Les contrôles de conformité reposent de plus en plus sur des éléments probants, et non plus uniquement sur les politiques. Les autorités de régulation et de surveillance attendent de plus en plus des entreprises du secteur des services financiers qu'elles démontrent comment elles surveillent les résultats pour les clients, gèrent les risques opérationnels et liés aux données, et encadrent les décisions soumises à réglementation, y compris celles fondées sur l'intelligence artificielle.
Cela ne signifie pas pour autant que chaque réglementation exige la production, à la demande, d'un fichier client historique. Cela signifie en revanche que les entreprises doivent disposer de preuves suffisamment fiables pour expliquer les données, les contrôles et la responsabilité qui sous-tendent un résultat ou une décision client significatif.
Pour les banques et les assureurs dont les données clients et partenaires sont dispersées dans plusieurs systèmes, la collecte de ces éléments probants peut s’avérer lente, manuelle et incomplète. Le risque ne réside pas simplement dans le fait que les enregistrements divergent, mais dans l’incapacité de l’entreprise à déterminer facilement quelle identité et quel contexte ont guidé une décision.
Poursuivez votre lecture pour découvrir ce que les autorités de régulation attendent de plus en plus des entreprises en matière de preuves, et comment les banques et les assureurs peuvent se préparer avant le début d’un contrôle.
Quelles données clients doivent être justifiées lors d’un contrôle réglementaire ?
Le « Consumer Duty », le Règlement général sur la protection des données (RGPD), la loi sur la résilience opérationnelle numérique (DORA), les attentes des autorités de surveillance que sont la Financial Conduct Authority (FCA) et la Prudential Regulation Authority (PRA), ainsi que la loi européenne sur l’IA n’imposent pas toutes des exigences identiques. Ensemble, cependant, ils mettent davantage l’accent sur la qualité des données, la gouvernance, la résilience, la traçabilité et la responsabilité.
Lors d’un contrôle, une entreprise peut être amenée à démontrer en quoi les données clients ont contribué à un résultat, un processus ou une décision particuliers.
Dans la pratique, pour répondre en toute confiance à un contrôle réglementaire, il est souvent nécessaire de pouvoir démontrer ?
- D’où provenaient les données clients concernées
- comment et quand elles ont évolué, et quelle source a prévalu
- quels contrôles, mesures de gestion et autorisations ont été appliqués
- Quelle version et quel contexte relationnel ont influencé le résultat ou la décision
Une politique écrite décrit l'environnement de contrôle prévu. La traçabilité et l'historique d'audit fournissent des preuves de la manière dont les contrôles ont été appliqués à un enregistrement particulier à un moment donné.
Les priorités varient selon les marchés ?
- Les entreprises britanniques subissent des pressions liées aux exigences de la FCA, telles que le « Consumer Duty », ainsi qu’aux attentes plus générales de la FCA et de la PRA en matière de gouvernance des données et de résilience opérationnelle
- Les entreprises de l’UE doivent tenir compte des obligations en matière de responsabilité et d’exactitude des données prévues par le RGPD, des exigences de la directive DORA relatives aux TIC et à la résilience des données, ainsi que, pour les systèmes à haut risque concernés, des exigences de la loi sur l’IA en matière de gouvernance des données, de documentation, de conservation des enregistrements et de surveillance
- Les entreprises américaines sont soumises à des attentes connexes en matière d’identification des clients et de conformité aux règles « KYC » (Know Your Customer), de lutte contre le blanchiment d’argent et de respect des sanctions, de pratique équitable en matière de crédit, de protection de la vie privée et de gestion des risques liés aux modèles, en fonction de leur activité et de l’autorité de régulation concernée
Ces différents axes prioritaires posent un défi opérationnel commun ? les entreprises du secteur bancaire, des services financiers et de l’assurance (BFSI) ont besoin de données fiables et de preuves défendables.
Que se passe-t-il lorsque votre client ressemble à quatre personnes différentes ?
Une même personne peut apparaître comme client de banque de détail, emprunteur hypothécaire, assuré, dirigeant d’entreprise ou bénéficiaire effectif dans différents systèmes. Chaque système contient une version créée à un moment différent et dans un but différent.
Un filtrage efficace des sanctions et une mise à jour du KYC (Know Your Customer) reposent sur la résolution précise de ces versions et de ces relations. Lorsque l’identité est fragmentée, un contrôle des crimes financiers ou des sanctions peut se transformer en un exercice de rapprochement manuel entre les systèmes bancaires, hypothécaires, de gestion de patrimoine et d’assurance. Chaque système peut afficher un nom, une adresse, un lien de propriété ou une classification de risque différents pour ce qui devrait être un seul et même client ou une seule et même partie.
