KYB et vérification des partenaires

1) Pourquoi KYB

KYB (Know Your Business) est l'identification et l'évaluation des risques des personnes morales et des organisateurs de transactions : affiliés, fournisseurs de jeux et agrégateurs, PSP/banques, orchestres de paiement, fournisseurs KYC/AML, agences de marketing, centres d'appels, distributeurs B2B, white label et revendeurs. Objectif : prévenir les risques de sanctions et d'AML/CFT, le trafic et les paiements, les violations de la propriété intellectuelle et des licences, les fuites de données et les incidents de réputation.

2) Principes et modèle RBA

Approche fondée sur les risques : la profondeur de la vérification dépend du profil de risque de la contrepartie (géo, rôle dans la chaîne, accès à l'argent/aux données, historique des incidents, volumes).
Proportionality : CDD pour les fournisseurs à faible risque, EDD pour les fournisseurs à risque élevé (PSP, affiliations avec trafic agressif, relais croisés).
Ongoing Monitoring : un contrôle primaire sans surveillance permanente ne sert à rien.
Four-Eyes & Segregation : solutions d'onbording/blocage - au moins deux employés.

3) Rôles et responsabilités

Board/Exec : revendique une politique KYB, un risque-appétit, une matrice d'escalade.
MLRO/Compliance : propriétaire du processus KVD/Sanctions, méthodologie Adverse Media/PEP, SAR/STR si nécessaire.
Risk/Analytics : risque-scoring, règles de comportement pour les affiliés/PSP.
Commercial/BD : collecte de documents, contrôle des termes des contrats, KPI partenaires.
Légal : garanties contractuelles, IP/licences, amendes, droit de résiliation unilatérale dans les événements AML/sanctions.
Sécurité/IT : accès, cryptage, journal des activités, évaluation de la sécurité du vendeur.
Finances/Paiements : contrôle des paiements, registres des bénéficiaires, rapprochement des détails.

4) Niveaux KYB (exemple)

CDD (de base) : documents d'enregistrement, directeurs, UBO ≥25 %, sanctions/PEP/Adverse Media, site/contacts, numéro fiscal, confirmation de l'adresse du juriste.
ID + EDD (étendu) : chaîne de propriété complète jusqu'aux personnes physiques, états financiers, lettres bancaires/références, licences/autorisations, description du modèle économique et des sources de revenus, vérification des sites opérationnels, vérification des domaines/canaux de trafic, sécurité technique.
Continuous : je revois les événements (sanctions, changement d'UBO/directeurs, sursaut de trafic/chargebacks), révision annuelle des dossiers.

5) Collecte de données et de documents

• Certificat d'incorporation, charte/contrat d'établissement, registre des actions/membres.
• Liste des administrateurs et UBO (avec parts et citoyenneté).
• Adresse Jura et adresse réelle, numéro fiscal/TVA.
• Licences/autorisations (iGaming/paiement/publicité), contrats sous-fournisseurs.
• Coordonnées bancaires (lettre de la banque/void chèque), preuve de possession du compte.
• Politiques AML/KYC/KYB, contrôle des sanctions dans l'entreprise, RGPD/sécurité, DPIA (s'il y a accès à la PA).
• Pour l'affiliation : description des sources de trafic, domaines/landings, comptes réseaux sociaux/adsets, géo et formats publicitaires, CRM/trackers.

• Document d'identité + livnes, adresse (≤3 mes), sanctions/PEP/Adverse Media.
• Preuve de lien avec la société (nomination d'un administrateur, participation).

6) Sanctions, PEP, Adverse Media

Contrôle de la personne morale, de tous les noms commerciaux, domaines associés et directeurs/UBO.
Fuzzi-recherche, alias et translittérations ; compensation manuelle des coïncidences frontalières.
Screening périodique (mises à jour quotidiennes des listes) et événement lors de changements dans le profil du partenaire.
Adverse Media : les thèmes sont la corruption, le fred, le trafic de drogue, le jeu sans licence, le blanchiment.

