Onboarding KYC : le dispositif complet qui fait entrer le client sans le perdre

L’enjeu premier d’un onboarding est de faire entrer le client sans le perdre en route.

Chaque friction inutile (une pièce réclamée en trop, un contrôle manuel qui retarde le dossier) augmente la probabilité d’abandon au profit d’un concurrent. Un onboarding efficace repose d’abord sur de bons outils de vérification d’identité, qui suppriment les actions manuelles à l’entrée : extraction automatique des données, authentification de la pièce, contrôle biométrique, mais l’IDV ne suffit pas.

Au sens réglementaire, le Know Your Customer désigne l’ensemble du dispositif de connaissance client imposé par les articles L561-5 et L561-5-1 du Code monétaire et financier : l’identité, mais aussi l’activité, le profil de risque, l’origine des fonds et la cohérence des opérations. Et la fluidité réelle du parcours dépend de ce dispositif LCB-FT complet, à commencer par la classification des risques.

C’est l’angle dont on parle le moins à propos de l’onboarding : le client qui vient souscrire est screené et classé dès l’entrée en relation, et cette classification décide de la suite de son parcours. Selon son profil de risque, il reste en vigilance standard avec une procédure classique, bascule en vigilance renforcée avec des contrôles et des pièces supplémentaires, ou relève d’une vigilance simplifiée au parcours allégé.

Une classification bien calibrée concentre les frictions sur les seuls dossiers qui les justifient : elle est un levier direct de rétention, en plus d’une obligation (art. L561-4-1 du CMF). Cet article décompose l’onboarding KYC en cinq briques opérationnelles (identification, classification, screening, vigilance, audit), chacune rattachée à son fondement dans le CMF, et montre par un cas concret comment le calibrage du dispositif fait la différence entre un client conservé et un client perdu.

L’onboarding KYC ne se résume pas à la vérification d’identité

Avant de dérouler les briques, il faut poser ce qui se joue réellement à l’entrée en relation : la vitesse du parcours dépend moins du contrôle documentaire lui-même que de ce que le dispositif décide juste après.

L’IDV automatise l’entrée en relation, le dispositif LCB-FT décide du parcours

L’IDV est la brique la plus visible de l’onboarding, et son apport est réel : bien outillée, elle supprime les actions manuelles à l’entrée et fait gagner les minutes qui comptent le plus dans le parcours.

Certains prestataires la présentent comme le tout du KYC ; c’est une réduction. Know Your Customer, c’est connaître son client : son identité, mais aussi son activité, son profil de risque, l’origine de ses fonds et la cohérence de ses opérations. Un client parfaitement identifié peut être une personne politiquement exposée, figurer sur une liste de sanctions, ou présenter un profil de risque élevé.

L’identité vérifiée ne dit rien de tout cela, et surtout elle ne décide rien : ce sont la classification et le screening qui déterminent si le parcours reste fluide ou se charge de contrôles supplémentaires.

Un cas concret : assurance vie, montant atypique et origine des fonds

M. Dupuis, 52 ans, artisan plombier indépendant, souscrit en ligne un contrat d’assurance vie en unités de compte. Versement initial : 80 000 €. Bénéficiaire désigné : sa fille, résidente française, lien familial direct. Le justificatif d’origine des fonds (un acte notarié de vente immobilière) n’est pas disponible au moment de la souscription.

Disons-le d’emblée, parce que c’est là que beaucoup de dispositifs dérapent : un artisan plombier peut parfaitement disposer de 80 000 €. La profession déclarée n’est pas un critère de suspicion, et un dispositif qui traite « artisan indépendant + 80 000 € » comme une anomalie en soi ne fait pas de la conformité, il applique un préjugé socio-professionnel déguisé en règle de risque.

Le seul signal objectif à T0 n’est pas le métier de M. Dupuis : c’est une opération d’un montant inhabituellement élevé au regard de la connaissance qu’on a de la relation d’affaires à cet instant, sur un produit capitalisable, dont l’origine des fonds n’est pas encore documentée.

C’est précisément ce que vise l’article L561-10-2 du CMF : l’opération d’un montant inhabituellement élevé impose un examen renforcé portant sur l’origine des fonds, leur destination, l’objet de l’opération et l’identité du bénéficiaire. Cet examen s’articule avec l’obligation de connaissance de la relation d’affaires (art. L561-5-1) et avec l’approche par les risques (art. L561-4-1), qui commande de positionner le profil en risque élevé tant que la donnée d’atténuation n’est pas vérifiée.

Le déclencheur est donc légitime, et il le serait à l’identique pour un médecin, un cadre ou un commerçant dans la même situation. La vraie question n’est pas s’il faut examiner, mais comment le dispositif réagit quand le justificatif arrive.

Deux dispositifs, deux issues.

Scénario 1, classification discriminante mal calibrée. La règle « cohérence socio-économique » est paramétrée en règle binaire bloquante, et elle prend la profession pour un proxy de risque : artisan indépendant + versement de 80 000 € = incohérence détectée = blocage.

Le dossier est arrêté avant même que M. Dupuis puisse fournir un justificatif, non parce que l’origine des fonds pose problème, mais parce que la somme ne « colle » pas avec le métier déclaré. Pire, le blocage est figé : quand l’acte notarié arrive quelques jours plus tard, la classification ne se recalcule pas.

