Alors que tout le monde portait son attention sur l’essor de l’IA et son rôle dans l’automatisation de vies processus métiers, l’évaluation des risques est discrètement devenue l’un des systèmes décisionnels les plus déterminants, nécessitant une transition rapide depuis des workflows manuels et des outils internes fragmentés.
L’activité digitale s’est accélérée, la criminalité financière est devenue plus sophistiquée, et de nombreuses organisations ont réagi en superposant des contrôles dans leurs cadres d’évaluation des risques via des modèles de machine learning et l’automatisation des processus robotisés. Individuellement, ces mesures fonctionnaient. Collectivement, les systèmes de scoring de risques sont devenus difficiles à expliquer, plus difficiles à gouverner et presque impossibles à défendre des années plus tard. Lorsque des questions surgissent, les réponses sont souvent reconstruites plutôt que retrouvées.
Les régulateurs l’ont remarqué et la supervision est passée des résultats au raisonnement. Les entreprises ne sont plus jugées uniquement sur leur capacité à arrêter tous les acteurs malveillants, mais sur la cohérence, la proportionnalité et la capacité à justifier leurs décisions de scoring de risques au moment où elles ont été prises.
Pourtant, le coût réel d’une mauvaise évaluation des risques est rarement visible à l’avance. Il se cache dans des lancements retardés, des onboarding de clients limités et des expansions mises en pause, le temps de rétablir la confiance.
Du coût de fonctionnement au risque stratégique au niveau du conseil d’administration
Pendant des années, la fraude est restée discrètement cantonnée à la conformité : gérée, consignée et examinée a posteriori. Les pertes étaient tolérées comme faisant partie du coût des affaires, et les dirigeants n’y prêtaient guère attention, sauf lorsqu’elles faisaient la une de l’actualité. Ce modèle ne fonctionne plus.
Les capacités digitales continuent de se développer à un rythme soutenu. Les entreprises adoptent de nouvelles technologies, la fraude se développe tout aussi rapidement, et les outils de conformité évoluent pour suivre ce rythme. Les attaques sont devenues organisées et automatisées. Ce qui ressemblait autrefois à un bruit de fond a commencé à apparaître comme un véritable problème. Les entreprises découvrent que leur expansion ne ralentit pas parce que les régulateurs s’y opposent, mais parce que les pertes la rendent insoutenable.
+180% – Augmentation de la fraude sophistiquée utilisant des techniques avancées de tromperie, de l’ingénierie sociale et des identités générées par l’IA.
Les nouveaux marchés introduisent de nouveaux schémas de fraude. Les nouveaux moyens de paiement attirent de nouvelles formes d’abus. Les initiatives de croissance ralentissent ou s’arrêtent non pas en raison de lacunes réglementaires, mais à cause de complications opérationnelles.
42% – Des entreprises ont déclaré qu’elles ne disposent pas d’un programme de gestion des risques liées aux tiers ou qu’elles n’effectuent aucune forme d’évaluation des risques.
Les structures de direction évoluent en conséquence. Les décisions relatives aux dispositifs de lutte contre la fraude ont désormais un impact sur l’expérience client, les taux de conversion et le positionnement sur le marché. Des règles trop strictes ralentissent l’onboarding des clients et freinent la croissance. Des contrôles trop laxistes augmentent les risques et attirent l’attention des régulateurs. Ces arbitrages exigent du discernement, ce qui nécessite une visibilité stratégique au plus haut niveau.
La criminalité financière exige désormais une coordination stratégique entre différentes équipes, notamment la conformité, le produit et la croissance, et plus seulement les équipes dédiées à la fraude. Elle oblige également les dirigeants à définir une véritable stratégie de gestion des risques, et pas uniquement des seuils.
Les organisations qui considèrent la fraude uniquement comme un centre de coûts ont du mal à avancer rapidement. Celles qui investissent dans le scoring de risques comme une véritable capacité gagnent en options, en compréhension du comportement client et en analyses précieuses. Certains peuvent entrer sur des marchés que leurs concurrents évitent. D’autres peuvent lancer des produits en toute confiance là où des contrôles plus faibles échoueraient.
La première étape est la prise de conscience.
De meilleurs modèles entraînent davantage de contrôle
L’IA est arrivée avec des promesses claires : des décisions plus rapides, une meilleure précision et moins de friction. Pour de nombreuses entreprises, elle apparaissait comme le pont le plus efficace entre contrôle et passage à l’échelle.
Les systèmes basés sur des règles ont laissé place à des modèles de machine learning, et cela a fonctionné : la détection des fraudes s’est améliorée, les taux de conversion ont augmenté et les opérations ont enfin pu changer d’échelle sans nécessiter une augmentation proportionnelle des effectifs. Pendant un temps, la performance a suffi.
