La fraude coûte aux entreprises bien plus que la simple perte de marchandises. En fait, chaque 1,00 $ de fraude liée aux paiements dans les services financiers des États-Unis coûte en moyenne 5,75 $. Les coûts sont multiples : les rétrofacturations érodent les marges et les enquêtes sur la fraude consomment le temps du personnel. Les frais généraux liés à la gestion de la fraude peuvent gravement limiter la croissance. Un cadre de gestion des risques de fraude vous offre un moyen structuré de minimiser ces coûts. Il vous permet de comprendre votre exposition, de hiérarchiser les risques les plus importants et d'implémenter des contrôles qui résistent à l'évolution des modèles d'attaque.

Ci-dessous, nous discuterons de ce qu'est la gestion des risques de fraude, de la façon dont le cycle en quatre phases fonctionne dans la pratique et de la façon de créer un cadre de travail adapté à votre entreprise.

Points clés

• La gestion des risques de fraude suit généralement un cycle d'identification, d'évaluation, d'atténuation et de surveillance continue.

• Les types de fraude qui ont tendance à frapper le plus durement les entreprises en ligne – la fraude par carte non présente (CNP), la prise de contrôle de compte et la fraude amicale – exploitent les failles laissées par les transactions numériques à distance.

• Une politique de gestion des risques de fraude ne fonctionne que si elle inclut une responsabilité explicite, une appétence au risque définie et un rythme de révision intégré dès le départ.

Qu'est-ce que la gestion des risques de fraude?

La gestion des risques de fraude est le processus d'identification, d'évaluation et de réponse aux façons dont votre entreprise pourrait être exploitée à des fins lucratives. Elle se distingue de la gestion générale des risques sur un point important : la fraude implique une intention. Vous vous prémunissez contre le comportement de personnes qui tentent activement de contourner vos contrôles.

Comment fonctionne la gestion des risques de fraude?

Le cycle de gestion des risques de fraude comporte quatre phases : l'identification, l'évaluation, l'atténuation et la surveillance continue. Chacune s'appuie sur la précédente.

Identification des risques de fraude

Commencez par votre surface d'attaque : à quoi ressemble votre flux de transactions, où les humains interagissent avec lui et où il est automatisé. Les entreprises ayant des volumes élevés de transactions CNP font face à des vecteurs d'attaque différents de celles qui acceptent les paiements en personne. Les données historiques sur la fraude constituent un point de départ, mais elles ne vous informent que sur la fraude que vous avez déjà vue. L'analyse des modèles et la cartographie du modèle opérationnel aident à révéler les vulnérabilités avant qu'elles ne soient exploitées.

Évaluation des risques de fraude

Tous les risques de fraude ne sont pas égaux et vous ne pouvez pas les traiter de la même manière. Évaluez chaque risque sur deux axes : la probabilité et l'impact. La probabilité reflète la fréquence à laquelle un type de fraude se produit dans des entreprises comme la vôtre. Par exemple, la fraude CNP est courante dans le commerce électronique, tandis que la mauvaise utilisation par une première partie est plus fréquente dans les produits d'abonnement et de prêt. L'impact couvre les pertes financières, les frais de rétrofacturation, les coûts de rectification et la dégradation de l'expérience de la clientèle. Les risques à forte probabilité et à fort impact doivent faire l'objet d'une attention immédiate et de contrôles dédiés.

Atténuation des risques de fraude

L'atténuation traduit votre évaluation en contrôles sur trois niveaux. Les contrôles préventifs arrêtent la fraude avant qu'elle ne se produise. Les contrôles de détection détectent la fraude en cours ou peu de temps après. Les procédures de réponse définissent ce qui se passe une fois la fraude confirmée, comme la suspension de compte, la collecte de preuves pour les contestations et le signalement aux forces de l'ordre, si cela est justifié. Ne compter que sur la prévention peut vous laisser au dépourvu lorsqu'un nouveau vecteur d'attaque apparaît.

Surveillance et vérification continues

Les modèles de fraude évoluent et les contrôles qui fonctionnaient il y a six mois pourraient ne plus fonctionner aujourd'hui. Les acteurs frauduleux partagent des techniques, les nouvelles fonctions de produits créent de nouvelles vulnérabilités et les vecteurs d'attaque se développent plus rapidement que ce que les cycles de révision annuels ne peuvent suivre. Les révisions trimestrielles constituent une base de référence raisonnable, avec des révisions ponctuelles déclenchées par des changements majeurs dans les taux de rétrofacturation, des lancements de nouveaux produits ou des incidents de fraude confirmés.

Comment menez-vous une évaluation des risques de fraude?

Une évaluation des risques de fraude est un audit structuré de votre exposition. Voici les étapes impliquées :

• Définissez votre portée : Décidez si vous évaluez l'ensemble de votre entreprise, une gamme de produits spécifique ou un type de transaction particulier. La portée détermine ce que vous incluez dans votre inventaire d'actifs et qui doit être impliqué.

