AML / CFT Program
Statut : draft à valider par un compliance officer AML / CFT. Programme de lutte anti-blanchiment d'argent (AML) et contre le financement du terrorisme (CFT) de Nex. Référentiel : FATF Recommendations + GABAC (Afrique centrale).
1. Objectif
- Détecter et prévenir l'usage de Nex pour le blanchiment d'argent, le financement du terrorisme ou la fraude financière.
- Respecter les obligations légales et réglementaires CEMAC.
- Coopérer avec les autorités (BEAC, GABAC, banques partenaires) lors des enquêtes.
2. Périmètre
- Tous les utilisateurs finaux Nex (consumers, agents, merchants).
- Toutes les transactions monétaires (cash-in, cash-out, P2P, paiements merchant).
- Tous les services métier impliqués :
auth,customer-profiles-kyc,ledger-wallets,risk-engine,service-catalog,providers-gateway,logs-reporting.
3. Architecture du programme
4. Identification du client (CDD)
4.1 KYC consumer
| Étape | Donnée collectée | Source / vérification |
|---|---|---|
| Phone + OTP | Numéro de téléphone vérifié | SMS OTP |
| Identité | Nom, prénom, date de naissance, nationalité | Saisie utilisateur |
| Pièce d'identité | Photo recto/verso CNI / passeport / titre de séjour | Upload + OCR via Apentis |
| Selfie | Photo visage | Live capture + comparaison Apentis |
| Justificatif domicile | Optionnel selon niveau KYC | Upload |
Détail flow : /flows/kyc-onboarding.
4.2 KYB merchant
| Étape | Donnée collectée |
|---|---|
| Registre commerce | Document officiel |
| Statuts de la société | Document |
Représentant légal (legal_representative_person_id) | KYC standard |
Membres équipe (merchant_members) | KYC par membre |
| Compte bancaire de versement | RIB / IBAN |
Détail flow : /flows/kyb-onboarding.
4.3 Niveaux KYC (KYC tiers)
Convention à valider avec la BEAC pour les seuils précis.
| Niveau | Vérifications | Plafond transaction [À CONFIRMER] | Plafond mensuel [À CONFIRMER] |
|---|---|---|---|
| Basic | Phone vérifié | Faible | Faible |
| Standard | + Identité officielle vérifiée | Moyen | Moyen |
| Enhanced | + Justificatif domicile + revenus | Élevé | Élevé |
| Corporate (merchant) | KYB complet | Très élevé | Très élevé |
Application dans le code : risk-engine KycLevelRule — voir /services/risk-engine/.
5. Screening PEP & sanctions
| Liste | Couverture | Provider |
|---|---|---|
| PEP (Politically Exposed Persons) | Cameroun + CEMAC + international | [À CONFIRMER : Apentis ou provider tiers] |
| Sanctions internationales | OFAC, UN, EU, GABAC | [À CONFIRMER] |
| Listes terroristes | UN 1267, listes nationales | [À CONFIRMER] |
- Screening à l'onboarding : obligatoire.
- Screening continu : re-screening périodique (
[à définir : mensuel ?]). - Hit → blocage transaction + alerte compliance + revue manuelle.
6. Surveillance des transactions
6.1 Plafonds réglementaires
Implémentés via risk-engine :
| Plafond | Rule | Fréquence |
|---|---|---|
| Par transaction | PerTransactionLimitRule | À chaque évaluation |
| Cumulatif journalier | CumulativeCapRule (daily) | À chaque évaluation |
| Cumulatif hebdomadaire | CumulativeCapRule (weekly) | À chaque évaluation |
| Cumulatif mensuel | CumulativeCapRule (monthly) | À chaque évaluation |
Cf. /services/risk-engine/ et ADR-0007.
6.2 Détection d'anomalies (à enrichir)
| Pattern | Détection | Action |
|---|---|---|
| Structuring / smurfing | Multiples transactions juste sous le plafond | Alerte → revue |
| Vélocité anormale | Nombre de transactions / fenêtre temporelle excessif | Alerte → revue |
| Pays sous embargo | Phone ou identité liée à un pays sanctionné | Blocage |
| Profil incohérent | Volumes incompatibles avec les revenus déclarés | Alerte → revue |
| Comptes mules | Réception suivie immédiatement de redistribution | Alerte → revue |
| Self-transfer interdit | sender == receiver | SamePartyForbiddenRule (déjà actif) |
Beaucoup de ces patterns ne sont pas encore implémentés explicitement comme rules dans
risk-engine. Roadmap : enrichir le set de règles AML V2.
7. Déclaration de soupçon (SAR)
7.1 Quand déclencher une SAR
- Transaction ou pattern de transactions présentant des indices sérieux de blanchiment ou de financement du terrorisme.
- Refus de fournir des documents justificatifs lors d'une enhanced due diligence.
- Hit sur liste sanctions / terrorisme.
- Tout signalement interne crédible (collaborateur, partenaire).
7.2 Processus
Contraintes :
- Confidentialité absolue : ne jamais informer l'utilisateur visé qu'une SAR a été déclenchée (tipping-off interdit, sanctions pénales).
- Délai de soumission : selon réglementation GABAC
[À CONFIRMER]. - Conservation 10 ans des documents et de la décision.
7.3 Outil
Workflow CMMS dédié pour le compliance officer (à implémenter). Audit trail via logs-reporting.
8. Compliance officer
| Aspect | Définition |
|---|---|
| Nom | [À CONFIRMER] |
| Rattachement hiérarchique | Direction Nex (CEO ou conseil d'administration) |
| Responsabilités | Programme AML/CFT, formation, audits internes, SAR, point d'entrée régulateurs |
| Indépendance | Doit pouvoir alerter sans contrainte hiérarchique |
9. Formation des équipes
| Cible | Contenu | Cadence |
|---|---|---|
| Tout salarié à l'onboarding | Bases AML/CFT, signaux d'alerte | Une fois + refresh annuel |
| Équipe ops / support | Indicateurs comportementaux, tipping-off | Annuel |
| Équipe risk / compliance | Patterns avancés, évolutions réglementaires | Semestriel |
| Direction | Responsabilités, sanctions | Annuel |
10. Audit du programme
- Audit interne annuel par le compliance officer ou un auditeur interne indépendant.
- Audit externe :
[À CONFIRMER fréquence selon obligations BEAC/GABAC]. - Résultats remontés au conseil d'administration et au régulateur.
11. Conservation des données
| Donnée | Durée | Base légale |
|---|---|---|
| KYC documents | 10 ans après fin de relation | Recommandation FATF + GABAC |
| Historique transactions | 10 ans | idem |
| SAR et investigations | 10 ans | idem |
| Logs d'accès admin | 5 ans | ISO 27001 + ANSSI |
12. Gaps connus
- PEP & sanctions screening provider à confirmer / contractualiser.
- Workflow SAR CMMS à implémenter.
- Audit log centralisé (
logs-reporting) à implémenter. - Plafonds réglementaires exacts à valider avec un juriste CEMAC.
- Délais de soumission SAR à confirmer avec GABAC.
13. Références
- FATF Recommendations : https://www.fatf-gafi.org/en/publications/Fatfrecommendations.html
- GABAC : https://spgabac.org/
- Wolfsberg Group AML Questionnaire : https://www.wolfsberg-principles.com/