KYC (Connaissance du client)

KYC, abréviation de Know Your Customer, est le processus réglementé que les institutions financières utilisent pour vérifier l’identité de leurs clients, comprendre l’objet de la relation et évaluer le risque que présente le client. Il s’agit d’une obligation légale dans la plupart des juridictions, applicable avant l’ouverture d’un compte puis de manière continue.

Le KYC vise à empêcher que les institutions financières soient utilisées — sciemment ou non — à des fins de blanchiment d’argent, de financement du terrorisme, de fraude, de contournement des sanctions et d’évasion fiscale. Il constitue la composante orientée client d’un programme plus large de lutte contre le blanchiment d’argent (AML) et de conformité.

Cette obligation va bien au-delà des banques. Elle s’applique généralement aux institutions de microfinance, aux coopératives de crédit et aux SACCO, aux prestataires de services de paiement, aux opérateurs de monnaie mobile, aux assureurs, aux sociétés de valeurs mobilières, aux prestataires de services sur crypto-actifs et, dans de nombreuses juridictions, aux avocats, aux experts-comptables, aux agents immobiliers et aux négociants en métaux précieux.

Pourquoi le KYC existe

L’organisme international de normalisation est le Financial Action Task Force (FATF), un organisme intergouvernemental fondé en 1989 dont les recommandations constituent le socle de la plupart des législations nationales de lutte contre le blanchiment d’argent. La Recommandation 10 du FATF définit les obligations de vigilance à l’égard de la clientèle, et les pays membres les transposent dans leur législation nationale et dans les orientations de leurs autorités de régulation.

La mise en œuvre étant nationale, les documents, seuils et délais précis varient selon les juridictions — mais l’architecture sous-jacente est pratiquement identique partout : identifier le client, vérifier son identité, comprendre la relation, évaluer le risque et assurer une surveillance continue.

Les quatre piliers du KYC

1. Programme d’identification du client (CIP)

Collecter des informations d’identification et les vérifier auprès de sources fiables et indépendantes. Pour une personne physique, il s’agit généralement du nom complet, de la date de naissance, de l’adresse de résidence et d’un numéro de pièce d’identité délivrée par les autorités. La vérification peut être documentaire (une pièce d’identité accompagnée d’un justificatif de domicile) ou non documentaire (rapprochement des données avec une base nationale d’identité, un bureau de crédit ou un fichier télécom).

2. Vigilance à l’égard de la clientèle (CDD)

Aller au-delà de l’identité pour comprendre le client : la nature et l’objet de la relation, l’origine attendue des fonds, le schéma de transactions prévu et, pour les entités, la structure de propriété et de contrôle. Le CDD établit le référentiel au regard duquel les activités futures seront évaluées.

3. Vigilance renforcée (EDD)

Un examen supplémentaire pour les clients présentant un risque plus élevé. La vigilance renforcée exige généralement l’approbation de la haute direction avant l’entrée en relation, des justificatifs documentés tant de l’origine du patrimoine que de l’origine des fonds, et des examens plus fréquents. Les déclencheurs incluent généralement :

• Les personnes politiquement exposées (PPE) — les personnes occupant des fonctions publiques éminentes, ainsi que les membres de leur famille et leurs proches associés.
• Les clients établis dans des juridictions à haut risque ou sous sanctions, ou qui effectuent des transactions avec celles-ci.
• Les structures de propriété complexes, les trusts ou les entités au porteur.
• Les entreprises à forte intensité d’espèces, les entreprises de services monétaires et d’autres secteurs à haut risque.
• Les informations négatives dans les médias ou une richesse inexpliquée.

4. Surveillance continue

Le KYC n’est pas un contrôle ponctuel. Les institutions doivent surveiller les transactions par rapport au profil attendu, filtrer en continu les clients au regard des listes de sanctions et de PPE, actualiser périodiquement les dossiers clients, et enquêter sur les activités suspectes et les signaler à l’unité nationale de renseignement financier.

Le processus KYC étape par étape

1. Collecter les informations d’identification et les documents requis lors de l’entrée en relation.
2. Vérifier les informations auprès de sources indépendantes : registre national d’identité, registre des entreprises, bureau de crédit, ou par une authentification documentaire et un contrôle biométrique.
3. Filtrer le client au regard des listes de sanctions, des bases de données de PPE et des informations négatives dans les médias.
4. Identifier les bénéficiaires effectifs pour les entités juridiques : les personnes physiques qui possèdent ou contrôlent en dernier ressort le client. De nombreuses juridictions retiennent un seuil de détention de 25 % comme déclencheur, parallèlement à un critère de contrôle distinct.
5. Évaluer le risque du client, généralement en bandes faible, moyen et élevé, selon la géographie, le produit, le canal, la profession ou le secteur d'activité, ainsi que le profil de transactions attendu.
6. Approuver ou faire remonter. Les clients à faible risque peuvent bénéficier d'une diligence raisonnable simplifiée ; les clients à haut risque nécessitent une diligence renforcée (EDD) et une validation par la direction.
7. Surveiller et actualiser. La surveillance des transactions s'exécute en continu ; les cycles de révision périodique sont généralement annuels pour les risques élevés et tous les deux à cinq ans pour les risques plus faibles, avec des révisions déclenchées par des événements lorsqu'un changement survient.

