La lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) n’est pas un sujet nouveau. Mais le cadre réglementaire qui l’encadre évolue en profondeur : la 6e directive européenne (AMLD6), les nouvelles lignes directrices de l’ACPR sur les entrées en relation à distance, et les exigences renforcées sur la vérification d’identité en ligne (PVID) redéfinissent ce qu’un parcours d’onboarding conforme doit être.
Pour les DSI de banques, d’établissements de paiement et de prestataires de services financiers, c’est une refonte partielle ou totale des parcours d’entrée en relation existants.
Le cadre réglementaire : où en sommes-nous ?
AMLD6 : une extension du périmètre et un durcissement des sanctions
La 6e directive anti-blanchiment transpose en droit européen une liste étendue d’infractions sous-jacentes au blanchiment (22 infractions vs 28 catégories sous AMLD5), et introduit une responsabilité pénale des personnes morales. Elle renforce aussi la coopération entre cellules de renseignement financier (CRF/Tracfin en France).
Pour vos parcours d’onboarding, l’impact direct est sur l’étendue de la due diligence requise et la documentation que vous devez conserver et être capable de produire.
Les nouvelles lignes directrices ACPR sur l’entrée en relation à distance
L’ACPR a publié des lignes directrices précisant les conditions d’une vérification d’identité à distance probante. Le point clé : la Vérification de l’Identité en ligne à Distance (PVID) doit désormais s’appuyer sur des prestataires référencés par l’ANSSI selon le référentiel PVID.
Ce référentiel définit :
- Les niveaux de garantie requis selon le profil de risque du client
- Les exigences techniques sur la liveness detection (détection de vivant)
- Les exigences sur la vérification documentaire (authenticité, non-altération)
- Les obligations de journalisation et de conservation des preuves
Ce qui change concrètement
Avant : beaucoup d’acteurs acceptaient des parcours de vérification d’identité avec un simple selfie + photo de pièce d’identité, sans vérification biométrique robuste. C’était toléré de facto.
Maintenant : les exigences s’alignent sur le niveau “substantiel” d’assurance d’identité, ce qui implique une liveness detection certifiée, une vérification documentaire par OCR et analyse d’authenticité, et un enregistrement probant de la session de vérification.
Les composantes techniques d’un parcours PVID conforme
1. La capture et vérification documentaire
La vérification du document d’identité (CNI, passeport, titre de séjour) repose sur plusieurs niveaux :
Lecture MRZ : extraction et validation de la zone de lecture automatique (Machine Readable Zone). Vérification de la cohérence des données, du checksum, de la conformité ISO 7501.
Analyse de sécurité : détection des éléments de sécurité physiques transposés sur l’image numérique : hologrammes, micro-impressions, guilloches. Les solutions certifiées PVID incluent des modèles entraînés sur des bases documentaires étendues incluant les documents frauduleux détectés.
Vérification NFC (optionnel mais recommandé) : lecture de la puce RFID du document (e-passeport, nouvelle CNI française) pour récupérer les données biographiques et la photo stockées sur la puce. C’est le niveau de vérification le plus robuste car il authentifie cryptographiquement le document.
2. La biométrie et la liveness detection
La liveness detection est la vérification que la personne qui présente sa pièce d’identité est bien une personne vivante, présente au moment de la vérification, et non une photo, une vidéo, ou un masque deepfake.
Liveness passive : analyse de la vidéo ou des images sans action de l’utilisateur. Moins friction, mais plus vulnérable.
Liveness active : l’utilisateur est invité à effectuer des actions (cligner des yeux, tourner la tête, lire un mot aléatoire). Plus robuste, mais crée de la friction.
Le référentiel PVID de l’ANSSI exige un niveau de liveness compatible avec le niveau de risque. Pour les entrées en relation standard, la liveness passive est généralement acceptable. Pour les profils à risque élevé ou les accès à des produits financiers sensibles, la liveness active est recommandée.
Matching biométrique : comparaison du visage capturé en temps réel avec la photo de la pièce d’identité. Le score de similarité doit dépasser un seuil défini selon le niveau de garantie visé.
3. La journalisation probante
C’est souvent la partie la moins visible mais la plus importante d’un point de vue réglementaire. En cas de contrôle ACPR ou de contentieux, vous devez être en mesure de produire la preuve que la vérification d’identité a été effectuée correctement.
Cela implique :
- Conservation horodatée de chaque étape de la session de vérification
- Conservation des images capturées (avec les conditions de conservation RGPD)
- Score détaillé de chaque vérification (document, liveness, matching)
- Identifiant du prestataire PVID et version de son système utilisée
- Signature cryptographique du rapport de vérification
La durée de conservation est alignée sur les obligations LCB-FT : 5 ans après la fin de la relation client.
L’architecture d’intégration
Prestataires PVID référencés vs build interne
La question se pose toujours : développer en interne ou intégrer un prestataire référencé ?
La réponse est quasi systématiquement : intégrer un prestataire. Le référentiel PVID de l’ANSSI requiert une certification qui nécessite des tests documentés sur des bases de données de documents frauduleux que très peu d’acteurs peuvent constituer en interne. Les prestataires référencés (et il en existe une poignée en France) ont investi plusieurs années et plusieurs millions pour obtenir cette certification.
Ce que vous intégrez, pas ce que vous développez : la vérification documentaire et la liveness. En revanche, l’orchestration du parcours, la gestion des décisions (accepté / refusé / revue manuelle), l’intégration dans votre CRM et votre dossier client, c’est votre responsabilité et votre valeur ajoutée.
Le pattern d’intégration recommandé
L’orchestrateur est la pièce clé : c’est lui qui gère les reprises (l’utilisateur peut abandonner et reprendre), les timeouts, les cas de refus, la revue manuelle, et la conservation des preuves.
La gestion des cas limites
Document expiré : techniquement détectable, mais la décision de refus ou d’acceptation conditionnelle est une décision métier, pas technique.
Document étranger hors scope : tous les prestataires ne couvrent pas tous les pays. Définir la politique pour les documents hors couverture (refus, voie alternative, revue manuelle).
Liveness échouée : l’utilisateur a-t-il droit à un nouvel essai ? Combien ? À quel moment déclenche-t-on une revue manuelle ?
Matching faible : un score de 70% est-il acceptable ? La politique de seuil est un arbitrage entre sécurité et taux de conversion, elle doit être documentée et validée compliance.
L’impact sur le taux de conversion
La conformité a un coût sur le taux de conversion. Un parcours PVID complet prend 3 à 7 minutes. Le taux d’abandon augmente avec la friction.
Les leviers pour limiter cet impact :
- Progressivité : ne demander la vérification PVID complète qu’au moment où c’est nécessaire (pas à la création de compte, mais à la souscription d’un produit financier)
- Reprise : permettre à l’utilisateur de reprendre là où il s’est arrêté
- Mobile-first : les parcours PVID sont significativement plus fluides sur mobile (accès natif à la caméra, NFC natif)
- Feedback clair : expliquer à l’utilisateur ce qui n’a pas fonctionné et pourquoi, avec une action corrective claire
Conclusion
La conformité LCB-FT n’est pas négociable, mais elle n’est pas incompatible avec une bonne expérience utilisateur. Les parcours d’onboarding qui réussissent traitent la vérification d’identité comme un moment de confiance, pas comme un obstacle.
L’enjeu architectural est de concevoir un système qui soit à la fois probant pour le régulateur, fluide pour l’utilisateur, et maintenable dans le temps à mesure que les exigences évoluent.
Vous refondez votre parcours d’entrée en relation ? Discutons de votre architecture cible.