Qu’est-ce que la vérification KYC ? Processus et exigences
Qu’est-ce que la vérification KYC ? Le processus, du contrôle d’identité à la surveillance continue, et ce qu’exigent le GAFI et l’Asie du Sud-Est.
La vérification de la connaissance client (KYC) est l’ensemble des contrôles qu’une entreprise réglementée mène pour confirmer qu’un client est bien celui qu’il prétend être et pour comprendre le risque qu’il représente. Elle consiste à collecter des données d’identité, à les vérifier auprès de sources fiables et indépendantes et à les tenir à jour. Les normes du Groupe d’action financière (GAFI, FATF) fixent le socle, et chaque pays établit ses propres règles détaillées.
Cet article décrit l’obligation de l’établissement, et non la façon dont un client effectue son KYC dans telle ou telle application. Les exemples portent sur les Philippines, la Malaisie et Singapour ; l’Indonésie, le Viêt Nam et la Thaïlande apparaissent dans les tableaux. Les règles sont nationales, et l’approche d’aucun pays ne doit être lue comme la norme régionale.
Que signifie KYC ?
KYC est l’acronyme anglais de Know Your Customer, « connaissance client ». C’est l’obligation d’identifier les clients et de comprendre le risque qu’ils représentent, et elle fait partie d’un dispositif de lutte contre le blanchiment (LCB). Le terme du GAFI pour ces mesures est la vigilance à l’égard de la clientèle (CDD). « Vérification KYC » désigne souvent la seule partie identification et vérification et, dans l’usage courant, l’ensemble du contrôle ; cet article l’emploie pour l’ensemble du contrôle.
Les normes du GAFI imposent d’identifier et de vérifier les clients à partir de documents, de données ou d’informations de source fiable et indépendante, et les pays les transposent en règles nationales de lutte contre le blanchiment de capitaux et le financement du terrorisme (AML/CFT). Ce sont ces règles nationales, et non la norme du GAFI elle-même, qui s’imposent à un établissement.
Les quatre éléments centraux du KYC (Recommandation 10 du GAFI)
La Recommandation 10 du GAFI fixe quatre mesures de CDD :
- Identifier le client et vérifier son identité à partir de documents, de données ou d’informations de source fiable et indépendante.
- Identifier le bénéficiaire effectif, la personne physique qui en dernier ressort détient ou contrôle le client, et prendre des mesures raisonnables pour vérifier son identité.
- Comprendre, et le cas échéant recueillir des informations sur, l’objet et la nature envisagée de la relation d’affaires.
- Exercer une vigilance constante et un examen des opérations tout au long de la relation, y compris sur l’origine des fonds lorsque c’est nécessaire.
Les normes du GAFI imposent ces mesures lors de l’entrée en relation d’affaires, pour certaines opérations occasionnelles, en cas de soupçon de blanchiment de capitaux ou de financement du terrorisme et lorsque les données d’identification recueillies auparavant sont douteuses. Certains guides décrivent le KYC comme trois composantes ; la norme du GAFI énonce quatre mesures.
Comment se déroule le processus de vérification KYC
Les étapes ci-dessous suivent les quatre mesures du GAFI et y ajoutent le criblage, l’évaluation des risques et la décision. L’ordre et le niveau de détail varient selon l’établissement et le pays.
- Collecter les données d’identité. L’établissement collecte les données d’identité du client. Les éléments que les règles énumèrent diffèrent d’un pays à l’autre, comme le montre le tableau de données plus bas.
- Vérifier l’identité. Les données sont confrontées à des documents, des données ou des informations fiables et indépendants, en présentiel ou à distance. À Singapour, par exemple, la Monetary Authority of Singapore (MAS) considère Myinfo comme une source fiable et indépendante, et aux Philippines la Bangko Sentral ng Pilipinas (BSP) traite de la même façon le Philippine Identification System (PhilSys). Les normes du GAFI imposent la vérification avant ou pendant l’entrée en relation ; les pays peuvent permettre qu’elle soit achevée dès que raisonnablement possible ensuite, lorsque les risques sont maîtrisés de manière effective et qu’il est essentiel de ne pas interrompre l’activité normale.