Documents KYC courants

Particuliers

• Pièce d'identité officielle avec photo — carte nationale d'identité, passeport, permis de conduire
• Justificatif de domicile — facture de service public, relevé bancaire, bail ou lettre d'une autorité reconnue
• Numéro d'identification fiscale ou nationale, le cas échéant
• Une photographie ou une vérification de vivacité, lors de l'intégration numérique

Entreprises (Know Your Business, ou KYB)

• Certificat de constitution ou d'immatriculation de l'entreprise
• Statuts ou documents constitutifs équivalents
• Registre des administrateurs et des actionnaires
• Justificatif de l'adresse professionnelle enregistrée
• Résolution du conseil ou mandat identifiant les signataires autorisés
• Pièces d'identité des administrateurs, des signataires autorisés et des bénéficiaires effectifs
• Immatriculation fiscale et, le cas échéant, licence commerciale ou d'exploitation

eKYC et vérification numérique

eKYC est l'exécution électronique des mêmes obligations. Plutôt que de collecter des documents papier, l'institution vérifie l'identité par des moyens numériques :

• Capture de documents avec contrôles d'authenticité automatisés
• Correspondance biométrique — comparaison d'un selfie ou d'une vérification de vivacité avec la photo de la pièce d'identité
• Vérification directe auprès des bases de données ou registres nationaux d'identité
• Rapprochement avec les données des opérateurs de téléphonie mobile et des bureaux de crédit
• Signature électronique et capture du consentement avec piste d'audit

L'eKYC réduit le délai d'intégration de quelques jours à quelques minutes et supprime la dépendance à l'agence. Il concentre aussi les risques : les attaques de présentation, les identités synthétiques et la falsification de documents ciblent toutes la vérification automatisée ; la plupart des institutions conservent donc une revue manuelle pour les exceptions et les profils à risque plus élevé.

KYC vs AML vs CDD vs KYB

• AML (Anti-Money Laundering) : Le programme complet de conformité — politiques, contrôles, surveillance, reporting, formation et audit.
• KYC (Know Your Customer) : La partie de l'AML tournée vers le client — identifier, vérifier et classer les clients par niveau de risque.
• CDD (Customer Due Diligence) : Le travail de diligence raisonnable au sein du KYC — comprendre l'objet de la relation, l'origine des fonds et la structure de propriété.
• KYB (Know Your Business) : Le KYC appliqué aux entreprises clientes, y compris l'identification des bénéficiaires effectifs.
• EDD (Enhanced Due Diligence) : la version renforcée de la CDD pour les clients présentant un risque plus élevé.

En résumé : la CDD et l'EDD sont des composantes du KYC, le KYC est une composante de la LCB-FT, et le KYB est le KYC appliqué aux entités.

Coût, friction et inclusion financière

Le KYC impose des coûts réels aux deux parties de la relation.

Pour les institutions, cela implique une infrastructure de vérification, des abonnements à des outils de filtrage, du personnel de conformité, des systèmes de surveillance et des campagnes périodiques de mise à jour — des coûts largement fixes qui pèsent lourdement sur les portefeuilles de petits montants à volume élevé, où le revenu par client est faible.

Pour les clients, les exigences documentaires peuvent constituer un obstacle. La preuve de domicile est difficile à fournir lorsque les systèmes d'adressage sont informels ; les pièces d'identité ne sont pas universelles ; les documents d'immatriculation d'entreprise peuvent être obsolètes ou indisponibles pour les petits commerçants. C'est pourquoi le GAFI et les régulateurs nationaux soutiennent explicitement une approche fondée sur les risques : appliquer une diligence simplifiée aux produits manifestement à faible risque — comptes de faible montant, portefeuilles mobiles plafonnés, crédit de petit montant — afin que la conformité n'exclue pas les clients que les systèmes financiers sont censés atteindre.

Il existe également une tension permanente avec le droit de la protection des données. Le KYC impose la collecte et la conservation d'une quantité importante de données personnelles, tandis que les régimes de confidentialité exigent la minimisation, la limitation des finalités, la sécurité et des durées de conservation définies. Les institutions doivent satisfaire aux deux : collecter ce que les règles LCB-FT exigent, le conserver pendant la durée de conservation imposée, le protéger et le supprimer lorsqu'aucune de ces obligations ne s'applique plus.

Conséquences d'un KYC défaillant

Les sanctions sont lourdes et publiques. Les régulateurs ont infligé des amendes très importantes aux institutions pour des défaillances systémiques en matière de KYC et de LCB-FT, et les conséquences vont au-delà des amendes : injonctions de remédiation, restrictions d'activité, accords de poursuite différée, responsabilité personnelle des responsables de la conformité, conditions de licence et retrait de licence. L'accès à la banque correspondante — la capacité à faire circuler de l'argent à l'international — est souvent la première victime, ce qui, pour une petite institution, peut être existentiel.