Lorsque cela se produit, l’équipe chargée de la conformité est confrontée à trois questions ?
- Quel enregistrement est fiable ?
- Comment les relations et les comptes du client sont-ils reliés entre eux ?
- La vérification a-t-elle été effectuée sur la base d'une vue d'ensemble complète ou partielle ?
Le contexte des parties prenantes est tout aussi important que l'identité. Les établissements financiers doivent comprendre quels comptes un client contrôle, quelles entreprises il possède, quelles polices d'assurance il détient et comment les personnes physiques, les personnes morales et les intermédiaires sont liés.
Sans une couche d’identité régie par des règles, répondre à ces questions de manière cohérente peut s’avérer long et difficile. Chaque identité ou relation non résolue affaiblit la capacité de l’entreprise à défendre une décision ou un résultat de vérification.
Pourquoi votre CRM ou votre entrepôt de données ne suffisent pas à eux seuls à résoudre le problème de l'identité client
La plupart des entreprises utilisent déjà un CRM et un entrepôt de données. Tous deux sont essentiels, mais aucun ne fournit nécessairement les fonctionnalités de résolution d’identité, de mise en correspondance, de détermination de l’identité prépondérante et de gestion des relations nécessaires pour établir une identité client persistante et fiable à travers tous les systèmes sources.
- Les systèmes CRM sont principalement conçus pour gérer les interactions et l’engagement client
- Les entrepôts de données consolident les données à des fins d’analyse et de reporting
Aucun des deux n’est conçu pour répondre à la question plus précise relative à l’identité ? ces enregistrements représentent-ils la même personne ou la même organisation, quelles sources doivent prévaloir, et cette décision peut-elle être justifiée ?
Une couche d’identité régie complète les plateformes CRM et de données en fournissant une identité persistante des clients et des entités, le contexte des relations, ainsi que des règles transparentes que les processus en aval peuvent réutiliser.
Pourquoi l’IA transforme les données clients en un enjeu de conformité encore plus complexe
L’IA et l’analyse avancée sont de plus en plus utilisées dans des processus tels que l’intégration des nouveaux clients, la détection des fraudes, le service client, le traitement des réclamations, ainsi que certains aspects de l’évaluation du crédit et des risques. L’IA ne remplace pas les obligations réglementaires liées à ces processus. Pour les cas d’utilisation à haut risque concernés, elle peut imposer des exigences supplémentaires en matière de gouvernance des données, de documentation, de conservation des archives et de contrôle humain.
Lorsqu’une autorité de régulation examine l’une de ces décisions, son analyse porte alors sur ?
- Quelles données relatives aux clients et aux parties prenantes le système a utilisées, et de quelles sources elles provenaient
- Si ces données étaient suffisamment précises, complètes et pertinentes à ce moment-là
- quels contrôles, responsables et supervision humaine ont été appliqués au résultat
L’automatisation amplifie la fragmentation des données. Une fiche erronée, obsolète ou mal traitée peut influencer de nombreuses décisions en aval avant que le problème ne soit détecté.
La gestion des données de référence (MDM) ne suffit pas à elle seule à garantir la conformité d’un système d’IA. Une identité client régie et traçable peut toutefois fournir un contexte fiable et des preuves pour les données alimentant les décisions basées sur l’IA.
Sans cette base, une décision pilotée par l’IA hérite des mêmes faiblesses qu’une décision humaine, fondée sur un enregistrement dont personne ne peut garantir entièrement la fiabilité.
Ce qu’il faut vérifier avant votre prochain audit
La plupart des programmes de conformité vérifient si les données clients semblent correctes, mais rares sont ceux qui vérifient si elles peuvent être défendues, ni comment elles ont été sélectionnées, gérées et utilisées.
Avant le prochain audit, la mise à jour des données KYC ou l'examen d'une décision prise à l'aide de l'IA, posez-vous une question plus exigeante ?
Pour un client donné, à un moment précis, êtes-vous en mesure de reconstituer l’identité et les relations utilisées, de remonter jusqu’à la source des valeurs clés et de montrer quels contrôles et quelles exceptions ont été appliqués ?
Si la réponse nécessite des semaines de travail manuel sur l'ensemble des systèmes, le risque réside dans le manque de preuves entre la politique et les données opérationnelles.
