La société RESOCOM a été créée il y a une vingtaine d'années. Elle est spécialisée dans la sécurité documentaire et la détection des fraudes, usurpations et contrefaçons. Elle délivre ses prestations aux entreprises du secteur bancaire et financier, mais aussi au monde de l'assurance et des mutuelles, et à différentes professions non financières.

Mesdames, je voudrais tout d'abord vous remercier d'avoir répondu à notre invitation, alors que les délais étaient extrêmement courts. Nous serons heureux de vous entendre sur les activités de votre société, sur les types de fraude que vous avez la tâche de déjouer et sur les méthodes et techniques que vous employez. Vous nous indiquerez aussi, à la lumière de votre expérience, les pistes d'amélioration qui pourraient exister selon vous dans la lutte contre les fraudes aux prestations sociales – puisque tel est l'objet de notre commission d'enquête.

Vous travaillez habituellement avec le secteur financier et celui de l'assurance, mais la fraude concerne aussi la police aux frontières, par exemple – nous nous sommes rendus à la direction centrale il y a quinze jours. En outre, il n'est pas rare, notamment quand sont impliquées des organisations finançant le terrorisme, que les fraudes aux prestations sociales s'accompagnent de tentatives visant à capter les ressources des établissements financiers, notamment à travers des demandes de crédit se fondant sur de faux documents ou sur des usurpations d'identité. Nous avons auditionné des assureurs ainsi que l'Association de lutte contre la fraude à l'assurance (ALFA), ce qui nous a permis de constater que, hélas, les méthodes de fraude sont de plus en plus sophistiquées ; je suppose que vous avez vous aussi des témoignages à apporter en ce sens.

Avant de vous donner la parole, je vous rappelle que l'article 6 de l'ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d'enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main droite et à dire : « Je le jure. »

Monsieur le président, messieurs les députés, je vous remercie de votre invitation. Même si les délais étaient courts, j'ai eu à cœur de préparer cette présentation. J'ai également à cœur de partager avec vous l'expérience que nous avons acquise depuis plus de vingt ans – car j'ai créé RESOCOM en 1999. Internet était alors à l'aube de son développement. Je venais du domaine de la monétique et j'avais fait le constat que les banques ouvraient des comptes sur la base de fausses identités et que c'était ensuite le commerce de proximité qui était directement victime d'escroqueries, selon le terme que l'on employait à l'époque. J'avais alors publié un rapport, que j'avais partagé avec le groupement d'intérêt économique (GIE) des cartes bancaires et la Banque de France. J'avais également eu l'audace de le communiquer aux correspondants de l'organisation internationale de police criminelle (INTERPOL) et de l'office européen de police (EUROPOL).

Mon rapport n'a pas été totalement suivi d'effet, mais le GIE cartes bancaires s'y est beaucoup intéressé. À l'époque, il entendait généraliser le paiement monétique – c'est-à-dire réalisé au moyen de cartes bancaires. Par ailleurs, il avait la responsabilité de la fraude. À ce titre, il devait comprendre un peu mieux comment étaient pratiquées les ouvertures de compte frauduleuses ; je lui ai fourni un éclairage sur ce point. Cela a constitué la première brique de notre activité : RESOCOM, en 1999, avait pour vocation de faire de l'audit et de la sensibilisation aux risques de fraude aux moyens de paiement. Assez rapidement, le GIE m'a invitée à présenter mon rapport auprès des banques et à les « éduquer ». Le défi était très difficile à relever, car elles avaient déjà des procédures : il a fallu les remettre en cause. Elles avaient aussi une batterie de réglementations qui leur permettaient de dire qu'elles procédaient aux diligences nécessaires s'agissant de l'ouverture des comptes, de la délivrance des moyens de paiement et de l'accès au crédit.

J'ai été très fière de m'intéresser au sujet puis de le défendre. J'ai commencé par les banques des caisses régionales, qui sont toujours mes clientes, d'ailleurs. Comme je ne connaissais pas les banques au départ, mon objectif a été de les associer en leur permettant de décrire le risque, pour leur proposer ensuite la lecture que j'en faisais et les aider à améliorer leurs process. En faisant de l'audit au sein des services du contentieux, j'ai assez rapidement compris qu'il y avait un véritable problème lié à la lecture des documents d'identité. À l'époque, dès lors qu'un document portait une photographie, il permettait de justifier son identité : il pouvait même s'agir d'une carte Orange ou d'un permis bateau. Ma démarche a permis d'ouvrir un véritable débat sur ce qu'était, en France, un document d'identité.