7) Évaluation de la maturité technique et réglementaire

Licences et conformité : validité et volume des licences (jeux, paiement, publicité), rapports, sanctions passées.
Sécurité et confidentialité : cryptage, RBAC/ABAC, gestion des clés/secrets, journaux d'accès, politique de stockage, incident-respect.
Fiabilité des opérations : SLA/aptyme, backup, plan de continuité, protection DDoS.
Intégrations : API sécurisées, journaux d'audit, versions SDK, règles PI/PCI DSS (si elle fonctionne avec des cartes).

8) Spécificité par type de partenaire

8. 1 Affiliation (KYA - Savoir votre affiliation)

Profil de trafic : sources (SEO/ASO, PPC, teasers, réseaux sociaux, strim), pratiques blanches/grises, tolérance de la géo et ciblage de l'âge.
Étiquettes de qualité : CR→FTD, FTD→depozitor, depozit→vyvod, pics anormaux, proportion de multi-accounts/bonus-abyse.
Contenu et coffre-fort de marque : pas de fausses promesses, respect des règles publicitaires locales.
Côté financier : rapprochement des informations de paiement, absence de tiers en tant que bénéficiaires des paiements.
Monitoring : régulièrement "crawl'domaines/créatifs, redirect clandestin/dorvei - facteurs stop.

8. 2 Fournisseurs de jeux/agrégateurs

Droit de distribution IP : licences RNG/jeux, droit d'utilisation des marques/musiques/actifs artistiques.
Juridictions d'accessibilité : matrice des marchés (ce qui peut être montré où), mécanismes de géo-filtrage.
Fair play : certification RNG, laboratoires, reporting, historique des incidents (rigging/fuites).
Paiements : modèle de redevance (RevShare/flat), rapprochement des rapports, anti-manipulation GGR/tags.

8. 3 PSP/banques/orchestrateurs

Licences de paiement (EMI/PI/bancaire), processus KYC/AML, limites, classes MCC.
Risques de blocage : charjbecky, retours, blacklists ; plan de contournement des incidents (Failover).
Trace de paiement : vérification du titulaire du compte, règles « same method », rapports.

8. 4 Fournisseurs de services (KYS - Savoir votre fournisseur)

Accès à la base de données PD/comptes/code → EDD + contrats de protection des données, droit d'audit, notification d'incident, sous-processeurs.

9) Garanties et contrôles contractuels

Clauses AML/sanctions : garantie de conformité à tous les régimes, droit de résiliation immédiate en cas de violation.
Engagement KYC/KYB : mise à disposition des documents sur demande, mise à jour lors du changement d'UBO/directeurs.
Normes de publicité (pour les affiliés) : interdiction de mise-selling, dockleimers obligatoires, restrictions locales.
Audit et inspection : droit d'inspection, accès aux logs/créatifs, amendes/retenues pour infractions graves.
SLA/OLA : pharmacie, TAT sur les tiquets, délais de réponse aux incidents, amendes de retard.
IP/Contenu : Preuve des droits, responsabilité pour les réclamations de tiers.
Données et sécurité : DPIA/DTIA, cryptage, breach-notification ≤72 h, interdiction de transmission aux juridictions « rouges » sans garantie.

10) Surveillance et rhubarbe (Ongoing)

• Changement d'UBO/directeurs/coordonnées bancaires.
• Événement de sanction/Adverse Media.
• Trafic anormal/chargbecky/spiki sur les paiements.
• Plaintes des utilisateurs/demandes réglementaires.
• Changement de modèle d'affaires/géographie.

Processus : signal → case → demande de documents/explications → décision (conserver/geler/résilier) → post-mer et mise à jour des règles.

11) Matrice des risques (exemple)

12) Métriques et KPI KYB

Onboarding TAT (médiane/95e percentile).
Dossier complet (proportion de profils complets).
Taux auto-clear/Manual-review par alert.
Faux taux positif de sanctions/RER et temps de compensation.
Qualité du trafic (affiliés) : CR, qualité FTD, WD-ratio, taux de charge.
Incident Rate и Time-to-Contain.
Audit Findings Closed on Time.
Vendor SLA Compliance (aptyme/réaction).

