Nouvelle donne annoncée dans les relations clients digitales

Les annonces r&eacute;centes de la Commission europ&eacute;enne sur la r&eacute;vision du r&egrave;glement Electronic Identification Authentication and Trust Services (eIDAS 2.0) et le package Anti-Money Laundering (AML) ont notamment pour objectif de doter les citoyens europ&eacute;ens d&rsquo;identit&eacute;s num&eacute;riques sous leur contr&ocirc;le, permettant d&rsquo;acc&eacute;der &agrave; une tr&egrave;s large gamme de services et de r&eacute;aliser des paiements. Certes, le processus l&eacute;gislatif des propositions faites par la Commission est loin d&rsquo;&ecirc;tre achev&eacute;. Il peut encore amener des changements et de nombreux actes d&eacute;l&eacute;gu&eacute;s et textes d&rsquo;application restent &agrave; &eacute;tablir. Mais ces propositions b&eacute;n&eacute;ficient de l&rsquo;appui politique du Conseil europ&eacute;en, via les conclusions des Conseils des 1er et 2 octobre (identit&eacute; num&eacute;rique europ&eacute;enne) et du 5 novembre 2020 (package AMLR). Cela annonce (sauf surprise) une adoption des textes sans bouleversements majeurs et se traduit par un calendrier de mise en œuvre tr&egrave;s ambitieux, tout particuli&egrave;rement sur le volet eIDAS 2.0. Ces textes traduisent dans l&rsquo;environnement r&eacute;glementaire une triple &eacute;volution, induite par le d&eacute;ploiement massif des usages num&eacute;riques dans les relations entre banques et clients&thinsp;: le face-&agrave;-face n&rsquo;est plus la r&eacute;f&eacute;rence en mati&egrave;re d&rsquo;entr&eacute;e en relation, car d&eacute;sormais les interactions entre clients et prestataires de services se font nativement en mode distanciel. Traduction concr&egrave;te&thinsp;: la non-pr&eacute;sence physique du client n&rsquo;est plus identifi&eacute;e comme un facteur de risque LCB/FT (Lutte contre le blanchiment des capitaux et le financement du terrorisme) dans le futur r&egrave;glement AML&thinsp;; les attributs remplacent progressivement les documents, permettant ainsi leur communication num&eacute;rique individualis&eacute;e et une protection renforc&eacute;e de la privacy&thinsp;; enfin, l&rsquo;Europe devient le cadre pertinent pour les sp&eacute;cifications techniques de l&rsquo;identification num&eacute;rique, en lieu et place des espaces nationaux, permettant aussi d&rsquo;atteindre une autonomie et une souverainet&eacute; strat&eacute;gique face aux GAFAM et autres BATX. C&ocirc;t&eacute; KYC aussi, les r&egrave;gles seront &agrave; l&rsquo;avenir fix&eacute;es au niveau europ&eacute;en avec le nouveau r&egrave;glement AML, alors qu&rsquo;elles sont aujourd&rsquo;hui pour l&rsquo;essentiel d&eacute;finies par chaque pays. L&rsquo;impact sur les relations clients du secteur bancaire promet d&rsquo;&ecirc;tre significatif&thinsp;: l&rsquo;&eacute;volution des r&egrave;gles du KYC l&egrave;ve ainsi un facteur d&eacute;terminant de cloisonnement des march&eacute;s bancaires dans les activit&eacute;s retail. Et avec les wallets d&rsquo;identit&eacute; num&eacute;rique mis en place par le futur r&egrave;glement eIDAS 2.0, les banques vont de facto perdre la ma&icirc;trise de la gestion des moyens d&rsquo;authentification de leurs clients. D&rsquo;o&ugrave; l&rsquo;importance pour le secteur de bien appr&eacute;hender les enjeux de ces changements structurels. I. Des wallets pour (presque) tout faire&thinsp;? Le sch&eacute;ma eIDAS actuel, issu du r&egrave;glement de 2014, affiche deux lacunes majeures&thinsp;: