Notation du risque client

Le score de risque client est le point où l’approche fondée sur les risques cesse d’être une politique et devient une décision concernant une personne ou une entreprise. Il détermine qui bénéficie de mesures de vigilance simplifiées, standard ou renforcées, la fréquence d’examen d’un dossier et les seuils de surveillance applicables. Un score que personne ne peut expliquer, ou qui classe presque tout le monde comme présentant un faible risque, ne satisfait ni les autorités de supervision ni l’entreprise.

De l’évaluation de l’entreprise au client

L’évaluation des risques à l’échelle de l’entreprise (voir la leçon L’approche fondée sur les risques) recense les risques de l’entreprise selon le type de client, le produit, la zone géographique, le canal et la technologie. La notation du risque client applique les mêmes facteurs à chaque relation. INR.10 regroupe les facteurs de risque en trois catégories : le client, le pays ou la zone géographique, et le produit, le service, la transaction ou le canal de distribution. Une entreprise du secteur des cryptoactifs en ajoute une quatrième qu’elle peut mesurer directement : le comportement on-chain.

Le résultat est généralement une catégorie (faible, moyen, élevé, parfois interdit) qui détermine :

• le niveau de vigilance à exercer (voir la leçon Vigilance renforcée et simplifiée) ;
• le cycle d’examen périodique ;
• les seuils et limites de surveillance ;
• les personnes devant approuver la relation.

Choix des facteurs et des pondérations

Les facteurs jouent deux rôles différents. Les facteurs notés reçoivent chacun une valeur, généralement sur une échelle de 1 à 5, et une pondération ; les valeurs pondérées sont ensuite additionnées. Les facteurs de dérogation fixent un plancher ou un plafond, quel que soit le total : une correspondance confirmée avec une liste de sanctions rend la relation interdite, et le risque associé à une PPE étrangère ne peut jamais être inférieur à élevé. Ces dérogations existent parce que les modèles additifs diluent les risques : un facteur grave, moyenné avec plusieurs facteurs bénins, donne un résultat moyen rassurant.

Les pondérations doivent s’appuyer sur l’évaluation des risques de l’entreprise et le jugement d’experts, être consignées avec leur justification, puis être testées au regard des résultats (voir la section sur la gouvernance ci-dessous). Le GAFI ne prescrit aucune formule. Il attend une méthode documentée, proportionnée et appliquée de manière cohérente.

Exemple détaillé

Mme K, développeuse de logiciels indépendante fictive résidant dans le pays B, présente une demande au moyen de l’application, réussit la vérification à distance au niveau d’assurance standard de l’entreprise et déclare des dépôts attendus d’environ 20 000 USD par mois provenant de son portefeuille autogéré existant et de son compte bancaire. Avant d’activer les dépôts en cryptoactifs, l’entreprise examine les deux adresses depuis lesquelles elle indique qu’elle effectuera ses dépôts. L’une présente une exposition indirecte de 8 % à des services de jeux d’argent en ligne, à quatre sauts de distance ; aucune des deux n’est exposée à des sanctions.

Avec des catégories définies comme suit : moins de 2,00 pour un risque faible, de 2,00 à 3,20 pour un risque moyen et plus de 3,20 pour un risque élevé, Mme K présente un risque moyen : mesures de vigilance standard à l’égard de la clientèle, cycle d’examen de deux à trois ans et seuils de surveillance standard de l’entreprise.

Modifions maintenant un seul fait : la deuxième adresse de Mme K a reçu directement des fonds provenant d’un marché du darknet. Le score on-chain passe à 5 et le total atteint 3,15, ce qui correspond toujours à un risque moyen. C’est précisément le problème de dilution. Le tableau des dérogations de l’entreprise prévoit qu’une exposition directe à un marché du darknet ou à un autre service illicite au-delà d’une part déterminée des entrées impose au minimum un risque élevé et déclenche une vigilance renforcée quant à l’origine des fonds. C’est la dérogation, et non la somme, qui produit le bon résultat.

L’entreprise enregistre le score de façon à ce que chacun puisse le décomposer :

{
  "customer_id": "C-31877",
  "model_version": "crr-2.4",
  "scored_at": "2026-10-02T08:15:00Z",
  "stage": "onboarding",
  "factors": [
    {"group": "customer", "weight": 0.35, "score": 2, "reason": "particulier, pas une PPE, aucune information défavorable dans les médias"},
    {"group": "geography", "weight": 0.25, "score": 3, "reason": "résidence évaluée comme présentant un risque moyen"},
    {"group": "product_channel", "weight": 0.15, "score": 3, "reason": "rampe en monnaie fiduciaire, retraits vers des portefeuilles autogérés"},
    {"group": "on_chain", "weight": 0.25, "score": 3, "reason": "exposition indirecte de 8 % aux jeux d’argent"}
  ],
  "weighted_total": 2.65,
  "overrides_applied": [],
  "band": "medium",
  "next_review_due": "2028-10-02",
  "manual_adjustment": null
}

Chaque facteur comporte sa pondération, son score et un motif formulé en langage clair ; la version du modèle est figée et les dérogations ainsi que les ajustements manuels disposent de leurs propres champs, de sorte qu’un examinateur peut voir ce qui a fait évoluer la catégorie et pourquoi.

