Exigences KYC et niveaux de vérification

1) Qu'est-ce que KYC et pourquoi il est nécessaire

KYC (Know Your Customer) est un ensemble de procédures d'identification et de vérification des clients pour réduire les risques de blanchiment de fonds (AML), de financement du terrorisme (CFT), de fraude et de violation des régimes de sanctions. Dans iGaming, KYC est complété par la vérification de l'âge, les restrictions géographiques, les sources de fonds et le jeu responsable (limites, affordability).

• Confirmer l'identité et l'âge du joueur.
• Définir la résidence/adresse, vérifier la validité géographique.
• Exclure les risques de sanctions, terroristes et PEP.
• Comprendre les sources de fonds/richesses (SOF/SOW) à des limites élevées.
• Assurer une surveillance continue et une revérification en temps opportun.

2) Approche axée sur les risques (ABR)

• Géographie : pays d'enregistrement/de résidence, entrées des juridictions « à haut risque ».
• Paiements : méthode, canal (carte, A2A, crypto-onramps), modèle de dépôts/retraits.
• Comportement : taux de rotation, paris, bonus, multiaccounting, anomalies IP/Device.
• Statut du client : PEP, sanctions, médias défavorables (Adverse Media).
• Risque alimentaire : casinos/paris, limites élevées, transferts P2P.

L'ABR se reflète dans les niveaux KYC (voir ci-dessous), les déclencheurs d'escalade et la fréquence de vision (CDD ↔ EDD).

3) Niveaux KYC (exemple pour iGaming)

L0 - Tolérance de base (age & geo pré-check)

Objectif : entonnoir d'onbording instantané avec un minimum de frottement.
Données : e-mail/téléphone, nom, date de naissance, pays, consentement.
Vérifications : âge (date-d'oiseau + base externe/SDK), IP/GeoIP, appareil, liste de surveillance de base.
Restrictions : faibles limites de dépôt/retrait, interdiction de P2P, bonus limités.
Revérification : lorsque le seuil de rotation/retrait est atteint.

L1 - Identification standard (CDD)

Documents : 1 document d'identité (passeport/ID/eau) + selfie-liveness, dans certains pays - une vérification distincte de l'âge.
Adresse : déclaration d'adresse + vérification « douce » (téléphone match, banques agrégateurs, fichiers de crédit, DB postal).
Contrôles automatiques : sanctions/PEP/Adverse Media, doublons d'appareils/paiements, biométrie comportementale.
Limites : limites moyennes des dépôts/retraits ; possibilité de participer à des tournois/promos.

L2 - Vérification avancée (EDD )/Sources de fonds (SOF)

Documents : preuve d'adresse (projet de loi d'utilité/relevé bancaire ≤3 mes.), preuve de revenus (relevés, certificats de revenus, payslips, contrat), si nécessaire - SOW (vente d'actifs, héritage).
Interview/Questionnaire sur les risques : formulaire sommaire sur les sources de fonds, l'emploi, le chiffre d'affaires prévu.
Contrôle technique : déclencheurs de surveillance AML renforcés, réapprovisionnement plus fréquent des sanctions/RER.
Limites : élevées ; Accès aux programmes VIP/paiements hautement liquides.

L3 - Profil ultra risque/VIP High-Roller/Cross-Border

En option : rapports/confirmations d'actifs vérifiés, lettres de la banque, déclarations.
Conformité manuelle + principe « quatre yeux » (4-yeux).
Fréquence de surveillance : Élevé, Event Review des transactions, SOW détaillé.

4) Contrôles d'identité : méthodes et qualité

Vérification : OCR + MRZ + NFC (si disponible), anti-tampon, comparaison de portraits.
Selfie-liveness : actif (expressions faciales/mouvements) ou passif ; anti-spoofing (masques, re-play).
Biométrie : face-match, parfois voix/behavioral.
Vérification non documentaire : via banques/agrégateurs (open-banking), bureaux de crédit, opérateurs mobiles (SIM KYC).
Qualité : exigences minimales en matière de résolution, d'éclairage ; déviations - « feuille grise » + usinage manuel.