il n&rsquo;&eacute;tait pas con&ccedil;u pour les usages du secteur priv&eacute; &ndash; et de ce fait amput&eacute; de son principal gisement d&rsquo;utilisation &ndash; et, par ailleurs, il est structurellement d&eacute;pendant de sp&eacute;cifications techniques nationales disparates limitant l&rsquo;interop&eacute;rabilit&eacute; des sch&eacute;mas d&rsquo;identit&eacute; num&eacute;riques. Outils de conservation et de distribution d&rsquo;attributs s&eacute;curis&eacute; sous le contr&ocirc;le de leurs titulaires, les wallets sont sans conteste le principal apport du r&egrave;glement eIDAS 2.0. Ils vont &agrave; terme remplacer les sch&eacute;mas d&rsquo;identification &eacute;lectroniques eIDAS. Ils s&rsquo;&eacute;loignent, dans leur conception, des sch&eacute;mas d&rsquo;identit&eacute; f&eacute;d&eacute;r&eacute;s bas&eacute;s sur une gestion centralis&eacute;e priv&eacute;e ou publique (comme France Connect) et s&rsquo;orientent vers des solutions d&eacute;centralis&eacute;es. Un outil pour tous les actes digitaux du quotidien Le projet vise tr&egrave;s large. Ces wallets vont permettre l&rsquo;acc&egrave;s &agrave; l&rsquo;ensemble des services cl&eacute;s de l&rsquo;&eacute;conomie &ndash; services publics bien s&ucirc;r, mais aussi transport, &eacute;nergie, banque et finance, sant&eacute;, s&eacute;curit&eacute; sociale, etc. &ndash; ainsi qu&rsquo;aux plateformes num&eacute;riques syst&eacute;miques (en clair les GAFAM), qui ne pourront donc les refuser. Leur d&eacute;ploiement pr&eacute;figure &eacute;galement la mise en place d&rsquo;une monnaie num&eacute;rique de banque centrale (voir encadr&eacute;). Ces wallets devront &eacute;galement fonctionner en mode hors-ligne (hors connexion internet de l&rsquo;utilisateur) et r&eacute;pondre aux crit&egrave;res d&rsquo;authentification forte requis par la Directive de paiement DSP2 &ndash; y compris pour l&rsquo;&eacute;tablissement d&rsquo;un lien dynamique&thinsp;&ndash; permettant ainsi d&rsquo;autoriser des paiements avec ou sans contact. Cette exigence vise de fait &agrave; les positionner comme vecteurs prioritaires d&rsquo;identification et d&rsquo;authentification dans les relations digitales, une situation &eacute;galement reconnue dans le projet de r&egrave;glement AML. Pour les secteurs d&rsquo;activit&eacute; habitu&eacute;s &agrave; contr&ocirc;ler les moyens d&rsquo;authentification de leurs clients, le changement sera donc profond&hellip; et sans doute disruptif. Vers des sp&eacute;cifications techniques co-construites avec le secteur priv&eacute; Le projet vise donc &ndash; et c&rsquo;est bienvenu &ndash; &agrave; construire un ensemble commun de sp&eacute;cifications techniques permettant une accr&eacute;ditation objectiv&eacute;e des wallets eIDAS 2.0, en rupture avec le processus actuel de validation par consensus (revue par les pairs) des sch&eacute;mas d&rsquo;identit&eacute; num&eacute;riques eIDAS b&acirc;tis sur des sp&eacute;cifications nationales. On ne peut que souhaiter que cette d&eacute;marche de co-construction inclue le secteur priv&eacute; et notamment les &eacute;tablissements bancaires, leur implication &eacute;tant &agrave; notre avis une condition d&eacute;terminante de r&eacute;ussite. Enfin, &agrave; la diff&eacute;rence d&rsquo;un document d&rsquo;identit&eacute; contenant un nombre fixe d&rsquo;attributs, les wallets eIDAS 2.0 adoptent nativement une approche modulable et ouverte (voir infographie). Cela permet, sous le contr&ocirc;le complet de leurs utilisateurs, de