KYC/KYB : comment un établissement de paiement vérifie ses marchands

I. Le KYC et le KYB : deux vigies distinctes au service d'une même conformité
1. Le KYC : radiographier l'identité du porteur avant la moindre transaction
Le sigle KYC — Know Your Customer — désigne l'ensemble des procédures par lesquelles un établissement financier s'assure de l'identité réelle d'une personne physique avant de nouer une relation d'affaires avec elle. Ce n'est pas une simple formalité bureaucratique. C'est un dispositif de vigilance qui repose sur la collecte d'une pièce d'identité valide, la vérification d'une adresse, et parfois la confrontation biométrique d'un visage à un document officiel. Rien de cela n'est laissé au hasard.
Dans l'univers du paiement, ce contrôle vise le dirigeant d'une entreprise, l'actionnaire majoritaire, ou toute personne habilitée à mouvementer les fonds d'un compte marchand. On cherche à établir un faisceau d'indices convergents : le nom déclaré correspond-il au document présenté ? La photographie est-elle cohérente avec la personne qui l'a soumise ? Le document lui-même a-t-il été falsifié ? Des technologies de reconnaissance optique et de détection de vivacité viennent aujourd'hui épauler l'œil humain, sans pour autant l'évincer totalement. La probité d'un dossier tient souvent à ce dernier regard, humain et circonspect, posé après l'automatisation.
2. Le KYB : auditer la personne morale plutôt que l'individu
Le KYB — Know Your Business — élargit cette même logique de vigilance à l'entité juridique elle-même. Une société n'a ni visage ni empreinte digitale ; elle possède en revanche un registre de commerce, des statuts, une structure capitalistique, et surtout des bénéficiaires effectifs — ces personnes physiques qui, en dernier ressort, détiennent ou contrôlent l'entreprise, même lorsqu'elles se dissimulent derrière plusieurs strates de holdings.
L'exercice se complique lorsque l'organigramme capitalistique s'avère volontairement opaque. Un établissement de paiement doit alors remonter la chaîne de détention jusqu'à identifier la personne physique ultime, faute de quoi il ne peut établir de relation d'affaires en toute conscience. Cette opacité capitalistique constitue précisément le terrain de prédilection des montages destinés à dissimuler l'origine de fonds douteux. Le KYB s'attarde également sur l'objet social réel de l'entreprise : vend-elle effectivement ce qu'elle prétend vendre ? Son activité déclarée correspond-elle à son site marchand, à ses flux annoncés, à sa taille économique ? Un mésappariement entre discours et réalité opérationnelle déclenche presque toujours un examen renforcé.
II. Le parcours de vérification d'un marchand chez un établissement de paiement
1. L'instruction du dossier : collecte documentaire et contrôle de cohérence
L'onboarding d'un marchand débute par la constitution d'un dossier : registre de commerce, statuts à jour, identifiant fiscal, relevé d'identité bancaire, pièces d'identité des dirigeants et des actionnaires significatifs. Chaque document est examiné non pas isolément, mais en corrélation avec les autres — une adresse de siège social qui ne coïncide pas avec celle figurant sur le registre de commerce, par exemple, constitue un signal qui mérite clarification avant toute validation.
Au Maroc, ce dispositif documentaire s'inscrit dans un cadre légal précis : la loi 43-05 relative à la lutte contre le blanchiment de capitaux, renforcée par la loi 12-18 promulguée en 2021, place les établissements de paiement parmi les entités assujetties à des obligations de vigilance. Bank Al-Maghrib, en sa qualité d'autorité de contrôle du secteur bancaire en matière de LBC-FT, veille au respect de ce dispositif, tandis que l'Autorité Nationale du Renseignement Financier coordonne la remontée d'informations à l'échelle nationale. Un dossier incomplet ou incohérent n'est jamais simplement rejeté sans motif : il est le plus souvent renvoyé pour complément, avec des demandes précises — une pièce manquante, une signature à authentifier, une explication sur une activité jugée atypique.
2. La vigilance continue : surveiller après l'agrément, pas seulement avant
Contrairement à une idée répandue, la vérification ne s'arrête pas le jour où le marchand obtient son accès à la plateforme de paiement. Elle se poursuit sous forme de surveillance transactionnelle : les volumes traités correspondent-ils à ceux annoncés lors de l'onboarding ? Une hausse soudaine et disproportionnée du chiffre d'affaires déclaré, ou une récurrence transactionnelle atypique — de nombreux paiements identiques passés à des horaires improbables, par exemple — déclenche une alerte qui appelle un examen manuel.
Cette vigilance renforcée s'appuie sur une cartographie du risque client, établie dès l'entrée en relation et régulièrement actualisée. Un marchand opérant dans un secteur statistiquement plus exposé à la fraude, ou entretenant des relations avec des zones géographiques sensibles, se voit soumis à une fréquence de contrôle plus élevée que celle appliquée à une échoppe locale vendant des produits du quotidien. Cette gradation du contrôle selon le niveau de risque, plutôt qu'une application uniforme et indifférenciée des mêmes vérifications à tous, permet de concentrer l'attention humaine là où elle produit le plus de valeur protectrice.
III. Les enjeux qui justifient cette rigueur, pour le marchand comme pour l'écosystème
1. Un rempart contre la fraude et le blanchiment de capitaux
Un établissement de paiement qui laisserait un marchand fictif ou une société-écran ouvrir un compte deviendrait, sans le vouloir, un rouage dans un circuit de blanchiment. Les fonds d'origine douteuse recherchent précisément des points d'entrée où la vigilance est défaillante ; chaque faille dans le dispositif KYC/KYB constitue une porte potentiellement ouverte à ces flux. La rigueur documentaire n'est donc pas dirigée contre le marchand honnête — elle vise à rendre l'écosystème tout entier hostile à ceux qui chercheraient à s'y infiltrer sous un faux prétexte commercial.
Le grief réputationnel qui pèserait sur un établissement de paiement pris en défaut de vigilance dépasse d'ailleurs largement la sanction réglementaire elle-même. La confiance des banques partenaires, des réseaux de cartes internationaux et des marchands eux-mêmes repose sur la certitude que la plateforme filtre efficacement les acteurs malveillants. Une seule défaillance documentée suffit à ébranler durablement cette confiance collective.
2. Un gage de confiance qui, paradoxalement, accélère l'accès aux services financiers
On pourrait croire que cette rigueur ralentit systématiquement l'accès au marché. C'est vrai à court terme, lors de l'instruction initiale du dossier ; c'est faux à moyen terme. Un marchand correctement vérifié inspire une confiance immédiate à l'ensemble des partenaires financiers de l'établissement de paiement — banques acquéreuses, réseaux de cartes, assureurs de risque transactionnel. Cette confiance se traduit concrètement par des plafonds de transaction plus élevés, des délais de règlement réduits, et un accès facilité à des services financiers annexes comme le financement de trésorerie ou l'assurance contre les impayés.
À l'inverse, un écosystème où la vérification serait laxiste finirait par pénaliser tout le monde : les acquéreurs internationaux, échaudés par un niveau de fraude élevé, relèveraient leurs exigences ou leurs tarifs pour l'ensemble des marchands d'un même marché, y compris les plus vertueux. La friction déclarative supportée à l'entrée n'est donc pas une contrainte gratuite ; elle est l'investissement initial qui conditionne, en aval, la fluidité et le coût de l'ensemble du parcours financier du marchand.