Guide du fondateur pour la conformité KYC AML des MVP fintech

Demandez à un fondateur fintech ce qui l'empêche de dormir avant le lancement, et la conformité KYC AML revient presque aussi souvent que la question de la trésorerie. Ce n'est pas de la paranoïa : une application de paiement, un produit de prêt ou une néobanque qui déplace de l'argent réel doit prouver à un partenaire bancaire, un réseau de cartes ou un régulateur qu'elle connaît ses clients et qu'elle sait repérer un mouvement d'argent suspect. Le point rassurant : ce dont un MVP fintech a besoin à ce stade est plus restreint que ce que la plupart des fondateurs imaginent. Vous n'avez pas besoin d'un service de conformité interne, juste d'une vision claire de ce qu'exigent le KYC et l'AML, de ce qu'attend votre partenaire bancaire, et de ce qu'il vaut mieux acheter plutôt que développer vous-même. Ce guide couvre ces deux aspects, ainsi que la place réelle de l'IA dans la détection de la fraude. Pour le volet données de carte, consultez notre check-list de conformité PCI DSS pour les startups.

KYC signifie Know Your Customer (connaissance du client) : vérifier qu'une personne, ou une entreprise, est bien celle qu'elle prétend être avant de la laisser ouvrir un compte ou déplacer de l'argent. En pratique, cela veut dire collecter une pièce d'identité officielle, la comparer aux informations saisies, et souvent effectuer un contrôle de selfie ou de vivacité (liveness check) pour confirmer qu'une vraie personne a fait la demande, pas une photo ou un bot. AML signifie Anti-Money Laundering (lutte contre le blanchiment d'argent), le programme plus large dans lequel s'inscrit le KYC. Là où le KYC répond à la question « cette personne est-elle réelle », l'AML pose une question continue : l'activité de ce compte a-t-elle toujours l'air légitime. Cela couvre le filtrage des sanctions et des listes PEP à l'entrée en relation, la surveillance continue des transactions par la suite, et le dépôt d'un signalement (un Suspicious Activity Report, ou SAR, aux États-Unis ; une déclaration de transaction suspecte, ou STR, dans de nombreux autres pays) lorsque quelque chose ne colle pas. Le KYC intervient surtout au démarrage, puis périodiquement par la suite. L'AML fonctionne en continu, aussi longtemps que le compte existe.

La conformité façonne les décisions que vous prenez dès la première semaine : la structure de l'entrée en relation, les données que vous pouvez stocker, les pays que vous pouvez servir, et même le partenaire bancaire qui acceptera de vous répondre. La plupart des jeunes fintechs ne détiennent pas leur propre licence de transmetteur d'argent ou licence bancaire. Elles opèrent via un partenaire Banking-as-a-Service (BaaS) ou une banque partenaire (sponsor bank), et ce partenaire fixe le plancher de votre programme de conformité KYC AML, souvent plus strict que ce que vous auriez choisi seul. Une banque partenaire qui protège son agrément exige généralement un niveau de vérification précis et un droit d'audit sur votre processus avant de vous laisser faire transiter le moindre dollar par ses rails. C'est l'une des raisons pour lesquelles les délais du développement logiciel fintech s'allongent par rapport à un MVP standard : le cycle de revue d'une banque partenaire est généralement l'étape la plus lente.

La plupart des fintechs se lancent avec un KYC à plusieurs niveaux : un contrôle plus léger pour les comptes à plafond bas, une vérification plus complète une fois qu'un client veut déplacer des montants plus importants. Personne n'attend d'un fondateur qui se lance pour la première fois qu'il construise le parcours de vérification le plus lourd imaginable, et le faire ne fait généralement que ralentir votre propre entrée en relation. Un parcours type : le client soumet une pièce d'identité officielle et un selfie, un service automatisé vérifie que le document n'a pas été altéré, compare le selfie à la photo, et filtre le nom par rapport aux listes de sanctions et de PEP. Quand tout correspond parfaitement, cela se termine souvent en quelques minutes. Quand ce n'est pas le cas, le dossier passe en revue manuelle, ce qui prend de quelques heures à deux jours ouvrés, davantage pour les candidats à risque plus élevé ou les documents peu clairs. Construisez cela sur l'API d'un prestataire plutôt que sur votre propre modèle : la couverture documentaire et les taux de faux positifs demandent des années d'ajustement pour être bien calibrés. Les plateformes d'échange crypto se situent à l'extrémité stricte de ce spectre. Notre guide sur la création d'une application d'échange de cryptomonnaies comme Coinbase couvre cette version, tandis qu'une application de prêt standard ou une néobanque a généralement besoin d'un niveau plus léger.

La conformité AML est le programme qui encadre tout ce qui se passe après l'entrée en relation : surveiller les transactions à la recherche de schémas qui ne correspondent pas à un usage légitime, filtrer les noms par rapport aux listes de sanctions en continu plutôt qu'une seule fois à l'inscription, et conserver des registres qui tiendraient la route si un régulateur demandait à les consulter. La plupart des dispositifs de surveillance démarrent avec des règles : signaler les transactions importantes, signaler les mouvements de fonds rapides, signaler les transferts juste en dessous d'un seuil de déclaration, un schéma appelé structuring (fractionnement), car certains contournent les seuils de déclaration en découpant un gros virement en plusieurs plus petits. Aux États-Unis, ce seuil est fixé à 10 000 $ en vertu du Bank Secrecy Act. D'autres juridictions fixent le leur, donc vérifiez ce qui s'applique là où vous êtes agréé. Une règle déclenchée fait passer le dossier dans une file d'attente pour un humain, souvent votre responsable de la conformité ou l'équipe de votre partenaire BaaS, qui décide si un rapport formel est nécessaire. La plupart des signalements se révèlent sans gravité : le rôle du programme est d'attraper les rares qui ne le sont pas.