Seule l’intervention manuelle d’un analyste peut débloquer le dossier, deux heures pour reconstituer une origine des fonds pourtant établie par acte notarié. Délai : cinq jours. M. Dupuis a souscrit chez un concurrent.

Le défaut ici est double : on a fait reposer l’alerte sur un préjugé de statut, et le dispositif est incapable d’intégrer la pièce atténuante pour recalculer le risque net.

Scénario 2, onboarding KYC complet, approche hybride avec scoring (BeCLM), en deux temps. À la souscription (T0), le scoring multicritère agrège les données objectivement disponibles, sans pondérer la profession comme un facteur de risque :

• profil souscripteur résident, non-PPE, screening sanctions/PPE sans correspondance (0) ;
• clause bénéficiaire sans anomalie (0) ;
• produit capitalisable, assurance vie UC (+15) ;
• montant inhabituellement élevé au regard de la relation connue à T0 (+25) ;
• origine des fonds non documentée à ce stade (+15).

Total : 55/100, au-dessus du seuil de vigilance renforcée fixé à 50. Le dispositif ne bloque pas : il identifie qu’une pièce atténuante manque, met la souscription en attente qualifiée et déclenche automatiquement la demande de justificatif. La décision est tracée, horodatée, opposable en contrôle.

Dès réception de l’acte notarié, le scoring se recalcule : le critère « origine des fonds » passe de +15 à −20 (justificatif vérifié, source notariée elle-même assujettie au titre de L561-2). Le montant n’est plus une atypie inexpliquée mais une opération économiquement justifiée. Total : 20/100, sous le seuil. Bascule en vigilance standard, souscription autorisée, vigilance constante au titre de l’article L561-6.

Reste la branche que le scénario 2 doit aussi assumer : si le justificatif n’arrive pas, ou ne tient pas, le risque net ne redescend pas. Le dossier demeure au-dessus du seuil, l’examen renforcé se poursuit, et la question cesse d’être commerciale pour devenir déclarative. Lorsqu’à l’issue de l’examen l’origine des fonds reste inexpliquée, l’assujetti apprécie l’existence d’un soupçon et, le cas échéant, adresse une déclaration à Tracfin (art. L561-15 du CMF). C’est là toute la finalité du dispositif : non pas accepter ou refuser plus vite, mais qualifier ce qui doit l’être.

La différence entre les deux scénarios ne tient pas au déclencheur (l’examen renforcé est obligatoire dans les deux cas) mais à deux choses : sur quoi repose l’alerte, et ce que le dispositif sait faire de la pièce atténuante.

– Le dispositif binaire fonde son blocage sur un proxy socio-professionnel, fige la décision, exige une intervention analyste et fait perdre cinq jours.
– Le dispositif calibré ne pondère que des signaux objectifs, met en attente qualifiée, recalcule automatiquement, archive une piste d’audit horodatée et ne mobilise l’analyste que sur les dossiers qui restent au-dessus du seuil après atténuation.

Cette proportionnalité n’est pas un argument commercial, c’est une obligation. Trois sources convergent : l’approche par les risques (art. L561-4-1) impose une vigilance qui se réévalue quand la donnée évolue ; l’arrêté du 6 janvier 2021 (titre III) exige des critères de pondération et des mesures d’atténuation, pas une simple liste de règles bloquantes ; et l’ACPR sanctionne les dispositifs dont le calibrage et les seuils ne sont ni formalisés ni opposables (Commission des sanctions, décisions n° 2024-02 du 19 juin 2025, Banque Delubac, et n° 2024-01 du 7 novembre 2025, Banque Chaabi du Maroc).

Un calibrage qui transforme une profession en signal de risque relève exactement de ce grief. Sur-vigilance et sous-vigilance exposent l’une comme l’autre : bloquer définitivement un dossier dont l’origine des fonds est établie par acte notarié n’est pas une marge de prudence, c’est un défaut de calibrage.

C’est ce qu’illustre le cas : la classification discriminante reste indispensable pour les cas absolus (gel des avoirs, sanctions, liste noire du GAFI, embargos) où la décision est binaire et non négociable. Le scoring par pondération, lui, calibre dynamiquement le risque net dans les cas gradués : montants atypiques, justificatifs en cours d’obtention, cohérence d’ensemble. Les deux méthodes ne s’opposent pas, elles se combinent.

Les composantes d’un onboarding KYC complet

Le dispositif se décompose en cinq briques. Aucune n’est optionnelle, aucune n’est interchangeable, et l’ordre n’est pas neutre : chaque brique conditionne la qualité de la suivante.

On les déroule ici une à une, chacune rattachée à son fondement dans le CMF et illustrée par un parcours client commenté.

Brique 1 : Identification et vérification d’identité (IDV)

C’est la brique que le marché met en avant, et c’est aussi celle qu’il traite le plus mal, non par négligence technique, mais parce qu’il la prend pour une fin alors qu’elle est un socle. L’IDV ne se résume pas à « valider une pièce ». Elle remplit trois fonctions distinctes, dont la dernière est celle que personne ne raconte.

1) La première est la collecte vérifiée. Le client soumet sa pièce d’identité ; le dispositif en extrait les données, authentifie le document (détection de faux, contrôle des éléments de sécurité) et vérifie la correspondance biométrique entre le selfie et la photographie du titre.) 

