Pendant des années, les dispositifs de conformité ont été construits autour d'une hypothèse simple : nous avions le temps.
Le temps de traiter les transactions par lots. Le temps de générer les alertes pendant la nuit. Le temps pour les analystes de les examiner le lendemain. Le temps, parfois, d'investiguer une opération plusieurs heures après son exécution.
Le paiement instantané bouleverse complètement cette logique.
Avec le règlement européen sur les paiements instantanés, un virement instantané en euros doit permettre la mise à disposition des fonds sur le compte du bénéficiaire en dix secondes, 24h/24, 7j/7 et 365 jours par an.
Le paiement est devenu temps réel.
La conformité peut-elle continuer à fonctionner en différé ?
Le paiement en 10 secondes change l'équation de la conformité
Le paiement instantané ne consiste pas simplement à accélérer un moyen de paiement existant.
Il réduit drastiquement le temps disponible pour identifier et traiter certains risques.
Dans un environnement traditionnel, une partie des contrôles peut fonctionner de manière asynchrone. Le Transaction Monitoring peut être exécuté après l'opération. Les alertes peuvent être placées dans une file d'attente. Les investigations peuvent intervenir plusieurs heures, voire plusieurs jours plus tard.
Cette logique atteint rapidement ses limites lorsque les fonds peuvent quitter un compte et devenir disponibles sur un autre presque immédiatement.
Le sujet est particulièrement critique en matière de fraude.
Une fois le paiement instantané exécuté, la capacité à intervenir est considérablement réduite. La détection doit donc de plus en plus intervenir avant ou au moment de l'exécution, et non exclusivement après.
Mais la réponse ne peut pas simplement consister à faire fonctionner tous les contrôles existants plus vite.
Les institutions financières doivent déterminer quelles décisions doivent réellement être prises en temps réel, quels contrôles peuvent rester asynchrones et comment les informations de risque circulent entre eux.
C'est là que se situe le véritable changement de paradigme.
Sanctions : le règlement européen change déjà la logique du contrôle
Le règlement européen sur les paiements instantanés offre un exemple particulièrement intéressant de cette transformation.
Plutôt que d'imposer un nouveau contrôle du payeur et du bénéficiaire au regard des mesures restrictives financières ciblées lors de chaque virement instantané, le dispositif impose notamment aux prestataires de services de paiement de vérifier si leurs utilisateurs sont soumis à ces mesures :
- au moins une fois par jour calendaire ;
- immédiatement après l'entrée en vigueur de nouvelles mesures restrictives financières ciblées ;
- immédiatement après toute modification de ces mesures.
Le principe est important : pendant l'exécution du virement instantané, le PSP n'a pas à répéter ce même contrôle sur le payeur et le bénéficiaire au titre de ces mesures.
Ce n'est pas simplement un ajustement technique.
C'est une autre manière de penser la conformité.
La question n'est plus uniquement :
« Sommes-nous capables de contrôler ce client suffisamment vite pendant que le paiement s'exécute ? »
Elle devient :
« Sommes-nous capables de maintenir une connaissance du risque suffisamment fiable et à jour avant même que le paiement n'ait lieu ? »
La conformité en temps réel ne signifie donc pas nécessairement exécuter tous les contrôles pendant ces dix secondes.
Elle signifie que l'information nécessaire à la décision doit déjà être disponible lorsque ces dix secondes commencent.
Le temps réel exige un contexte de risque en temps réel
Prenons un virement de 4 800 €.
Pris isolément, son montant peut sembler parfaitement ordinaire.
Ajoutons maintenant quelques informations :
- le bénéficiaire a été ajouté cinq minutes auparavant ;
- le device utilisé par le client vient de changer ;
- plusieurs virements ont été initiés au cours de la dernière heure ;
- d'autres clients ont récemment envoyé des fonds vers le même bénéficiaire ;
- le comportement transactionnel du client a brutalement changé ;
- des alertes ont déjà été générées sur son compte ;
- le bénéficiaire présente des connexions avec des entités précédemment identifiées comme risquées.
Le même virement de 4 800 € raconte désormais une tout autre histoire.
C'est l'une des principales limites des architectures traditionnelles.
Le risque n'existe pas dans la transaction seule.
Il existe dans la combinaison du client, de la transaction, du bénéficiaire, du device, de l'historique comportemental, des précédentes alertes, des investigations et des relations avec d'autres entités.
