Au cours de l'année écoulée, nous avons apporté au contrôle de conformité le plus vaste ensemble de changements de l'histoire de Business Radar. Les meilleures idées ne figuraient pas sur notre feuille de route. Elles viennent des équipes conformité qui nous ont indiqué, lors de démonstrations, de tickets d'assistance et de revues trimestrielles, exactement où les outils de contrôle montrent leurs limites. Voici ce que nous avons changé, et le raisonnement qui a guidé ces choix.
Nous avons construit notre propre base de données de conformité
Un changement s'est entièrement déroulé en coulisses. Business Radar collecte désormais les données sur les sanctions, les PEP et les entités liées à des États directement à la source, dans sa propre base de données de conformité, plutôt que sous licence auprès d'un fournisseur de données tiers.
Nous l'avons fait pour regagner deux choses : la rapidité et le contrôle. Lorsque vos données proviennent d'un fournisseur, vous héritez de son cycle de mise à jour, de son modèle d'entités et de ses limites. Quand un client nous demandait pourquoi une modification de liste mettait plusieurs jours à apparaître, la réponse honnête était : « parce que c'est à ce moment-là que notre fournisseur la publie ». Cette réponse n'était pas satisfaisante pour des équipes dont l'exposition change le jour même où une entité est inscrite.
Avec notre propre base de données, les modifications de listes alimentent les alertes de surveillance le jour même où elles interviennent. Cela signifie aussi que, lorsqu'un client a besoin d'une source que nous ne couvrons pas encore, nous pouvons l'ajouter nous-mêmes au lieu d'adresser une demande à un tiers. Depuis ce changement, nous avons étendu le contrôle au-delà des listes principales à des sources telles que la base de données Offshore Leaks et les décisions de justice issues de registres officiels, et l'ensemble des sources continue de s'étoffer en fonction des besoins réels de nos clients.
Le contrôle suit désormais votre appétence au risque, pas la nôtre
Chaque équipe conformité avec laquelle nous travaillons dispose d'un cadre de risque. Presque tous les outils de contrôle l'ignorent et appliquent les mêmes règles à tout le monde.
Nous avons changé cela. Les paramètres de conformité de Business Radar permettent désormais à votre organisation de définir ce qui est contrôlé, surveillé et revu. Si certaines listes de sanctions sortent de votre périmètre, vous les excluez et elles cessent de générer des correspondances. Si votre politique PEP exige de la précision, vous pouvez imposer une correspondance complète du nom de famille avant qu'une personne n'arrive en revue. Et vous décidez du sort des false positives identifiés par notre revue IA : les exclure totalement de la file d'attente ou les garder visibles si votre politique impose un contrôle humain sur l'ensemble.
Le degré de centralisation de ces règles est lui-même un choix. Les administrateurs de l'organisation peuvent définir la politique une fois pour toutes afin que chaque contrôle réponde au même standard, ou laisser aux analystes la possibilité d'ajuster eux-mêmes les paramètres lorsque l'organisation l'autorise. Dans les deux cas, les résultats sont partagés au sein de l'équipe, si bien que chacun travaille à partir de la même vision. L'effet décrit par nos clients est double : de la cohérence pour le responsable conformité et des files de revue que les analystes peuvent réellement traiter.
Quand notre IA tranche, elle montre son raisonnement
La détection automatisée des faux positifs n'est utile que si votre équipe peut lui faire confiance, et cette confiance ne repose pas uniquement sur la précision. Elle vient de la possibilité de vérifier.
Lorsque Business Radar qualifie désormais une correspondance de faux positif, il expose le raisonnement à l'origine de cette décision. Les analystes peuvent examiner la logique, la valider ou l'infirmer. Chaque décision, automatisée ou humaine, est consignée dans la piste d'audit. Nous pensons que c'est ainsi que l'IA doit se présenter en conformité : non pas une boîte noire qui filtre vos correspondances, mais un collègue qui s'explique et accepte d'être contredit.
La piste d'audit elle-même a été repensée selon le même principe. Les contrôles documentent désormais les scores de signaux de risque par catégorie, un détail complet par entité, les notes de revue IA avec niveaux de confiance, ainsi que les commentaires et décisions des relecteurs. Lorsqu'un auditeur ou un régulateur demande comment une correspondance a été évaluée, la réponse figure à l'écran.
De petits changements aux effets importants
Certains des changements les plus appréciés ont été demandés par nos utilisateurs. Les contrôles de conformité couvrent désormais les alias, ce qui compte davantage qu'il n'y paraît : une même entité peut apparaître sous différentes graphies, dans différentes langues, voire dans différents alphabets, et un contrôle qui ne connaît que la raison sociale en caractères latins passera à côté d'une correspondance en translittération cyrillique ou arabe. Le contrôle de conformité d'un portefeuille est passé d'un traitement au cas par cas à quelques clics, si bien que les revues périodiques de centaines de contreparties ne mobilisent plus des journées d'analystes. Enfin, les résultats de conformité intègrent désormais des notes et des mentions : la discussion sur une correspondance a lieu directement sur celle-ci et se retrouve dans la piste d'audit, au lieu de rester dans un fil d'e-mails introuvable un an plus tard.
Une demande s'est révélée plus importante qu'elle n'en avait l'air : contrôler des personnes physiques sans rattachement à une entreprise. Partie d'un besoin pratique, elle élargit les usages possibles de Business Radar. La due diligence ne s'arrête pas aux dirigeants et aux actionnaires. Les équipes conformité doivent aussi contrôler des particuliers : clients potentiels, investisseurs, candidats à un conseil d'administration, partenaires commerciaux. Business Radar traite désormais une personne isolée avec la même rigueur qu'une entreprise, contrôles des sanctions, des PEP et des mesures coercitives compris, sans qu'une entité juridique soit nécessaire pour rattacher le contrôle.
Ces évolutions ne sont pas issues de séances internes de stratégie produit. Des clients nous ont détaillé leurs processus réels et désigné les points de friction. Nous en sommes venus à considérer que c'est ainsi que notre feuille de route doit fonctionner : nos clients expriment un besoin et nous regardons comment le rendre possible.
Ce que cela change au final
Le contrôle des sanctions a la réputation d'être un exercice de pure forme : lancer la vérification, exporter le rapport, passer à autre chose. Nous pensons que cette réputation tient aux outils eux-mêmes. Un contrôle fondé sur des données fournisseur obsolètes, des règles de correspondance génériques et une automatisation inexpliquée produit exactement le bruit et la méfiance avec lesquels les équipes conformité ont appris à composer.
Nous cherchons à construire l'inverse : un contrôle fondé sur des données que nous maîtrisons et mettons à jour le jour même, des règles qui reflètent votre appétence au risque plutôt que nos paramètres par défaut, et une automatisation qui explique chaque décision. À en juger par ce que nos clients nous demandent de développer ensuite, nous sommes sur la bonne voie et nous entendons continuer à travailler ainsi.
Pour voir ce que cela donne sur vos propres contreparties, réservez une démo.