C’est le geste visible, celui que tout le monde sait faire. Il fonde l’obligation d’identification et de vérification d’identité des articles L561-5 et R561-5 du CMF. À noter pour être exact : l’article R561-5 fixe les éléments d’identité à recueillir, tandis que les modalités de vérification admissibles (les pièces et procédés acceptés) relèvent des articles R561-5-1 et R561-5-2.

2) La deuxième fonction est le niveau de garantie. Toutes les IDV ne se valent pas, et le cadre le formalise.

Le règlement eIDAS (règlement (UE) n° 910/2014) distingue trois niveaux de garantie (faible, substantiel, élevé) selon la robustesse du procédé de vérification. En France, le référentiel PVID de l’ANSSI (prestataires de vérification d’identité à distance) certifie les solutions de vérification à distance à deux niveaux, substantiel et élevé, avec des exigences spécifiques de détection de fraude documentaire et de lutte contre l’usurpation. Pour le KYC LCB-FT, le seuil exigé est d’au moins le niveau substantiel (art. R561-5-1) : un service certifié substantiel ou élevé satisfait l’obligation.

Un prestataire certifié PVID n’offre pas seulement une garantie réglementaire : il remonte une donnée d’une qualité que les autres ne garantissent pas.

3) La troisième fonction est celle qui change tout, et c’est le point d’articulation entre l’IDV et le reste du dispositif : la qualité de la donnée d’entrée.

Une IDV fiable ne produit pas qu’une validation oui/non ; elle produit des données propres (nom, prénom, date de naissance, nationalité, exacts et vérifiés). Et ces données alimentent les briques suivantes.

Un screening nourri de données propres génère moins de faux positifs liés aux fautes de saisie ou aux homonymies ; une classification adossée à une nationalité confirmée et à une date de naissance exacte est plus pertinente. À l’inverse, une IDV approximative (saisie manuelle, OCR défaillant) injecte du bruit dans toute la chaîne, et ce bruit se paie en aval, dossier après dossier.

L’IDV n’est pas la première étape qu’on coche avant de passer aux choses sérieuses : c’est le socle qualitatif dont dépend la fiabilité de tout ce qui suit.

Mini-exemple : un client soumet sa carte nationale d’identité. Le prestataire PVID en confirme l’authenticité et extrait nom, prénom, date de naissance. Ces données vérifiées passent au screening : la date de naissance précise écarte d’emblée trois homonymes présents dans les listes PPE.

Sans cette qualité de donnée (un nom seul, mal orthographié, sans date fiable), ces trois correspondances seraient remontées comme autant d’alertes, et auraient mobilisé un analyste pour rien.

Une précision qui manque souvent dans les argumentaires IDV : la vérification d’identité à distance traite des données biométriques, catégorie de données sensibles au sens de l’article 9 du RGPD. Leur collecte suppose une base légale et des garanties renforcées, une analyse d’impact relative à la protection des données (AIPD) et le respect des recommandations de la CNIL sur la vérification d’identité à distance, qui encadrent notamment la conservation du gabarit biométrique et son usage strictement limité à la vérification.

Ce cadre RGPD n’est pas une option annexe : il conditionne, au même titre que la certification PVID, la licéité du dispositif IDV, et la durée de conservation évoquée à la brique 5 doit elle-même respecter le principe de minimisation.

Brique 2 : Classification des risques client

C’est la brique que la quasi-totalité du marché passe sous silence, et c’est pourtant elle qui commande tout le reste.

Dès l’entrée en relation, et avant toute décision de vigilance, le dispositif attribue au client un niveau de risque (faible, modéré, élevé) à partir de critères multiples : zone géographique, nature de l’activité, statut PPE, type de produit, montant, canal de distribution.

Ce n’est pas une formalité de classement : c’est ce niveau de risque qui conditionne l’intensité de la vigilance appliquée ensuite. Une classification absente ou mal calibrée, et tout le dispositif s’applique à l’aveugle.

Par exemple : deux demandes arrivent simultanément

• Client A : personne physique, résidente française, profession libérale, contrat d’assurance auto à 800 €.
• Client B : personne morale, SCI luxembourgeoise, bénéficiaire effectif résidant aux Émirats, mandat de gestion à 500 000 €.

L’IDV peut être impeccable pour les deux (les pièces sont authentiques, les identités vérifiées). Leur profil de risque, lui, n’a rien de comparable.

Une classification correcte place le client A en risque faible (vigilance simplifiée, parcours fluide) et le client B en risque élevé (vigilance renforcée, examen de l’origine des fonds, approbation de la direction). Sans cette brique, les deux suivraient le même parcours, et l’un des deux serait nécessairement mal traité.

C’est aussi la brique qui protège la relation commerciale : sans classification, le seul réglage possible est d’appliquer à tous les clients le parcours du client le plus risqué, et l’abandon se concentre alors sur les profils simples qui ne justifiaient aucune friction.

L’approche hybride BeCLM. La question qui structure cette brique n’est pas « binaire ou scoring », mais « binaire et scoring, chacun à sa place ».

BeCLM n’élimine pas la règle discriminante : il l’applique là où elle est obligatoire et non négociable (gel des avoirs, sanctions, liste noire du GAFI, embargos), là où un critère suffit à emporter la décision. Et il la complète par un scoring par pondération partout où le risque s’apprécie de manière graduée.

