KYC (Know Your Customer)
conformiteDéfinition
Le KYC, pour Know Your Customer, désigne l'ensemble des procédures réglementaires par lesquelles une entité financière vérifie l'identité de ses clients et comprend la nature de leur activité. Il constitue un pilier des dispositifs de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). Concrètement, il combine la collecte de pièces d'identité, la vérification de leur authenticité, l'identification des bénéficiaires effectifs et le criblage face aux listes de sanctions et de personnes politiquement exposées. Ces obligations s'appliquent aux banques comme aux prestataires de services sur actifs numériques. Le KYC se prolonge par une vigilance continue tout au long de la relation d'affaires.
En Europe, le cadre découle des directives anti-blanchiment successives, désormais complétées par un règlement et une autorité européenne dédiée. Pour les crypto-actifs, le règlement MiCA et la réglementation sur la traçabilité des transferts de fonds imposent aux prestataires agréés des obligations comparables à celles du secteur bancaire, ce qui met fin à l'idée d'échanges totalement anonymes chez les acteurs régulés. En France, les entités assujetties déclarent leurs soupçons à TRACFIN.
Un dispositif KYC comporte plusieurs briques :
- Identification et vérification : recueil des données d'identité et contrôle des documents, de plus en plus par vérification à distance avec détection de fraude documentaire.
- Approche par les risques : classement des clients en niveaux de vigilance, avec une diligence renforcée pour les profils sensibles.
- Bénéficiaires effectifs : identification des personnes physiques contrôlant réellement une structure juridique.
- Surveillance continue : détection des opérations atypiques et mise à jour périodique du dossier client.
Le KYC croise directement la cybersécurité. Les dossiers constitués concentrent des données personnelles hautement sensibles, pièces d'identité et données biométriques comprises, ce qui en fait une cible de choix : les fuites chez des prestataires de vérification ont alimenté des fraudes à l'usurpation d'identité. Les parcours d'enrôlement à distance subissent par ailleurs des attaques de contournement par documents falsifiés, injection de flux vidéo ou hypertrucage.
La mise en conformité doit enfin composer avec le RGPD : les données collectées doivent rester proportionnées à la finalité légale, être conservées pour une durée déterminée puis supprimées, et bénéficier de mesures de protection adaptées. Chiffrement des dossiers, cloisonnement strict des accès, journalisation des consultations et encadrement contractuel des sous-traitants de vérification constituent le socle attendu. Un KYC robuste protège donc autant l'institution du risque réglementaire que le client du risque d'usurpation.
Ce terme vous interpelle ?
Nos experts interviennent sur toutes les thématiques de ce glossaire — pentest, conformité NIS 2 / ISO 27001, forensics, sécurité IA. Réponse sous 24h, devis gratuit et sans engagement.