Mais la transparence a commencé à s’éroder.
85% – Des entreprises estiment que l’IA apporte un ensemble d’avantages ; cependant, seule la moitié d’entre elles considère que les bénéfices de l’IA l’emportent sur les risques.
À mesure que les modèles devenaient plus complexes, la logique de risque a dépassé le cadre des règles documentées. Les décisions pouvaient toujours être prises rapidement, mais les équipes ont commencé à avoir du mal à expliquer pourquoi un utilisateur ou une transaction était rejeté(e) alors qu’un(e) autre était approuvé(e). De nombreuses entreprises ont rapidement constaté que reconstituer un seul résultat nécessitait souvent de rétroconcevoir le modèle lui-même.
70% – Des autorités compétentes dans l’UE indiquent des risques élevés ou en augmentation de blanchiment de capitaux / financement du terrorisme dans le secteur de la fintech.
Les régulateurs attendent désormais des organisations qu’elles soient capables d’expliquer leurs décisions longtemps après leur prise. Ils demandent comment les données d’entrée ont conduit aux résultats, qui a validé les modifications des modèles, et comment les biais, la dérive et les erreurs sont détectés.
L’UE a rendu cette exigence concrète avec le EU AI Act. Il impose aux entreprises utilisant l’IA dans des décisions critiques pour la conformité de démontrer le fonctionnement des modèles, les données sur lesquelles ils reposent et la manière dont les résultats peuvent être expliqués aux régulateurs comme aux clients.
Le scoring de risques en « boîte noire » n’est plus compatible avec une croissance dans un environnement réglementé.
Le message est cohérent entre les régulateurs : détecter la fraude ne suffit plus. La confiance ne provient plus de la possession de modèles sophistiqués ou de l’optimisation des performances. Elle repose sur la transparence, la comparabilité et la capacité à résister à l’examen et à la supervision.
L’inévitable dégradation des modèles de risque internes
Le véritable problème vient du fait que les modèles de risque internes semblent solides. Ils sont construits par des équipes qui connaissent bien l’entreprise : la logique est claire, les variables ont du sens et les résultats correspondent aux attentes métier. Mais cette confiance est rarement durable.
À mesure que l’entreprise se développe, de nouvelles variables sont ajoutées, les scénarios de risque sont ajustés manuellement pour chaque marché, et les exceptions se multiplient. Les attentes initiales s’estompent non seulement dans les mémoires, mais aussi dans la documentation.
Les superviseurs ont identifié ce schéma et signalent régulièrement des faiblesses dans la gouvernance des modèles et une documentation insuffisante comme constats récurrents. Mais le problème n’est pas l’intention malveillante : il s’agit d’une dégradation inévitable lorsque la priorité est donnée au business plutôt qu’à la gestion du risque.
La fraude n’évolue pas de manière linéaire. Lorsque les équipes internes réagissent à un nouveau type d’attaque, elles le font rapidement pour assurer la continuité de l’activité, mais rarement de manière plus rigoureuse. Des règles sont ajoutées, des exceptions introduites, et des contrôles manuels mis en place pour compenser les lacunes technologiques. Ces ajustements résolvent les problèmes immédiats, mais ils sont rarement documentés avec le même niveau de rigueur que le modèle initial.
Qu’est-ce qui rend une décision de risque défendable ?
Les exigences réglementaires en matière de scoring du risque se sont élargies. Les superviseurs n’évaluent plus les entreprises uniquement sur leur capacité à empêcher totalement la fraude. Ils cherchent désormais à déterminer si les décisions étaient raisonnables, cohérentes et défendables au moment où elles ont été prises.
La gouvernance et l’auditabilité comptent désormais davantage que les améliorations marginales de la performance des modèles. Concrètement, cela signifie :
- Explicabilité des décisions
Ce qui intéresse les régulateurs : Une justification claire de chaque décision individuelle.
Pourquoi : Les régulateurs doivent comprendre comment les systèmes automatisés ont évalué le risque pour un client ou une transaction spécifique.
À quoi cela ressemble : Des enregistrements des données ayant influencé une décision, leur pondération, et la règle ou le seuil ayant déclenché une escalade.
- Cohérence dans le temps
Ce qui intéresse les régulateurs : Des cas similaires traités de manière similaire sur plusieurs mois ou années.
Pourquoi : Des résultats incohérents signalent des contrôles faibles ou des influences cachées.
À quoi cela ressemble : Des tests sur des cas historiques, un comportement de scoring stable, des journaux de versions de modèles et des traces des changements de seuils.