Le scoring multicritère agrège alors le risque géographique, le type de produit, le montant, le profil client et les résultats du screening, selon une logique en trois temps : risque brut, mesures d’atténuation, risque net. C’est cette mécanique de recalcul que le cas Dupuis a illustrée, le risque net qui se reforme quand la pièce justificative arrive. Un point de gouvernance, souvent l’angle mort des outils du marché : ces critères et ces seuils ne sont pas un barème éditeur, ils traduisent la classification des risques propre à l’établissement (art. L561-4-1, arrêté du 6 janvier 2021).

Et cette classification n’est pas qu’un paramétrage technique : l’arrêté du 6 janvier 2021 (titre III) exige qu’elle soit formalisée et validée par l’organe exécutif ou l’organe de surveillance, sur proposition de la fonction conformité, avant sa mise en production et à chaque révision substantielle des critères ou des seuils. L’outil l’opérationnalise, il ne s’y substitue pas, y compris pour cette validation, qui reste de la responsabilité de l’établissement.

La distinction, qu’aucun concurrent ne formule clairement : la classification discriminante (une règle « si… alors », un critère qui emporte la décision) et le scoring par pondération (multicritère, du risque brut au risque net) ne sont pas deux écoles concurrentes. Ce sont deux méthodes pour deux natures de risque, l’absolu et le gradué.

Confondre les deux (appliquer du binaire à un cas gradué, ou du scoring à un cas où la loi impose une décision tranchée) est une faute de conception, dans un sens comme dans l’autre.

Brique 3 : Screening PPE, sanctions et médias défavorables

Troisième brique, premier filtre obligatoire. Le screening consiste à confronter l’identité du client aux listes de sanctions et de gel des avoirs, aux référentiels de personnes politiquement exposées (PPE) et aux médias défavorables.

Sur les sanctions et le gel des avoirs, il n’y a pas de gradation possible : la correspondance avérée emporte une décision tranchée, au titre de l’article L562-1 du CMF. C’est le domaine de la règle discriminante évoquée à la brique précédente, le cas absolu, non négociable.

Le gel des avoirs n’est d’ailleurs pas une simple variante du screening PPE et médias défavorables : c’est un régime à part, avec ses propres obligations.

Une correspondance avérée sur une mesure de gel impose le blocage immédiat des fonds et ressources économiques concernés, l’interdiction de toute mise à disposition, et une déclaration sans délai à la direction générale du Trésor (DGT), distincte de la déclaration de soupçon à Tracfin. Le screening PPE et médias défavorables, lui, alimente une appréciation du risque qui reste graduée : une correspondance PPE ou média n’emporte pas de blocage automatique, elle déclenche un examen puis, selon les cas, une vigilance renforcée.

Confondre les deux régimes conduit soit à sur-bloquer des alertes PPE qui ne l’exigent pas, soit, plus grave, à traiter une mesure de gel comme une simple alerte de vigilance.

Mais l’efficacité de ce filtre ne se joue pas dans le filtre lui-même : elle se joue en amont, dans la qualité des données qui l’alimentent. C’est ici que la boucle avec la brique 1 se referme.

Un screening nourri d’un nom seul, mal orthographié, sans date de naissance fiable, remonte des correspondances par dizaines (homonymes, translittérations approximatives, quasi-doublons). Chacune est une alerte à lever, donc un analyste mobilisé. Le même screening, nourri de données vérifiées par une IDV de qualité, écarte ce bruit avant qu’il ne devienne une charge.

La qualité du screening n’est donc pas d’abord une question d’algorithme de matching : c’est une question de qualité de la donnée d’entrée. On ne corrige pas en aval ce qu’on a laissé entrer dégradé en amont.

Pour identifier les régimes applicables avant même de paramétrer le filtre, BeCLM met à disposition une carte interactive des sanctions par pays et une carte interactive des listes PPE par juridiction, librement consultables.

Brique 4 : Adaptation du niveau de vigilance

Les trois premières briques ont produit de la matière : une identité vérifiée, un niveau de risque attribué, un screening passé. La quatrième en tire la conséquence opérationnelle, elle détermine l’intensité de la vigilance effectivement appliquée à la relation.
C’est le point où le dispositif cesse d’observer et commence à agir. Et c’est là que se joue la proportionnalité : à chaque niveau de risque correspond un régime de vigilance, ni plus, ni moins.

Récapitulatif des cinq régimes de vigilance, du parcours le plus fluide (simplifiée) au plus contraignant (gel des avoirs). La logique de gradation qui les sous-tend est détaillée ci-dessous.

La logique est descendante : c’est la classification (brique 2), affinée par le screening (brique 3), qui commande le régime. Un client à risque faible dont le screening ne remonte aucune correspondance relève de la vigilance simplifiée (vérification allégée, mises à jour espacées). Le régime standard est le défaut, celui qui s’applique à la majorité des relations. La vigilance renforcée (EDD) est réservée aux signaux qui la justifient : statut PPE, pays à risque, montant élevé, structure complexe.

Vu du client, ce choix de régime est invisible et pourtant décisif : c’est lui qui fixe le nombre de pièces demandées, les délais et l’intensité des contrôles du parcours de souscription. La bascule se joue dès l’onboarding, puis se rejoue à chaque réévaluation du profil.