Il fallait établir une liste des documents d'identité, puis éduquer les conseillers à leur reconnaissance. S'agissant de la carte d'identité, elle n'est pas obligatoire en France : il faut donc aussi comprendre que certaines personnes n'en disposent pas. Quant aux titres de séjour, à l'époque, ils étaient différents en fonction du pays d'origine. Pour ces raisons, reconnaître les divers documents d'identité français présentait une certaine difficulté. Avec la mise en œuvre des accords de Schengen, la difficulté est devenue majeure, car il a fallu apprendre à reconnaître en plus les documents d'identité des pays membres. J'ai dû faire preuve de pédagogie. J'ai ainsi créé une base de données rassemblant tous les documents d'identité français et européens – je parle des pays de l'espace Schengen –, dont les passeports. Cette base de référence s'appelle Verify, car elle permet de savoir à quoi ressemble tel ou tel document d'identité, qu'il soit français ou européen. En outre, je me suis orientée vers la veille concernant la délivrance des documents, car il fallait aussi comprendre comment fonctionnaient, à cet égard, les États membres et leurs services d'état civil : les règles sont très différentes d'un pays à un autre et en fonction du type de document. La base de données existe toujours ; elle est alimentée au fil de l'eau.

C'est le dispositif le plus élaboré que j'aie créé. Il a immédiatement permis aux banques de réduire la fraude. À partir du moment où cette connaissance a été donnée aux conseillers, ils ont été rassurés de savoir qu'ils allaient bien faire leur travail. Auparavant, ils respectaient une procédure, mais celle-ci n'était pas de nature à leur permettre d'éviter l'ouverture de comptes au moyen de documents falsifiés ou contrefaits qui leur étaient présentés.

La Caisse d'épargne de Paris a été mon premier client. Pour ne rien vous cacher, le contrôleur général de l'époque a constaté qu'en moins de trois mois le montant des fraudes qu'il subissait était passé de 120 000 à 10 000 euros par jour – il m'a envoyé un courrier pour me le dire. Cela m'a encouragée à développer davantage mes services, et surtout à faire preuve de plus de pédagogie encore, car c'était de cela que les banques avaient besoin. Je n'ai pas de pouvoirs magiques : la fraude n'a pas été éradiquée. Elle existe et existera toujours. Après la mise en œuvre du dispositif par la Caisse d'épargne de Paris, elle s'est assez rapidement déplacée, et les autres caisses régionales ont constaté sa recrudescence – la fraude était répartie entre les banques de la place. Les caisses régionales m'ont donc sollicitée pour que je mette à leur disposition le même système. Celui-ci avait été imaginé pour un établissement en particulier, et financé par lui. Par la suite, il a fallu que je pense les choses différemment, de manière plus globale : il s'agissait de mutualiser l'information et de la rendre disponible pour l'ensemble des acteurs économiques. Afin d'aller plus loin, j'ai associé les banques au développement de la plateforme. Celle-ci existe toujours. Elle comporte la liste des documents acceptés par chaque banque. Elle vise aussi à aider les établissements à respecter leurs obligations réglementaires.

Le dispositif a permis progressivement d'identifier les documents français et européens, y compris les documents de voyage international et les permis de conduire, et de fournir la preuve du contrôle réalisé. En effet, un dispositif n'est efficace que si l'on contrôle qu'il est bien mis en place et qu'il permet un retour sur investissement. À cet égard, je puis vous assurer que les banques sont très exigeantes. Le retour sur investissement est immédiat : à partir du moment où les banques identifient un document posant problème, elles évitent le risque.

J'ai apporté plusieurs exemples de faux, en particulier certains utilisés par des terroristes, ce qui est particulièrement important : je vais vous faire passer un classeur pour que vous vous rendiez compte de la qualité des documents. Comme je le disais, la dimension pédagogique fait également partie de notre travail. J'ai joint à ces exemples, pour vous donner une idée des différents types de faux documents, un certain nombre d'illustrations des nouvelles pratiques, à savoir l'usurpation d'identité et la falsification de documents, visant notamment la carte d'identité française.

Mon propos a pour objectif de partager avec vous notre riche expérience et d'illustrer notre parcours de plus de vingt ans dans le domaine de l'expertise avec des chiffres issus de constats, puisque, dès le départ, j'ai mis en place des outils destinés à mieux comprendre les besoins des banques, et ce dans tout le pays.

