Baromètre de la disponibilité des données ouvertes exploitables pour la conformité KYC

La conformité relative à la connaissance du client repose sur une chaîne de vérifications dont chaque maillon demande une donnée différente : identifier l'entité, comprendre sa structure de détention, savoir qui la contrôle réellement, vérifier qu'aucune mesure restrictive ne la vise, apprécier enfin la cohérence de son activité déclarée. L'open data couvre certains de ces maillons très bien, d'autres pas du tout, et la répartition n'est pas celle que l'on croit.

Ce baromètre cartographie cette couverture pour une équipe conformité opérant depuis la France. Il évalue les sources réellement ouvertes, c'est à dire accessibles sans contrat commercial et réutilisables, à chaque étape du contrôle, et signale les zones où la donnée ouverte s'arrête. L'objectif est de rendre visible ce qui, dans un dispositif KYC, relève d'une donnée disponible et ce qui relève d'un travail de reconstitution documentaire.

Le résultat d'ensemble tient en une asymétrie. Tout ce qui concerne la personne morale est largement ouvert, structuré, identifié et frais. Tout ce qui concerne la personne physique, bénéficiaire effectif, dirigeant exposé politiquement, antécédent judiciaire, est fermé, partiel ou dispersé. Un dispositif KYC bien conçu concentre donc ses moyens humains exactement là où l'open data cesse, et automatise en amont ce qui peut l'être.

Ce qu'est une donnée ouverte exploitable en conformité KYC

Trois notions sont régulièrement confondues. Une donnée publique est consultable par tous. Une donnée ouverte est en outre réutilisable, sous une licence explicite, sans autorisation préalable. Une donnée exploitable ajoute deux exigences propres à la conformité : elle porte un identifiant pivot qui permet de la rapprocher d'un dossier sans ambiguïté, et elle affiche une date de mise à jour permettant d'apprécier sa fraîcheur au moment du contrôle.

Cette dernière exigence est décisive et souvent négligée. Une donnée juste mais non datée ne peut pas être opposée dans un dossier, car il devient impossible de démontrer qu'elle était exacte au moment de l'entrée en relation. Les dispositifs les plus solides consignent systématiquement, pour chaque élément retenu, la source, l'identifiant de l'enregistrement et la date de consultation. C'est la traduction, en conformité, de la chaîne de garde documentaire.

L'identifiant pivot mérite la même attention. En France, le numéro d'identification de l'établissement et celui de l'entité juridique jouent ce rôle pour les entreprises, et l'identifiant international d'entité légale l'assure pour les acteurs financiers. En l'absence de pivot, le rapprochement se fait sur la dénomination, opération sensible aux homonymies, aux translittérations et aux changements de raison sociale, et première cause d'erreur observée dans les dispositifs automatisés.

Protocole d'évaluation de la couverture par étape de contrôle

Nous avons codé chaque source sur quatre variables. L'ouverture distingue le libre réutilisable, le consultable sans réutilisation autorisée et l'accès restreint à des catégories de professionnels. La granularité distingue la donnée sur l'entité, sur la personne physique et sur la relation entre les deux. La fraîcheur est le délai observé entre l'événement et sa publication. Le rattachement indique la présence d'un identifiant pivot.

La lecture se fait par étape du contrôle, non par source, parce qu'une même base sert plusieurs étapes avec des qualités très différentes. Les mentions de couverture ci-dessous sont des appréciations d'observation, présentées comme telles, et se rapportent au périmètre français et européen. Elles ne préjugent pas des obligations réglementaires applicables, qui relèvent du texte et non de la disponibilité des données.

Le socle très couvert : identifier et qualifier la personne morale

En France, l'identification d'une entreprise s'appuie sur un socle ouvert de bonne qualité : le registre national des entreprises et les bases d'immatriculation fournissent la dénomination, la forme juridique, l'adresse du siège, l'activité déclarée, la date de création et les identifiants pivots. Les annonces légales publiées au bulletin officiel documentent les événements de vie de l'entreprise, changements de dirigeant, transferts de siège, procédures collectives, avec un délai de quelques jours.

Les comptes annuels déposés complètent ce socle lorsqu'ils sont accessibles, avec deux réserves systématiques. La périodicité est annuelle, ce qui interdit toute lecture d'actualité. Et la faculté de confidentialité ouverte à certaines catégories d'entreprises retire du domaine ouvert une partie significative des états financiers. Un dispositif qui fonde son appréciation de solidité financière sur cette seule source travaille donc sur une image datée et parfois absente.

À l'échelle internationale, l'identifiant d'entité légale et les registres nationaux d'entreprises de plusieurs pays offrent des équivalents, avec une hétérogénéité forte de format, de langue et de politique de réutilisation. Le référentiel européen d'assujettis à la taxe sur la valeur ajoutée permet en outre une vérification d'existence rapide, mais il confirme un statut fiscal et ne dit rien de la structure de détention ni de l'activité réelle de l'entité contrôlée.

Le socle peu couvert : personnes physiques, contrôle effectif et mesures restrictives

La chaîne se rompt au bénéficiaire effectif. Après une décision de la Cour de justice de l'Union européenne rendue fin 2022, l'accès public généralisé aux registres de bénéficiaires effectifs a été restreint dans l'Union, l'accès étant réservé à des catégories définies justifiant d'un motif. Pour un dispositif KYC, cela signifie que la détermination du contrôle effectif ne s'obtient plus par consultation ouverte, mais par accès encadré ou par reconstitution documentaire.

