Un marchand peut réussir chaque vérification lors de son inscription et devenir tout de même un risque, créant ainsi une grave faille de sécurité. En 2024, le Financial Crimes Enforcement Network (FinCEN) du Trésor des États-Unis a imposé à la Banque TD une pénalité record de 1,3 milliard $ pour ne pas avoir surveillé adéquatement l'activité de sa clientèle. La surveillance continue de la conformité vérifie continuellement l'identité, l'activité et le profil de risque d'un marchand. L'inscription des utilisateurs confirme l'identité d'un marchand dès le premier jour. Par la suite, la surveillance des transactions, les contrôles liés à la lutte contre le blanchiment de capitaux (AML), le contrôle des sanctions et les revérifications périodiques garantissent que l'activité et les informations du marchand restent exactes au fil du temps.

Ci-dessous, nous expliquerons pourquoi la surveillance de la conformité devrait se poursuivre après l'inscription des utilisateurs, comment la surveillance des transactions et de la lutte contre le blanchiment de capitaux fonctionne pour détecter les comportements inhabituels des marchands, et comment le contrôle des sanctions s'applique une fois qu'un marchand est actif.

Points à retenir

• Le risque lié à un marchand peut changer au fil du temps ; une seule vérification lors de l'inscription des utilisateurs ne peut pas tenir compte des changements futurs de propriété, de modèle opérationnel ou de comportement en matière de transactions.

• La surveillance des transactions, la vérification en matière de lutte contre le blanchiment de capitaux et le contrôle des sanctions fonctionnent de concert pour signaler les activités qui ne correspondent pas au profil déclaré d'un marchand.

• Les plateformes qui ignorent ou retardent la surveillance continue s'exposent à des risques potentiels, notamment des restrictions de compte, des omissions de déclarations réglementaires et des fraudes non détectées.

Pourquoi la surveillance de la conformité se poursuit-elle après l'inscription des utilisateurs?

La surveillance de la conformité se poursuit après l'inscription des utilisateurs, car le profil de risque d'un marchand peut changer après la vérification initiale lors de l'inscription. La surveillance continue vérifie si son activité correspond toujours à son profil et à son évaluation d'origine.

Voici ce qu’il faut garder à l’esprit :

• Les obligations réglementaires vont au-delà de l'inscription : Les exigences des réseaux de cartes et les règles comme la règle de vérification préalable des clients (Customer Due Diligence Rule) du FinCEN aux États-Unis exigent une surveillance continue.

• Les marchands changent de modèle opérationnel : Une boutique de vente directe aux consommateurs pourrait passer à la vente en gros, commencer à vendre dans de nouveaux pays ou intégrer un propriétaire qui n'a jamais fait l'objet d'une vérification.

• Changement de volume et de comportement : Un bond dans la taille des transactions, un pic de remboursements ou un changement soudain du volume de traitement peuvent signaler une fraude ou un changement d'activité non divulgué. Rien de tout cela n'apparaît dans un dossier statique.

• Les listes de sanctions et les directives réglementaires sont constamment mises à jour : Un territoire peut ajouter de nouvelles entités limitées ou abaisser un seuil de déclaration. Cela signifie qu'un marchand qui était conforme au dernier trimestre pourrait ne plus l'être aujourd'hui, même si son comportement reste le même.

• La découverte réactive coûte plus cher que la surveillance proactive : Attendre qu'une demande d'information d'un réseau de cartes ou qu'un audit réglementaire révèle un problème place une plateforme dans une position pire que de le détecter grâce à une vérification de routine.

Comment la surveillance des transactions et la lutte contre le blanchiment de capitaux soutiennent-elles la surveillance de la conformité?

La surveillance des transactions et de la lutte contre le blanchiment de capitaux soutient la surveillance de la conformité en comparant l'activité du compte à une base de référence. Lorsque l'activité s'écarte de cette base, le système la signale pour vérification.

Voici à quoi cela ressemble :

• Schémas de structuration : Série de transactions maintenues juste en dessous d'un seuil de vérification, répétées assez souvent pour paraître intentionnelles plutôt que fortuites

• Pics de vitesse ou de valeur : Bond soudain du volume de transactions ou du montant en dollars qui ne correspond pas à l'historique du marchand ou à la saisonnalité de son activité déclarée

• Incohérences géographiques : Activité de paiement qui transite par des pays avec lesquels le marchand n'a aucun lien déclaré

• Mouvement rapide de fonds : Argent qui arrive et est retiré ou transféré rapidement, sans raison commerciale claire justifiant ce mouvement

• Regroupements de rétrofacturations ou de remboursements : Schémas qui pointent vers une fraude par rétrofacturation, un changement d'activité non divulgué ou un marchand qui teste des identifiants de paiement volés

• Typologies de superposition et d'intégration : Fonds déplacés par le biais de multiples transactions pour masquer leur origine, puis réintroduits sous forme de revenus commerciaux d'apparence légitime

Les plateformes soumises à une obligation en vertu du Bank Secrecy Act aux États-Unis ou à une exigence équivalente ailleurs sont généralement tenues de signaler les activités suspectes aux autorités. Ce mandat s'accompagne de sa propre documentation et de son propre délai de déclaration. Une solution comme Stripe Connect fournit aux plateformes des données au niveau des transactions sur les comptes connectés, ce qui permet d'effectuer des vérifications fondées sur les risques plutôt que des contrôles ponctuels manuels qui peuvent ne détecter les problèmes qu'après leur apparition.

Quel rôle joue le contrôle des sanctions dans la surveillance continue de la conformité?

Le contrôle des sanctions réduit les risques dans la surveillance continue de la conformité. Les États-Unis, l'UE, l'ONU et d'autres territoires mettent à jour leurs listes de sanctions de manière continue.