• Créez une carte des transactions : Documentez chaque point de votre flux de transactions où une fraude pourrait se produire. Dans une entreprise de commerce électronique, cela inclut le paiement, la création de compte, l'enregistrement des modes de paiement, les remboursements et les contestations. Chacun d'eux est une surface d'attaque potentielle.

• Identifiez les scénarios de fraude : À chaque point de contact, demandez-vous ce qu'un acteur frauduleux pourrait faire (par exemple, test (frauduleux) de cartes lors du paiement, prise de contrôle de compte lors de la connexion, fraude amicale au stade de la contestation) et ce qu'il y gagnerait. Préciser le scénario facilite grandement l'évaluation et l'atténuation.

• Évaluez la probabilité et l'impact : Utilisez les données historiques, les références du secteur et les commentaires de votre prestataire de services de paiement. Les scores de probabilité doivent refléter le volume réel de vos transactions et le profil de la clientèle, et non des moyennes génériques du secteur. Les scores d'impact doivent tenir compte des pertes financières directes, des frais de rétrofacturation, des coûts de rectification et de la dégradation de l'expérience de la clientèle.

• Priorisez et attribuez la responsabilité : Les risques hautement prioritaires nécessitent qu'une personne ou une équipe spécifique soit responsable du contrôle. Sans responsabilité, les contrôles ne sont pas implémentés et les vérifications n'ont pas lieu.

• Documentez et fixez une date de révision : Le résultat d'une évaluation des risques de fraude est un document évolutif et il nécessite qu'un rythme de révision y soit rattaché dès le départ.

Quels risques de fraude importent le plus pour le commerce électronique et les plateformes financières?

Les types de fraude qui frappent généralement le plus durement les entreprises en ligne exploitent tous l'absence de vérification physique. Ils comprennent les éléments suivants :

Fraude CNP

La fraude CNP se produit lorsque des informations de carte volées ou compromises sont utilisées pour effectuer des achats sur n'importe quel canal où la carte n'est pas physiquement présente : paiements en ligne, commandes téléphoniques, facturation récurrente et achats intégrés. La carte elle-même ne change jamais de mains, ce qui la rend difficile à détecter sans vérification multicouche. Les taux de fraude CNP ont tendance à culminer après d'importantes violations de données, lorsque de nouveaux ensembles d'informations d'identification font leur apparition sur les marchés du dark web.

Fraude par prise de contrôle de compte

Le bourrage d'identifiants (attaques automatisées qui testent des combinaisons de noms d'utilisateur et de mots de passe volés sur de nombreux sites) est peu coûteux à exécuter, ce qui a fait de la fraude par prise de contrôle de compte une menace courante. Les acteurs frauduleux utilisent des combinaisons de noms d'utilisateur et de mots de passe divulguées pour accéder aux comptes de la clientèle, puis modifient les adresses d'expédition, ajoutent de nouveaux modes de paiement ou vident la valeur sauvegardée. C'est particulièrement dommageable, car cela érode la confiance de la clientèle, même lorsque l'entreprise réagit correctement.

Fraude amicale

La fraude amicale, également appelée fraude par rétrofacturation (et parfois regroupée dans la catégorie plus large de la fraude par des tiers), se produit lorsqu'un titulaire de la carte légitime effectue un achat, puis conteste le paiement auprès de sa banque. Il prétend ne jamais avoir reçu les marchandises ou ne pas avoir autorisé la transaction. Les taux de contestation supérieurs à environ 1 % du volume de transactions sont un signe d'avertissement courant, bien que les seuils varient selon le prestataire de services de paiement et la catégorie d'entreprise.

Abus de politique

Se situant entre la fraude et le comportement légitime de la clientèle, l'abus de politique couvre la fraude au remboursement, le cumul de codes promotionnels et l'abus de parrainage. Ce n'est pas toujours l'œuvre de criminels organisés. Parfois, ce sont des clients ordinaires qui exploitent des failles dans vos politiques. L'impact financier est réel dans tous les cas, et les contrôles pertinents recoupent la prévention de la fraude liée aux paiements.

Comment un cadre de gestion des risques de fraude se connecte-t-il aux outils que vous utilisez au quotidien?

Un cadre de gestion des risques de fraude sans exécution n'est que de la documentation. La transposition de la stratégie à la prévention de la fraude au quotidien s'opère par le biais de trois catégories d'outils :

• Moteurs de règles : Ce sont des contrôles basés sur la logique qui vous permettent de bloquer les transactions d'une valeur supérieure à un certain montant provenant de nouveaux comptes, de signaler les commandes pour lesquelles les pays de facturation et d'expédition ne correspondent pas, ou d'exiger une vérification supplémentaire pour les catégories de produits à haut risque. Les règles sont rapides et transparentes, mais statiques. La fraude sophistiquée s'adapte rapidement aux règles connues, c'est pourquoi les systèmes basés sur des règles seuls ne suffisent pas.

