Vous demandez à un nouveau client de photographier son passeport, vous obtenez une belle image nette — et vous cochez la case "identité vérifiée". C'est tentant, rapide, et malheureusement souvent insuffisant : un scan de document n'est qu'une brique du KYC, pas le processus complet.
Ce qu'un scan de passeport prouve — et ce qu'il ne prouve pas
Un document d'identité scanné permet de lire des informations : nom, prénom, date de naissance, numéro de document, dates de validité. Une vérification basique peut aussi contrôler la cohérence de ces données (format, dates plausibles) et croiser certains champs entre eux.
Ce que ce scan seul ne prouve pas, c'est que la personne qui vous l'envoie est bien le titulaire du document. Une photo ou un scan de passeport volé, emprunté, ou falsifié peut passer un contrôle purement visuel si aucune vérification de possession n'est effectuée. C'est précisément la faille qu'exploitent les tentatives d'usurpation d'identité.
Ce qui rend une vérification réellement fiable
Un contrôle d'identité robuste combine généralement plusieurs signaux : l'authenticité du document lui-même (détection d'altération, cohérence des données extraites), et la preuve de possession — c'est-à-dire que la personne présentant le document est bien son titulaire, via une comparaison biométrique ou une vérification vidéo en direct.
En France, les prestataires de vérification d'identité à distance les plus rigoureux s'appuient sur le référentiel PVID de l'ANSSI, qui encadre justement ce type de dispositif pour les usages à enjeu réglementaire.
| Niveau de contrôle | Ce qui est vérifié | Limite |
|---|---|---|
| Scan simple | Lisibilité, cohérence des champs | Ne prouve pas la possession |
| Scan + détection de fraude | Authenticité du document (altération, contrefaçon) | Ne prouve toujours pas la possession |
| Scan + biométrie / vidéo | Document + identité du présentateur | Niveau le plus fiable actuellement |
Le niveau de vérification dépend du risque
Un scan simple peut suffire pour une relation à risque faible clairement identifié. Mais dès que le profil du client, le montant en jeu ou le secteur d'activité justifient une vigilance standard ou renforcée, s'appuyer uniquement sur un document non authentifié et non rattaché biométriquement à son porteur expose l'entreprise assujettie à un dossier KYC fragile en cas de contrôle.
En résumé
Un scan de passeport seul prouve l'existence d'un document, pas que la personne en face est bien son titulaire. Pour une vigilance standard ou renforcée, une vérification de possession (biométrie, vidéo) reste nécessaire — le niveau de rigueur doit être calibré sur le risque réel de la relation d'affaires.