recevoir, de conserver et de communiquer non seulement des attributs d&rsquo;identit&eacute; individuellement s&eacute;lectionn&eacute;s mais &eacute;galement des attributs autres que les attributs habituels d&rsquo;identit&eacute;, en premier lieu des attributs &eacute;lectroniquement attest&eacute;s faisant l&rsquo;objet d&rsquo;un nouveau service de confiance eIDAS&thinsp;2.0. Cette &eacute;volution vers des solutions de conservation d&eacute;centralis&eacute;e des attributs num&eacute;riques &ndash; en pratique sur les terminaux mobiles des utilisateurs &ndash; est l&rsquo;une des innovations majeures du r&egrave;glement eIDAS 2.0. &Agrave; noter que le projet eIDAS 2.0 introduit aussi une exigence nouvelle d&rsquo;un identifiant unique et persistant qui pose question &agrave; l&rsquo;heure o&ugrave; la surveillance des usages num&eacute;riques par des acteurs priv&eacute;s ou publics fait d&eacute;bat, ceci d&rsquo;autant plus que les wallets deviendront l&rsquo;&eacute;l&eacute;ment central des interactions digitales des citoyens. Heureusement, des solutions techniques permettent d&rsquo;assurer une protection efficace en ce domaine, renforc&eacute;es par des dispositions juridiques du r&egrave;glement eIDAS 2.0. II. L&rsquo;enjeu de l&rsquo;unification des r&egrave;gles de KYC Annonc&eacute; dans la foul&eacute;e du r&egrave;glement eIDAS 2.0 et pr&eacute;par&eacute; en concertation avec ses r&eacute;dacteurs, le package AML comprend trois r&egrave;glements et une directive. Il red&eacute;finit l&rsquo;architecture des dispositions LCB/FT en Europe et va bien au-del&agrave; de l&rsquo;harmonisation des r&egrave;gles de KYC, th&eacute;matique qui nous concernent plus sp&eacute;cifiquement ici. Celle-ci est transcrite dans un projet de r&egrave;glement AML dont les dispositions, une fois d&eacute;finitivement adopt&eacute;es, remplaceront celles de la directive AML actuelle et s&rsquo;appliqueront directement dans les &Eacute;tats membres. Le r&egrave;glement d&eacute;finit et unifie (enfin&thinsp;!) les attributs requis pour les v&eacute;rifications d&rsquo;identit&eacute; des personnes physiques et morales, sujet qui aujourd&rsquo;hui rel&egrave;ve des &Eacute;tats membres. Par ailleurs, il clarifie les conditions dans lesquelles les &eacute;tablissements assujettis pourront r&eacute;utiliser des donn&eacute;es d&eacute;j&agrave; v&eacute;rifi&eacute;es en provenance d&rsquo;autres &eacute;tablissements assujettis (tierce introduction) ou faire appel &agrave; des prestataires externes pour la mise en œuvre de leurs process de KYC (externalisation). Vers l&rsquo;open data comme source d&rsquo;information Sur le premier aspect, l&rsquo;unification des attributs d&rsquo;identit&eacute; requis s&rsquo;accompagne d&rsquo;une clarification des sources d&rsquo;information admises &ndash;&thinsp;documents et pi&egrave;ces d&rsquo;identit&eacute; correspondant en France &agrave; la majorit&eacute; des cas d&rsquo;usage, moyens d&rsquo;identification &eacute;lectroniques et services de confiance (qualifi&eacute;s) eIDAS, mais aussi reconnaissance de l&rsquo;acc&egrave;s direct &agrave; des sources fiables et ind&eacute;pendantes, solution qui annonce des sch&eacute;mas d&rsquo;open data. Leurs modalit&eacute;s d&rsquo;application seront par ailleurs pr&eacute;cis&eacute;es par des standards techniques r&eacute;glementaires de la future autorit&eacute; LCB. La question de la responsabilit&eacute; Le projet de r&egrave;glement confirme &eacute;galement la possibilit&eacute; pour