L’identité numérique en France, nouvelle terre promise des acteurs financiers ?

Le 23 juillet 2014, le Parlement européen et le Conseil de l’Union européenne (UE) ont adopté le Règlement eIDAS, “sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur”. Objectif : rendre sécurisés et interopérables en ligne l’identification électronique, les “services de confiance” (création, vérification et validation de signatures électroniques, cachets électroniques, horodatages électroniques,, etc) et l’échange de documents électroniques dans tous les pays de l’UE. 

Une avancée de taille, alors que Facebook a lancé son outil Facebook Connect dès 2008, suivi par Google avec Google+ Sign-In (aujourd’hui Google Sign-In) en 2013. Car le règlement veut faciliter l’usage d’identités numériques. Grâce à une identification unique et sécurisée, l’utilisateur doit pouvoir accéder à plusieurs services, voire transmettre des documents. L’intérêt est manifeste pour les secteurs de la banque et de l’assurance. En 2020, 63 % des consommateurs abandonnent en plein milieu du processus d’ouverture d’un compte en ligne chez des banques scandinaves, britanniques et allemandes, selon une étude de Signicat. Une solution robuste et reconnue permettrait de faciliter l’entrée en relation avec de nouveaux clients. 

Des identités numériques reconnues à un niveau gouvernemental peuvent aussi servir des cas d’usage proches de ceux imaginés dans le sillage de l’open banking, et basés sur l’échange sécurisé de documents officiels comme des justificatifs de domicile ou d’imposition. “Une identité numérique partagée permettrait la fluidification des parcours pour tout le monde, estime Candice Dauge, directrice du programme Identité Numérique du Groupe La Poste.  L’utilisateur n’aurait plus à partager dix fois les mêmes documents et les entreprises enregistreraient de meilleurs transferts de leurs prospects numériques et des coûts informatiques plus bas que ce que leur demandent actuellement leurs procédés de KYC.” 

Pour une industrie dont l’activité repose depuis sa création sur la confiance, la gestion d’une identité numérique peut même représenter une nouvelle source de revenus. Chez Mastercard, Aymeric Harmand, VP Cyber & Intelligence Solutions Europe de l’Ouest, évoque un “enjeu stratégique pour les années à venir. Peu d’acteurs dans le monde ont la capacité de construire de vastes réseaux interopérables à grande échelle.” Pour des acteurs comme Mastercard, déjà habitués à traiter des paiements dans le monde entier, proposer l’architecture susceptible de supporter les identités numériques de tout un chacun pourrait donc se révéler une extension d’activité naturelle. 

France Connect attend la certification de l’ANSSI

En France, le projet France Connect s’est placé en navire amiral de la question de l’identité numérique depuis son lancement en 2016. À la fin septembre 2020, ce fédérateur d’identités comptait 18 millions d’utilisateurs. “Nous enregistrons 10 millions de connexions par mois, et proposons plus de 800 services en ligne dont 43 sont privés, et 9 sont des banques”, détaille Christine Balian, directrice du programme. Les sites auxquels les utilisateurs se connectent le plus restent ceux des principaux services publics : agence nationale des titres sécurisés, caisses de retraite, impôts, etc. Néanmoins, nous avons très tôt intéressé les banques, et c’est notamment leur discours qui nous a incité à modifier l’arrêté encadrant notre mission en 2018”, souligne Christine Balian. Cette évolution a permis d’ouvrir France Connect, jusqu’ici réservé aux administrations, aux entreprises privées. 

