Un commerçant peut passer toutes les vérifications à l'inscription et devenir tout de même une source de responsabilité, ce qui crée une grave faille de sécurité. En 2024, le Financial Crimes Enforcement Network (FinCEN) du département du Trésor des États-Unis a sanctionné TD Bank d'une amende record de 1,3 milliard $ pour ne pas avoir surveillé adéquatement l'activité de ses clients. Le contrôle de conformité continu vérifie en permanence l'identité, l'activité et le profil de risque d'un commerçant. L'onboarding confirme l'identité d'un commerçant le premier jour. Par la suite, le suivi des transactions, les vérifications de lutte contre le blanchiment d'argent (AML), le contrôle des sanctions et la revérification périodique garantissent que l'activité et les informations du commerçant restent exactes au fil du temps.

Nous expliquons ci-dessous pourquoi le contrôle de conformité doit se poursuivre au-delà de l'onboarding, comment le suivi des transactions et des processus AML fonctionnent pour détecter les comportements inhabituels des commerçants, et comment le contrôle des sanctions s'applique une fois qu'un commerçant est actif.

L’essentiel à retenir

• le risque lié au commerçant peut évoluer au fil du temps ; une seule vérification lors de l'onboarding ne peut pas tenir compte des changements futurs de propriété, de business model ou de comportement transactionnel ;

• le suivi des transactions, l'examen AML et le contrôle des sanctions fonctionnent conjointement pour signaler une activité qui ne correspond pas au profil déclaré d'un commerçant ;

• les plateformes qui ignorent ou retardent le contrôle continu s'exposent à des risques potentiels, notamment des restrictions de compte, des déclarations réglementaires manquées et des fraudes non détectées.

Pourquoi le contrôle de conformité se poursuit-il après l'onboarding du commerçant ?

Le contrôle de conformité se poursuit après l'onboarding du commerçant car son profil de risque peut changer après la vérification initiale lors de l'inscription. Le contrôle continu permet de vérifier si l'activité du commerçant correspond toujours à son profil et à son évaluation de départ.

Voici ce qu’il faut garder à l’esprit :

• les obligations réglementaires vont au-delà de l'inscription : les exigences des réseaux de cartes et les règles telles que la règle du devoir de vigilance à l'égard des clients du FinCEN aux États-Unis exigent un contrôle continu ;

• les commerçants changent de business model : une boutique s'adressant directement aux consommateurs peut passer à la vente en gros, commencer à vendre dans de nouveaux pays ou intégrer un propriétaire qui n'a jamais été soumis à la vérification ;

• l'évolution du volume et du comportement : une augmentation de la taille des transactions, un pic de remboursements ou un changement soudain du volume de traitement peut signaler une fraude ou une modification non déclarée de l'activité. Rien de tout cela n'apparaît dans un dossier statique ;

• les listes de sanctions et les directives réglementaires sont constamment mises à jour : une juridiction peut ajouter de nouvelles entités restreintes ou abaisser un seuil de déclaration. Cela signifie qu'un commerçant qui était en conformité le trimestre dernier peut ne plus l'être aujourd'hui, même si son comportement reste le même ;

• une découverte réactive coûte plus cher qu'un contrôle proactif : attendre une demande d'information d'un réseau de cartes ou un audit réglementaire pour révéler un problème place une plateforme dans une pire situation que de le détecter lors d'un examen de routine.

Comment le suivi des transactions et des processus AML appuie-t-il le contrôle de conformité ?

Le suivi des transactions et des processus AML appuie le contrôle de conformité en comparant l'activité du compte à une base de référence. Lorsque l'activité s'éloigne de cette base, le système la signale pour examen.

Voici les principales règles :

• des modèles de type fractionnement : des séries de transactions maintenues juste en dessous d'un seuil d'examen, répétées assez souvent pour sembler intentionnelles plutôt que fortuites ;

• des pics de vitesse ou de valeur : une augmentation soudaine du volume de transactions ou du montant qui ne correspond pas à l'historique du commerçant ni à la saisonnalité de l'activité déclarée ;

• des incohérences géographiques : une activité de paiement qui transite par des pays avec lesquels le commerçant n'a aucun lien déclaré ;

• le mouvement rapide des fonds : l'argent qui arrive et est retiré ou transféré rapidement, sans raison commerciale claire justifiant ce mouvement ;

• des groupes de rétrofacturations ou de remboursements : des modèles qui indiquent une fraude à la rétrofacturation, un changement d'activité non déclaré ou un commerçant qui teste des identifiants de paiement volés ;

• des typologies d'empilement et d'intégration : des fonds déplacés par le biais de multiples transactions pour masquer leur origine, puis réintroduits sous forme de revenus commerciaux d'apparence légitime.

Les plateformes soumises à une obligation liée au Bank Secrecy Act aux États-Unis ou à une exigence équivalente ailleurs sont généralement tenues de signaler les activités suspectes aux autorités. Ce mandat s'accompagne de sa propre documentation et de son propre calendrier de déclaration. Une solution comme Stripe Connect donne aux plateformes des données au niveau des transactions sur les comptes connectés, ce qui permet d'effectuer des examens basés sur les risques plutôt que des vérifications manuelles ponctuelles qui risquent de ne détecter les problèmes qu'une fois qu'ils se sont produits.

Quel est le rôle du contrôle des sanctions dans le contrôle de conformité continu ?

Le contrôle des sanctions réduit les risques dans le cadre du contrôle de conformité continu. Les États-Unis, l'UE, l'ONU et d'autres juridictions mettent à jour leurs listes de sanctions de manière continue.

