Procédure KYC : ce qu'elle contrôle et qui y est assujetti
La procédure KYC vérifie qui est le client avant de signer. Ce qu'elle contrôle, qui y est assujetti au titre de la LCB-FT et comment la mener à distance.
Introduction
La procédure KYC, pour Know Your Customer, désigne les contrôles qui établissent qui est vraiment la personne ou l'entreprise avant d'entrer en relation avec elle. En France, le Code monétaire et financier l'impose aux professionnels assujettis à la LCB-FT, et elle protège tous les autres contre un contrat signé par quelqu'un d'autre.
La connaissance client, ou KYC, revient à une seule question pratique : la personne en face est-elle bien celle qu'elle prétend être, et le sait-on avant que quiconque signe ? Banques, experts-comptables, avocats et agents immobiliers y sont tenus par le dispositif LCB-FT. Les autres devraient s'y mettre pour une raison plus prosaïque : l'entrée en relation à distance est devenue l'endroit le plus simple pour usurper une identité.
Deux questions se confondent en permanence. Une signature électronique prouve qu'un document n'a pas bougé depuis la signature. Elle ne dit rien de l'humain derrière le clic. Il faut les deux, et ce sont deux mécanismes différents qui les établissent.
Ce guide détaille ce que la vérification d'identité contrôle réellement, qui y est légalement tenu, et comment placer le contrôle dans le parcours de signature au lieu de le poser à côté. Pour l'autre moitié du sujet, la vérification des fichiers déjà signés, voyez notre guide sur la vérification de documents en ligne.
Chaindoc exécute le contrôle du document d'identité, la détection du vivant et le criblage dans le même parcours que la signature. L'identité vérifiée et le document signé restent ainsi attachés l'un à l'autre. Voir la vérification KYC.
Pourquoi l'entrée en relation à distance déraille
Traiter avec un client jamais rencontré était rare. C'est devenu la norme, et le point faible a suivi. La fraude, elle, n'a rien de sophistiqué. C'est le plus souvent un passeport scanné qui appartient à quelqu'un d'autre, transféré dans un fil d'e-mails que personne n'a vérifié.
Le document a l'air authentique parce qu'il l'est
Le cas le plus fréquent de fraude à l'entrée en relation, c'est une pièce d'identité authentique entre de mauvaises mains. Le passeport est vrai, la photo est vraie, seul l'expéditeur n'est pas le titulaire. Un coup d'œil au scan ne le révèle pas. C'est précisément l'objet de la détection du vivant, et c'est pourquoi "on a demandé une copie de la pièce d'identité" ne constitue pas une vérification.
Personne n'est vraiment responsable du contrôle
Dans beaucoup de cabinets, l'étape d'identité vit dans la boîte mail d'une seule personne. Le commercial récupère la pièce, la transfère à la conformité, qui la classe, pendant que la lettre de mission part par un outil totalement différent. Quand le régulateur demande deux ans plus tard quelle pièce figurait au dossier au moment de la signature, la réponse prend une semaine. Parfois elle ne vient jamais.
C'est autant un problème de traçabilité que de fraude. Beaucoup de structures ont correctement vérifié leurs clients et se retrouvent simplement incapables de le démontrer.
Ce que la procédure KYC contrôle vraiment
"Vérifier un client" sonne comme une action unique. En pratique il s'agit de quatre contrôles qui répondent à des questions distinctes, et on peut parfaitement en réussir certains tout en échouant aux autres.
Authenticité de la pièce
Le système lit le document d'identité et teste s'il est authentique : éléments de sécurité, polices, gabarit du modèle pour ce pays et cette année d'émission, puis comparaison du texte imprimé avec la zone lisible par machine et la puce. Les écarts de gabarit sont ce qui se détecte le plus souvent ici.
Détection du vivant
Un court selfie ou une vidéo confirme qu'une personne réelle est présente maintenant et que son visage correspond à la photo du document. C'est ce contrôle qui bloque le cas du passeport emprunté, et c'est celui qu'on saute le plus volontiers parce qu'il alourdit le parcours.
Criblage
Listes de sanctions, personnes politiquement exposées, presse défavorable. Pour un assujetti, ce n'est pas une option, et cela doit être répété plutôt qu'exécuté une seule fois à l'entrée en relation.
Rattachement à la signature
Le point qu'on oublie. Si la vérification se termine dans un outil et la signature dans un autre, il reste deux enregistrements sans lien démontré. Rattachez l'identité vérifiée à l'empreinte du document au moment de la signature et vous obtenez une chaîne de preuve unique au lieu de deux dossiers séparés.
Restons honnêtes : aucun contrôle d'identité ne garantit l'absence de fraude. Les modèles génératifs produisent désormais des images de documents devant lesquelles l'analyse d'image seule se trompe souvent. D'où le poids croissant de la comparaison avec la puce et la zone lisible par machine, un point développé dans notre article sur la vérification de documents par IA.
Qui est légalement tenu de vérifier l'identité du client
Certaines structures vérifient leurs clients par prudence. D'autres parce qu'un régulateur sanctionnera l'absence de contrôle. Pour ces dernières, les textes fixent les preuves à conserver et la durée.
