas à l’entité juridique. Il comprend aussi ses bénéficiaires effectifs, ses dirigeants, ses signataires habilités et parfois un réseau de sociétés liées. Chacun peut devenir une source de risque après l’entrée en relation. Ce risque se répercute alors sur le compte, même si l’entité elle-même n’a rien fait.
Lorsqu’un bénéficiaire effectif devient une personne politiquement exposée, le risque de chaque entreprise qu’il contrôle évolue. Si un dirigeant est cité dans une affaire de fraude, cette exposition atteint le conseil d’administration. Un signataire ajouté sans signalement particulier pendant le processus d’entrée en relation peut avoir échappé au filtrage initial. L’assurance continue doit couvrir ces personnes, et pas seulement le nom figurant sur le compte. C’est précisément à leur niveau que les changements tendent à survenir, et ce sont les éléments qu’une revue annuelle de l’entité a le moins de chances de détecter.
Les bénéfices dépassent la conformité
Il serait facile de présenter tout cela comme une case à cocher plus souvent. En réalité, le passage du KYC périodique au KYC continu fait partie des rares changements qui améliorent plusieurs aspects à la fois.
Vous identifiez le risque en temps réel : si un client commence à organiser ses opérations de manière suspecte au troisième mois, il est signalé ce même mois, au lieu d’être évalué lors de la revue suivante. Les déclarations d’activité suspecte que vous transmettez reposent alors sur des informations à jour plutôt que sur des dossiers obsolètes. Vous cessez d’imposer aux clients satisfaits un renouvellement intégral de leurs justificatifs, ce qui améliore concrètement leur expérience et leur fidélité. Le coût diminue lui aussi. Les entreprises qui adoptent un KYC continu déclenché par des événements constatent généralement qu’elles peuvent réduire la majeure partie de la charge de travail auparavant consacrée aux revues périodiques. Le travail manuel se déplace des échéances où les équipes doivent réexaminer des milliers de clients dont la situation n’a pas changé vers les exceptions qui nécessitent réellement une intervention. Obtenir à la fois plus de sécurité, des coûts plus faibles et moins de contraintes est inédit dans le domaine de la conformité. Il faut prendre le temps d’en comprendre la raison, car cela semble contre-intuitif : les économies viennent du fait que votre ressource la plus coûteuse, les analystes qualifiés, n’a plus à vérifier que rien n’a changé chez les nombreux clients dont la situation est effectivement restée identique. La plupart des responsables de la conformité ont passé toute leur carrière à entendre qu’une sécurité accrue entraîne toujours des coûts plus élevés. C’est l’un des rares cas où ce n’est pas vrai.
Cela ne risque-t-il pas de générer trop d’alertes ?
C’est la première objection soulevée, et elle est raisonnable. Les équipes de conformité sont déjà surchargées, et la « surveillance continue » semble promettre un bruit permanent. Cette objection serait effectivement fondée si le KYC continu consistait à répéter sans cesse chaque contrôle sur chaque client et à transmettre tous les résultats à un analyste.
Ce n’est pas ce que produit un KYC continu bien conçu, et c’est précisément le point essentiel. Puisqu’il est déclenché par des événements, la plupart des clients ne génèrent aucun élément à traiter la plupart des jours, leur situation ne changeant pas. Grâce à l’approche fondée sur le risque, les actualisations courantes des clients à faible risque sont traitées discrètement en arrière-plan, et seuls les changements significatifs sont remontés. Et puisqu’il distingue correctement les identités, le système ne signale pas chaque client qui porte simplement le même nom qu’une personne figurant sur une liste. Le KYC continu produit donc généralement moins d’éléments à examiner par un analyste qu’un modèle périodique avec ses revues exhaustives, et les éléments remontés sont réels.
Le véritable problème n’est pas le volume d’alertes. C’est un système mal conçu qui génère de nombreux faux positifs. Il s’agit bien d’une défaillance, à prévenir par la résolution d’entités, la classification par niveau de risque et des validations étayées par les sources. Ce sujet mérite un traitement rigoureux. Mais c’est un argument en faveur de la construction d’un système de KYC continu, pas une raison de conserver un modèle périodique qui vous prive de visibilité entre deux revues. Autrement dit, la crainte d’un nombre excessif d’alertes est en réalité une question de qualité de conception.