Nous sensibilisons le personnel d'une manière différente selon la population concernée, notamment lorsqu'il s'agit d'immigrés. Les populations ne sont pas les mêmes selon les quartiers et les régions. L'idée est de suivre les besoins des banques et d'adapter les outils. Le dispositif est agile, les mises à jour sont faites en temps réel, y compris pour tenir compte des nouvelles pratiques de fraude. Notre système permet aussi d'établir un historique de toutes les alertes. Nous avons en outre la possibilité de géolocaliser le parcours des fraudeurs, ce qui est très intéressant, mais aussi celui des victimes d'usurpation d'identité, car mon objectif est également d'accompagner ces dernières : l'usurpation d'identité est un fléau dans notre société, et donc un enjeu considérable. À cet effet, j'ai créé une association loi de 1901, car il était difficile de parler de la question – il y a vingt ans, elle était taboue, et elle l'est encore un peu. Grâce à vous et aux journalistes, ce ne sera plus le cas.

Il y a là un véritable problème de société : n'importe quel citoyen du monde est une victime potentielle de l'usurpation d'identité, personne n'est à l'abri. En effet, à tout moment, nous pouvons être amenés à présenter un document d'identité ou à en faire une photocopie, par exemple. Si le comportement de l'usager titulaire du document comporte un risque, celui de la tierce personne à laquelle le document est présenté n'est quant à lui pas du tout maîtrisable et peut conduire à une usurpation d'identité, en France ou à l'étranger.

Je vous transmettrai également un fichier que j'ai eu l'occasion de partager avec le magistrat Charles Prats. Celui-ci m'avait demandé un échantillon, que je lui ai fourni il y a quelques semaines. Il a constaté qu'un certain nombre de noms correspondaient à ceux de personnes faisant l'objet d'enquêtes. Il est important de voir comment la fraude circule : un même document, français ou européen – car, avec la libre circulation, il y va de l'identité de tous les citoyens européens –, peut être utilisé plusieurs fois : on s'aperçoit qu'un numéro de document peut être partagé par plusieurs titulaires, avec des photos différentes. Nous avons géolocalisé cette utilisation sur la carte en France – la géolocalisation du risque est l'un des services que je rends au quotidien à chaque banque.

La banque évalue le risque car elle doit surveiller ses finances. Sur le plan réglementaire, elle a aussi l'obligation de contrôler l'identité de ses clients. Sa réputation est également en jeu – sans parler de l'enjeu de sociétal. À cet égard, les premières banques clientes du dispositif RESOCOM, notamment le groupe Crédit agricole, soutiennent l'association que j'ai créée. Au sein de ce groupe, le recours à notre système a été rendu obligatoire, et j'ai la grande fierté de savoir que, depuis 2003, il est utilisé aussi bien dans les banques régionales que dans les banques nationales, les organismes de crédit à la consommation et, plus récemment, pour l'ouverture de compte à distance. Bien évidemment, le groupe Crédit agricole n'est pas notre seul client, mais il représente un échantillon très important et a joué un rôle historique dans l'évolution de notre système : nous disposons des données consolidées relatives à son utilisation à l'échelle de l'ensemble du groupe. Ces statistiques lui sont très précieuses.

Pour en venir aux travaux de votre commission, j'ai pris conscience du fait qu'il y avait une véritable difficulté pour les organismes sociaux. Dans le cadre de RESO-club, l'association que j'évoquais, nous les avons invités à de nombreuses reprises ; certains sont venus. Nous avons fait un certain nombre de tentatives pour collaborer avec eux. Les banques exigent un retour sur investissement important ; les organismes sociaux, quant à eux, ont besoin de faire mûrir le sujet, car la lutte contre la fraude n'est pas leur vocation principale. Nous avons fait des tests et engagé un certain nombre de démarches. Malheureusement, cela n'a pas abouti.

J'ai créé RESOCOM sur mes fonds personnels et, encore maintenant, je suis seule au capital de la société. Je tiens à le souligner, car j'ai eu à surmonter toutes les objections du marché, liées au fait que la fraude à l'identité était un sujet à propos duquel il était difficile de se faire entendre, et j'ai dû également financer la recherche et développement, ce que j'ai fait avec des partenaires qui sont aussi des clients. Cette année encore, nous bénéficions du crédit d'impôt recherche – qui constitue une aide très importante pour la société –, puisque nous évoluons en permanence : le dispositif est modifié en fonction des besoins et s'adapte à tous les secteurs d'activité.

Une vraie question se pose du côté des organismes sociaux. S'ils n'avaient pas suffisamment conscience, entre 2006 et 2011, de l'efficacité du dispositif que j'ai développé pour les banques, ils pourraient peut-être s'en inspirer aujourd'hui. En tout cas, je serais très heureuse de partager mon retour d'expérience et ma démarche, qui est audacieuse et correspond à une certaine éthique.

Malgré les évolutions du marché, je suis toujours là. Cela dit, je ne considère pas que j'ai des concurrents en ce qui concerne la veille et l'expertise, facilitée par la technologie, que je propose.