Deux malentendus reviennent souvent. D'abord, l'obligation s'applique *avant* l'entrée en relation, pas au premier paiement : la bonne place du contrôle est donc la lettre de mission ou le contrat. Ensuite, la vérification à distance est explicitement admise, avec des exigences renforcées. "Il faut que le client passe au bureau" n'est plus vrai depuis longtemps.
Lorsqu'un niveau de signature particulier est requis, contrôle d'identité et niveau de signature se répondent. Le détail figure dans notre guide sur la signature électronique qualifiée.
Derrière cette obligation se trouve le régime anti-blanchiment tout entier, et les deux sont régulièrement confondus : AML et KYC détaille ce que recouvre chacun.
Intégrer le contrôle au parcours de signature
L'ordre des opérations détermine la valeur de la preuve plus tard. Vérifier d'abord, signer ensuite, et garder les deux liés.
Vérifier avant l'ouverture du document
Le client reçoit un lien, effectue le contrôle de sa pièce et la détection du vivant, et n'accède au contrat qu'après. Rien à signer tant que l'identité n'est pas établie. Cela paraît évident, mais l'usage courant est l'inverse : envoyer le contrat, courir après la pièce d'identité, espérer.
Rattacher le résultat à la signature
À la signature, le résultat du contrôle, l'horodatage et l'empreinte du document sont inscrits ensemble. Cette empreinte est l'équivalent d'une empreinte digitale du contenu exact du fichier. Un seul caractère modifié et elle ne correspond plus. Vous démontrez ainsi deux choses : le document n'a pas changé, et c'est la personne vérifiée qui l'a signé. Chaindoc ancre cet enregistrement sur une blockchain pour que l'horodatage ne dépende pas de notre propre base de données, ce qui compte le jour où la partie adverse conteste.
Garder la preuve accessible
Une preuve introuvable n'est pas une preuve. Contrôle, document et piste d'audit vont au même endroit, avec des droits par rôle pour que seules les personnes concernées ouvrent des données d'identité. N'importe qui peut ensuite contrôler un document finalisé de façon indépendante via la vérification de signature.
Vérifiez le client, puis recueillez la signature
Contrôle de la pièce, détection du vivant et criblage dans le même parcours que le contrat, avec une seule piste d'audit.
Ce que vous gagnez à vérifier avant de signer
Un contrôle bien mené change trois choses, et une seule s'appelle conformité.
La preuve tient
Un dossier complet montre quelle identité a été vérifiée, par quelle méthode, et quel document exact cette personne a signé. En contrôle, c'est la différence entre une conversation courte et une reconstitution de dossier. C'est la piste d'audit qui porte cet élément.
Les litiges raccourcissent
La non-répudiation signifie qu'un signataire ne peut pas soutenir sérieusement n'avoir jamais consenti. Quand une identité vérifiée est liée à un document empreinté, "ce n'était pas moi" cesse d'être un argument.
L'entrée en relation accélère
Voilà qui surprend. On imagine que les contrôles d'identité ralentissent tout, et c'est vrai en manuel. Un contrôle automatisé se termine en moins d'une minute et supprime les allers-retours par e-mail, là où partaient réellement les journées.
Une réserve honnête : cela ajoute une étape pour le client, et certains abandonneront à ce moment précis. Pour une inscription en libre-service à faible enjeu, un contrôle complet avec pièce et vidéo peut coûter plus en abandons qu'il ne rapporte en fraude évitée. La profondeur du contrôle doit suivre le risque.
Ajouter la vérification d'identité à votre entrée en relation
Inutile de remplacer vos outils pour ajouter cette brique. Trois mouvements, dans cet ordre.
1. Décider qui reçoit quel niveau de contrôle
Tout le monde n'a pas besoin de la même profondeur. Écrivez les niveaux : un renouvellement modeste se contente d'un e-mail et d'une signature, un nouveau client entreprise avec un volume important demande pièce, vivant et criblage. Les assujettis ont peu de marge, le CMF fixe le plancher. Les autres doivent tout de même écrire la règle, car des contrôles inconstants valent moins que des contrôles légers mais réguliers.
2. Placer le contrôle avant la signature
L'étape d'identité et le contrat appartiennent au même parcours, pour que le client suive un chemin et non deux. Erreur classique à ce stade : on conserve l'ancienne demande par e-mail "au cas où" et on se retrouve avec deux processus parallèles et deux archives. L'ancien circuit doit être fermé pour de bon.
3. Rejouer le criblage périodiquement
Les statuts de sanction et de PPE évoluent. Un client conforme en mars peut apparaître sur une liste en octobre, et un contrôle effectué une fois est un contrôle périmé. Fixez un intervalle, puis tenez-le : trimestriel pour les risques élevés, annuel pour le reste.
À passer en revue à chaque cycle :
- Le criblage face aux listes à jour
- Qui, dans l'équipe, peut ouvrir les données d'identité, et si c'est toujours justifié
- Les pièces expirées depuis l'entrée en relation
- La capacité à retrouver la preuve en un clic
Bonnes pratiques sur les données d'identité
Quelques habitudes séparent les structures qui passent les contrôles de celles qui fouillent dans l'urgence.