Cette reconstitution s'opère par faisceau : chaînes de participations lues dans les comptes consolidés, mentions statutaires, actes déposés, publications d'annonces légales, déclarations de franchissement de seuil pour les sociétés cotées, et enfin sources ouvertes de presse et de registres étrangers. Le résultat est un faisceau de présomptions documentées, pas une certitude déclarative, et il doit être présenté comme tel dans le dossier, avec les pièces qui le fondent.

Les listes de mesures restrictives font exception dans ce paysage : elles sont ouvertes, structurées, mises à jour très fréquemment et publiées par les autorités elles-mêmes au niveau national, européen et onusien. Leur difficulté ne tient pas à l'accès mais au rapprochement onomastique, entre translittérations concurrentes, homonymies et variantes d'orthographe. C'est là que se concentrent les faux positifs, et donc la charge humaine réelle d'un dispositif de filtrage.

En KYC, l'open data français répond très bien à la question « cette entité existe-t-elle », correctement à « que lui est-il arrivé », et presque pas à « qui la contrôle vraiment ».

Ce que l'open data ne couvre pas, et comment le dispositif s'organise autour

Trois zones restent structurellement hors du champ ouvert. L'exposition politique des personnes, qui se reconstitue à partir de journaux officiels, d'annuaires de mandats et de sources de presse, sans référentiel unique. Les antécédents judiciaires, dont la publication est encadrée et les décisions rarement nominatives en accès libre. Les informations défavorables de presse, disponibles mais non structurées, non datées de façon homogène et dispersées entre langues et juridictions.

Cette dernière zone est celle où la surveillance continue apporte le plus, parce que le risque n'y est pas un état mais un événement : une mise en cause, une procédure ouverte, une reprise médiatique locale. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, détecte les mentions défavorables visant une entité ou un dirigeant et relie chaque signal à sa source d'origine, ce qui raccourcit le délai entre la publication et la revue du dossier. La décision de conformité et son motif restent l'acte de l'organisation.

L'organisation qui en découle est simple à énoncer. Ce qui est ouvert, structuré et pivoté s'automatise et se documente à la consultation. Ce qui est ouvert mais non structuré se surveille en continu et se qualifie à la main. Ce qui n'est pas ouvert se reconstitue par faisceau, avec traçabilité des pièces. Inverser cet ordre, en faisant relire par des analystes ce qui est déjà structuré, épuise l'équipe sur la partie la moins risquée du contrôle.

Limites de la mesure et conditions de reproductibilité

Cet inventaire est daté et situé. Les politiques d'accès aux registres évoluent, les conditions de réutilisation changent, les interfaces de diffusion sont remaniées et certaines bases restreignent ou élargissent leur périmètre sans préavis. Les appréciations de fraîcheur sont des ordres de grandeur d'observation et varient selon la nature de la formalité concernée, parfois de plusieurs semaines entre deux types d'événement enregistrés dans une même base.

L'exercice se reproduit en interne en reprenant un échantillon de dossiers récemment traités et en codant, pour chaque élément retenu, sa source, son caractère ouvert ou non, son identifiant pivot et sa date. Le rapport entre éléments issus de sources ouvertes pivotées et éléments reconstitués donne une mesure directe de la charge documentaire du dispositif, comparable d'un semestre à l'autre dès lors que la méthode de codage reste identique.

Questions fréquentes sur les données ouvertes et la conformité KYC

Les données ouvertes suffisent-elles à réaliser un contrôle KYC complet ?

Non, et le point de rupture est identifiable précisément. Elles suffisent à établir l'existence, l'identité juridique et l'historique des événements d'une personne morale française. Elles ne suffisent ni à établir le bénéficiaire effectif, ni à qualifier l'exposition politique d'une personne physique, ni à documenter des antécédents. Sur ces trois volets, le dispositif combine accès encadrés, reconstitution documentaire et surveillance de sources ouvertes non structurées, chaque élément devant être daté et sourcé.

Comment vérifier la fraîcheur d'une donnée ouverte utilisée dans un dossier de conformité ?

En distinguant trois dates, que les dispositifs confondent souvent : la date de l'événement, la date de publication dans la base et la date de consultation. Seule la troisième est maîtrisée par l'équipe, et c'est celle qui doit figurer au dossier avec l'identifiant de l'enregistrement. Un écart important entre la première et la deuxième est normal pour les comptes annuels, anormal pour une annonce légale, et cet écart constitue lui-même un indicateur de qualité de la source.

Pourquoi le filtrage des listes de sanctions produit-il autant de faux positifs ?

Parce que le rapprochement s'effectue sur des chaînes de caractères et non sur des identifiants. Une même personne apparaît sous plusieurs translittérations selon la langue de la source, les noms courants génèrent des homonymies massives, et l'ajout d'une date de naissance ou d'un pays ne lève pas toujours l'ambiguïté. Réduire ce bruit passe par l'enrichissement des dossiers en identifiants pivots et par une règle de décision écrite sur les cas partiellement concordants, pas par un simple durcissement du seuil de similarité.