Banque · Détecter la fraude et le blanchiment en temps réel

Un virement de 48 000 $ quitte le compte d'une petite entreprise à 2 h 14 du matin, à destination d'une banque bénéficiaire dans un pays avec lequel le client n'a jamais effectué de transaction. Habituellement, ce client déplace 3 000 à 5 000 $ pendant les heures de bureau. En 200 millisecondes, avant que le paiement ne soit exécuté, le dispositif de monitoring de la banque doit décider : laisser passer, mettre en attente, ou bloquer et appeler le client.

Cette décision est un problème de données. Cette leçon suit ce virement à travers les couches de détection que font tourner les banques modernes, et montre pourquoi le défi le plus difficile n'est pas d'attraper les fraudeurs, mais de ne pas se noyer dans les fausses alertes.

Deux problèmes qui se ressemblent sans être identiques

Commençons par définir les termes, car les banques les traitent différemment.

La fraude est un vol : quelqu'un déplace de l'argent sans autorisation. La victime est généralement le client ou la banque. C'est la vitesse qui compte le plus, car l'argent peut disparaître en quelques minutes.

Le blanchiment consiste à dissimuler l'origine de fonds déjà illicites (produits du trafic de drogue, corruption, contournement de sanctions). La banque n'est pas la victime directe ; elle est le tuyau. Les régulateurs exigent des banques qu'elles le détectent et le déclarent au titre des règles AML (Anti-Money Laundering). La fenêtre d'investigation pertinente est de quelques jours ou semaines, pas de quelques millisecondes.

Les deux s'appuient sur la même matière première : données de transaction, données client et schémas comportementaux. Mais la détection de fraude est optimisée pour l'interception en temps réel, tandis que l'AML est optimisée pour construire un dossier défendable qu'un régulateur acceptera.

Couche 1 : les règles

La couche la plus ancienne et encore la plus répandue est le moteur de règles : une logique si-alors codée en dur par des analystes.

Notre virement de 48 000 $ déclenche plusieurs règles à la fois :

• Montant très supérieur à la fourchette normale du compte
• Transaction en dehors des horaires habituels
• Nouveau pays bénéficiaire
• Pic de vélocité (plusieurs virements importants dans une courte fenêtre)

Les règles sont transparentes et faciles à expliquer à un examinateur, ce que les régulateurs apprécient. Une règle AML classique est la détection du structuring : signaler les dépôts juste en dessous du seuil de déclaration de 10 000 $ qui déclenche un Currency Transaction Report aux États-Unis. Si quelqu'un dépose 9 500 $ trois jours de suite, une règle l'attrape.

La faiblesse : les règles sont rigides et génèrent énormément de bruit. Un seuil de « 10 000 $ par jour » signale un traiteur de mariage et un blanchisseur de la même manière. C'est le problème des faux positifs, et c'est le principal poste de coût de tout le système.

La taxe des faux positifs

Voici le calcul inconfortable. Les praticiens du secteur estiment couramment que plus de 90 % des alertes AML sont des faux positifs (le chiffre exact varie selon les banques et se vérifie difficilement publiquement : à considérer comme une estimation largement citée, non comme une statistique précise).

Chaque alerte devient du travail. Un enquêteur humain extrait l'historique du client, vérifie le bénéficiaire et rédige une conclusion. Cela coûte de l'argent et du temps. Les grandes banques emploient des équipes d'investigation de plusieurs milliers de personnes.

L'objectif n'est donc pas de « tout attraper ». C'est d'attraper davantage de vrais positifs tout en réduisant les faux positifs, car la capacité des analystes est finie. Un modèle qui signale 10 000 transactions pour attraper 5 cas réels peut être moins bon qu'un modèle plus fin qui en signale 200 pour en attraper 4.

Gardez cet arbitrage en tête. Chaque couche que nous ajoutons existe pour l'affiner.

Couche 2 : l'analyse de réseau

Les règles regardent une transaction ou un compte. L'analyse de réseau (aussi appelée analyse de graphe) regarde les relations entre de nombreux comptes.

Le blanchiment passe rarement par un seul compte. Il circule par chaînes : un compte mule reçoit des fonds, les fractionne, les transfère et les empile à travers plusieurs banques pour brouiller la piste. Chaque saut pris isolément paraît normal. Le schémamaUtiliser un logiciel pour automatiser les tâches et campagnes marketing répétitives, afin de personnaliser à grande échelle sur des canaux comme l'email, le web et le social.Voir la définition complète → n'apparaît que lorsqu'on relie les points.

Les techniques de graphe modélisent les comptes comme des nœuds et les transactions comme des arêtes, puis cherchent des structures suspectes :

• Fan-out / fan-in : un compte qui envoie à beaucoup, ou beaucoup qui envoient à un seul, dans un timing serré
• Flux circulaires : de l'argent qui revient à son point d'origine après une boucle
• Ponts soudains entre des groupes qui n'avaient jamais interagi

Notre virement de 48 000 $ est réexaminé en contexte. Si le compte bénéficiaire a reçu des virements de taille similaire de six expéditeurs sans lien entre eux la même nuit et les a immédiatement retransférés, c'est un schéma de mule classique, invisible pour une règle mono-transaction mais évident sur le graphe.

Pour une introduction en langage clair à la manière dont les criminels structurent ces flux, le Financial Action Task Force (l'organisme qui fixe la norme AML mondiale) publie des documents accessibles sur fatf-gafi.org.

🎬 [VIDEO: "How Money Laundering Works" - youtube.com - une explication animée claire du modèle placement, empilement, intégration qui sous-tend la détection AML]

Couche 3 : le machine learning

Les règles encodent ce que nous savons déjà. Le machine learning (ML) trouve les schémas que nous n'avions pas écrits.