Une précision de vocabulaire qui compte en contrôle : le statut PPE et les opérations vers un pays tiers à haut risque déclenchent d’abord la vigilance complémentaire de l’article L561-10, un niveau à part entière. La vigilance renforcée de l’article L561-10-1 procède, elle, du risque élevé établi par la classification. Les deux ne se confondent pas, et « vigilance renforcée » ne doit pas servir de terme générique pour tout durcissement de la vigilance.

Le point à retenir n’est pas la liste des régimes, c’est leur caractère obligatoirement gradué. Appliquer une vigilance uniforme (le même niveau d’exigence à tous, par prudence supposée) n’est pas une marge de sécurité : c’est un manquement.

L’article L561-4-1 du CMF impose une vigilance proportionnée au risque identifié. Sur-traiter un client à faible risque mobilise des ressources pour rien et dégrade le parcours ; sous-traiter un client à risque élevé expose au grief. Les deux écarts se sanctionnent. La vigilance simplifiée trouve son fondement à l’article L561-9, le régime standard aux articles L561-5 et L561-6, et la vigilance renforcée à l’article L561-10-1. Les mesures de vigilance complémentaires (PPE, pays tiers à haut risque) relèvent pour leur part de l’article L561-10 ; l’entrée en relation à distance, quant à elle, n’est pas un déclencheur automatique mais un facteur de risque pris en compte par l’approche par les risques (art. L561-4-1).

Brique 5 : Documentation et piste d’audit

La cinquième brique n’ajoute pas une étape au dispositif : elle le rend opposable. Sans elle, les quatre précédentes ont eu lieu sans laisser de trace exploitable, ce qui, du point de vue du régulateur, revient presque à ne pas les avoir menées.

Chaque décision doit être tracée et archivée : le niveau de risque attribué et ses critères, les résultats du screening, le régime de vigilance retenu, les éventuelles approbations. Le tout horodaté, conservé, et restituable.

La durée n’est pas laissée à l’appréciation : l’article L561-12 du CMF impose une conservation de cinq ans à compter de la clôture de la relation d’affaires pour les documents d’identité et de connaissance client, et de cinq ans à compter de l’exécution de l’opération pour les pièces relatives aux opérations et aux examens renforcés.

C’est précisément ce que l’ACPR examine en priorité lors d’un contrôle. Non pas « avez-vous un dispositif », mais « pouvez-vous démontrer, dossier par dossier, que chaque décision était fondée, datée et cohérente avec votre classification ». Une décision juste mais non documentée est, en contrôle, une décision indéfendable.

C’est aussi cette brique qui donne tout son sens au cas de M. Dupuis : le recalcul du risque net à réception de l’acte notarié n’a de valeur que parce qu’il est lui-même tracé. Le scoring initial, la mise en attente qualifiée, la demande de justificatif, le recalcul, la bascule en vigilance standard, chaque mouvement est horodaté et archivé. C’est ce qui rend la décision finale juridiquement étanche, qu’elle aboutisse à une entrée en relation ou, à l’inverse, à une déclaration de soupçon que cette même piste d’audit vient fonder.

L’onboarding n’est pas un événement isolé, c’est le début d’un processus kyc continu. La piste d’audit n’est pas un instantané figé le jour de la souscription : le profil de risque évolue (changement de statut PPE, nouvelle désignation de sanction, opération atypique au regard du profil connu), et la vigilance constante (art. L561-6 du CMF) impose de le réévaluer dans la durée.

C’est la logique du perpetual KYC (KYC perpétuel) : une surveillance déclenchée par l’évènement, dès qu’une donnée change, plutôt qu’une revue périodique à date fixe qui laisse le risque dériver entre deux échéances. Chaque réévaluation s’horodate et alimente la même piste d’audit, de sorte que la connaissance du client reste à jour et démontrable à tout instant, et pas seulement à l’entrée en relation.

La personne morale : du KYC au KYB

Les cinq briques valent pour toute relation d’affaires. Mais entrer en relation avec une personne morale ajoute une couche à chacune : l’onboarding KYC devient aussi un onboarding KYB, la connaissance de l’entreprise. Identifier le client ne suffit plus à identifier le risque, car derrière la société se tiennent une ou plusieurs personnes physiques qui la contrôlent réellement.

C’est l’identification du bénéficiaire effectif qui structure le KYB. Au sens de l’article L561-2-2 du CMF, le bénéficiaire effectif est la personne physique qui contrôle la structure en dernier ressort ; le seuil de plus de 25 % du capital ou des droits de vote qui le caractérise est fixé par l’article R561-1, à défaut par un contrôle exercé par tout autre moyen, et à défaut encore par le représentant légal. La donnée ne se prend pas sur déclaration : elle se recoupe avec le registre des bénéficiaires effectifs, désormais tenu dans le cadre du Registre national des entreprises (RNE), et avec les pièces sociales (extrait Kbis, statuts à jour, chaîne de détention).

Reprenons le Client B évoqué à la brique 2 : une SCI luxembourgeoise dont le bénéficiaire effectif réside aux Émirats. L’IDV du gérant peut être impeccable, ce n’est pas le sujet. Le sujet, c’est de remonter la chaîne de détention jusqu’à la personne physique qui contrôle réellement la structure, puis de la soumettre au screening sanctions et PPE et à la classification. Une structure à étages, transfrontalière, dont le bénéficiaire effectif est domicilié dans une juridiction à fiscalité privilégiée : autant de critères qui pèsent dans le scoring et appellent une vigilance renforcée. S’arrêter à l’identification du gérant, c’est filtrer la mauvaise personne.