- Gestion des changements et gouvernance
Ce qui intéresse les régulateurs : La manière dont les modèles évoluent, pas seulement leurs performances.
Pourquoi : Des changements non documentés nuisent à la confiance et rendent les décisions passées difficiles à défendre.
À quoi cela ressemble : Des enregistrements complets des mises à jour de modèles, des preuves de tests, des justifications et des dates.
- Indépendance vis-à-vis de la pression de croissance
Ce qui intéresse les régulateurs : La séparation entre les objectifs commerciaux et les décisions de risque.
Pourquoi : Les régulateurs sont attentifs à une dilution du risque en période de croissance.
À quoi cela ressemble : Aucune hausse inexpliquée des taux d’approbation, et une justification documentée de chaque dérogation ou exception.
- Documentation et traçabilité des décisions
Ce qui intéresse les régulateurs : Des enregistrements complets du comment et du pourquoi des décisions.
Pourquoi : Une documentation insuffisante est considérée comme un indicateur de faibles contrôles.
À quoi cela ressemble : Des justifications claires (SAR), une appétence au risque documentée, et des liens traçables entre profils clients, contrôles et résultats.
- Alignement avec les typologies connues
Ce qui intéresse les régulateurs : Une logique alignée sur les schémas reconnus de fraude et de criminalité financière.
Pourquoi : La logique interne peut s’éloigner des menaces réelles au fil du temps.
À quoi cela ressemble : Des signaux de risque alignés sur des typologies établies et des mises à jour reflétant les menaces émergentes.
- Tests et validation indépendants
Ce qui intéresse les régulateurs : Une validation objective et indépendante du bon fonctionnement des modèles.
Pourquoi : L’auto-évaluation est insuffisante pour des décisions à fort impact.
À quoi cela ressemble : Des tests réguliers par des tiers, des benchmarks et un accès aux audits.
Les régulateurs n’attendent pas la perfection. Ils attendent de la cohérence. Les organisations capables d’expliquer leurs décisions, de gouverner les changements et de défendre leur logique sont celles auxquelles on fait confiance pour croître de manière sûre.
Du filtrage strict à une confiance proportionnelle
Alors que les régulateurs évaluent de plus en plus la logique du scoring de risque plutôt que les résultats, les entreprises commencent à identifier une limite dans la nature binaire de ce processus.
Lorsque le scoring de risque est traité comme une simple décision d’acceptation ou de rejet, cela crée des tensions internes entre les équipes produit, qui cherchent à augmenter la conversion, et les équipes risque, qui tentent de renforcer les contrôles.
La croissance ralentit, non pas forcément parce que le risque est trop élevé, mais parce que la méthode est trop rigide.
Les organisations qui adoptent un scoring de risque dynamique réduisent les contrôles initiaux et reportent les vérifications plus strictes jusqu’à l’apparition de signaux de risque. La plupart des clients bénéficient ainsi d’un onboarding plus rapide, tandis qu’une minorité fait l’objet de vérifications supplémentaires ultérieurement, déclenchées par leur comportement, leur utilisation ou le contexte.
Au lieu de se demander “approuver ou rejeter ?”, ces organisations se demandent : “quel niveau de confiance accorder, et à quelle vitesse “.
Cette approche séduit également les régulateurs. Le scoring dynamique fournit une explication claire permettant de justifier pourquoi les contrôles ont été assouplis ou renforcés pour un utilisateur donné à un moment précis, sur la base de déclencheurs et de processus objectifs.
Les modèles traditionnels basés sur des règles reposent sur une logique déterministe. Ces systèmes peinent à gérer la dérive des concepts (concept drift), les événements de fraude rares et les nouveaux types d’attaques, ce qui entraîne des faux positifs et une détection tardive des nouvelles menaces.
Le scoring dynamique remplace cette logique par des modèles probabilistes en temps réel. Les transactions sont évaluées à l’aide de centaines de variables simultanément, via des architectures d’ensemble combinant gradient boosting, réseaux de neurologiques et modèles de détection d’anomalies.
Cela permet d’instaurer une confiance proportionnelle en ajustant le niveau de friction en fonction du score de risque dynamique.
Le scoring de risque basé sur des règles signale une activité lorsque des conditions prédéfinies sont remplies (montant, fréquence, localisation, etc.). Les fraudeurs s’adaptent rapidement à ces règles, tandis que les utilisateurs légitimes sont de plus en plus mal classés, ce qui génère un taux élevé de faux positifs et des frictions inutiles.