Deux variantes comptent ici.

L'apprentissage supervisé s'entraîne sur un historique labellisé : des transactions passées marquées comme fraude ou non-fraude. Le modèle apprend les combinaisons de variables (montant, heure, appareil, localisation, risque du bénéficiaire, ancienneté du compte) qui corrèlent avec une fraude confirmée. Il note ensuite les nouvelles transactions de 0 à 1.

Le piège : les modèles supervisés ont besoin de labels propres. La fraude que vous avez attrapée est labellisée ; celle que vous avez ratée est silencieusement labellisée « bonne ». Le modèle hérite de vos angles morts.

L'apprentissage non supervisé n'a pas besoin de labels. Il signale des anomalies : un comportement qui s'écarte de la ligne de base du client lui-même ou de celle de ses pairs. Notre virement de 2 h 14 est anormal par rapport à l'historique du client, donc un modèle non supervisé le fait remonter même si ce schéma précis n'a jamais été observé.

Les dispositifs modernes combinent les trois couches. Une conception courante fait d'abord passer la transaction par les règles (rapide, peu coûteux), puis note les survivantes avec du ML, puis enrichit les scores élevés avec des variables de réseau avant qu'un humain ne les voie.

Voici une étape de scoring simplifiée :

# Combine les signaux en un score de risque unique
def score_transaction(txn, customer, graph):
    rule_hits = count_rule_triggers(txn, customer)      # ex. 3
    ml_score  = fraud_model.predict_proba(txn)          # 0.0 - 1.0
    graph_risk = graph.mule_pattern_score(txn.payee)    # 0.0 - 1.0

    risk = (0.3 * min(rule_hits / 5, 1)
            + 0.4 * ml_score
            + 0.3 * graph_risk)

    if risk > 0.85:
        return "BLOCK_AND_REVIEW"
    elif risk > 0.5:
        return "HOLD_FOR_ANALYST"
    return "ALLOW"

Les pondérations ne sont pas arbitraires. Les banques les calibrent en fonction de la taxe des faux positifs, en décidant combien d'heures d'analyste chaque seuil va coûter.

L'exigence d'explicabilité

Un modèle de ML peut être précis et rester inutilisable, car les banques doivent expliquer leurs décisions aux régulateurs et, quand elles bloquent un paiement légitime, aux clients.

Si un modèle gèle le virement d'un client, la banque ne peut pas dire « le réseau de neurones avait un mauvais pressentiment ». Il faut des codes de motif : « signalé pour montant inhabituel, nouveau pays bénéficiaire, horaire hors norme ». C'est pourquoi des techniques interprétables et des outils comme SHAP (une méthode qui attribue un score à chaque variable d'entrée) accompagnent les modèles. Les régulateurs attendent de plus en plus une gouvernance des modèles, de la documentation et des tests de biais, pas seulement de la précision.

C'est la tension de tout le domaine : les modèles les plus puissants sont souvent les moins explicables, et la banque ne peut pas troquer entièrement l'explicabilité contre la performance.

Ce qui se passe après le déclenchement d'une alerte

La détection n'est que la moitié du système. Une fois notre virement signalé, un workflow démarre.

Pour la fraude, la banque peut retenir le paiement et déclencher une authentification renforcée : un appel ou une notification dans l'application pour confirmer que le client est bien à l'origine de l'opération. Si c'est confirmé, le virement est libéré. Sinon, il est bloqué et le compte mule peut être signalé.

Pour l'AML, si un enquêteur confirme le soupçon, la banque dépose un Suspicious Activity Report (SAR), une déclaration confidentielle aux régulateurs financiers (FinCEN aux États-Unis). Point essentiel : la banque ne peut généralement pas dire au client qu'un SAR a été déposé (le « tipping off » est interdit). Le client ne voit rien ; le rapport part vers les autorités, qui peuvent le rapprocher des déclarations d'autres banques.

C'est pourquoi la qualité des données compte autant. Un SAR bâti sur des données sales est ignoré. Un SAR bien étayé, enrichi de preuves de réseau, devient du renseignement exploitable.

Pourquoi les banques mutualisent leurs données

Une banque ne voit que sa propre tranche d'un réseau de blanchiment. La chaîne de mules traverse souvent plusieurs institutions. Cet angle mort structurel pousse à des dispositifs de partage d'information et à des modèles de consortium où les banques contribuent des signaux pour détecter des schémas inter-bancaires, dans des règles de confidentialité strictes.

Des techniques émergentes comme l'analytique préservant la confidentialité (analyser des signaux de risque partagés sans exposer les données client brutes) visent à permettre aux banques de collaborer sans enfreindre le droit de la protection des données. C'est une frontière active en 2026, pas un problème résolu.

Points clés à retenir

• La fraude et l'AML utilisent les mêmes données mais s'optimisent différemment : la fraude pour une interception en millisecondes, l'AML pour un dossier défendable et déclarable.
• Le vrai coût, ce sont les faux positifs. La mesure d'un bon système est d'attraper plus de fraude réelle tout en envoyant moins d'alertes inutiles à des équipes d'analystes de taille finie.
• Les couches s'empilent, elles ne se concurrencent pas. Les règles donnent vitesse et transparence, l'analyse de réseau révèle les schémas inter-comptes, le ML trouve l'inconnu. Les dispositifs modernes font tourner les trois.
• L'explicabilité est une contrainte dure, pas un bonus. Un modèle que vous ne pouvez expliquer ni à un régulateur ni à un client lésé est un risque, quelle que soit sa précision.
• Le prochain avantage est la collaboration. Le blanchiment traverse les institutions, donc le partage de données préservant la confidentialité est la direction que prend la détection.