5) Âge, géographie et tolérance

Âge : vérification automatique de la date de naissance + registres externes/SDK, contrôle secondaire sur L1.
Géo : blocage des pays/États interdits ; rapprochement IP, GPS/télémétrie de l'appareil, pays BIN de la carte, adresse du document.
Subtilités régionales : différentes preuves d'adresse/formats ID (latin/cyrillique, translittération des noms, plusieurs langues officielles, patronymes).

6) Sanctions, PEP et médias défavorables

Sanctions : comparaison par liste (UN/EU/OFAC/HMT et local), auto-mise à jour, match fuzzi avec seuil personnalisable.
PEP : classification (internationale/nationale/locale ; Personnes liées à la PPE).
Adverse Media : publications négatives sur des sujets clés (fraude, corruption).
Les procédures : les matches positifs → de main валидация, l'escalade, le rapport комплаенса.

7) Source of Funds (SOF) и Source of Wealth (SOW)

Au besoin : dépassement des seuils de dépôt/retrait, statut VIP, transactions importantes rares, drapeaux de risque.

• Relevés bancaires pour 3-6 mois, certificats de revenus, déclarations d'impôts.
• Preuve des revenus non récurrents : vente de biens immobiliers/actions, héritage, dividendes, contrat de prêt.
• Confirmations de statut (PE/entreprise), contrat, lettre de l'employeur.

8) KYB (pour les merchants/partenaires/affiliés)

Documents d'enregistrement, statuts, bénéficiaires (UBO), structure de propriété.
Directeurs/UBO : KYC, sanctions/RER.
Preuve d'adresse et d'activité (site, contrats, comptes).
Surveillance des paiements et du trafic (pour les affiliés) : anti-frod, qualité des prospects, géo et source de trafic.

9) Déclencheurs de revérification (rev-KYC) et EDD d'événement

Atteindre les limites de chiffre d'affaires/conclusions.
Changement de nom/adresse/instruments de paiement, modèles suspects (dépôts cycliques/conclusions rapides).
Médias négatifs, mises à jour des listes de sanctions, nouveaux appareils/IP du cluster.
Inactivité prolongée + activité soudaine.
« Hygiène » des données : reve-KYC tous les 1 à 3 ans (RBA-dépendant).

10) Stockage des données, confidentialité et sécurité

Minimisation et objectif : recueillir uniquement le nécessaire pour la cible (onbording, AML, age, région).
Durée de conservation : Habituellement 5 ans après la clôture du compte/dernière transaction (préciser par droit local).
Cryptage : au repos (at-rest) et en transit (in-transit) ; secrets dans HSM/vendeur-vault.
Accès : principe du moindre privilège (RBAC/ABAC), audit, journaux d'accès.
Droits du sujet : accès/rectification/suppression (le cas échéant), transparence du traitement.
Vendeurs : DPIA/UDPA, transferts de données entre pays, clauses contractuelles standard.

11) Architecture et intégration KYC

1. Inscription (L0) : e-mail/téléphone → âge/geo pré-check → risk pré-score.

2. L1 : doc-vérification + liveness → sanctions/RER → adresse (soft).

3. Ouverture des limites/fonctions → surveillance transactionnelle (comportement/paiement).

4. Escalade jusqu'à L2/L3 par déclenchement (seuils, anomalies, VIP).

5. Revue périodique + événement EDD.

• Fournisseurs : ID-vendeur, sanctions/RER, OBD ciblées, device fingerprint, biométrie comportementale, open-banking/PSP.
• Passerelle de décision : Rules + ML (notation des risques, liens graphiques, clustering de périphériques).
• Complaens Console : file d'attente de cas, SLA, « quatre yeux », modèles SAR/STR, exportation de rapports.
• Logs et audit : stockage immuable (WORM), versioning de profils, archive de documents.
• Disponibilité/durabilité : régions atouts-actifs, backoff/répétitions, dégradation en mode « L0/L1 seulement » lorsque les fournisseurs externes ne sont pas disponibles.