Le scoring dynamique remplace ces règles statiques par des modèles en apprentissage continu. Les systèmes de machine learning utilisent l’apprentissage supervisé, la détection d’anomalies et l’analyse comportementale pour produire des scores de risque au niveau du client, évoluant en temps réel.
Ces scores sont recalculés à mesure que de nouvelles données arrivent permettant d’ajuster les contrôles de manière proportionnelle.
Lorsqu’un score de risque est considéré comme une variable plutôt qu’une constante, il cesse d’être une barrière fixe pour devenir un mécanisme évolutif qui façonne le parcours clients. Les organisations qui opèrent cette transition réduisent les frictions pour les clients légitimes, protègent leurs marges et gagnent simultanément la confiance des régulateurs.
De meilleurs modèles nécessitent une responsabilité partagée
C’est à ce stade que la question dépasse le simple rôle du scoring de risque pour s’intéresser à qui doit concevoir, développer et maintenir un tel niveau de complexité.
Le scoring de risque dynamique augmente considérablement les exigences en matière d’infrastructures, ce qui rend la décision build vs buy particulièrement difficile. Pourtant, ce débat est souvent réduit à des questions de coût, de rapidité ou de fierté technique.
Sur le papier, de nombreuses équipes internes semblent capables de construire un système de scoring de risque. Elles disposent d’ingénieurs data, de spécialistes en machine learning et de capacités backend.
En pratique, le scoring dynamique mobilise bien plus que l’ingénierie. Pour déployer un système conforme aux attentes des régulateurs, les organisations doivent investir des mois, voire des années, impliquant des experts conformité et fraude, les équipes produit, l’assurance qualité, et la gouvernance, la documentation et l’audit.
C’est là que les attentes se heurtent à la réalité.
- 40 000 à 80 000 heures de travail nécessaires pour développer en interne un système de scoring prêt pour la production (selon le périmètre).
- + 30 000 à 60 000 heures pour atteindre un niveau conforme aux régulateurs : explicabilité, rejouabilité, gestion des versions, tests de biais, documentation et validation indépendante.
- + 8 000 à 20 000 heures par an pour maintenir le système : évolution des schémas de fraude, ajustements manuels, adaptation réglementaire, mises à jour documentaires et gestion des incidents.
Le choix build vs buy est beaucoup plus simple pour des cas d’usage étroits et stables, où les schémas de risque évoluent lentement et où les exigences réglementaires sont bien définies.
En dehors de ces situations, les systèmes internes ont tendance à devenir fragiles : correctifs non documentés, dérive de la logique, décisions incohérentes.
Les fournisseurs spécialisés changent cette dynamique.
Ces acteurs apportent une intelligence issue de multiples secteurs, marchés et environnements de menace. Ils mettent à jour leurs modèles en continu à mesure que les typologies de fraude évoluent. La documentation, l’auditabilité et le benchmarking sont intégrés dès le départ, car indispensables pour exister sur le marché. Leurs systèmes sont conçus pour être examinés, comparés et remis en question, un point essentiel pour les régulateurs.
Leur priorité métier reste en permanence la prévention de la fraude.
Les organisations les plus performantes ne considèrent pas cela comme un choix binaire. Elles combinent expertise interne et infrastructure externe.
La responsabilité du risque reste interne, tandis que l’exécution des modèles, l’intelligence et les mécanismes de contrôle sont partagés avec un fournisseur.
Un audit ou une enquête approfondie sur une entreprise est indispensable pour identifier tous les risques potentiels : financiers, juridiques, opérationnels ou réglementaires. Cela doit être fait avant de prendre un nouveau client ou de conclure un partenariat, afin de prévenir tout danger caché. Pour éviter des complications juridiques, il est essentiel de faire preuve de diligence raisonnable avant de s’engager avec une autre entreprise.
Les critères que les régulateurs attendent du scoring de risque
La décision build vs buy conduit finalement à une question plus essentielle : que faut-il réellement construire ou acheter ?
La propriété, les outils et l’architecture n’ont de valeur que s’ils soutiennent un cadre que les régulateurs jugent fiable et que l’entreprise peut maintenir dans le temps.
Un cadre moderne de scoring de risque ne se définit pas par l’architecture des modèles ni par le choix d’un fournisseur. Il se définit par la manière dont les décisions évoluent dans le temps, dont les changements sont gouvernés et dont la responsabilité est partagée.
Cette checklist permet de révéler la véritable ligne de fracture en matière de scoring de risque. Non pas entre intelligence artificielle et règles statiques, ni entre développement interne et externalisation, mais entre :
- des systèmes conçus pour décider,
- et des systèmes conçus pour expliquer.
Les organisations capables de répondre systématiquement “oui” à ces exigences sont en mesure de se développer avec confiance.