Des acteurs du secteur bancaire voient dans les identités numériques d’importants progrès réalisables en matière de KYC. Avant la crise du coronavirus, Signicat démontrait déjà qu’entre 38 % (en 2018) et 40 % (en 2016) des ouvertures de compte en ligne étaient abandonnées en cours de route. Des échecs dûs à des processus interminables ou à la nécessité de  se rendre en agence pour terminer la souscription. “Des acteurs aussi divers que Boursorama, Younited Credit, BNP Paribas (Hello Bank!), PSA Finance France ou encore GT Equity, une solution de dématérialisation des registres d’actionnaires sur la blockchain, proposent désormais France Connect”, énumère Christine Balian. Directeur de la stratégie et de l’innovation de Boursorama, le premier acteur privé à avoir intégré France Connect, Pierre Villeroy de Galhau constate que 500 personnes utilisent cette solution pour ouvrir un compte chaque jour. Un chiffre à mettre en rapport avec les quelque 600 000 nouveaux clients attirés chaque année depuis quelques années. Parmi eux, 56 % le font via leur compte impôts.gouv.fr et 36 % via ameli.fr. 

Malgré tout, l’agrégateur d’identités qu’est France Connect n’a pas encore été certifié à des niveaux de sécurité suffisants pour élargir son usage au-delà de l’entrée en relation. Selon la réglementation eIDAS, une identité numérique peut être de niveau faible, substantiel ou élevé. À l’heure actuelle, La Poste est le seul fournisseur français d’identité numérique certifié de niveau substantiel par l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Ce niveau est rendu possible grâce à un double parcours : “Il peut être omnicanal : l’utilisateur s’inscrit sur le site, scanne sa pièce d’identité puis choisit une vérification en face à face, au bureau de poste ou lors de la tournée du facteur. Il peut aussi se dérouler en ligne, auquel cas la vérification se fait via une lettre recommandée électronique, qui intègre un système de reconnaissance faciale”, explique Candice Dauge. Une fois l’un des deux processus réalisé, l’identité numérique est liée à son propriétaire avec un haut degré de confiance, ce qui permet d’envisager de nouvelles possibilités. “Avec le secteur bancaire, par exemple, nous travaillons sur l’entrée en relation, mais aussi sur la souscription d’une offre de crédit ou d’assurance, déclare Candice Dauge. L’idée est d’éviter au client d’avoir à numériser puis renvoyer de nombreux documents chaque fois qu’il souscrit une nouvelle offre.” 

Un autre axe de travail porte sur la remédiation périodique des identités et les questions de lutte anti-blanchiment : “La loi impose aux banques de contrôler les identités des clients de manière régulière. Ça coûte cher et c’est désagréable pour l’utilisateur final”, souligne Candice Dauge. Christine Balian, directrice du programme France Connect, abonde : “les banques sont confrontées à une régulation très forte, et il est certain qu’une fois notre niveau substantiel de sécurité obtenu auprès de l’ANSSI, nous pourrions leur épargner la double vérification qu’elles doivent demander actuellement.” Avoir une solution d’identité numérique reconnue de niveau substantiel, c’est aussi être conforme, d’avance, aux réglementations de la 6e directive anti-blanchiment qui entre en vigueur en décembre 2020, précise enfin Candice Dauge. 

L’identité numérique, nouvelle source de revenus ?

Quid du business model derrière ces solutions ? En France, le marché semble trop jeune pour trancher. France Connect agrège les identités, mais ne stocke ni ne commercialise les données. “Notre logique première est de simplifier la vie des citoyens, de rationaliser des démarches administratives lourdes”, rappelle Christine Balian. De son côté, Mastercard s’est ouvertement penché sur la question dès l’annonce, en décembre 2018, de son partenariat stratégique avec Microsoft. En mars de l’année suivante, l’entreprise présentait ses engagements pour “un modèle d’identité numérique centré sur le consommateur”, puis lançait des tests en conditions réelles en décembre 2019. 