Collecter le minimum
Les données d'identité sont la catégorie la plus sensible que vous détiendrez. Le RGPD impose de ne garder que le nécessaire, et seulement le temps prévu. Multiplier les copies de passeports "par sécurité" produit l'effet inverse.
Restreindre l'accès par rôle
Le commercial et le support ont rarement besoin de la pièce d'identité d'un client. Réservez l'accès aux rôles conformité et juridique, révisez la liste régulièrement, journalisez chaque consultation.
Refuser la photo d'une photo
Une capture d'écran d'une pièce envoyée par messagerie n'est pas une vérification, quelle que soit la netteté du fichier. Si le document n'a pas traversé un contrôle qui l'a testé et qui a confirmé une personne vivante, cela reste une simple affirmation.
Former ceux qui accueillent les clients
Les personnes au contact subiront la pression de sauter l'étape pour un dossier important. Elles doivent savoir qu'elles ont le droit de refuser et vers qui remonter. La plupart des défaillances de contrôle ne sont pas techniques.
Identité et intégrité répondent à deux questions différentes. La vérification d'identité dit qui est la personne. L'empreinte du document dit que le fichier n'a pas changé depuis la signature. Aucune ne remplace l'autre, et une preuve solide exige les deux.
Conclusion
La connaissance client a cessé d'être une formalité bancaire le jour où l'entrée en relation est passée entièrement à distance. Si vous êtes assujetti, les textes vous disent quoi collecter et combien de temps le conserver. Sinon, la raison est plus simple : vous vous apprêtez à conclure un engagement contraignant avec quelqu'un que vous n'avez jamais rencontré.
Mettez la séquence dans le bon ordre et l'essentiel de la difficulté disparaît. Vérifier la personne, la laisser signer, puis conserver le contrôle et le document signé attachés l'un à l'autre. Un contrôle qui vit dans un autre système que la signature est exactement celui qui vous lâchera deux ans plus tard, quand la seule question restante sera : quelle identité a signé quel fichier ?
Pour aller plus loin
Les obligations ci-dessus figurent au Code monétaire et financier, article L561-5 et dans les directives européennes anti-blanchiment. Les niveaux de signature relèvent du règlement eIDAS 910/2014.
Comparez les offres sur la page tarifs et retrouvez d'autres guides sur le blog Chaindoc.
Étiquettes
Questions fréquentes
Trouvez les réponses essentielles sur Chaindoc et la signature sécurisée de documents.
KYC signifie Know Your Customer, connaissance du client. La procédure regroupe les contrôles qui confirment l'identité, le document et la situation de la personne ou de l'entreprise avant de l'accepter comme client. En France, les articles L561-5 et suivants du Code monétaire et financier l'imposent aux professionnels assujettis à la LCB-FT, et Tracfin en supervise l'application. Les autres n'y sont pas tenus, mais supportent seuls la perte quand le contrat finit signé par un tiers.
La connaissance client, souvent désignée par l'acronyme anglais KYC, est l'ensemble des mesures permettant d'identifier un client, de vérifier son identité et de comprendre la nature de la relation d'affaires. Elle combine en général le contrôle d'une pièce d'identité, une détection du vivant et un criblage contre les listes de sanctions et de personnes politiquement exposées.
Les banques et assurances, les experts-comptables, les avocats, les notaires, les agents immobiliers et les prestataires de services aux sociétés, entre autres. L'obligation naît avant l'entrée en relation d'affaires, pas au premier paiement.
Oui. Les procédés de vérification à distance sont admis, sous réserve que la méthode teste le document lui-même et confirme la présence d'une personne vivante. Une copie de pièce d'identité reçue par e-mail ne suffit pas.
La vérification d'identité est une composante du KYC. Le KYC couvre plus largement la compréhension de l'activité du client, l'évaluation de son risque, le criblage et la surveillance de la relation dans la durée. Vérifier l'identité est le point de départ, pas l'aboutissement.
Pas à elle seule. Une signature électronique simple prouve que le document n'a pas été modifié après la signature et enregistre l'acte de signer. Elle n'établit pas de façon indépendante que l'humain derrière le clic est bien votre client. C'est pourquoi le contrôle d'identité et l'enregistrement de signature doivent être liés, ou pourquoi une signature qualifiée, qui porte une identité vérifiée par un prestataire de confiance, s'impose sur les engagements sensibles.
Cinq ans à compter de la fin de la relation d'affaires constitue la référence habituelle. Certains secteurs prévoient des durées plus longues, vérifiez votre propre cadre.
Elle empêche l'usage d'une pièce d'identité authentique appartenant à quelqu'un d'autre, la fraude la plus courante à l'entrée en relation. Un scan ne dit pas qui l'a envoyé, une courte vidéo si.
Plus de guides sur la signature électronique et la blockchain
Des guides pratiques sur les signatures électroniques, les pistes d'audit blockchain et la gestion sécurisée des documents, pour approfondir ce que vous venez de lire.