On retrouve ici la logique de la brique 1, transposée à l’entreprise : un bénéficiaire effectif mal identifié, c’est un screening qui porte sur le mauvais nom et une classification fondée sur une structure mal comprise. La fiabilité de l’identification du bénéficiaire effectif conditionne la pertinence de tout ce qui suit, exactement comme l’IDV pour la personne physique. Pour objectiver le risque d’une structure (chaîne de détention, dirigeants, signaux financiers), BeCLM propose un outil d’évaluation du niveau de risque d’une personne morale.

Les défis de l’onboarding KYC et comment les surmonter

Le dispositif en cinq briques décrit ce qu’il faut faire. Reste ce qui résiste sur le terrain : les arbitrages quotidiens entre exigence et fluidité, le bruit du screening, l’éparpillement des données, et l’usage raisonné de l’IA.

Aucun de ces défis ne se règle en allégeant le KYC. Ils se règlent en le calibrant.

Concilier conformité et expérience client

C’est le défi numéro un, et il est chiffré : Selon le Financial Crime Industry Trends Report 2025 de Fenergo, mené auprès de 600 décideurs d’institutions financières au Royaume-Uni, aux États-Unis et à Singapour, 70 % d’entre elles déclarent avoir perdu un client ou un investisseur au cours de l’année écoulée à cause d’un onboarding lent ou inefficace, contre 63 % en 2024 et 48 % en 2023. Le problème n’est pas le KYC en soi. C’est un KYC mal calibré : trop de pièces réclamées à un client à faible risque, des délais disproportionnés, un parcours qui n’a rien de numérique.

Et ce mauvais calibrage a aussi un coût direct : une revue KYC coûtait en moyenne 2 598 $ en 2023, en hausse de 17 % par rapport à 2022, selon l’enquête menée par Fenergo auprès de 1 164 dirigeants conformité, risques et opérations de banques de six pays (Royaume-Uni, États-Unis, Australie, Singapour, Allemagne, Japon). La réponse n’est pas de réduire la vigilance, c’est de la rendre proportionnée.

Un scoring multicritère permet d’appliquer une vigilance simplifiée aux profils à faible risque (parcours fluide, souscription rapide) et de concentrer les ressources sur les dossiers à risque élevé. Le client à 800 € ne subit pas le parcours du client à 500 000 €. C’est exactement l’exigence de l’article L561-4-1 du CMF, et c’est aussi ce qui préserve la relation commerciale.

Réduire les faux positifs sans compromettre la détection

Un cas réel, publié tout récemment. Pierre Vannier raconte sur LinkedIn son entrée en relation avec une néobanque : quinze jours de compte bloqué, un dossier gelé au motif qu’il serait une « PEP ». Lien vers la publication : https://www.linkedin.com/posts/pierrevannier_ouverture-dun-compte-qonto-exp%C3%A9rience-d-share-7478366664007299072-pfsB/?utm_source=share&utm_medium=member_desktop&rcm=ACoAACY3PTUB3O7tthEJxAyhb90y7TpqysWSy6Q

L’intéressé n’exerce aucune fonction publique. Il porte en revanche le même nom qu’un frère de député. Le scénario le plus probable tient en deux défaillances, et aucune ne relève de la vérification d’identité : la pièce du client avait été collectée et contrôlée à l’onboarding, sa date de naissance était disponible.

La première défaillance est un matching sur le nom seul, alors que cette date de naissance aurait écarté l’homonymie en quelques minutes.

La seconde est une qualification juridique manquante : en droit français (art. R561-18 CMF), le périmètre famille d’une PPE se limite au conjoint, aux enfants et à leurs conjoints, et aux parents. Les frères et sœurs n’en font pas partie : même le vrai frère du député ne serait pas une PPE. Le futur règlement européen AMLR, applicable en juillet 2027, n’y changera rien pour ce cas : il n’étendra le statut aux fratries que pour les plus hautes fonctions (chefs d’État, chefs de gouvernement, ministres), pas pour les parlementaires.

Ce qui a vraisemblablement fait défaut, c’est le calibrage du dispositif : une base de screening anglo-saxonne ou américaine dont la catégorie « proche de PPE », construite sur leurs propres standards, inclut des liens familiaux que le droit français ne retient pas, et dont les fiches ont été appliquées telles quelles, sans transposition vers le périmètre réglementaire applicable. Une donnée de liste, aussi riche soit-elle, n’est pas une qualification juridique : cette traduction, alerte par alerte, est le travail du dispositif de conformité, pas du fournisseur de données.

Ce que produit concrètement ce type de blocage : côté client, des jours ou des semaines sans compte pour un dirigeant qui doit encaisser et payer, aucune explication exploitable, et toutes les raisons d’aller ouvrir son compte ailleurs. Côté établissement, le coût dépasse le dossier perdu : un dispositif qui bloque des profils légitimes dégrade la conversion à l’entrée en relation, mobilise des analystes sur des alertes évitables et expose au récit public que le client peut faire de son expérience. Un faux positif mal traité ne coûte donc pas seulement du temps d’analyste : il coûte le client, et une partie des suivants.

Les faux positifs sont le coût caché du screening. Leurs causes sont connues : données d’entrée de mauvaise qualité, homonymies, translittérations, noms composés mal gérés.

