Connecter votre screening KYC & LCB/FT à votre CRM

Comment se passe l’intégration

La partie technique revient à votre équipe informatique ou à votre éditeur de CRM. Votre responsable conformité, lui, garde la main sur ce qui touche au contrôle.

Préparer les données

Tout part d’une référence client commune, en général le numéro client du CRM. Les deux systèmes désignent ainsi le client de la même façon, sans seconde liste d’identifiants.

Vient ensuite la correspondance des champs, qui occupe l’essentiel du projet. Pour une personne physique, Smart Oversight attend les nom et prénoms, la date et le lieu de naissance et les nationalités. Pour une société, la raison sociale, le pays, le numéro d’immatriculation et la forme juridique. Vous pouvez y ajouter une adresse, des coordonnées, des informations fiscales et le niveau de risque que vous attribuez au client.

Votre responsable conformité valide quel champ du CRM alimente quel champ de Smart Oversight. La qualité de tous les screenings à venir en dépend.

Relier le CRM

Le portefeuille existant est importé par lots de 100 clients au plus. Chaque client reçoit son propre résultat, donc une fiche incomplète ne bloque pas le reste du lot. Elle se corrige dans le CRM et repart.

Le CRM transmet ensuite chaque nouveau client et chaque modification. Comme le client est désigné par votre référence, le même appel le crée s’il n’existe pas encore et le met à jour s’il existe. Voici la requête REST qui crée ou met à jour la société que votre CRM connaît sous la référence CRM-88213 :

PUT /v2/clients/ext:CRM-88213
Authorization: Bearer <votre clé API>

{
  "kind": "LEGAL",
  "name": "Acme Holding SA",
  "organization": { "country_of_incorporation": "LU" }
}

Les clients avec lesquels vous ne travaillez plus sont archivés, pas supprimés.

À la création d’un client, votre système lance le screening et choisit les sources : listes de sanctions (ONU, UE, OFAC SDN et non-SDN, Royaume-Uni, SECO suisse), listes de PPE et recherche internet pour les médias négatifs. Chaque source a son propre statut.

Alertes et décisions

Votre équipe informatique déclare une adresse de réception sur votre serveur. Smart Oversight y envoie une notification (un webhook) quand un screening se termine ou échoue, quand une alerte est traitée, et quand un client est créé ou modifié. L’équipe commerciale voit ainsi le statut de conformité du client dans le CRM.

Les alertes s’examinent dans l’application Smart Oversight, comme aujourd’hui, ou depuis vos propres outils. Chacune détaille la correspondance (nom, alias, dates et lieux de naissance, nationalités, fonctions, programmes de sanctions). Si le nom de votre client correspond à un proche de la personne listée, l’alerte précise le lien de parenté (conjoint, enfant, parent, frère ou sœur).

La décision s’accompagne d’un commentaire et peut signaler le client comme PPE ou déclarer une sanction internationale ou administrative. Prise dans l’application, elle est enregistrée au nom du collaborateur connecté. Quand votre outil agit au nom d’un collaborateur, Smart Oversight vérifie qu’il est membre de votre espace de travail et contrôle son rôle. Une décision prise en son nom ne peut être validée que s’il est votre responsable LCB/FT (MLRO).

Reste la surveillance périodique. Votre responsable conformité fixe la fréquence des contrôles selon le niveau de risque, par exemple chaque mois pour les clients à risque élevé et chaque année pour les autres, et votre équipe informatique programme les screenings en conséquence.

Avant la mise en service

• Une clé d’API par système, limitée aux droits dont il a besoin.
• La correspondance des champs testée sur un échantillon de personnes physiques et de sociétés, puis validée par le responsable conformité.
• Le portefeuille existant importé, les fiches refusées corrigées.
• Une adresse de réception déclarée pour chaque type d’événement utilisé, avec vérification de la signature.
• Les collaborateurs qui agissent via vos outils rattachés à leur compte Smart Oversight.
• Un rapprochement quotidien avec l’historique des événements.
• Une personne désignée pour renouveler et révoquer les clés.

Votre équipe reçoit la documentation complète de l’API, générée à partir de son code. Chaque fonctionnalité a aussi fait l’objet d’un article :

• L’API Smart Oversight est disponible ;
• Des webhooks pour les screenings et les alertes ;
• Des décisions nominatives via l’API ;
• Les webhooks couvrent aussi les actions faites dans l’application ;
• Correspondances indirectes : le proche derrière l’alerte.

Sécurité

Seul un administrateur de votre société peut créer des clés d’API, depuis l’application Smart Oversight, et chaque clé n’a que les droits que vous lui donnez. Elle peut avoir une date d’expiration, être révoquée à tout moment ou être renouvelée avec une période de transition pendant laquelle l’ancienne clé reste valable. Smart Oversight n’en conserve qu’une empreinte.

Les clés servent aux échanges de serveur à serveur et ne quittent pas la partie serveur de votre CRM.

Chaque notification est signée et horodatée. Votre système peut ainsi rejeter une notification falsifiée ou rejouée.

Questions fréquentes

Combien de temps prend une intégration ?

Cela dépend de votre CRM et de l’état de vos données clients. Le gros du travail est la correspondance des champs et son test sur de vraies fiches. Les appels à l’API, eux, sont peu nombreux.

Qui réalise l’intégration ?

Votre équipe informatique, le prestataire qui maintient déjà votre CRM, ou notre partenaire d’intégration Deepy Consulting, une société de services informatiques installée à Esch-sur-Alzette. Le choix vous appartient.

Combien cela coûte-t-il ?

L’accès à l’API Smart Oversight est actuellement inclus dans votre abonnement, sans surcoût. Le coût de l’intégration dépend de vos outils et de qui la réalise. Il s’estime au cas par cas.

Quel travail cela représente-t-il pour l’équipe informatique ?

Appeler une API REST standard et recevoir des notifications. C’est un travail courant pour une équipe informatique ou un éditeur de CRM, et il n’y a rien à installer chez vous.

Mon équipe peut-elle continuer à travailler dans l’application ?

Oui. Les notifications et l’historique des événements couvrent aussi les actions faites dans l’application. Votre CRM reste à jour dans les deux cas.

Où sont hébergées nos données ?

Dans la région que vous choisissez, Luxembourg, Suisse ou autre pays de l’Union européenne. Elles y restent, dans des centres de données Tier III+ situés au Luxembourg, en Suisse et en France.

Que se passe-t-il si notre CRM est indisponible ?

Smart Oversight renvoie la notification automatiquement. Votre équipe informatique peut aussi relancer un envoi depuis le journal des notifications. Une fois le CRM rétabli, il relit l’historique des événements pour rattraper ce qu’il a manqué.

Par où commencer

La page Intégrations présente ce que couvre l’API. Pour parler de votre CRM et de la façon dont vous accueillez vos nouveaux clients, contactez notre équipe. Nous préparerons l’intégration avec votre responsable conformité et votre équipe informatique.