Celles qui n’y parviennent pas peuvent continuer à opérer, mais leur croissance s’accompagne de frictions, de délais et d’une perte de confiance récurrente.
Les questions clés pour évaluer un système de scoring de risque :
- Peut-on reconstruire chaque décision a posteriori ?
- Les changements de modèle sont-ils formellement gouvernés ?
- Le système peut-il rejouer des décisions historiques ?
- La logique de scoring est-elle ancrée dans des typologies reconnues ?
- Une validation indépendante est-elle disponible ?
- Les contrôles sont-ils proportionnels plutôt que binaires ?
- Les décisions de risque sont-elles indépendantes de la pression de croissance ?
- La documentation est-elle maintenue en continu ?
- La responsabilité est-elle partagée entre les fonctions ?
- Qui assume la responsabilité du modèle en cas de contrôle ?
Le véritable coût d’un mauvais scoring de risque
La confiance des régulateurs n’est pas un état binaire. Elle se construit lentement, mais peut se détériorer très rapidement. Le véritable coût d’un mauvais scoring de risque devient évident lorsque cette confiance disparaît.
Seulement 7% des dirigeants estiment aujourd’hui être en avance sur les enjeux de conformité, tandis que 38% ambitionnent de le devenir dans les trois prochaines années.
Lorsque les régulateurs perdent confiance :
- les voluments d’onboarding sont limités,
- les nouveaux produits sont suspendus,
- les projets d’expansion sont mis en pause dans l’attente de contrôles.
Même des entreprises affichant de bons revenus et de faibles taux de fraude peuvent se retrouver bloquées, le temps que les contrôles soient réévalués et les décisions rééxaminées.
C’est le coût invisible d’une gestion du risque insuffisante.
Le coût réel du risque
Les coûts visibles :
- En moyenne 4% du chiffre d’affaires annuel en amendes
- Environ 30% des fonctions conformité redirigées vers des actions correctives plutôt que vers des initiatives stratégiques
- Environ 5,5% de perte de valeur actionnariale suite à une sanction
Les coûts invisibles :
- Mobilisation interne massive pour corriger les systèmes
- Retards dans les projets stratégiques
- Perte de crédibilité auprès des régulateurs
Corriger un modèle n’est généralement pas le plus difficile.
Rétablir la confiance des régulateurs est une autre histoire.
Les entreprises doivent démontrer non seulement des améliorations, mais aussi de la cohérence, une gouvernance solide et une transformation culturelle. Ce processus peut prendre des années.
64% des entreprises déclarent que les investissements technologiques ont amélioré leurs activités de conformité, notamment grâce à une meilleure visibilité des risques et des dispositifs de gestion.
Dans les secteurs régulés, cette dynamique devient déterminante. Le scoring de risque influence désormais qui peut croître, à quelle vitesse et sur quels marchés.
La vraie question n’est donc plus de savoir s’il faut investir dans le scoring de risque, mais comment le faire de manière durable, gouvernée et défendable.
Mettre en pratique un scoring de risque conforme aux régulateurs avec RollingFunds
Du contrôle statique à une gestion dynamique du risque
RollingFunds remplace les seuils rigides et les systèmes basés sur des règles par une logique de risque automatisée et pondérée. Les signaux sont évalués en continu et combinés en un score unique et dynamique.
À mesure que les conditions évoluent, le score s’ajuste également, permettant de renforcer ou d’assouplir les contrôles. Cela réduit les frictions initiales pour les utilisateurs légitimes, tout en garantissant que les comportements à risque déclenchent des vérifications supplémentaires.
La solution de scoring de risque de RollingFunds est pensée pour répondre aux exigences des régulateurs :
- Logique pondérée et transparente : Les équipes conformité peuvent définir explicitement les facteurs de risque et leur attribuer des pondérations. Cela permet de comprendre clairement pourquoi un score augmente ou diminue à tout moment.
- Recalcul en temps réel : Chaque nouvel événement met à jour le score de risque lorsque certaines conditions sont remplies, permettant une surveillance continue plutôt qu’une intervention tardive.
- Configuration simplifiée : Les équipes conformité peuvent ajuster la logique de scoring sans dépendre des équipes techniques, garantissant que la gouvernance évolue au même rythme que les exigences réglementaires.
- Cohérence sur tout le cycle de vie : La même logique de scoring peut être appliquée depuis l’onboarding jusqu’au suivi continu, réduisant les écarts et incohérences souvent relevés par les régulateurs.
En pratique, ce type d’approche transforme le scoring de risque en un système évolutif, explicable et gouverné, aligné à la fois sur les attentes réglementaires et les objectifs de croissance.
