Le KYC — « Know Your Customer » — n’est pas une formalité administrative réservée aux banques. Lorsqu’une entreprise choisit un prestataire technologique, elle expose ses données, ses clients, parfois ses infrastructures critiques. J’ai mené l’audit d’un fournisseur que nous appellerons « Nadir Systems ». Voici ce que cette vérification a réellement permis de voir.
Le brief était rassurant. Trop rassurant.
Nadir Systems vendait une solution d’analyse comportementale destinée aux entreprises de services. Le discours commercial était parfaitement huilé : croissance rapide, clients prestigieux, équipe internationale et promesse de conformité « native ». Le site affichait des logos, des témoignages et une adresse londonienne. Rien d’illégal, rien d’inquiétant à première vue.
Le problème se trouvait dans ce qui manquait. Aucun nom de dirigeant clairement associé à la société opérationnelle. Des mentions légales renvoyant vers une holding enregistrée dans une autre juridiction. Une politique de confidentialité très générale, incapable de préciser où les données étaient hébergées. L’audit a donc commencé par une règle simple : ne pas confondre visibilité et transparence.
Première étape : identifier la vraie société
Un nom commercial ne suffit jamais. J’ai reconstitué la chaîne juridique à partir des registres publics, des documents contractuels et des informations fournies par le fournisseur. L’objectif était de répondre à quatre questions : quelle entité signe, qui la contrôle, où circule l’argent et qui peut réellement engager la responsabilité de l’entreprise ?
La société présentée lors des réunions n’était pas celle qui facturait. Cette dernière appartenait à une structure intermédiaire, elle-même liée à une holding étrangère. Ce montage pouvait avoir une explication fiscale ou organisationnelle parfaitement légitime. Mais il devait être documenté. Sans organigramme daté ni déclaration des bénéficiaires effectifs, impossible de considérer le risque comme faible.
Les documents demandés
- extrait d’immatriculation récent et statuts à jour ;
- identité des dirigeants et bénéficiaires effectifs ;
- organigramme juridique et opérationnel ;
- attestation bancaire et coordonnées de facturation cohérentes ;
- certificats de sécurité, rapports d’audit et registre des sous-traitants ;
- politique de conservation, de suppression et de transfert des données.
Le test des incohérences
Le KYC ne consiste pas à empiler des PDF. Il faut comparer les versions et les sources. L’adresse indiquée sur le contrat ne correspondait pas à celle du registre. Le responsable sécurité cité dans une présentation avait quitté l’entreprise depuis plusieurs mois. Quant à la certification affichée, elle concernait une filiale différente et un périmètre plus limité que celui promis commercialement.
Pris séparément, ces écarts peuvent relever de la négligence. Ensemble, ils dessinent un problème de gouvernance. J’ai demandé une clarification écrite, avec une date limite et une liste précise de pièces manquantes. La réponse a été rapide, mais partielle : certains documents sont arrivés, d’autres ont été remplacés par des déclarations internes non vérifiables.
Quand la technologie devient une zone grise
Le volet technique a confirmé cette impression. Le fournisseur affirmait héberger les données dans l’Union européenne. En réalité, l’architecture reposait sur plusieurs services cloud, dont certains sous-traitants secondaires n’étaient pas nommés. Les sauvegardes et les outils de support pouvaient donc faire sortir des informations du périmètre annoncé.
J’ai également vérifié les droits d’accès, la journalisation et la procédure de suppression. La réponse standard parlait de chiffrement, mais ne précisait ni la gestion des clés ni les délais de révocation. C’est un classique : employer des mots exacts dans un contexte flou. Un audit sérieux cherche les paramètres, les responsables et les preuves de fonctionnement, pas seulement les promesses.
Cette méthode de vérification vaut d’ailleurs pour d’autres prestataires du quotidien : une table recommandée, un hébergement ou une activité locale demandent eux aussi de regarder les détails, les conditions et la traçabilité. Pour explorer des adresses, des producteurs et des séjours en Occitanie avec ce même goût du terrain, consultez le site consacré aux expériences autour de Martel et du Lot.
Le signal faible qui a changé la décision
Le point décisif n’a pas été une alerte spectaculaire. C’était une clause de sous-traitance. Elle autorisait le fournisseur à confier une partie substantielle du traitement à des partenaires non communiqués au moment de la signature. La clause n’était pas nécessairement abusive, mais elle rendait impossible toute cartographie fiable de la chaîne de responsabilité.
Nous avons demandé une annexe nominative, un droit d’opposition et une notification préalable en cas de changement. Le fournisseur a refusé, au motif que son modèle reposait sur la flexibilité. Ce refus a transformé un risque théorique en risque commercial concret : si l’entreprise ne peut pas dire qui traite les données aujourd’hui, elle ne pourra pas expliquer sereinement un incident demain.
La conclusion : suspendre, pas condamner
L’audit n’a pas établi que Nadir Systems était une société frauduleuse. Il a établi que son niveau de transparence ne correspondait pas au niveau d’exposition demandé. La décision a donc été de suspendre la contractualisation, avec possibilité de réexamen si les documents et les garanties étaient complétés.
Cette nuance compte. Un KYC responsable ne fabrique pas des accusations à partir de signaux faibles. Il mesure une capacité à répondre, à prouver et à corriger. Trois critères ont pesé dans la recommandation finale :
- La cohérence : les informations juridiques, commerciales et techniques doivent se recouper.
- La traçabilité : chaque donnée sensible doit avoir un lieu, un responsable et une durée de conservation.
- La coopération : un fournisseur fiable n’est pas celui qui n’a aucun défaut, mais celui qui accepte de les documenter.
Dans un marché technologique où la vitesse d’achat est devenue un argument commercial, ralentir peut sembler archaïque. C’est pourtant souvent la seule manière de voir ce que le discours masque. Le fournisseur parfait n’existe pas. En revanche, les angles morts se repèrent — à condition de poser les questions qui dérangent.
Pour retrouver nos autres enquêtes sur la tech, les marchés opaques et les choix qui engagent votre quotidien, rendez-vous sur notre page d’accueil.