Un onboarding digital qui convertit, sans laisser entrer la fraude

L'instruction n°003-03-2025 du 18 mars 2025 de la BCEAO nomme dans son champ d'application les établissements de monnaie électronique, les établissements de paiement et les entreprises de technologie financière (article 3 de l'instruction n°003-03-2025). Une fintech agréée porte donc les mêmes obligations de vigilance qu'une banque, plus celles que la loi uniforme LBC/FT/FP attache aux virements électroniques.

Les mêmes obligations de vigilance qu'un établissement de crédit

Vérification de l'identité d'un client personne morale sur un acte ou un extrait de registre officiel de moins de trois mois (article 8 de l'instruction n°003-03-2025), identification et vérification du bénéficiaire effectif avec recoupement du registre prévu à l'article 122 de la loi uniforme (article 12 de l'instruction n°003-03-2025), mise à jour sur événement significatif (article 24 de l'instruction n°003-03-2025), justification et documentation des contrôles (article 29 de l'instruction n°003-03-2025).

L'onboarding à distance, et sa limite

L'identification d'un client non présent physiquement est permise sur la base de schémas et de moyens d'identification électroniques fiables (article 13 de l'instruction n°003-03-2025). La solution doit permettre de comparer les caractéristiques physiques du client avec celles de ses documents, et les données biométriques doivent pouvoir lui être associées sans équivoque (article 17 de l'instruction n°003-03-2025). Quand la qualité des éléments crée une ambiguïté, le client est orienté vers une vérification en présentiel (article 18 de l'instruction n°003-03-2025).

Ce qui doit voyager avec un virement

Pour le donneur d'ordre : nom complet, numéro de compte lorsqu'un compte est utilisé, adresse ou, à défaut, numéro d'identification nationale ou lieu et date de naissance. Pour le bénéficiaire : nom et numéro de compte. Ces informations figurent dans le message ou le formulaire de paiement qui accompagne le virement, et un numéro de référence unique remplace le numéro de compte quand il n'y en a pas (article 39 de la loi uniforme LBC/FT/FP).

Informations incomplètes : trois jours, puis abstention

Une institution financière intermédiaire qui reçoit un virement sans informations complètes sur le donneur d'ordre demande les éléments manquants à l'institution émettrice. Sans réponse dans un délai de trois jours, elle s'abstient d'exécuter le transfert et en informe la CENTIF (article 45 de l'instruction n°003-03-2025). Un prestataire de transfert de fonds qui contrôle à la fois l'ordre et la réception prend en compte les informations des deux côtés pour décider d'une déclaration de soupçon (article 34 de l'instruction n°003-03-2025).

Dix ans, et de quoi reconstituer une opération

Les pièces relatives à l'identité du client, à la connaissance de son profil de risque et aux analyses de vigilance se conservent dix ans à compter de la clôture des comptes ou de la fin de la relation. Les pièces relatives aux opérations se conservent dix ans après leur exécution, et doivent permettre de reconstituer une opération individuelle (article 23 de la loi uniforme LBC/FT/FP).

Des données d'identité restent des données personnelles

Pièces officielles, coordonnées, photographies et données biométriques sont des données à caractère personnel, régies en Côte d'Ivoire par la loi n°2013-450 du 19 juin 2013. La finalité, les accès, la durée de conservation et le lieu de traitement se décident avant de déployer un parcours, pas après.