Calcul du score de risque client

Le score de risque client est le point où l’approche fondée sur les risques cesse d’être une politique pour devenir une décision concernant une personne ou une entreprise. Il détermine qui fait l’objet de mesures de vigilance simplifiées, standard ou renforcées, la fréquence de réexamen des dossiers et les seuils de surveillance applicables. Un score que personne ne peut expliquer, ou qui classe presque tout le monde comme présentant un risque faible, ne répond ni aux attentes des autorités de contrôle ni aux besoins de l’entreprise.

De l’évaluation à l’échelle de l’entreprise au client

L’évaluation des risques à l’échelle de l’entreprise (voir la leçon L’approche fondée sur les risques) identifie les risques de l’entreprise par type de client, produit, zone géographique, canal et technologie. La notation du risque client applique les mêmes facteurs à chaque relation. INR.10 regroupe les facteurs de risque sous trois rubriques : client, pays ou zone géographique, et produit, service, transaction ou canal de distribution. Une entreprise de cryptoactifs en ajoute une quatrième qu’elle peut mesurer directement : le comportement sur la blockchain.

Le résultat est généralement une catégorie (risque faible, moyen, élevé, parfois relation interdite) qui détermine :

• le degré de vigilance (voir la leçon Mesures de vigilance renforcées et simplifiées) ;
• le cycle de réexamen périodique ;
• les seuils et limites de surveillance ;
• la personne qui doit approuver la relation.

Choisir les facteurs et les pondérations

Les facteurs jouent deux rôles différents. Les facteurs notés reçoivent chacun une valeur, généralement sur une échelle de 1 à 5, et une pondération ; les valeurs pondérées sont ensuite additionnées. Les facteurs dérogatoires fixent un plancher ou un plafond indépendamment de la somme : une correspondance confirmée avec une liste de sanctions rend la relation interdite, et une PPE étrangère ne peut jamais être classée en dessous du risque élevé. Ces dérogations existent parce que les modèles additifs diluent les risques : un facteur grave, moyenné avec plusieurs facteurs bénins, produit un risque moyen rassurant.

Les pondérations doivent découler de l’évaluation à l’échelle de l’entreprise et du jugement d’experts, être consignées avec leur justification, puis être testées au regard des résultats observés (voir la section sur la gouvernance ci-dessous). Le GAFI ne prescrit aucune formule. Il attend que la méthode soit documentée, proportionnée et appliquée de manière cohérente.

Exemple détaillé

Mme K, développeuse de logiciels indépendante fictive résidant dans le pays B, demande une ouverture de compte par l’application, réussit la vérification à distance au niveau d’assurance standard de l’entreprise et déclare des dépôts attendus d’environ 20 000 USD par mois depuis son portefeuille autohébergé existant et son compte bancaire. Avant d’activer les dépôts de cryptoactifs, l’entreprise contrôle les deux adresses depuis lesquelles elle indique qu’elle effectuera ses dépôts. L’une présente une exposition indirecte de 8 % à des services de jeux d’argent en ligne, à quatre sauts de distance ; aucune des deux ne présente d’exposition à des entités sous sanctions.

Avec des catégories définies comme suit : risque faible en dessous de 2,00, risque moyen de 2,00 à 3,20 et risque élevé au-dessus de 3,20, Mme K présente un risque moyen : mesures de vigilance standard à l’égard de la clientèle, cycle de réexamen de deux à trois ans et seuils de surveillance standard de l’entreprise.

Modifions maintenant un fait : sa deuxième adresse a reçu des fonds directement d’un marché du darknet. Le score sur la blockchain passe à 5, et le total devient 3,15, ce qui correspond toujours à un risque moyen. C’est précisément le problème de dilution. Le tableau des dérogations de l’entreprise prévoit qu’une exposition directe à un marché du darknet ou à un autre service illicite dépassant une part définie des flux entrants impose au minimum un risque élevé et déclenche des mesures de vigilance renforcées sur l’origine des fonds. C’est la dérogation, et non la somme, qui produit le bon résultat.

L’entreprise conserve le score sous la forme d’un enregistrement que chacun peut décomposer :

{
  "customer_id": "C-31877",
  "model_version": "crr-2.4",
  "scored_at": "2026-10-02T08:15:00Z",
  "stage": "onboarding",
  "factors": [
    {"group": "customer", "weight": 0.35, "score": 2, "reason": "individual, no PEP, no adverse media"},
    {"group": "geography", "weight": 0.25, "score": 3, "reason": "residence rated medium"},
    {"group": "product_channel", "weight": 0.15, "score": 3, "reason": "fiat ramp, self-hosted withdrawals"},
    {"group": "on_chain", "weight": 0.25, "score": 3, "reason": "8% indirect gambling exposure"}
  ],
  "weighted_total": 2.65,
  "overrides_applied": [],
  "band": "medium",
  "next_review_due": "2028-10-02",
  "manual_adjustment": null
}

Chaque facteur comporte sa pondération, son score et un motif formulé en langage clair ; la version du modèle est fixée, et les dérogations ainsi que les ajustements manuels disposent de leurs propres champs, afin qu’une personne chargée du réexamen puisse voir ce qui a modifié la catégorie et pourquoi.