13) Architecture et intégration

Un seul dossier partenaire : graphique de propriété UBO, documents, statuts de sanctions/RER, licences, domaines, détails de paiement.
Bus d'événements : modifications des détails, surtensions de trafic/chargbecks, apdates de sanctions → alertes dans le système de mallette.
Moteur de décision : règles + ML (scoring des affiliations, risque PSP, anomalies).
Journaux et stockage WORM : versions immuables des documents, motivations des solutions, traces d'accès.
Accès et secrets : RBAC/ABAC, HSM/secret-vault, limitation des décharges.
Dégradation : lorsque les fournisseurs de sanctions ne sont pas disponibles - quorum/retrai, resserrement temporaire des seuils.

14) Chèques-feuilles

• Règlement, statuts, adresse d'enregistrement.
• Directeurs/UBO ≥25 % + CUS/adresse.
• Sanctions/PEP/Adverse Media (jurlitso/personnes).
• Licences, droits sur les produits/contenus.
• Coordonnées bancaires et preuve de possession du compte.
• Politiques AML/KYC/KYB + sécurité des données.
• Pour l'affiliation : sources de trafic, domaines, créatifs, géo.
• Contrat : clauses AML, droit d'audit, SLA, amendes.

• Nouveau dépistage des sanctions.
• Vérification du bénéficiaire du compte = associé/UBO.
• Rapprochement des rapports (trafic/jeux/redevances).
• Contrôle anti-froid (anomalies, chaînes multi-niveaux).

• Pertinence des documents/licences/UBO.
• Résumé des incidents/plaintes/recours.
• Changements dans les canaux de trafic/ligne de produits.
• Recalibrer les risques et les limites.

15) Risques typiques et comment les fermer

Une structure UBO cachée à travers les offshores → exiger une chaîne jusqu'aux physiciens, des registres indépendants, une confirmation juridique.
Le trafic « sale » des affiliations → les interdictions contractuelles, la surveillance automatique des domaines, les finstraps, la liste d'arrêt.
Les risques de sanctions/RER → le recadrage quotidien, la compensation manuelle, l'escalade MLRO.
L'échange de détails de paiement (BEC-fraud) → la confirmation des détails du canal contractuel, le contrôle des changements de 24 à 48 heures de quarentine.
Accès aux PA par des tiers → DPIA, minimisation, vérification des traces d'accès, barrières techniques et contractuelles.

16) FAQ

Où est le seuil d'EDD ? Risque élevé en termes de géo/rôle/volume, accès à la PA/argent, structure complexe de l'UBO, médias négatifs.
Combien de fois le dossier est-il revu ? Minimum annuel ; plus l'événement.
Puis-je payer mon affiliation sur mon compte personnel ? Non souhaitable : correspondance propriétaire, link UBO, vérification ciblée et règles locales.
Que faire lorsque vous discutez de la qualité du trafic ? Inclure dans le contrat le droit de vérification, l'échantillonnage des pistes, la méthodologie d'attribution, la rétention/correction de charge.

17) Modèle de structure de politique KYB (pour wiki)

1. Portée et définitions

2. Rôle et responsabilité (RACI)

3. Méthodologie RBA et seuils EDD

4. Exigences en matière de documents (avocat/directeur/UBO)

5. Sanctions/PEP/Adverse Media et fréquence de recadrage

6. Spécificité par type de partenaire (KYA/KYS/PSP/fournisseurs de jeux)

7. Exigences contractuelles (AML, SLA, audit, IP, données)

8. Surveillance et reve-KYB (déclencheurs, gestion de cas)

9. Métriques et rapports pour le conseil/la gestion

10. Stockage des données, sécurité, vie privée

11. Plan de continuité et intervention en cas d'incident

12. Annexes : chèques-feuilles, formulaires, modèles de lettres et de rapports

Total

Boucle KYB forte = profondeur de contrôle d'entrée correcte, cadres contractuels rigides, surveillance continue et métriques transparentes. Normalisez le dossier, automatisez le circuit des sanctions, mesurez la qualité du trafic et le respect des SLA, révisez régulièrement le risque des partenaires - et vous réduirez les risques réglementaires, financiers et de réputation sans compromettre le rythme de l'entreprise.