Comment Stibo Systems aide les entreprises du secteur BFSI à prouver l'identité de leurs clients
Stibo Systems gère l'identité des clients grâce à la gestion des données de référence (MDM), optimisée par STEP, notre plateforme d'intelligence de confiance. Elle permet de ?
- Résout les enregistrements relatifs aux clients et aux entités à l’aide de règles de mise en correspondance configurables, déterministes et probabilistes
- applique des règles transparentes de fusion et de survie pour déterminer les valeurs fiables
- Modélise les relations et les hiérarchies entre les personnes physiques, les personnes morales, les comptes, les polices d’assurance, les intermédiaires et les parties liées
- Relie les données des clients et des parties prenantes à d’autres domaines gérés, tels que les données relatives aux produits, aux sites et aux fournisseurs
Des workflows configurables, des règles de validation, la gestion responsable des données, les contrôles d’accès, la traçabilité et l’historique d’audit aident les entreprises à comprendre comment les données de référence ont évolué, qui les a modifiées et quels contrôles ont été appliqués.
STEP fait office de couche de confiance opérationnelle. Il ne remplace pas les systèmes CRM, les plateformes de données, les outils GRC ni la gouvernance des modèles ; il leur fournit un contexte cohérent en matière d’identité et de relations, facilitant ainsi la récupération des preuves sans avoir à reconstituer l’historique d’un enregistrement après réception d’une demande.
La réglementation continuera d’évoluer, mais la question opérationnelle reste d’actualité ? l’entreprise est-elle en mesure de montrer quelles données clients et partenaires elle a considérées comme fiables, comment cette confiance a été établie et où ces données ont été utilisées ?
Les entreprises du secteur BFSI capables d’y répondre clairement sont mieux armées pour faire face aux contrôles réglementaires et mettre en œuvre une IA responsable à grande échelle.
Vous ne savez pas exactement de quoi se compose votre dossier client ? Téléchargez notre ebook, « Meet Your Frankenstein Customer », pour découvrir comment se forment ces dossiers disparates et ce qu’il faut pour les remplacer par une vision unique, maîtrisée et défendable du client.
FAQ
Quelle est la différence entre la gouvernance des données et la traçabilité des données clients ?
- La gouvernance des données établit les règles, qui possède quelles données, comment elles doivent être classées, et quelles normes de qualité s'appliquent.
- La traçabilité des données est l'enregistrement de ce qui est arrivé à une donnée au fil du temps : d'où elle vient, quand elle a changé et qui l'a modifiée.
Une entreprise peut avoir des politiques de gouvernance solides et manquer néanmoins de la traçabilité nécessaire pour démontrer comment ces politiques ont été appliquées à des données spécifiques.
Quelle est la différence entre le rapprochement déterministe et le rapprochement probabiliste ?
- Deterministic matching uses predefined rules to link records based on exact or strongly defined attribute combinations, such as customer identifiers, account numbers, or combinations of name and date of birth.
- Probabilistic matching scores the likelihood that two records represent the same person based on a combination of fields that are similar but not identical, such as name, address, and date of birth.
Les entreprises BFSI ont généralement besoin à la fois de correspondance déterministe pour des liens de haute confiance et de correspondance probabiliste pour attraper les cas les plus difficiles où les identifiants sont manquants ou incohérents entre les systèmes.
Que regarde un régulateur lors d'un examen axé sur les données ?
Un examen réglementaire axé sur les données peut exiger qu'une entreprise démontre comment les données clients ont soutenu un résultat, un processus ou une décision particuliers. Le régulateur cherche des informations sur quel enregistrement a été utilisé, d'où il venait, s'il s'agissait de la version la plus récente à l'époque et qui avait accès pour le modifier.
Une meilleure traçabilité des données clients aide-t-elle à autre chose qu'à la conformité ?
Cela a tendance à. Les entreprises capables de tracer l'identité des clients à travers les systèmes constatent généralement également moins de doublons, un onboarding plus rapide et moins de faux positifs dans le filtrage des sanctions en améliorant la cohérence et l'exhaustivité des données clients sur lesquelles elles s'appuient.
Combien de temps faut-il pour être prêt pour un audit des données clients ?
Cela varie selon les entreprises, en fonction du nombre de systèmes contenant des données clients et du degré de fragmentation de ces enregistrements.
Les entreprises disposant d'un seul système bancaire central ou de gestion des polices avancent généralement plus rapidement que celles qui gèrent l'identité des clients sur plusieurs plateformes héritées construites à différentes époques.