Analyse de la blockchain lors de l’entrée en relation

Une entreprise de cryptoactifs peut vérifier les déclarations d’un client d’une manière rarement accessible à une banque : en examinant les portefeuilles qu’il utilise. Applications pratiques lors de l’entrée en relation :

• contrôler les adresses déclarées par le client, ainsi que chaque adresse à l’origine des premiers dépôts, afin de détecter une exposition directe ou indirecte à des catégories sous sanctions, illicites ou à haut risque ;
• comparer l’ancienneté et l’historique du portefeuille à l’origine déclarée des fonds : un portefeuille qui « détient des fonds depuis 2017 » mais qui n’a été approvisionné pour la première fois que le mois dernier nécessite une explication ;
• intégrer le résultat au facteur sur la blockchain et au tableau des dérogations, plutôt que de déclencher directement un rejet automatique.

Un tableau de décision simple garantit la cohérence entre les analystes :

Une faible exposition indirecte est courante, car la plupart des fonds en circulation passent à proximité d’un élément risqué en quelques sauts, et les étiquettes utilisées par les outils d’analyse peuvent être erronées ou obsolètes. La leçon Analyse de la blockchain pour la conformité traite des mesures d’exposition et de leurs limites ; le cours IDFE-CF aborde en profondeur le regroupement d’adresses et l’attribution. La preuve que le client contrôle une adresse déclarée est traitée dans la leçon Portefeuilles non hébergés et transferts autohébergés.

Scores à l’entrée en relation et en cours de relation

Le score à l’entrée en relation repose en grande partie sur les déclarations du client. Une fois le compte actif, l’entreprise observe ce que le client fait réellement ; le score en cours de relation doit donc remplacer les valeurs déclarées par des valeurs observées : volumes réels comparés aux volumes attendus, contreparties et exposition effectives, historique des alertes et changements de zone géographique ou d’appareils. De nombreuses entreprises considèrent le score à l’entrée en relation comme provisoire et le recalculent automatiquement après les 30 à 90 premiers jours d’activité.

Les réexamens suivent deux rythmes :

• Réexamen périodique, dont la fréquence dépend de la catégorie, par exemple chaque année pour le risque élevé et à quelques années d’intervalle pour le risque faible ; l’entreprise définit et justifie le cycle.
• Réexamen déclenché par un événement, dès qu’un événement laisse penser que le risque a pu changer : une alerte significative, une correspondance avec une liste de sanctions ou de PPE, des informations défavorables dans les médias, un changement de propriétaire ou de résidence, l’utilisation d’un nouveau produit à risque plus élevé ou la réactivation d’un compte dormant.

Un score qui n’évolue qu’au rythme du calendrier passe à côté des événements les plus importants.

Calibrage, gouvernance et explicabilité

Un modèle de notation est un modèle et nécessite les contrôles propres à tout modèle.

• Calibrage : vérifier la répartition entre les catégories (si 97 % des clients présentent un risque faible, le modèle ne permet probablement pas de différencier les niveaux de risque) et effectuer des tests rétrospectifs au regard des résultats observés, tels que les déclarations d’opérations suspectes déposées, les comptes clôturés et les fraudes confirmées. Si la plupart de ces clients étaient classés à risque faible, les pondérations ou les facteurs sont inadéquats.
• Tests de sensibilité : modifier chaque pondération dans une plage raisonnable et observer combien de clients changent de catégorie. Des variations importantes résultant de petits changements signifient que les seuils des catégories sont mal placés.
• Qualité des données : l’absence de profession, de pays ou de volume attendu ne doit jamais conduire par défaut au score le plus bas. Traiter les valeurs manquantes comme un risque plus élevé ou bloquer l’entrée en relation jusqu’à ce qu’elles soient renseignées, et rendre compte de la proportion de scores calculés à partir de données incomplètes.
• Gouvernance : un responsable du modèle nommément désigné, une méthodologie écrite, une gestion des versions, l’approbation des modifications par la direction générale ou le comité de conformité, et une validation indépendante périodique par une fonction qui n’a pas élaboré le modèle.
• Dérogations : les modifications manuelles nécessitent un code de motif et un approbateur ; les abaissements du niveau de risque nécessitent un approbateur d’un niveau hiérarchique supérieur à celui requis pour les relèvements. Les taux de dérogation par analyste et par équipe doivent être surveillés.
• Explicabilité : chaque score doit pouvoir être décomposé en contributions des facteurs qu’une personne chargée du réexamen peut comprendre. Si des modèles d’apprentissage automatique sont utilisés, l’entreprise doit néanmoins être en mesure de montrer quelles caractéristiques ont déterminé chaque résultat, car ni un examinateur ni le traitement d’une réclamation client ne peuvent se satisfaire de la réponse « le modèle l’a dit ».

Points clés pour l’examen : les groupes de facteurs de risque d’INR.10 et le facteur sur la blockchain qu’une entreprise de cryptoactifs peut ajouter ; les facteurs notés par opposition aux facteurs dérogatoires et les raisons pour lesquelles les modèles additifs diluent les risques graves ; le calcul d’un score pondéré et d’une catégorie à partir d’un exemple détaillé ; l’utilisation du contrôle des portefeuilles à l’entrée en relation comme facteur plutôt que comme motif de rejet automatique ; les scores provisoires à l’entrée en relation et les scores observés en cours de relation ; le réexamen périodique par opposition au réexamen déclenché par un événement ; le calibrage, les tests rétrospectifs et les tests de sensibilité ; la gouvernance des dérogations et l’explicabilité de chaque score.