un &eacute;tablissement assujetti aux r&egrave;gles LCB/FT de r&eacute;utiliser des attributs d&rsquo;identit&eacute; d&eacute;j&agrave; v&eacute;rifi&eacute;s par un autre &eacute;tablissement assujetti. Si cette solution &eacute;tait d&eacute;j&agrave; reconnue en France (tierce introduction), elle reste peu pratiqu&eacute;e, en raison notamment des incertitudes juridiques sur les recours en responsabilit&eacute; dans les situations o&ugrave;, par exemple, une information transmise s&rsquo;av&eacute;rerait inexacte. En effet, si la &laquo; responsabilit&eacute; finale &raquo; de l&rsquo;&eacute;tablissement r&eacute;ceptionnaire des informations au regard des r&egrave;gles LCB/FT est bien inscrite dans les textes &ndash; recommandations du Groupe d&rsquo;action financi&egrave;re (GAFI), directive et demain r&egrave;glement AML&thinsp;&ndash;, les conditions d&rsquo;un &eacute;ventuel recours &agrave; l&rsquo;encontre de l&rsquo;&eacute;tablissement attestant de l&rsquo;information ne sont pas pr&eacute;cis&eacute;es. La clarification apport&eacute;e au niveau europ&eacute;en est certes bienvenue, mais il n&rsquo;est pas certain que ses conditions de mise en œuvre, qui demeurent contraignantes, favorisent le d&eacute;veloppement d&rsquo;une v&eacute;ritable mutualisation des proc&eacute;dures de KYC, pourtant souhaitable pour renforcer la qualit&eacute; des process du devoir de vigilance relatif &agrave; la client&egrave;le, ma&icirc;triser leurs co&ucirc;ts d&rsquo;exploitation et faire &eacute;merger des nouveaux acteurs (KYC utilities). On notera enfin que l&rsquo;externalisation du devoir de vigilance relatif &agrave; la client&egrave;le fait &eacute;galement l&rsquo;objet de dispositions plus d&eacute;taill&eacute;es (interdiction d&rsquo;externaliser certains processus d&eacute;cisionnels, exigence d&rsquo;un accord &eacute;crit pr&eacute;voyant des contr&ocirc;les r&eacute;guliers de l&rsquo;entit&eacute; assujettie proc&eacute;dant &agrave; l&rsquo;externalisation et principe de responsabilit&eacute; juridique compl&egrave;te de celle-ci). L&agrave; encore, des dispositions compl&eacute;mentaires &eacute;manant de la future autorit&eacute; LCB viendront pr&eacute;ciser la mise en œuvre de ces dispositions, tout particuli&egrave;rement sur le sujet des r&ocirc;les et responsabilit&eacute;s des diff&eacute;rents acteurs. On constate sur ce point une situation paradoxale car ces process impliquent aujourd&rsquo;hui de recourir &agrave; des acteurs sp&eacute;cialis&eacute;s d&eacute;ployant des solutions technologiques avanc&eacute;es, de fait hors de port&eacute;e de la plupart des &eacute;tablissements assujettis &ndash; c&rsquo;est notamment le cas pour la v&eacute;rification d&rsquo;identit&eacute; &agrave; distance avec les PVID en France &ndash; mais ce sont leurs clients (les &eacute;tablissements assujettis) qui sont pleinement responsables de leur mise en œuvre au regard des principes LCB/FT. III. De nouveaux r&ocirc;les pour le secteur bancaire&thinsp;? Les changements &eacute;voqu&eacute;s ci-dessus, dont on soulignera le caract&egrave;re structurel, pourraient entra&icirc;ner de profondes &eacute;volutions quant au positionnement des banques dans le futur paysage europ&eacute;en des usages num&eacute;riques. En effet, au-del&agrave; de leur statut de r&eacute;ceptionnaires d&rsquo;attributs de wallets pr&eacute;vu par les textes &ndash; tant pour les processus d&rsquo;entr&eacute;e en relation que pour la mise en œuvre des sc&eacute;narios