- Identifier le bénéficiaire effectif. Lorsque c’est pertinent, l’établissement identifie la personne physique derrière le client et prend des mesures raisonnables pour vérifier son identité. Les normes du GAFI traitent aussi des bénéficiaires effectifs des personnes morales (Recommandation 24).
- Comprendre l’objet de la relation. L’établissement détermine pourquoi le client souhaite la relation et ce qu’elle est censée être. Les règles malaisiennes et indonésiennes citent l’objet parmi les informations à recueillir.
- Cribler. Le criblage des sanctions et celui des personnes politiquement exposées (PPE) font généralement partie de la CDD dans les règles nationales ; les normes du GAFI traitent des PPE à la Recommandation 12.
- Évaluer le risque. L’évaluation détermine la profondeur des contrôles : vigilance simplifiée, standard ou renforcée, traitée à la section suivante.
- Décider. L’établissement entre en relation, fait remonter le dossier ou refuse. Si la CDD ne peut pas être menée à son terme, les normes du GAFI prévoient que l’établissement n’ouvre pas le compte et n’entre pas en relation, ou met fin à une relation existante, et envisage une déclaration de soupçon (STR).
- Surveiller et mettre à jour. La vigilance constante comprend l’examen des opérations et la mise à jour des données par des revues périodiques, en particulier pour les clients présentant un risque plus élevé. Les normes du GAFI imposent aussi la CDD sur les clients existants en fonction de l’importance et du risque.
KYC par les risques : vigilance simplifiée, standard et renforcée
Les normes du GAFI imposent que l’étendue de la CDD suive une approche par les risques, de sorte que la profondeur des contrôles varie avec le risque du client. Les exemples figurant dans la note interprétative du GAFI sont des orientations, non des éléments obligatoires.
| Niveau | Quand elle s’applique | Mesures types (exemples du GAFI) | Exemples nationaux |
|---|---|---|---|
| Simplifiée | Le risque est plus faible et a été analysé de façon adéquate ; non applicable en cas de soupçon ou de scénario spécifique de risque plus élevé | Parmi les exemples : vérifier l’identité après le début de la relation, mettre à jour les données moins souvent et réduire la surveillance | Le document de politique de Bank Negara Malaysia (BNM) autorise la CDD simplifiée lorsque les risques sont évalués comme faibles, sauf en cas de risques plus élevés ou de soupçon ; la Regulation No. 8 of 2023 de l’Otoritas Jasa Keuangan (OJK) indonésienne l’autorise après une analyse de risque adéquate |
| Standard | Ni les facteurs de risque plus faible ni ceux de risque plus élevé n’orientent vers une autre profondeur | Les quatre mesures de CDD décrites ci-dessus | Le document de politique de la BNM énumère les données à recueillir pour la CDD standard sur les personnes physiques (voir le tableau de données) |
| Renforcée | Le risque est plus élevé | Parmi les exemples : davantage d’informations sur le client et la relation, des informations sur l’origine des fonds ou du patrimoine et sur les motifs des opérations, l’approbation de la direction générale, une surveillance renforcée et des mises à jour des données plus fréquentes | L’OJK définit la vigilance renforcée (EDD) comme une CDD plus approfondie pour les clients à risque élevé, dont les PPE |
Les relations à distance figurent parmi les exemples du GAFI comme facteur de risque potentiellement plus élevé uniquement lorsque des mesures d’atténuation appropriées n’ont pas été mises en œuvre. Le KYC à distance n’est donc pas automatiquement à risque élevé.
Quels documents et quelles données faut-il pour le KYC ?
Les éléments précis découlent des règles nationales et de l’évaluation des risques de l’établissement. Le tableau présente les données citées pour les clients personnes physiques ; les règles regroupent l’information différemment, si bien que les listes ne sont pas comparables terme à terme. Par exemple, la MAS Notice 626 traite de l’objet de la relation dans un paragraphe distinct, alors que les listes malaisienne et indonésienne l’incluent : le nombre d’éléments ne dit donc pas combien un pays exige. Le contenu de la règle thaïlandaise n’est pas décrit ici.