Chaque faux positif mobilise un analyste pour rien, crée du délai et coûte de l’argent. Et le réflexe défensif (durcir les seuils pour ne rien laisser passer) ne fait qu’en produire davantage.

La réduction passe par deux leviers complémentaires, l’un en amont, l’autre en aval.

En amont, c’est la qualité de donnée à l’IDV déjà décrite (brique 1) : une donnée propre en entrée, c’est du bruit en moins en sortie.

En aval, un paramétrage multicritère du screening : un matching qui croise nom, date de naissance et nationalité, et non le seul nom. La combinaison des deux (donnée fiable et matching fin) est le vrai levier de réduction des faux positifs, sans toucher au taux de détection.

Nous avons développé un outil sur la partie PPE qui vous permet de consulter pour chaque juridiction, la définition légale des personnes politiquement exposées, les fonctions couvertes et les exigences de vigilance renforcée associées.

Gérer l’hétérogénéité des données et des sources

Le constat de terrain est presque universel : les données client sont fragmentées entre le CRM, l’outil d’IDV, les listes de screening, le moteur de scoring et l’outil de monitoring.

Chaque brique a sa logique, ses référentiels, ses formats. Le résultat est une vision incomplète du client, des doublons, des incohérences, et une piste d’audit fragmentée, c’est-à-dire fragile en contrôle.

La piste n’est pas de tout remplacer, mais de garantir que les briques communiquent et que la piste d’audit est unifiée. Une plateforme intégrée (IDV, classification, screening, documentation dans un même environnement) résout le problème à la racine.
C’est l’objet même d’un contrôle ACPR : non pas la qualité de chaque outil isolé, mais la cohérence et la traçabilité de l’ensemble.

L’IA au service du KYC : au-delà du buzzword

Le marché ne parle d’IA que pour l’IDV (détection de faux, reconnaissance faciale). C’est en réalité la brique où elle est la moins différenciante. L’IA intervient, ou devrait intervenir, à chacune des cinq briques :

• À l’IDV : OCR intelligent, détection de fraude documentaire, vérification biométrique, les technologies que les prestataires certifiés PVID intègrent déjà.
• Au screening : matching approché (fuzzy matching), analyse sémantique des médias défavorables pour qualifier une alerte au-delà du simple mot-clé. C’est là que l’IA pèse le plus sur les faux positifs.
• À la classification : des modèles de scoring qui ajustent leurs pondérations à partir des retours d’analystes, et détectent des schémas de risque émergents.
• Au monitoring : une surveillance continue des changements de statut (PPE, sanctions, médias) avec alerte en temps réel, sans intervention humaine systématique. C’est le socle technique du perpetual KYC évoqué à la brique 5.

Reste la ligne à ne pas franchir. L’IA est un accélérateur de conformité, pas un substitut à l’analyste. Elle automatise le tri et la détection ; la décision finale (accepter, refuser, escalader) demeure humaine. C’est d’ailleurs ce qu’attend le régulateur.

Les erreurs fréquentes de l’onboarding KYC

La plupart des manquements observés en contrôle découlent de la même racine : avoir pris une partie du dispositif pour le tout.

• Réduire le KYC à l’IDV : l’identité vérifiée n’est que le point d’entrée.
• Appliquer une vigilance uniforme : l’article L561-4-1 exige une vigilance proportionnée, pas maximale.
• Négliger la qualité de donnée : une IDV approximative pollue toute la chaîne (faux positifs, classification biaisée).
• Faire un onboarding sans monitoring : un profil évolue, la vigilance constante (art. L561-6) est continue.
• S’appuyer sur des outils non conçus pour la conformité : tableur ou CRM généraliste ne tiennent pas l’auditabilité de l’article L561-12.
• Ignorer la dimension KYB : pour une personne morale, s’arrêter au dirigeant laisse de côté structure et bénéficiaires effectifs.

Comment BeCLM transforme l’onboarding KYC

L’approche de BeCLM ne consiste pas à ajouter une brique de plus, mais à faire fonctionner les cinq ensemble dans un environnement unifié, et à répondre, capacité par capacité, aux points de friction décrits plus haut.

Une classification qui se recalcule. Le scoring multicritère adapte le niveau de vigilance à mesure que la donnée évolue et intègre la pièce atténuante sans intervention manuelle. C’est la réponse directe au dossier resté bloqué cinq jours : le risque net se reforme automatiquement, et l’analyste n’est mobilisé que sur les dossiers qui restent au-dessus du seuil après atténuation. C’est aussi ce qui rend le perpetual KYC opérationnel : la réévaluation continue n’est pas un principe, elle est exécutée par l’outil à chaque changement détecté.

Un screening intégré, nourri d’une donnée fiable. Sanctions, PPE et médias défavorables sont filtrés en temps réel sur les données vérifiées en amont, ce qui réduit les faux positifs à la source plutôt que de les traiter en aval. L’hébergement en France et la maîtrise des listes ne sont pas un argument de souveraineté abstrait : ils garantissent qu’aucune donnée de screening ne transite hors de l’UE et que le périmètre des listes reste sous contrôle et aligné sur le droit français (le cas de faux positif PPE décrit plus haut montre ce qu’il en coûte quand cette transposition manque), une exigence de gouvernance des données, pas une mention de plaquette.