Voici comment il s'intègre au contrôle de conformité :

• le contrôle récurrent des commerçants : les commerçants, leurs bénéficiaires effectifs et, dans certains cas, leurs contreparties sont continuellement vérifiés par rapport à des listes mises à jour ;

• le contrôle des personnes politiquement exposées (PPE) : les PPE présentent un risque élevé même si elles ne figurent pas sur une liste de sanctions. Le contrôle couvre les deux catégories simultanément ;

• les exigences spécifiques aux juridictions : un commerçant situé dans une juridiction à plus haut risque, ou dont la propriété inclut une PPE, doit généralement être examiné plus fréquemment qu'un commerçant national à faible risque dont l'activité est stable ;

• les signaux multiples : les résultats des vérifications, les données sur le bénéficiaire effectif, le comportement transactionnel et le contrôle des sanctions alimentent tous la même évaluation continue des risques ; il ne s'agit pas de vérifications séparées et déconnectées.

Quels sont les risques d'un contrôle de conformité irrégulier après l'onboarding ?

Les risques liés à un contrôle de conformité irrégulier après l'onboarding commencent par le fait que les réseaux de cartes tiennent les plateformes pour responsables de ce qui se passe sur leurs comptes connectés. Une série de signes d'avertissement manqués peut entraîner les conséquences suivantes :

• des amendes réglementaires : les comptes connectés qui passent l'onboarding sans problème mais sont ensuite utilisés pour le test de cartes bancaires ou le blanchiment d'identifiants de paiement volés peuvent causer des fraudes non détectées. Sans procédures de prévention raisonnables, cela peut entraîner de lourdes amendes réglementaires ;

• une surveillance accrue : l'absence de déclarations d'activités suspectes, des sanctions manquées ou des dossiers de bénéficiaires effectifs obsolètes qui apparaissent lors d'un examen ou d'un audit peuvent accroître la surveillance de la part des régulateurs et des auditeurs ;

• des restrictions de compte : un prestataire de paiement ou un réseau de cartes peut suspendre ou clôturer un compte connecté lié à une plateforme qui n'a pas su détecter l'augmentation du risque ;

• une atteinte à la réputation : lorsque les commerçants utilisent une plateforme pour une activité qui attire l'attention du public ou de la presse, cela se répercute sur la plateforme, peu importe qui a commis l'infraction sous-jacente.

Comment les plateformes peuvent-elles évaluer l'efficacité de leur contrôle de conformité ?

Les plateformes peuvent évaluer l'efficacité du contrôle de conformité en s'assurant que les alertes se traduisent par des décisions rapides et documentées, et que la fréquence d'examen reflète le niveau de risque de chaque commerçant.

Voici les principales étapes à suivre :

• délai de résolution des alertes : il s'agit du temps qui s'écoule entre le déclenchement d'une alerte de transaction ou de sanctions et son examen et sa clôture. Les alertes qui restent ouvertes pendant des semaines rendent un contrôle en temps quasi réel inutile ;

• taux de faux positifs : si presque toutes les alertes s'avèrent infondées, les seuils devront être ajustés, sinon le personnel chargé de l'examen risque de valider les alertes automatiquement par fatigue ;

• fréquence de revérification par niveau de risque : les commerçants à haut risque doivent être examinés plus souvent que ceux à faible risque. Si tout le monde suit le même calendrier annuel indépendamment du risque, le programme n'est pas basé sur le risque ;

• qualité de la documentation : chaque remontée, examen et décision nécessite une piste d'audit expliquant pourquoi un commerçant a été autorisé ou signalé ; les régulateurs et les réseaux de cartes le demanderont lors de l'examen ;

• couverture des changements de propriété : assurez-vous que les données sur les bénéficiaires effectifs sont mises à jour lorsque les commerçants signalent un changement. Elles doivent être dynamiques et évoluer à partir du dossier d'onboarding initial.

Les plateformes sur Stripe Connect peuvent créer ces contrôles autour des données de vérification, de contrôle et de suivi que Stripe génère déjà pour les comptes connectés. Cela évite d'avoir à construire une infrastructure distincte pour suivre les mêmes signaux.

Comment Stripe Connect peut vous aider

Stripe Connect gère et automatise les mouvements de fonds entre plusieurs parties pour les plateformes logicielles et les marketplaces. Cette solution offre un processus d’onboarding rapide, des composants intégrés, des virements internationaux, et bien plus encore.

Connect peut vous aider à :

• Lancer votre entreprise en quelques semaines : utilisez les fonctionnalités hébergées ou intégrées de Stripe pour une mise en production plus rapide, tout en évitant les frais initiaux et les délais de développement normalement requis pour faciliter les paiements.

• Gérer les paiements à grande échelle : utilisez les outils et les services proposés par Stripe pour gérer les risques, les rapports de marges, les formulaires fiscaux, les moyens de paiement internationaux ou la conformité lors de l’onboarding.

• Vous développer à l’international : aidez vos utilisateurs à attirer davantage de clients dans le monde entier en proposant des moyens de paiement locaux et en simplifiant le calcul des taxes sur les ventes, de la TVA et de la TPS.

• Créer de nouvelles sources de revenus : optimisez vos revenus liés aux paiements en collectant des frais sur chaque transaction. Monétisez les fonctionnalités de Stripe en proposant sur votre plateforme des paiements en personne, des virements instantanés, le recouvrement des taxes sur les ventes, des solutions de financement, des cartes d’entreprise, et bien plus encore.

En savoir plus sur Stripe Connect, ou démarrez dès aujourd’hui.