| Pays (règle) | Informations que la règle énumère pour identifier les clients personnes physiques |
|---|---|
| Singapour (MAS Notice 626, pour les banques) | Nom complet, y compris les alias ; numéro d’identification unique ; adresse du domicile ; date de naissance ; nationalité |
| Malaisie (document de politique de la BNM) | Nom complet ; numéro de la National Registration Identity Card (NRIC), du passeport ou d’un autre document officiel ; adresse du domicile et adresse postale ; date de naissance ; nationalité ; type de profession ; employeur ou nature de l’activité ; numéro de téléphone ; objet de l’opération |
| Indonésie (OJK Regulation No. 8 of 2023) | Nom complet, y compris l’alias ; numéro de la pièce d’identité ; adresse ; lieu et date de naissance ; nationalité ; profession ; adresse et téléphone du lieu de travail ; sexe ; situation matrimoniale ; nom de jeune fille de la mère ; ainsi que le bénéficiaire effectif, l’origine des fonds, les revenus ou le patrimoine net et l’objet de la relation |
| Viêt Nam (loi AML) | Nom complet ; date de naissance ; nationalité ; profession ou fonction ; numéro de téléphone ; numéro de pièce d’identité, de carte d’identité de citoyen, d’identification personnelle ou de passeport (pour les résidents étrangers, avec la date et le lieu de délivrance) ; résidence |
| Philippines (règles de la BSP) | Le nom et/ou le numéro PhilSys, parmi les informations minimales ; aucune liste complète n’est donnée ici |
Pour les entreprises, le processus couvre aussi les bénéficiaires effectifs ; la vérification des entreprises relève du Know Your Business (KYB).
Les exigences KYC en Asie du Sud-Est : panorama par pays
Le tableau nomme le principal instrument de chaque pays. Il décrit quelles règles existent, non ce que chacune exige.
| Pays | Autorité de contrôle / cellule de renseignement financier (lorsqu’elle est nommée ici) | Règle principale (version en vigueur) | Portée et limites |
|---|---|---|---|
| Philippines | Bangko Sentral ng Pilipinas (BSP) ; Anti-Money Laundering Council (AMLC), la cellule de renseignement financier | l’Anti-Money Laundering Act of 2001 (Republic Act No. 9160), telle que modifiée, en dernier lieu par la Republic Act No. 11521 (2021) ; les règles de vigilance à l’égard de la clientèle de la BSP, modifiées par la Circular No. 1170 (2023) | Les règles de la BSP s’appliquent aux établissements supervisés par la BSP ; aucune liste complète de données n’est donnée ici |
| Malaisie | Bank Negara Malaysia (BNM) | le document de politique de la BNM sur la lutte contre le blanchiment de capitaux, le financement du terrorisme et de la prolifération, et les sanctions financières ciblées pour les institutions financières (BNM/RH/PD 030-14), en vigueur depuis le 6 février 2024 et remplaçant la version entrée en vigueur le 1er janvier 2020 | S’applique aux institutions financières relevant de son champ ; les éléments de données concernent les clients personnes physiques sous CDD standard |
| Singapour | MAS ; Suspicious Transaction Reporting Office (STRO), la cellule de renseignement financier | MAS Notice 626 pour les banques (dernière révision le 30 juin 2025), avec des notices parallèles pour les autres institutions financières | La Notice 626 s’applique aux banques ; les numéros des autres notices ne sont pas décrits ici |
| Indonésie | Otoritas Jasa Keuangan (OJK) ; PPATK (Pusat Pelaporan dan Analisis Transaksi Keuangan), la cellule de renseignement financier | OJK Regulation No. 8 of 2023, sur la lutte contre le blanchiment de capitaux et le financement du terrorisme et de la prolifération dans le secteur des services financiers | Traduction anglaise non officielle du titre |
| Viêt Nam | State Bank of Vietnam (SBV) | Law on Anti-Money Laundering No. 14/2022/QH15, modifiée avec effet au 1er décembre 2026 | Titre anglais non officiel ; le contenu de la modification n’a pas été examiné |
| Thaïlande | Anti-Money Laundering Office (AMLO) | Anti-Money Laundering Act B.E. 2542 (1999), telle que modifiée ; Ministerial Regulation on Customer Due Diligence B.E. 2563 (2020) | Noms des instruments uniquement ; leur contenu et leurs dates d’entrée en vigueur ne sont pas décrits ici |
Vérifié le 30 octobre 2026. Les règles changent : confirmez la version en vigueur auprès de chaque autorité. Les normes du GAFI sont citées dans leur version modifiée en juin 2026 ; les conclusions de la plénière du GAFI du 26 au 30 octobre 2026 n’étaient pas publiées lors de la vérification de cette page. La loi vietnamienne est décrite d’après une traduction anglaise conservée par une base de données juridique. Les titres pour l’Indonésie, le Viêt Nam et la Thaïlande sont des rendus anglais non officiels.