Le bénéficiaire effectif tracé jusqu’au bout. Recoupement avec le RNE, reconstitution de la chaîne de détention, identification du bénéficiaire effectif avant le screening : la personne morale est traitée comme telle, et non réduite à l’identité de son gérant.

Une traçabilité native. Chaque décision (classification, screening, recalcul, niveau de vigilance, approbation) est horodatée et archivée, et la piste d’audit s’exploite d’un bloc. C’est ce qui transforme une décision juste en décision défendable, qu’elle aboutisse à une entrée en relation ou à une déclaration de soupçon.

Pour aller plus loin, BeCLM met à disposition un livre blanc KYC qui détaille le dispositif en cinq briques sous forme de guide opérationnel.

L’avenir de l’onboarding KYC

Quatre évolutions vont redessiner l’onboarding KYC dans les prochaines années. Aucune ne réduit les obligations ; toutes déplacent l’effort.

L’harmonisation européenne (2027). Le règlement (UE) 2024/1624 (AMLR) instaure un corpus unique d’application directe, tandis que le règlement (UE) 2024/1620 crée l’autorité européenne de supervision (AMLA). Pour l’assurance, l’AMLR circonscrit le périmètre des assujettis à l’assurance vie et aux contrats liés à des placements (art. 3) ; l’assurance non-vie en reste hors.

La singularité tient à la transposition française : le projet de réécriture du Code monétaire et financier envisagerait d’y intégrer l’assurance non-vie (MRH, auto, santé, RC). Appliquer à des produits de masse à prime modique un dispositif KYC conçu pour l’épargne soulève une réelle difficulté de proportionnalité, la même logique qui veut qu’un contrat à faible enjeu ne supporte pas la vigilance d’un contrat capitalisable. C’est le sens de l’alerte adressée aux pouvoirs publics au printemps 2026 par les organisations professionnelles du secteur, qui plaident pour une exonération de la non-vie. Le statut LCB-FT de l’assurance non-vie reste, à ce stade, un arbitrage national ouvert.

eIDAS 2.0 et le portefeuille d’identité numérique européen (règlement (UE) 2024/1183) permettront au client de prouver son identité de façon standardisée dès l’onboarding : meilleure qualité de donnée en entrée et parcours accéléré, sans allègement de la classification ni de la vigilance.

L’IA, accélérateur et non substitut : elle redéploie le temps de l’analyste vers les dossiers à vrai enjeu, l’humain gardant la décision.

La convergence KYC / KYB / KYT réunira connaissance du client, de l’entreprise et des transactions dans un même environnement, faisant de l’onboarding un processus continu plutôt qu’un événement ponctuel. C’est précisément la définition du perpetual KYC introduit plus haut : le point d’aboutissement de ces quatre évolutions

FAQ

1. Peut-on laisser le client entrer en relation avant la fin des vérifications d’identité ?

Oui, dans un cas précis. Le principe est la vérification avant l’entrée en relation (art. L561-5 I), mais le IV du même article ouvre une dérogation : si le risque paraît faible et que c’est nécessaire pour ne pas interrompre l’exercice normal de l’activité, la vérification peut être finalisée durant l’établissement de la relation. C’est ce qui autorise un parcours de souscription sans attente, à deux conditions opérationnelles : une classification capable d’établir que le risque est faible dès l’entrée, et un dispositif capable de mettre un terme à la relation si la vérification échoue ensuite (art. L561-8). La dérogation ne porte que sur la vérification, jamais sur l’identification elle-même.

2. Que faire quand le client ne fournit pas les justificatifs demandés ?

La réponse est écrite dans le CMF : quand l’assujetti n’est pas en mesure de satisfaire à l’identification (L561-5) ou à la connaissance de la relation d’affaires (L561-5-1), il n’exécute aucune opération et n’établit pas la relation ; si la relation a été engagée sous la dérogation du L561-5 IV, il y met un terme (art. L561-8). Dans les deux cas, il apprécie s’il y a lieu de transmettre une déclaration de soupçon (L561-15). Opérationnellement, cela interdit le dossier laissé « en attente » sans limite : il faut un délai de relance défini, une décision de clôture tracée, et une piste d’audit qui montre pourquoi et quand.

3. Faut-il un onboarding KYC complet pour un client occasionnel ?

Non. Le client occasionnel (opération ponctuelle, sans relation d’affaires durable) relève d’un régime distinct : l’identification et la vérification ne sont obligatoires qu’en cas de soupçon ou au-delà de seuils fixés par l’article R561-10, notamment 1 000 € pour le change manuel ou les opérations en monnaie électronique, 15 000 € pour les autres opérations, et sans aucun seuil pour la transmission de fonds. Le point de bascule à surveiller : des opérations ponctuelles répétées peuvent constituer une relation d’affaires de fait, qui réactive l’onboarding complet.

4. Peut-on déléguer l’onboarding KYC à un courtier, un distributeur ou un prestataire ?

Oui, par la tierce introduction (art. L561-7 et R561-13) : un autre assujetti peut réaliser l’identification et la vérification pour votre compte, avec contrat écrit obligatoire (sauf procédure interne de groupe) et transmission sans délai des éléments recueillis. Deux limites du dispositif restent intégralement celles de l’assujetti donneur d’ordre, et la déclaration de soupçon n’est jamais délégable. En pratique, c’est le montage standard de la distribution d’assurance, et contrôle via le contenu du contrat et la réalité des flux d’information.