La surveillance AML et la prévention de la fraude se recoupent suffisamment pour que les fondateurs les prennent pour un seul et même système. Elles sont liées mais répondent à des questions différentes. L'AML se demande si un mouvement d'argent ressemble à du blanchiment. La prévention de la fraude se demande si la transaction elle-même est légitime : une carte volée, une connexion détournée, une identité synthétique, ou un bot qui teste des numéros de carte quelques centimes à la fois. Un moteur antifraude superpose généralement plusieurs signaux : empreinte de l'appareil (device fingerprinting), vérifications de géolocalisation, schémas comportementaux, et contrôles de vélocité sur la fréquence à laquelle une carte tente une transaction dans une courte fenêtre de temps. Aucun de ces signaux ne prouve la fraude à lui seul. Ensemble, ils construisent un score de risque qui détermine si une transaction passe, déclenche une vérification renforcée, ou est bloquée. Certains prestataires KYC AML intègrent le scoring de fraude, d'autres attendent que vous passiez par un prestataire distinct. Dans tous les cas, prévoyez les deux dès le départ, avant qu'un bot de test de cartes ne trouve votre tunnel de paiement.

L'outillage de conformité est l'un des choix d'achat les plus évidents dans un MVP fintech, et l'un des domaines où le développer soi-même comporte un vrai risque en plus du surcoût.

Vérification d'identité

Des prestataires comme Persona, Onfido, Sumsub et Trulioo gèrent la vérification de documents, la détection de vivacité et le filtrage des sanctions via une API que vous pouvez intégrer en quelques jours. Ils maintiennent des modèles de documents pour des dizaines de pays et réentraînent leurs modèles sur bien plus de données qu'une seule fintech n'en génère seule.

Surveillance des transactions

ComplyAdvantage, Alloy et des outils similaires gèrent la surveillance basée sur des règles et sur le ML, ainsi que la gestion des dossiers. Certains partenaires BaaS exigent un outil issu d'une liste approuvée, donc vérifiez ce point avant de signer un contrat avec un prestataire.

Quand développer en interne a du sens

Le calcul change une fois que la conformité devient un véritable facteur de différenciation : un scoring de risque propriétaire construit sur un large jeu de données existant, ou une entreprise dont le produit est justement l'outillage de conformité. Pour un premier MVP fintech, vous n'en êtes presque jamais encore là.

La surveillance basée sur des règles capte les schémas pour lesquels vous avez pensé à écrire une règle. Les modèles de machine learning en captent certains que vous n'aviez pas anticipés, en évaluant les transactions par rapport à des schémas appris à partir de données historiques plutôt que sur une liste figée. C'est l'argument honnête en faveur de l'IA dans la détection de la fraude : la plupart des outils modernes combinent désormais les deux approches, car les règles seules ont tendance à trop signaler, ce qui frustre les bons clients, ou pas assez, ce qui laisse passer de nouveaux schémas au fur et à mesure qu'ils apparaissent. Un modèle bien calibré réduit les faux positifs, ce qui compte plus qu'il n'y paraît : chaque transaction signalée qui se révèle légitime coûte un cycle de revue et, souvent, un client frustré coincé dans une boucle de vérification. Ce que l'IA ne remplace pas : un humain doit toujours valider un signalement d'activité suspecte avant son dépôt, et un régulateur s'attendra à ce que vous expliquiez pourquoi un modèle a signalé, ou n'a pas signalé, tel ou tel cas. Considérez le scoring par IA comme un moyen de prioriser la file d'attente, pas comme un programme de conformité à lui seul. La plupart des prestataires KYC AML l'intègrent déjà, vous avez donc plus de chances d'en hériter que d'avoir à le construire vous-même.

Avant de mettre en ligne un MVP fintech, parcourez cette liste avec la personne responsable de la conformité, même s'il s'agit d'un conseiller à temps partiel ou de l'équipe de votre partenaire BaaS :

• Confirmez votre voie réglementaire. Agrément via une banque partenaire, licence de paiement, ou votre propre enregistrement en tant que transmetteur d'argent? C'est ce qui détermine presque tout le reste ici.
• Choisissez une structure de niveaux KYC qui traite un compte à 50 $ différemment d'un compte à 5 000 $, avant que votre designer d'entrée en relation ne commence les wireframes.
• Choisissez vos prestataires pour la vérification d'identité et la surveillance des transactions, et vérifiez qu'ils figurent sur toute liste approuvée exigée par votre partenaire bancaire.
• Rédigez un processus d'escalade : qui examine un dossier signalé, à quelle vitesse, et qui peut déposer un rapport ou fermer un compte.
• Définissez une politique de conservation des registres. La plupart des cadres AML attendent que les registres soient conservés pendant des années, pas des mois, après la fermeture d'un compte.
• Désignez une personne responsable, même dans une petite équipe, dont la fonction inclut la conformité sur le papier.

Rien de tout cela ne remplace un conseil juridique spécifique à votre juridiction. Considérez ceci comme le volet opérationnel de cette conversation. Une fois la structure de conformité de votre MVP arrêtée, la construction suit un chemin assez classique, couvert dans notre guide comment développer une application fintech.