Philippines. Le PhilSys est institué par la Philippine Identification System Act (Republic Act No. 11055). Les règles de la BSP, modifiées par la Circular No. 1170 (2023), acceptent les enregistrements PhilSys d’une personne comme preuve d’identité officielle et suffisante.
Malaisie. Le document de politique de la BNM impose aux établissements de vérifier l’identité avant ou pendant la relation.
Singapour. La MAS Notice 626 impose aux banques de vérifier l’identité à partir de données, de documents ou d’informations de source fiable et indépendante.
Cet article est fourni à titre d’information uniquement et ne constitue pas un conseil juridique ou réglementaire.
KYC en présentiel et eKYC
Le KYC électronique (eKYC) effectue les mêmes contrôles par des canaux en ligne ou mobiles, et la norme de CDD ne change pas avec le canal. À Singapour, la MAS Notice 626 impose que la CDD à distance des banques soit au moins aussi solide que la CDD en présentiel. Les contrôles à distance recourent généralement à la vérification de documents, à la comparaison biométrique et à la détection du vivant, que le document de politique e-KYC de la Malaisie cite parmi les mesures que les établissements peuvent employer. Le Guidance on Digital ID du GAFI, publié en 2020, aide les entités réglementées à déterminer si une identité numérique convient à la CDD.
Erreurs et risques fréquents en matière de KYC
- Traiter le KYC comme une opération unique. Les normes du GAFI imposent de tenir à jour les données de CDD par des revues périodiques, en particulier pour les clients présentant un risque plus élevé.
- Appliquer les mêmes contrôles à tous les clients. L’approche par les risques impose des mesures simplifiées lorsque le risque est plus faible et des mesures renforcées lorsqu’il est plus élevé.
- Négliger les bénéficiaires effectifs. Identifier le bénéficiaire effectif est l’une des quatre mesures du GAFI, pas une option supplémentaire.
- Traiter par défaut les clients à distance comme présentant un risque élevé, ou écarter des groupes entiers. Le GAFI a indiqué que ses normes ne prévoient pas le de-risking, c’est-à-dire l’exclusion de catégories entières de clients, mais imposent une approche par les risques.
- Traiter une identité vérifiée comme la preuve d’un usage légitime. Dans une affaire que Singapour a signalée au GAFI, 147 personnes ont remis leur identité numérique nationale à des réseaux criminels, qui s’en sont servis pour ouvrir 276 comptes dans huit banques à distance.
- Négliger les attaques contre les contrôles à distance. En 2022, l’European Union Agency for Cybersecurity (ENISA) a recensé les attaques par photo, par rejeu vidéo, par masque 3D et par deepfake comme les principales attaques de présentation faciale contre la validation de l’identité à distance (remote identity proofing), et a relevé que l’injection vidéo, qui contourne la caméra, n’est pas une attaque de présentation. Les orientations de la MAS relèvent que les demandes par internet peuvent comporter des risques plus élevés, dont la facilité à déposer de multiples demandes fictives.
La vérification KYC n’est pas un contrôle unique à l’inscription. C’est une vigilance à l’égard de la clientèle fondée sur les risques : les quatre mesures du GAFI appliquées à la mesure du risque du client, tenues à jour pendant toute la relation et façonnées par les règles de chaque pays.
Les données collectées et les instruments diffèrent d’un pays à l’autre : ce qui vaut sur un marché ne peut être présumé sur un autre. Les équipes qui examinent comment un logiciel s’insère dans ces étapes peuvent en lire davantage sur le logiciel de vérification KYC.
Plusieurs des règles décrites ici sont récentes ou modifiées avec effet à une date ultérieure : il convient d’en confirmer la version en vigueur auprès de chaque autorité avant de s’y fier.
Questions fréquentes