Comment effectuer la transition
Passer d’un modèle périodique à un modèle continu repose surtout sur quelques choix délibérés.
- Définissez vos événements déclencheurs : les changements qui doivent entraîner une réévaluation, comme une correspondance avec une liste de sanctions ou de PPE, des médias défavorables, un changement de bénéficiaires effectifs ou une évolution du comportement transactionnel.
- Effectuez un filtrage continu à partir des sources pertinentes, au-delà de l’entrée en relation et des échéances prévues au calendrier.
- Classez les clients par niveau de risque pour adapter l’intensité de la surveillance à chacun, plutôt que de traiter tout le portefeuille de la même manière.
- Validez automatiquement les dossiers à faible risque sans changement et transmettez à un analyste uniquement ceux qui présentent des changements réels, afin que votre équipe puisse consacrer son temps aux sujets importants.
- Veillez à conserver les traces de chaque réévaluation avec les informations sources pertinentes, afin que le dispositif soit auditable et que toutes les décisions puissent être expliquées.
- Assurez-vous que vos procédures écrites reflètent la réalité. Si votre politique décrit toujours un calendrier de revues périodiques alors que vous pratiquez une surveillance continue, vous documentez un processus différent de celui que vous appliquez réellement.
Vous n’avez pas besoin de refondre votre processus d’entrée en relation. La vérification initiale continue de remplir sa fonction. Le KYC continu permet à cette vérification de rester valable pendant toute la relation client. L’équipe chargée de l’entrée en relation a établi qui était le client à son arrivée ; le KYC continu vous assure que vous l’accepteriez encore aujourd’hui.
Comment vérifier que le dispositif fonctionne
Si vous effectuez cette transition, mesurez ses résultats : l’amélioration doit se traduire dans les chiffres, pas seulement dans les principes. Quelques indicateurs méritent votre attention.
Le délai de détection d’un changement est le plus important : combien de temps s’écoule en moyenne entre un changement de statut du client et le moment où votre entreprise en prend connaissance ? Dans un modèle périodique, ce délai se mesure en mois. Le principe du KYC continu est de le ramener à quelques jours. Il faut aussi suivre les revues en attente, dont le nombre devrait diminuer à mesure que les revues de masse planifiées sont remplacées par des contrôles déclenchés par des événements. Vient ensuite la proportion de revues périodiques n’ayant révélé aucun changement : si elle est élevée, elle indique directement les efforts consacrés inutilement. Enfin, l’actualité des informations contenues dans vos déclarations d’activité suspecte devrait s’améliorer, puisque vous détecterez les comportements au moment où ils surviennent, au lieu d’attendre la revue suivante. Ensemble, ces quatre indicateurs montrent si vous êtes réellement passé d’un calendrier à un système.
Si les chiffres n’évoluent pas, la transition n’a pas réellement eu lieu, quoi qu’indique le tableau de bord du fournisseur.
Questions fréquentes
Préserver la validité de la vérification
Un contrôle KYC sans anomalie à l’entrée en relation signifie que vous pouviez fournir des services au client sans risque le premier jour. Il ne dit rien du cinq centième jour. Les entreprises qui se retrouvent en difficulté n’avaient généralement pas de problème majeur à l’entrée en relation : elles ont simplement cessé de surveiller le client, dont la situation a changé entre-temps. L’assurance continue vise précisément à combler cette lacune. Et détecter un changement dès la première semaine coûte moins cher que d’en gérer les conséquences la deuxième année.
Beady est conçue pour apporter cette surveillance supplémentaire. Elle surveille en continu vos clients et les personnes qui leur sont liées à partir des listes de sanctions, des désignations de PPE, des médias défavorables et des informations juridiques et réglementaires. Vous êtes ainsi informé de toute évolution du risque client dès qu’elle survient, sans attendre la prochaine revue planifiée. Chaque résultat peut être retracé jusqu’à sa source d’origine, afin que vous puissiez le vérifier et montrer précisément à un contrôleur ce que vous saviez et à quel moment. Le processus d’entrée en relation vous indique qui est un client ; Beady continue de vous indiquer ce qu’il est devenu.
Pour voir ce que cette assurance continue ferait ressortir au sein de votre clientèle actuelle, réservez une démo : nous réaliserons cet exercice avec vous.