Dans un entretien accordé à mind Fintech en septembre 2020, Aymeric Harmand expliquait : “Notre mission est double : l’amélioration du parcours client et la lutte contre la fraude. L’identité numérique correspond parfaitement à ces deux sujets.” Et de préciser : “jusqu’à présent, notre réseau a surtout servi à mettre en relation des banques, mais ces capacités de liaisons peuvent tout à fait être mises à profit d’une multitude de sujets à l’échelle mondiale.” La société travaille donc en collaboration avec des gouvernements et des sociétés du secteur privé, “acteurs technologiques, fournisseurs d’identité, bénéficiaires de données d’identité, etc”, pour comprendre “comment utiliser notre expertise dans la gestion de données de manière à répondre à leurs besoins concrets”. Mastercard étudie donc le sujet, avec un positionnement en apparence plus agressif que son concurrent Visa. Sollicité par mind Fintech, ce dernier n’a pas souhaité s’exprimer sur le sujet. Car si Bill Gajda, ancien SVP Innovation de Visa, soulignait en 2019 l’importance prise par l’identité numérique, les initiatives publiques de l’entreprise dans le domaine concernent surtout son Advanced Identity Score, un outil plus spécifiquement destiné à lutter contre la fraude. 

Une autre manière d’aborder le sujet passe par des consortiums d’innovation. Il s’en noue au Canada, par exemple, pour adopter la solution Verified.Me, en Suisse ou en Allemagne, pour développer à des solutions publiques d’identité numérique. Les acteurs bancaires nationaux en sont presque chaque fois parties prenantes. Dans certains cas, comme celui du projet Dalion, en Espagne, ils prévoient même de tester leurs solutions directement sur des réseaux blockchains.

Adoption majoritaire en Scandinavie

En Europe, les pays nordiques sont les plus avancés. En Suède, une identité numérique créée auprès de Bank ID, Telia e-identification et Freja ID, (trois solutions recommandées sur les sites gouvernementaux), est valable au même titre qu’un permis de conduire ou une carte d’identité. Dans le cas de BankID, c’est même auprès des banques que la personne vient faire vérifier son identité. Au Danemark, c’est NemID qui est poussée par le gouvernement, bientôt remplacée par MitID. En 2017, plus de 80 % de la population danoise utilisant cette solution, tandis qu’en 2018, les quatre pays nordique (Norvège, Suède, Danemark et Finlande) se targuaient d’une couverture de leurs solutions d’identités numériques de l’ordre de 70 à 90 % de leur population. Et déjà, en 2017, le directeur de l’agence danoise pour la digitalisation expliquait que plus de 80 % des transactions enregistrées sur ces outils gérés par des programmes gouvernementaux similaires à celui de France Connect “étaient dirigés vers des banques ou des sociétés privées”. Des tendances que confirment le benchmark mené par la direction ministérielle de la transformation publique, qui note aussi quelques résultats mitigés, en Suisse, en Grande-Bretagne ou aux États-Unis, pour des raisons aussi diverses que le manque de législation spécifique, le retard dans le déploiement, ou, surtout, le trop faible nombre de services accessibles depuis un même outil d’identité numérique. 

Du côté de France Connect, où la connexion à de nombreux services publics a déjà été faite, on attend surtout la certification de l’ANSSI, espérée “pour la fin 2020”. Son obtention conditionne la soumission du dossier français à la Commission européenne pour établir un nœud d’interopérabilité avec ses voisins. “19 pays européens ont mis en place ces nœuds, détaille Christine Balian. Ce sont des architectures qui doivent permettre, à terme, à un citoyen français qui possèderait une maison de vacances en Allemagne de payer ses impôts locaux allemands avec son identité numérique française, par exemple.” Une perspective qui, si elle n’est pas pour tout de suite, a contribué à convaincre très tôt certains acteurs bancaires. Chez Boursorama, par exemple, “nous avons adopté le service dès le début car c’était un moyen de mettre le pied dans la porte”, affirme Pierre Villeroy de Galhau. Si le bouton France Connect n’est pour l’instant qu’une alternative au remplissage du formulaire d’entrée en relation avec la banque en ligne, “on croit beaucoup au potentiel de la phase deux”, assure le responsable. Quant à connaître l’investissement que la banque serait prête à réaliser pour une version élaborée, “il faut encore voir le business model qu’ils adoptent. Mais si ça permet une vraie délégation des contrôles KYC, voire des services supplémentaires, oui, en tant que banque, nous serions prêts à payer.”