Voici comment il s'intègre dans la surveillance de la conformité :

• Contrôle récurrent des marchands : Les marchands, leurs propriétaires réels et, dans certains cas, leurs contreparties sont continuellement vérifiés par rapport aux listes mises à jour.

• Contrôle des personnes politiquement exposées (PPE) : Les PPE présentent un risque élevé même si elles ne figurent pas sur une liste de sanctions. Le contrôle couvre les deux catégories ensemble.

• Exigences spécifiques au territoire : Un marchand situé dans un territoire à risque plus élevé, ou dont la propriété inclut une PPE, doit généralement être vérifié plus fréquemment qu'un marchand national à faible risque ayant une activité stable.

• Signaux multiples : Les résultats de vérification, les données sur les propriétaires réels finaux, le comportement en matière de transactions et le contrôle des sanctions alimentent tous la même évaluation continue des risques ; il ne s'agit pas de vérifications séparées et déconnectées.

Quels sont les risques d'une surveillance incohérente de la conformité après l'inscription des utilisateurs?

Les risques d'une surveillance de la conformité incohérente après l'inscription des utilisateurs commencent par le fait que les réseaux de cartes tiennent les plateformes responsables de ce qui se passe sur leurs comptes connectés. Une accumulation de signes d'avertissement ignorés peut entraîner ce qui suit :

• Amendes réglementaires : Les comptes connectés qui réussissent l'inscription des utilisateurs sans problème, mais qui sont ensuite utilisés pour le test (frauduleux) de cartes ou le blanchiment d'identifiants de paiement volés peuvent causer des fraudes non détectées. Sans procédures de prévention raisonnables, cela peut entraîner de lourdes amendes réglementaires.

• Surveillance accrue : Les omissions de déclarations d'activités suspectes, les manquements aux sanctions ou les dossiers obsolètes sur les propriétaires réels finaux qui apparaissent lors d'un examen ou d'un audit peuvent accroître la surveillance de la part des organismes de réglementation et des auditeurs.

• Restrictions de compte : Un prestataire de services de paiement ou un réseau de cartes pourrait suspendre ou résilier un compte connecté lié à une plateforme qui n'a pas su détecter un risque croissant.

• Dommages à la réputation : Lorsque des marchands utilisent une plateforme pour des activités qui attirent l'attention du public ou de la presse, cela se répercute sur la plateforme, peu importe qui a commis la violation sous-jacente.

Comment les plateformes peuvent-elles évaluer si leur surveillance de la conformité fonctionne?

Les plateformes peuvent évaluer si la surveillance de la conformité fonctionne en s'assurant que les alertes se transforment en décisions documentées et opportunes, et que la fréquence de vérification reflète le niveau de risque de chaque marchand.

Tenez compte des facteurs suivants :

• Délai de résolution des alertes : Il s'agit du temps qui s'écoule entre le déclenchement d'une alerte de transaction ou de sanctions et le moment où une personne la vérifie et la ferme. Les alertes qui restent ouvertes pendant des semaines rendent la surveillance en temps quasi réel inutile.

• Taux de faux positifs : Si presque chaque alerte s'avère non fondée, les seuils devront être ajustés ; autrement, les réviseurs pourraient commencer à approuver les alertes automatiquement par fatigue.

• Cadence de revérification par niveau de risque : Les marchands à risque élevé devraient être vérifiés plus souvent que ceux à faible risque. Si tout le monde suit le même calendrier annuel peu importe le risque, le programme n'est pas fondé sur le risque.

• Qualité de la documentation : Chaque escalade, vérification et décision nécessite une piste d'audit qui explique pourquoi un marchand a été approuvé ou signalé ; les organismes de réglementation et les réseaux de cartes demanderont ces informations lors de la vérification.

• Couverture des changements de propriété : Assurez-vous que les données des propriétaires réels finaux sont mises à jour lorsque les marchands signalent un changement. Elles doivent être dynamiques et évoluer à partir du dossier d'inscription des utilisateurs initial.

Les plateformes sur Stripe Connect peuvent créer ces vérifications autour des données de vérification, de contrôle et de surveillance que Stripe génère déjà pour les comptes connectés. Cela élimine la nécessité de construire une infrastructure distincte pour suivre les mêmes signaux.

Comment Stripe Connect peut vous aider

Stripe Connect orchestre les mouvements de fonds entre plusieurs parties pour le compte de plateformes logicielles et de places de marché. Il offre une inscription des utilisateurs rapide, des composants intégrés, des virements internationaux, etc.

Connect peut vous aider à :

• Être opérationnel en quelques semaines : utilisez des fonctionnalités intégrées ou hébergées par Stripe pour accélérer la mise en service en évitant les coûts initiaux et le temps de développement généralement requis pour accepter les paiements.

• Gérer les paiements à grande échelle : utilisez les outils et services de Stripe pour éviter de mobiliser des ressources supplémentaires pour la production de rapports sur les marges, les formulaires fiscaux, la gestion du risque, les modes de paiement mondiaux ou la conformité liée à l’inscription des utilisateurs.

• Se développer à l’international : aidez vos utilisateurs à attirer davantage de clients dans le monde entier en proposant des modes de paiement locaux et le calcul facile des taxes de vente, de la taxe sur la valeur ajoutée (TVA) et de la taxe sur les biens et services (TPS).

• Bâtir de nouveaux canaux de revenus : optimisez les revenus des paiements en collectant des frais sur chaque transaction. Monétisez les capacités de Stripe sur votre plateforme en activant les paiements en personne, les virements instantanés, la perception des taxes de vente, les financements, les cartes commerciales, et bien plus encore.

Découvrez-en plus sur Stripe Connect, ou commencez dès aujourd’hui.