d&rsquo;authentification forte&thinsp;&ndash;, eIDAS 2.0 nous semble ouvrir de r&eacute;elles perspectives pour le secteur bancaire, le positionnant comme fournisseur de services num&eacute;riques et acteur majeur de la digitalisation des relations entre clients et banques. Cela dit, si ces perspectives sont av&eacute;r&eacute;es, elles sont assorties de conditions significatives et impliquent le plus souvent la mise en œuvre de d&eacute;veloppements non n&eacute;gligeables. Reprendre la main avec un wallet bancaire Le premier r&ocirc;le des banques serait de d&eacute;velopper et fournir les applicatifs permettant de d&eacute;ployer un wallet nativement qualifi&eacute; pour les usages bancaires et r&eacute;pondant aux futurs standards techniques communs mis en œuvre dans le cadre du processus de co-construction des sp&eacute;cifications techniques pour les wallets eIDAS 2.0 (d&eacute;marche dite de toolbox). C&rsquo;est sans doute la voie qui sera privil&eacute;gi&eacute;e par les acteurs bancaires d&eacute;j&agrave; promoteurs de sch&eacute;mas de BankID, notamment dans les pays nordiques. Toutefois, outre l&rsquo;exigence de conformit&eacute; &agrave; ces standards techniques, cette approche implique &eacute;galement une reconnaissance officielle par au moins un &Eacute;tat membre, pr&eacute;alable indispensable &agrave; la certification officielle d&rsquo;un wallet eIDAS 2.0 au niveau europ&eacute;en. Une deuxi&egrave;me possibilit&eacute; serait d&rsquo;agir comme fournisseur d&rsquo;attributs d&rsquo;identit&eacute; pour les wallets eIDAS 2.0. Celle-ci se heurte toutefois &agrave; l&rsquo;exigence d&rsquo;un niveau de garantie eIDAS &eacute;lev&eacute;, qui promet d&rsquo;&ecirc;tre fort contraignant sur son volet de v&eacute;rification d&rsquo;identit&eacute;, et nous semble aujourd&rsquo;hui de fait r&eacute;serv&eacute; &agrave; des prestataires sp&eacute;cialis&eacute;s. &Agrave; titre d&rsquo;illustration, le r&eacute;cent R&eacute;f&eacute;rentiel d&rsquo;exigences pour les prestataires de v&eacute;rification d&rsquo;identit&eacute; &agrave; distance de l&rsquo;Agence nationale de la s&eacute;curit&eacute; des syst&egrave;mes d&rsquo;information (ANSII) illustre bien la complexit&eacute; des enjeux techniques et op&eacute;rationnels pour le niveau substantiel, aujourd&rsquo;hui reconnu en France par les textes comme niveau de r&eacute;f&eacute;rence pour les process LCB/FT. Le vrai changement devrait venir de l&rsquo;&eacute;largissement significatif des services de confiance eIDAS et notamment des attestations &eacute;lectroniques d&rsquo;attributs visant la certification num&eacute;rique des dipl&ocirc;mes, des qualifications professionnelles, des autorisations, licences et permis divers, mais aussi des &laquo; donn&eacute;es financi&egrave;res et comptables &raquo;. Il y a l&agrave; un gisement significatif d&rsquo;activit&eacute; pour le secteur bancaire dans des domaines aussi divers que la certification num&eacute;rique de comptes bancaires, de soldes de comptes ou d&rsquo;attestation d&rsquo;activit&eacute;s bancaires (par exemple, absence d&rsquo;incident de paiement sur X mois), mais aussi de nombreuses donn&eacute;es collect&eacute;es par les &eacute;tablissements bancaires dans le cadre de leurs process de KYC. &Agrave; titre d&rsquo;illustration du potentiel antifraude de ces certifications, on peut penser &agrave; la r&eacute;cente affaire Wirecard, pour laquelle de fausses attestations de comptes bancaires ont jou&eacute; un r&ocirc;le