La conformité en temps réel nécessite donc bien plus qu'un moteur de Transaction Monitoring plus rapide.
Elle nécessite un accès immédiat au contexte.
AML et fraude ne peuvent plus fonctionner comme deux mondes séparés
Le paiement instantané met également en évidence une autre faiblesse historique des dispositifs de lutte contre la criminalité financière : la séparation entre AML et fraude.
Les équipes fraude analysent notamment :
le device, les comportements d'authentification, les adresses IP, la création de nouveaux bénéficiaires, les signaux d'Account Takeover ou les anomalies comportementales.
Les équipes AML analysent :
les flux transactionnels, le risque client, les contreparties, les juridictions, les historiques d'alertes et les comportements suspects.
Mais les criminels, eux, ne structurent pas leurs activités selon l'organigramme de l'établissement financier.
Un nouveau bénéficiaire peut d'abord constituer un signal de fraude.
Si ce même bénéficiaire commence à recevoir des fonds provenant de dizaines de clients sans lien apparent avant de les disperser rapidement vers d'autres comptes, il peut ensuite devenir un signal caractéristique d'un compte mule.
Une même donnée peut donc prendre plusieurs significations au cours du cycle de vie du risque.
Dans un environnement instantané, maintenir ces informations dans des systèmes séparés génère à la fois de la latence et des angles morts.
L'avenir de la lutte contre la criminalité financière ne repose donc pas uniquement sur un outil AML d'un côté et un outil fraude de l'autre.
Il repose sur la capacité à faire circuler les signaux de risque entre les deux.
Le faux positif devient aussi un problème de latence
Les faux positifs ont toujours eu un coût.
Avec le paiement instantané, ils deviennent également un problème opérationnel.
Lorsqu'un contrôle en temps réel génère trop d'alertes, l'établissement se retrouve face à un arbitrage difficile :
bloquer trop largement, au risque de créer de la friction et de dégrader l'expérience client ;
ou
laisser passer trop largement, au risque de ne pas détecter certaines opérations réellement problématiques.
Les dispositifs traditionnels placent souvent un analyste humain entre la détection et la décision.
Mais aucun analyste ne peut raisonnablement conduire une investigation complexe sur chaque alerte dans un parcours de paiement qui se compte en secondes.
L'enjeu de l'automatisation change donc de nature.
Il ne s'agit plus simplement de générer des alertes plus rapidement.
Il faut être capable de prendre de meilleures décisions automatisées, fondées sur davantage de contexte, avant de solliciter l'intervention humaine lorsque celle-ci est réellement nécessaire.
Cela suppose des règles mieux calibrées, des données plus riches, du scoring dynamique, de l'analyse comportementale et des modèles capables de distinguer une simple anomalie d'un risque réellement significatif.
Automatiser ne signifie pas retirer le Compliance Officer de la décision
La conformité en temps réel pose nécessairement la question de l'automatisation et de l'intelligence artificielle.
Mais automatiser ne signifie pas déléguer l'ensemble des décisions à une machine.
Certaines décisions peuvent être automatisées.
D'autres doivent être escaladées.
Certaines nécessitent une investigation approfondie.
Et certaines décisions réglementaires doivent rester sous contrôle humain.
Le véritable enjeu consiste donc à déterminer à quel moment l'intervention humaine apporte réellement de la valeur.
Un dispositif moderne peut fonctionner selon plusieurs niveaux.
Détection en temps réel
Des règles, modèles comportementaux et signaux de risque analysent immédiatement la transaction et son contexte.
Décision automatisée
Les situations présentant un faible niveau de risque peuvent poursuivre leur parcours tandis que certaines situations clairement définies peuvent déclencher des contrôles supplémentaires, de la friction ou une action sur le paiement lorsque le cadre réglementaire et opérationnel le permet.
Escalade fondée sur le risque
Les dossiers nécessitant une analyse humaine sont priorisés selon leur niveau de risque réel plutôt que simplement empilés dans une nouvelle file d'alertes.
Investigation assistée par l'IA
Lorsque l'intervention humaine devient nécessaire, l'IA peut collecter les informations pertinentes, reconstituer la chronologie, identifier les relations entre les différentes entités et préparer une première trame d'analyse.
Le Compliance Officer reste maître de la décision.
La technologie absorbe la vitesse. L'humain conserve le jugement.
Des paiements 24/7 exigent une conformité 24/7
Il existe une autre conséquence du paiement instantané dont on parle moins.