Analyse de la blockchain lors de l’intégration

Une entreprise du secteur des cryptoactifs peut vérifier le récit d’un client d’une façon rarement possible pour une banque : en examinant les portefeuilles présentés par le client. Utilisations pratiques lors de l’intégration :

• examiner les adresses déclarées par le client, ainsi que chaque adresse qui finance les premiers dépôts, afin d’y détecter toute exposition directe ou indirecte à des catégories sanctionnées, illicites et à haut risque ;
• comparer l’ancienneté et l’historique du portefeuille à l’origine des fonds déclarée : un portefeuille « conservé depuis 2017 » qui n’a reçu ses premiers fonds que le mois dernier nécessite une explication ;
• intégrer le résultat au facteur on-chain et au tableau des dérogations, plutôt que de le convertir directement en rejet automatique.

Un tableau de décision simple favorise la cohérence entre les analystes :

Une faible exposition indirecte est fréquente, car la plupart des fonds actifs passent à proximité d’un élément à risque en quelques sauts, et les étiquettes issues des outils d’analyse peuvent être erronées ou obsolètes. La leçon L’analyse de la blockchain à des fins de conformité traite des mesures d’exposition et de leurs limites ; le cours IDFE-BA approfondit le regroupement et l’attribution. La preuve que le client contrôle une adresse déclarée est abordée dans la leçon Portefeuilles non hébergés et transferts autogérés.

Scores à l’intégration et scores continus

Le score d’intégration repose en grande partie sur les déclarations du client. Une fois le compte actif, l’entreprise observe le comportement réel du client ; le score continu doit donc remplacer les valeurs déclarées par les valeurs observées : volumes réels par rapport aux volumes attendus, contreparties réelles et exposition, historique des alertes, ainsi que changements de zone géographique ou d’appareils. De nombreuses entreprises considèrent le score d’intégration comme provisoire et recalculent automatiquement le score après les 30 à 90 premiers jours d’activité.

Les examens suivent deux calendriers :

• Examen périodique, dont la fréquence est définie en fonction de la catégorie, par exemple chaque année pour un risque élevé et tous les deux ou trois ans pour un risque faible ; l’entreprise définit et justifie le cycle.
• Examen déclenché par un événement, chaque fois qu’un événement laisse penser que le risque a pu évoluer : alerte importante, correspondance avec une liste de sanctions ou de PPE, informations défavorables dans les médias, changement de propriété ou de résidence, utilisation d’un nouveau produit à risque plus élevé ou réactivation d’un compte inactif.

Un score qui n’évolue qu’en fonction du calendrier ne tient pas compte des événements les plus importants.

Étalonnage, gouvernance et explicabilité

Un modèle de notation est un modèle, et il nécessite les contrôles requis pour tout modèle.

• Étalonnage : vérifier la répartition entre les catégories (si 97 % des clients présentent un risque faible, le modèle ne parvient probablement pas à les différencier) et effectuer des tests rétrospectifs à partir de résultats tels que les déclarations d’opérations suspectes déposées, les comptes clôturés et les fraudes confirmées. Si la plupart de ces clients avaient été classés comme présentant un risque faible, les pondérations ou les facteurs sont inadaptés.
• Test de sensibilité : modifier chaque pondération dans une fourchette raisonnable et observer combien de clients changent de catégorie. De fortes variations à la suite de petits changements indiquent que les seuils des catégories sont mal placés.
• Qualité des données : l’absence d’une profession, d’un pays ou d’un volume attendu ne doit jamais se traduire par le score le plus faible. Traiter les valeurs manquantes comme présentant un risque plus élevé ou bloquer l’intégration jusqu’à ce que les données soient complétées, et communiquer la proportion des scores établis à partir de données incomplètes.
• Gouvernance : désigner un responsable du modèle, consigner la méthodologie, contrôler les versions, faire approuver les modifications par la haute direction ou le comité de conformité et procéder à une validation indépendante périodique par une fonction qui n’a pas conçu le modèle.
• Dérogations : les modifications manuelles doivent être assorties d’un code de motif et approuvées ; les déclassements doivent être approuvés par une personne plus haut placée que les reclassements. Il convient de surveiller les taux de dérogation par analyste et par équipe.
• Explicabilité : chaque score doit être ventilé en contributions des facteurs qu’un examinateur peut lire. Si des modèles d’apprentissage automatique sont utilisés, l’entreprise doit tout de même pouvoir montrer quelles caractéristiques ont déterminé chaque résultat, car ni un examinateur ni un client qui dépose une réclamation n’acceptera la réponse « c’est ce qu’a dit le modèle ».

Points clés pour l'examen : les catégories de facteurs de risque définies par INR.10 et le facteur on-chain qu’une entreprise du secteur des cryptoactifs peut ajouter ; les facteurs notés par opposition aux facteurs de dérogation, et les raisons pour lesquelles les modèles additifs diluent les risques graves ; le calcul d’un score pondéré et d’une catégorie à partir d’un exemple détaillé ; l’utilisation de l’examen des portefeuilles lors de l’intégration comme facteur plutôt que comme motif de rejet automatique ; les scores provisoires à l’intégration et les scores continus fondés sur les comportements observés ; l’examen périodique par opposition à l’examen déclenché par un événement ; l’étalonnage, les tests rétrospectifs et les tests de sensibilité ; la gouvernance des dérogations et l’explicabilité de chaque score.