d&eacute;terminant. &Ecirc;tre (ou non) prestataire de services de confiance Au-del&agrave; de ses ind&eacute;niables attraits, le fait d&rsquo;agir comme prestaire de services de confiance eIDAS (PSC) n&rsquo;est pas sans contraintes &ndash; il implique notamment une certification et un audit biannuel par un organisme d&rsquo;&eacute;valuation de la conformit&eacute; charg&eacute; de v&eacute;rifier le respect des normes techniques ETSI applicables, mais aussi une exigence de s&eacute;gr&eacute;gation stricte des donn&eacute;es attest&eacute;es &eacute;lectroniquement qui pourrait s&rsquo;av&eacute;rer probl&eacute;matique pour les &eacute;tablissements bancaires envisageant ce statut. Toutefois, une perspective est &eacute;galement ouverte avec les &laquo; interm&eacute;diaires reconnus &raquo; aupr&egrave;s desquels les PSC pourront s&rsquo;alimenter en donn&eacute;es qu&rsquo;ils iront certifier &eacute;lectroniquement. Leur statut n&rsquo;est pas encore d&eacute;fini mais pourrait ouvrir, &agrave; c&ocirc;t&eacute; de celui plus contraignant de PSC, une deuxi&egrave;me voie d&rsquo;acc&egrave;s vers la fourniture de services de KYC par le secteur bancaire. Est-il possible d&rsquo;aller plus loin et d&rsquo;envisager que par exemple des attributs de KYC soient directement propos&eacute;s par le secteur bancaire sur les wallet eIDAS 2.0, &agrave; l&rsquo;instar des attributs attest&eacute;s &eacute;lectroniquement &eacute;mis par les PSC&thinsp;? &Agrave; ce jour, rien ne permet de l&rsquo;affirmer, mais rien ne l&rsquo;interdit explicitement non plus dans le projet de r&egrave;glement. Ici comme sur de nombreux autres aspects, les mois &agrave; venir viendront donner des r&eacute;ponses et corps &agrave; cette &eacute;volution majeure de la digitalisation des process li&eacute;s au KYC. Au-del&agrave; de ces consid&eacute;rations techniques, deux questions concr&egrave;tes restent n&eacute;anmoins pos&eacute;es pour permettre le d&eacute;veloppement d&rsquo;un v&eacute;ritable &eacute;cosyst&egrave;me d&rsquo;attestations bancaires tirant parti des r&egrave;gles de KYC harmonis&eacute;es au niveau europ&eacute;en et du d&eacute;ploiement des wallets eIDAS 2.0&thinsp;: quel mod&egrave;le &eacute;conomique&thinsp;? Les wallets eIDAS 2.0 devant &ecirc;tre gratuits pour leurs titulaires, comment organiser les flux financiers des utilisateurs finaux d&rsquo;attributs vers les fournisseurs de ces attributs&thinsp;; quelles modalit&eacute;s de recours en cas de difficult&eacute;&thinsp;? Que se passe-t-il si une donn&eacute;e attest&eacute;e se r&eacute;v&egrave;le inexacte&thinsp;? Sur ces deux questions, les r&eacute;ponses apport&eacute;es par le secteur bancaire seront d&eacute;terminantes. &Agrave; charge pour lui de s&rsquo;en saisir et de pr&eacute;senter des solutions adapt&eacute;es.

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

Archive

Wallets d’identité et KYC harmonisé

Nouvelle donne annoncée dans les relations clients digitales

À retrouver dans la revue

Paiements

Chahuté, Worldline se bouge

Macro-économie

Dette et déficit publics : comment éviter le précipice

Paiements

DeluPay, une appli alternative aux cartes de paiement

Services financiers spécialisés

Le leasing, notre meilleur atout pour une mobilité décarbonée

Archive

Panorama réglementaire des actifs numériques

Archive

Sberbank : une valeur anéantie à zéro en fonds de portefeuille

Archive

La transformation repose sur des directions responsables et des équipes pluridisciplinaires

Suivez-nous