12) UX et conversion KYC

« Progress-bar » et gradualité (split-KYC) : d'abord L0/L1, puis L2 à mesure que les limites augmentent.
Localisation : langue, format des dates/noms, conseils par document (exemple photo, contrôle glare).
Re-téléchargement : « enregistrer et continuer plus tard », rappels, secure-links.
Disponibilité : SDK mobile, mode brouillon hors ligne, compression d'images.
Fail-safe : panne douce avec explication, canal de vérification manuelle, SLA par case.

13) Métriques de qualité KYC

Time-to-Verify (TTV) : médiane/95e percentile.
Taux auto-pass et taux auto-fail, proportion de manutention manuelle.
First Pass Yield (FPY) par document.
Faux taux positif sur les sanctions/REER, temps moyen de compensation des alertes.
Conversion uplift après les itérations UX.
Cost per Verification et OPEX KYC cumulés.
SAR/STR ratio et performance de l'escalade.
Re-KYC completion rate.

14) Politiques et modèles (formulation approximative)

• L0 : jusqu'à X €/₴/$/₹ par mois, sans sortie ou avec micro-courant.
• L1 : avant Y, conclusions types.
• L2 : limites élevées + exigence SOF.
• L3 : limites de prime + SOW et conformité manuelle.
• Déclencheurs EDD : dépôts ponctuels importants, cycles accélérés de depozit→vyvod, changements fréquents de moyens de paiement, VPN/proxy, incohérence des pays sur IP/BIN/document.
• Sanctions/REER : dépistage à l'onbording + à chaque paiement ; je revois les coïncidences « borderline » dans les 24 heures
• Revérification : Evénement + périodique (12-36 m par RBA).
• Escalade et SAR/STR : scénarios obligatoires et délais de dépôt, interdiction de notification au client (tipping-off).

15) Risques fréquents et comment les fermer

Personnalités synthétiques → multisignalité : document + lithoséquation + device graph + open-banking.
Multi-accounting → biométrie comportementale, cookie-less graphique, adresse/clusters de paiement.
Bonus-abyuz → limites jusqu'au niveau KYC, velocity-règle, « bonus différé » partiel.
Fred avec documents → puce de lecture NFC, liveness passif, analyse de texture.
Fichier fin (thin-file) → sources alternatives (données télévisées, open-banking), vérification manuelle.
Translittérations/alias → normalisation du nom, alphabets locaux, fuzzi-match.

16) Mini-chèques-feuilles

• Âge, géo, IP/Device.
• Document + selfie-liveness.
• Sanctions/PEP/Adverse Media.
• L'adresse (soft) → à la limite : adresse (hard).
• Règles automatiques et scoring ML.
• Communication transparente, consentement.

• Contrôle des sanctions/REER.
• SOF (si le seuil est dépassé).
• Vérification de la correspondance du propriétaire de l'instrument de paiement.
• Suivi du comportement et des paiements (anomalies).

• Exhaustivité des dossiers et pertinence des documents.
• Formation de l'équipe et journal d'audit.
• Plans de test des fournisseurs (SLA, tolérance aux pannes).
• DPIA/sécurité et accès.

17) FAQ (court)

Puis-je être autorisé à jouer jusqu'en L1 ? Oui, avec L0 avec des limites strictes et l'âge/géo-contrôle - mais le retrait/limites élevées seulement après L1.
Quand exiger un SOF/SOW ? Si vous dépassez les seuils de chiffre d'affaires/retrait, statut VIP, modèles suspects ou à la demande du régulateur.
Dois-je faire un dépistage à chaque paiement ? Un court recadrage des sanctions et une surveillance comportementale sont recommandés.
Comment ne pas « tuer » la conversion ? Divisez KYC en étapes, améliorez l'UX, appliquez d'autres sources de données et la conduite automatique.

Résultat

Un KYC efficace est l'équilibre entre la protection des entreprises et un UX fluide. Construisez des niveaux de L0-L3 en fonction de votre profil de risque, automatisez le dépistage, mettez en œuvre le SOF/SOW pour les risques élevés, mesurez les métriques de qualité et assurez une vérification immuable. Ainsi, vous resterez dans la conformité sans perdre la conversion et LTV.