Les paiements ne s'arrêtent plus à 18 heures.
Ils ne s'arrêtent pas le week-end.
Ils ne s'arrêtent pas les jours fériés.
L'infrastructure de lutte contre la criminalité financière ne peut donc plus dépendre de fenêtres de traitement nocturnes ou d'une file d'alertes que l'on retrouvera le lundi matin.
Le temps réel impose notamment :
- une ingestion continue des données ;
- des moteurs de détection hautement disponibles ;
- des capacités de traitement évolutives ;
- des API résilientes ;
- des mécanismes de continuité et de reprise ;
- une actualisation rapide des listes de sanctions ;
- une traçabilité complète des décisions ;
- une supervision technique continue.
La conformité en temps réel n'est donc pas uniquement un sujet réglementaire.
C'est aussi un sujet d'architecture et de résilience technologique.
La Verification of Payee apporte un signal supplémentaire — pas une réponse complète
Le règlement européen sur les paiements instantanés a également généralisé la Verification of Payee (VoP).
Avant l'autorisation d'un virement, le payeur peut être informé du niveau de correspondance entre le nom du bénéficiaire qu'il a renseigné et le titulaire du compte correspondant à l'IBAN.
C'est une protection importante contre les erreurs de paiement et certaines formes de fraude.
Mais la Verification of Payee ne constitue pas, à elle seule, un dispositif de détection de la fraude.
Le nom du bénéficiaire peut parfaitement correspondre à l'IBAN et le paiement être néanmoins frauduleux.
Le client peut avoir été manipulé dans le cadre d'une fraude de type Authorized Push Payment.
Le compte bénéficiaire peut appartenir à une mule.
Le titulaire légitime du compte peut lui-même avoir été compromis.
La VoP doit donc être considérée comme un signal de risque supplémentaire, à croiser avec les autres données disponibles.
Le véritable enjeu est celui de la donnée
Il peut être tentant de présenter la conformité en temps réel principalement comme un problème d'intelligence artificielle.
Ce serait une erreur.
Avant qu'un modèle puisse détecter un risque en quelques millisecondes, encore faut-il que les bonnes données lui soient accessibles.
Données clients.
Transactions.
Bénéficiaires.
Devices.
Événements d'authentification.
Historique des alertes.
Investigations précédentes.
Scores de risque.
Résultats de screening.
Données externes.
Relations entre les différentes entités.
Si ces informations restent fragmentées dans dix systèmes qui ne communiquent pas entre eux, accélérer le moteur de détection ne résoudra pas le problème.
La conformité en temps réel commence par une donnée disponible en temps réel.
Et surtout par une donnée fiable, fraîche, contextualisée et exploitable.
Parce que le principe du Garbage in, garbage out reste parfaitement valable.
Avec le paiement instantané, le garbage out arrive simplement beaucoup plus vite.
Du Batch Compliance à l'Event-Driven Compliance
La transformation provoquée par le paiement instantané peut finalement se résumer comme le passage d'une logique de Batch Compliance à une logique d'Event-Driven Compliance.
Et surtout, cet événement n'est pas nécessairement une transaction.
Il peut s'agir :
- de l'ajout d'un nouveau bénéficiaire ;
- d'un changement de device ;
- d'une modification des informations KYC ;
- d'une mise à jour d'une liste de sanctions ;
- d'une anomalie d'authentification ;
- d'un changement brutal de comportement transactionnel ;
- de l'apparition d'une nouvelle relation entre plusieurs comptes.
C'est probablement là que se situe l'une des transformations les plus profondes de la conformité.
Le dispositif n'attend plus la transaction pour se demander s'il existe un risque.
Il réévalue continuellement le risque à mesure que de nouvelles informations apparaissent.
Le paiement est devenu instantané. La conformité doit devenir continue.
Les paiements instantanés sont souvent présentés comme une transformation des moyens de paiement.
Ils représentent aussi une transformation profonde de la lutte contre la criminalité financière.
Ils obligent les institutions à repenser quand le risque est détecté, comment les données circulent, quelles décisions peuvent être automatisées et à quel moment le jugement humain devient indispensable.
Les institutions les mieux préparées ne seront donc pas nécessairement celles disposant du moteur de screening le plus rapide.
Ce seront celles capables de connecter la donnée, la détection et la décision en temps réel.
Le paiement est déjà passé du batch à l'instantané.
La conformité est la prochaine étape.