• Modèles d'apprentissage automatique : Ils analysent les transactions par rapport à des ensembles de fonctions beaucoup plus vastes que ce que n'importe quel moteur de règles pourrait gérer manuellement. Un modèle bien entraîné peut évaluer des centaines de variables simultanément et générer un indice de risque en quelques millisecondes. Le compromis est l'opacité, car les modèles d'apprentissage automatique ne vous donnent pas toujours une explication claire de la raison pour laquelle une transaction était suspecte, ce qui peut compliquer la résolution des contestations et le service à la clientèle.

• Systèmes de surveillance et d'alerte : Ils bouclent la boucle. Les tableaux de bord en temps réel, les intégrations d'alertes de rétrofacturation et les rapports automatisés vous indiquent quand quelque chose change. Sans surveillance, vous ne pourrez pas repérer les vulnérabilités entre les cycles de révision.

Stripe Radar réunit les trois couches au sein de l'infrastructure de paiement de Stripe. Le modèle d'apprentissage automatique de Radar est entraîné sur des données de transaction provenant de l'ensemble du réseau Stripe, ce qui signifie qu'il bénéficie de signaux que votre entreprise seule ne pourrait pas générer. Vous pouvez superposer vos propres règles personnalisées et exiger 3D Secure pour certains types de transactions ou ajouter des frictions pour les commandes qui correspondent à des modèles de fraude connus. L'intelligence au niveau du réseau et les règles spécifiques à l'entreprise fonctionnent en combinaison plutôt qu'isolément.

Comment élaborez-vous une politique de gestion des risques de fraude pour votre entreprise?

Une politique de gestion des risques de fraude formalise votre cadre de travail. Elle définit ce que vous protégez, qui est responsable de sa protection et ce qui se passe en cas de problème.

Voici un aperçu étape par étape de la façon de créer cette politique :

• Définissez la portée et les objectifs de la politique : Soyez précis. « Rester en deçà des seuils de fraude et de contestation habituels dans le secteur » est un objectif utile. « Réduire la fraude » ne l'est pas.

• Rédigez une déclaration explicite sur l'appétence au risque : Cela aide votre équipe à prendre des décisions cohérentes. « Nous acceptons un taux de fraude de 0,1 % tout au plus sur les transactions par carte avant d'intensifier les contrôles » est une déclaration claire. « Nous prenons la fraude au sérieux » ne l'est pas.

• Énumérez les contrôles spécifiques que vous avez implémentés : Indiquez ce qu'ils sont conçus pour prévenir et qui en est responsable. Il n'est pas nécessaire que cela soit exhaustif, mais cela doit être suffisamment précis pour qu'un nouveau membre de l'équipe puisse comprendre votre approche de prévention en la lisant.

• Établissez des procédures d'escalade : Définissez ce qui déclenche une escalade, qui est informé lorsque les seuils de fraude sont dépassés et quel est le délai de réponse pour les incidents confirmés. Ces procédures comptent le plus lorsque les choses évoluent rapidement et qu'il n'y a pas de temps pour apprendre le processus de zéro.

• Définissez votre rythme de révision : Quand la politique est-elle révisée et qu'est-ce qui déclenche une révision hors cycle? Définissez cela au préalable, sinon cela risque de ne pas se produire.

Comment Stripe Radar peut vous aider

Stripe Radar utilise des modèles d’IA formés pour détecter et prévenir la fraude, entraînés sur les données du réseau mondial de Stripe. Il met continuellement à jour ces modèles en fonction des dernières tendances en matière de fraude, protégeant ainsi votre entreprise au fur et à mesure que les tactiques frauduleuses évoluent.

Stripe propose également Radar for Fraud Teams, qui permet aux utilisateurs d’ajouter des règles personnalisées pour faire face ce à des scénarios de fraude propre à leurs entreprises et d’accéder à des informations avancées sur la fraude.

Radar peut aider votre entreprise à :

• Prévenir les pertes dues à la fraude : Stripe traite plus de 1 000 milliards de dollars de paiements chaque année. Cette envergure permet à Radar de détecter et de prévenir la fraude avec une précision inégalée, vous permettant ainsi de réaliser des économies.

• Augmenter les revenus : les modèles d’IA de Radar sont entraînés sur des données réelles de contestations, des informations relatives aux clients, des données de navigation, et bien plus encore. Cela permet à Radar de détecter les transactions à risque et de réduire les faux positifs, augmentant ainsi vos revenus.

• Gagner du temps : Radar est intégré à Stripe et ne nécessite aucune ligne de code pour être configuré. Vous pouvez également surveiller vos performances en matière de fraude, définir des règles, etc., dans une seule plateforme, augmentant ainsi l’efficacité de vos équipes.

Apprenez-en plus sur Stripe Radar ou faites vos premiers pas dès aujourd’hui.