KYC : comment les plateformes crypto vérifient leurs clients

Le KYC (know your customer, soit « connaître son client ») est un processus par lequel une entreprise vérifie l’identité de son client. L’entreprise collecte des données d’identification, telles que le nom et la date de naissance, et les vérifie auprès de sources fiables. Le KYC est l’une des mesures de lutte contre le blanchiment d’argent et le financement du terrorisme (LBC/FT), un terme également utilisé dans le domaine des cryptomonnaies.

Que signifie le KYC ?

L’expression « know your customer » (connaître son client) décrit la mission de l’entreprise : elle doit savoir qui est son client. Le KYC dans le domaine des cryptomonnaies désigne le processus par lequel une plateforme crypto vérifie l’identité de son client.

Dans le cadre du KYC, « vérifier » signifie confronter les informations à des sources fiables et indépendantes du client.

Le KYC est souvent utilisé comme synonyme de « devoir de vigilance à l’égard de la clientèle », terme employé par les régulateurs professionnels pour désigner l’ensemble complet des contrôles KYC.

Par ailleurs, « know your customer » peut aussi désigner un contrôle différent : celui visant à déterminer si un produit financier réglementé convient au client auquel il est proposé. Le KYC au sens d’identification et de vérification du client constitue un processus distinct.

Pourquoi les entreprises réglementées effectuent-elles le KYC ?

Dans certains pays, les réglementations applicables aux entreprises réglementées imposent le KYC. Une entreprise réglementée est une entreprise qui opère selon les règles d’un régulateur. Un régulateur est un organisme public chargé de superviser un secteur d’activité ; une banque commerciale soumise à un régulateur bancaire en est un exemple.

Les règles relatives au KYC visent à lutter contre le blanchiment d’argent (dissimuler l’origine criminelle de fonds) et le financement du terrorisme. En général, le KYC débute lorsqu’une entreprise accepte un nouveau client et se poursuit par une surveillance continue tant que l’entreprise sert ce client.

Quelles mesures comprend le KYC ?

Voici les mesures généralement associées au KYC.

1. Identifier et vérifier le client. L’entreprise collecte les données d’identification du client, telles que son nom et sa date de naissance, et les vérifie auprès de sources fiables.
2. Identifier le bénéficiaire effectif. L’entreprise détermine quelle personne physique détient ou contrôle en définitive le client, lorsque cela s’applique, et prend des mesures raisonnables pour vérifier l’identité de cette personne.
3. Comprendre la relation. L’entreprise s’informe sur l’objet et la nature envisagée de sa relation avec le client, c’est-à-dire pourquoi le client souhaite ce service et comment il compte l’utiliser.
4. Surveiller la relation. L’entreprise surveille la relation avec le client dans la durée et tient à jour les informations qu’elle détient à son sujet.

La vérification KYC peut également se faire sans rencontre physique avec le client. Un processus d’identification électronique est une méthode numérique permettant de confirmer l’identité d’une personne. Selon le guide d’un régulateur financier, un processus d’identification électronique peut être considéré comme une source fiable pour vérifier l’identité, à condition que ce processus soit indépendant de la personne contrôlée.

Quelles données le KYC collecte-t-il ?

Le KYC collecte des données d’identification sur le client. Pour un particulier, un ancien guide sur l’ouverture de compte publié par un comité international de superviseurs bancaires mentionnait des données telles que le nom légal, l’adresse permanente, la date de naissance, le lieu de naissance, la nationalité et un numéro d’identification officiel figurant sur un document d’identité avec photo. Une version plus récente a depuis remplacé ce guide ; ces éléments doivent donc être considérés comme des exemples, et non comme une exigence actuelle.

Les documents utilisés dans le cadre du KYC comprennent les passeports, les cartes d’identité et les permis de conduire. Les données exactes collectées par une entreprise dépendent des règles applicables, qui varient d’un pays à l’autre.

Les données d’identification collectées dans le cadre du KYC constituent des données personnelles, c’est-à-dire des informations relatives à une personne identifiable. Le guide d’un régulateur financier destiné aux entreprises qu’il supervise précise que celles-ci doivent tenir compte de leurs obligations en matière de protection des données lorsqu’elles traitent ces informations.

KYC vs LBC/FT : quelles différences ?

Le KYC regroupe les contrôles qu’une entreprise effectue sur son client. La LBC/FT est l’ensemble plus large de mesures visant à lutter contre le blanchiment d’argent et le financement du terrorisme, le KYC n’étant que l’une de ses composantes.

La LBC/FT comprend également la conservation des documents et la surveillance des transactions. Conserver les documents signifie stocker les informations relatives aux clients et à leurs transactions. Surveiller les transactions signifie les observer afin de pouvoir signaler aux autorités toute activité suspectée d’être criminelle.

Pourquoi le niveau des contrôles KYC varie-t-il ?

Le niveau des contrôles KYC varie en fonction du contexte. Une approche fondée sur le risque signifie qu’une entreprise adapte l’intensité de ses contrôles à son évaluation de la probabilité qu’un client soit lié au blanchiment d’argent ou au financement du terrorisme. Puisque l’intensité des contrôles suit cette évaluation du risque, le KYC ne correspond pas à un ensemble fixe et unique de vérifications.

Dans le cadre d’une approche fondée sur le risque, une entreprise qui évalue un client comme présentant un risque faible peut appliquer des mesures simplifiées. Les mesures simplifiées impliquent moins de contrôles, mais restent du KYC, et non une exemption de celui-ci. Pour un client évalué comme présentant un risque élevé, l’entreprise applique des mesures renforcées. Les mesures renforcées impliquent davantage de contrôles et sont appelées vigilance renforcée.