4.4 Mise en correspondance de l’identité du client dans le cadre du processus de vérification

Les solutions d’entrée en relation d’affaires à distance mises en œuvre par les établissements de crédit et les établissements financiers devraient intégrer, dans le cadre du processus de vérification de l’identité du client, au minimum les éléments suivants :

• a) une correspondance entre les informations visibles de la personne physique et les documents fournis;
• b) lorsque le client est une personne morale, le fait qu’il figure, le cas échéant, dans un registre public;
• c) lorsque le client est une personne morale, le fait que la personne physique qui la représente soit habilitée à agir en son nom.

Lorsque la solution d’entrée en relation d’affaires à distance implique l’utilisation de données biométriques pour vérifier l’identité du client, les établissements de crédit et les établissements financiers devraient s’assurer que les données biométriques sont suffisamment uniques pour être associées sans équivoque à une seule personne physique. Les établissements de crédit et les établissements financiers devraient avoir recours à des algorithmes performants et fiables pour vérifier la correspondance entre les données biométriques figurant sur la pièce d’identité transmise et le client objet de l’entrée en relation d’affaires. Dans les cas où la solution ne garantit pas le niveau de fiabilité requis, des contrôles supplémentaires devraient être appliqués.

Dans les cas où le justificatif présenté est de qualité insuffisante, entraînant une ambiguïté ou une incertitude de sorte que les performances des contrôles à distance s’en trouvent affectées, le processus d’entrée en relation d’affaires à distance concerné devrait être interrompu et redémarré ou réorienté vers une vérification en face à face.

Lorsque les établissements de crédit et les établissements financiers ont recours à des solutions d’entrée en relation d’affaires à distance automatisées, dans le cadre desquelles le client n’interagit pas avec un employé pour effectuer le processus de vérification, ils devraient:

• a) s’assurer que toute photographie ou vidéo est prise dans des conditions d’éclairage satisfaisantes et que les propriétés requises sont capturées avec une netteté suffisante pour permettre la vérification appropriée de l’identité du client;
• b) s’assurer que toute photographie ou vidéo est prise au moment où le client effectue le processus de vérification;
• c) réaliser des tests de vérification du vivant (« liveness detection verifications »), qui peuvent inclure des procédures dans lesquelles une action spécifique du client est requise pour s’assurer qu’il ou elle est présent(e) lors de la session de communication ou qui peut être fondée sur l’analyse des données reçues et ne nécessite pas d’action spécifique de la part du client;
• d) utiliser des algorithmes performants et fiables pour vérifier si la ou les photographies ou vidéos prises correspondent à l’image ou aux images récupérées à partir du ou des documents officiels appartenant au client.

Lorsque les établissements de crédit et les établissements financiers ont recours à des solutions d’entrée en relation d’affaires à distance non automatisées, dans le cadre desquelles le client interagit avec un employé pour effectuer le processus de vérification, ils devraient:

• a) s’assurer que la qualité de l’image et de l’audio est suffisante pour permettre la vérification appropriée de l’identité du client, et que des systèmes technologiques fiables sont utilisés;
• b) prévoir la participation d’un employé qui possède des connaissances suffisantes concernant le règlement applicable en matière de LBC/FT et les questions de sécurité liées à la vérification à distance et qui est suffisamment formé pour anticiper et prévenir l’utilisation intentionnelle ou délibérée de techniques trompeuses relatives à la vérification à distance et pour les détecter et réagir le cas échéant;
• c) élaborer un guide d’entrevue définissant les étapes ultérieures du processus de vérification à distance ainsi que les actions requises de la part d’un employé. Le guide d’entrevue devrait comprendre des orientations concernant l’observation et l’identification de facteurs psychologiques ou autres caractéristiques pouvant établir un comportement suspect lors de la vérification à distance.

Les établissements de crédit et les établissements financiers devraient, dans la mesure du possible, avoir recours à des solutions d’entrée en relation d’affaires à distance dont l’ordre des actions devant être exécutées par le client aux fins de vérification est fixé de manière aléatoire, afin de se prémunir contre les risques tels que l’utilisation d’identités synthétiques ou la coercition. Les établissements de crédit et les établissements financiers devraient également, dans la mesure du possible, assigner des tâches aléatoires à l’employé responsable du processus de vérification à distance pour éviter toute collusion entre le client et l’employé responsable.

En plus de ce qui précède, et lorsque cela est adapté au risque en matière de LBC/FT associé à la relation d’affaires, les établissements de crédit et les établissements financiers devraient utiliser un ou plusieurs des contrôles suivants ou une mesure similaire pour augmenter la fiabilité du processus de vérification. Ces contrôles ou mesures peuvent englober, à titre indicatif:

• a) le fait que le premier paiement provienne d’un compte détenu au nom du client, à titre individuel ou joint, auprès d’un établissement de crédit ou d’un établissement financier réglementé de l’EEE ou d’un pays tiers dont les exigences en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme ne sont pas moins strictes que celles prévues par la directive (UE) 2015/849;
• b) l’envoi au client d’un code généré de manière aléatoire pour confirmer la présence pendant le processus de vérification à distance. Le code devrait être un code à usage unique et limité dans le temps;
• c) la capture de données biométriques pour les comparer aux données recueillies par le biais d’autres sources indépendantes et fiables;
• d) les contacts téléphoniques avec le client;
• e) l’envoi direct de courriers (qu’ils soient électroniques ou postaux) au client.

Les établissements de crédit et les établissements financiers devraient considérer que les critères indiqués au paragraphe 38 à 43 sont remplis si la solution utilise l’un des moyens suivants:

• a) des schémas d’identification électronique notifiés conformément à l’article 9 du règlement (UE) n° 910/2014 et satisfaisant aux exigences en matière de niveaux de garantie «substantiel» ou «élevé» conformément à l’article 8 dudit règlement;
• b) des services de confiance qualifiés au sens du règlement (UE) n° 910/2014, en particulier le chapitre III, section 3, et l’article 24, paragraphe 1, alinéa 2, point b), dudit règlement.