Livre blanc : la vérification d'identité numérique (KYC)

Ouvrir un compte, activer un portefeuille électronique, enregistrer un chauffeur ou un vendeur : de plus en plus de services commencent par une vérification d'identité à distance. Bien faite, elle prend moins d'une minute et arrête la plupart des fraudes. Mal faite, elle fait fuir les bons clients et laisse passer les mauvais. Ce livre blanc résume ce que nous avons appris en construisant des parcours d'onboarding pour la fintech, la mobilité et l'immobilier, et en concevant notre propre produit de vérification.

Pourquoi vérifier, et pourquoi c'est difficile

La vérification d'identité répond à trois besoins : respecter les obligations de connaissance du client (KYC) et de lutte contre le blanchiment, protéger le service contre les faux comptes et la fraude, et donner confiance aux utilisateurs honnêtes. La difficulté vient de la variété des situations : des dizaines de formats de pièces d'identité, des photos prises dans de mauvaises conditions, des réseaux lents, et des fraudeurs qui disposent désormais d'outils de génération d'images.

Le cadre : conformité et données personnelles

Deux familles de règles s'appliquent. D'un côté, les obligations de lutte contre le blanchiment et le financement du terrorisme, transposées dans les pays de l'UEMOA et précisées par les régulateurs financiers, imposent d'identifier le client, de conserver des preuves et de filtrer certaines listes. De l'autre, la protection des données personnelles : en Côte d'Ivoire, la loi n° 2013-450 du 19 juin 2013 encadre la collecte, la conservation et la sécurité des données, sous le contrôle de l'ARTCI. Un parcours conforme collecte le minimum nécessaire, explique pourquoi, conserve les preuves pendant la durée légale et pas davantage, et protège les données biométriques avec un soin particulier.

La meilleure vérification est celle que l'utilisateur honnête ne remarque pas et que le fraudeur ne franchit pas.

Les cinq contrôles d'une vérification moderne

• L'extraction des données du document : lecture automatique des champs (nom, date de naissance, numéro, validité) par reconnaissance de caractères, avec vérification de cohérence entre les zones lisibles.
• L'authenticité du document : détection des retouches, des impressions, des modèles obsolètes et des incohérences de mise en page.
• La correspondance faciale : comparaison du visage du selfie avec la photo du document, avec un seuil adapté au niveau de risque.
• La détection du vivant : vérifier qu'une personne réelle est devant la caméra, et non une photo, une vidéo ou un masque, par des méthodes passives (analyse de l'image) ou actives (mouvements demandés).
• Le filtrage des listes : sanctions, personnes politiquement exposées, médias négatifs, avec une revue humaine des correspondances.

Intégrer la vérification dans un parcours

1. Cadrer le niveau de risque. Un portefeuille à faible plafond et un compte de crédit n'exigent pas les mêmes contrôles ; définissez des paliers.
2. Choisir les documents acceptés pays par pays, et prévoir une voie de secours (agence, appel vidéo) pour les cas hors norme.
3. Concevoir le parcours mobile : guidage de la prise de vue, retour immédiat en cas de photo floue, reprise possible après une coupure réseau.
4. Écrire les règles de décision : ce qui est accepté automatiquement, ce qui est refusé, ce qui part en revue manuelle, et pourquoi. Chaque décision doit être explicable.
5. Mesurer : taux d'acceptation, temps médian, motifs de refus, fraudes détectées après coup. Ce sont ces chiffres qui guident les réglages.

Les pièges fréquents

• Demander plus de documents que nécessaire, ce qui augmente l'abandon sans réduire la fraude.
• Régler les seuils une fois pour toutes, alors que la population et les attaques évoluent.
• Négliger les conditions réelles : téléphones d'entrée de gamme, faible luminosité, réseau instable.
• Conserver les images biométriques sans limite de durée ni chiffrement dédié.
• Faire de la revue manuelle une exception non outillée, jusqu'à ce qu'elle devienne un goulot d'étranglement.

Liste de contrôle

• Les obligations réglementaires applicables sont listées, avec les durées de conservation.
• Les données collectées sont minimales et leur finalité est expliquée à l'utilisateur.
• Les cinq contrôles sont en place, avec des seuils documentés par palier de risque.
• Le parcours a été testé sur des appareils modestes et en réseau dégradé.
• Les décisions automatiques sont explicables et journalisées.
• Une file de revue manuelle existe, avec des délais cibles.
• Les indicateurs sont suivis chaque semaine et les seuils réajustés.

Conclusion

La vérification d'identité n'est pas une case à cocher mais un produit à part entière, qui se mesure et s'améliore. C'est la conviction qui nous a conduits à concevoir KYX, et que nous appliquons dans chaque projet fintech. Pour en discuter à partir de votre parcours, écrivez-nous.