Il est beaucoup question, désormais, des « fintech », qui sont largement financées. Il est important que d'autres initiatives puissent aussi exister. Je n'ai été financée par personne, sinon par mes propres clients, qui ont fait confiance à mon système. Je leur apporte une forme de garantie reposant sur l'échange, l'expertise et le savoir-faire, et de la sécurité, notamment en ce qui concerne les données qui me sont confiées. Mes clients ont un certificat leur permettant de dire que tel document est conforme ou non à certaines règles, et nous pouvons ensuite identifier les vrais faux.

J'espère que vous pourrez m'aider à partager ma démarche grâce à cette audition, et ainsi aider d'autres secteurs, notamment celui des organismes sociaux.

Ma collaboratrice ici présente, qui est en charge de la communication et des relations institutionnelles, s'intéresse de très près à cette question, aux tests, inaboutis, qui ont été menés, et à la manière dont nous pourrions adapter nos outils aux organismes sociaux.

Vous travaillez à la fois sur la fraude documentaire et sur l'usurpation d'identité. Comment voyez-vous, concrètement, les évolutions ? L'usurpation d'identité devient-elle le ressort privilégié de celles et ceux qui fraudent, d'une manière isolée ou non – étant entendu qu'il peut s'agir, en parallèle, de financer des activités criminelles ?

Nous sommes preneurs de votre proposition : les cas concrets nous intéressent. Nous avons observé un certain nombre d'éléments lorsque nous avons visité les services de la direction centrale de la police aux frontières (DCPAF), en particulier leur capacité de détection de vrais faux documents ou de documents falsifiés. La falsification se complexifie parce que la sécurité d'un certain nombre de documents a progressé, et c'est tant mieux – mais il y a toujours des risques. Nous avons aussi testé, lorsque nous avons visité le service administratif national d'identification des assurés (SANDIA), quelques fausses identités dont nous avions connaissance. On voit que le dispositif de sécurisation d'organismes tels que le SANDIA s'améliore, mais il reste un niveau de risque que des organisations criminelles essaieront toujours d'exploiter, c'est une évidence.

L'usurpation d'identité est un enjeu majeur.

La fraude documentaire s'est industrialisée. Au début, je voyais des falsifications ou des contrefaçons grossières ; aujourd'hui, c'est de plus en plus sophistiqué, avec des moyens qui ne sont pas nécessairement énormes.

Mon objectif est aussi de comprendre les comportements. Amédy Coulibaly a utilisé un document d'identité pour obtenir des financements pour son action terroriste – cela figure dans la documentation que j'ai apportée. Ce n'est pas un faux document qui était en cause, mais un comportement. Cela fait partie de l'analyse que je transmets en temps réel : la fréquence d'utilisation des documents peut être suspecte. Le document utilisé, lui, ne comportait aucune anomalie.

C'est en raison de ce problème que j'ai mis en place un service supplémentaire. Les faussaires auront toujours un train d'avance. Mon rôle est de faire de la veille et d'analyser les comportements. J'ai su apporter une solution, et je continue à m'adapter en permanence.

Amédy Coulibaly avait ouvert un compte dans une agence, et il a souscrit un certain nombre de crédits à la consommation, notamment en matière automobile. Tout était vrai, mais la fréquence d'utilisation du document d'identité était suspecte.

Je ne peux pas dire que le document est faux – je n'ai aucune légitimité pour le faire – mais j'apporte une aide à la décision. J'invite chaque conseiller à être attentif, à être vigilant sur l'ensemble du dossier.

C'est la fiche de paie qui était fausse, en l'occurrence. Nous fournissons des éléments pour vérifier la cohérence de ces documents, qui sont semi-structurés. Il est difficile de vérifier s'il y a des éléments de sécurité. Notre dispositif a pu aider les banques à éviter un risque.

J'ai invité des victimes d'usurpation d'identité dans le cadre de RESO-club. Une personne a dû justifier pendant quatorze ans, auprès des institutions financières mais aussi de sa famille, qu'elle n'était pas à l'origine de tous les crédits souscrits en son nom pendant cette période. On lui a tout saisi au départ. Le jugement est intervenu au mois de décembre dernier : l'usurpateur s'est vu infliger une peine de 3 500 euros d'amende et d'un an de prison. La justice ne suit pas du tout…

La victime m'a dit que la seule chose vraie dans le dossier était la carte d'identité, que l'usurpateur avait pu obtenir un certificat de naissance et ainsi un vrai document d'identité – c'est tout à fait possible : il y a une faille évidente du côté de l'administration. J'ai passé le document dans mon système, et j'ai été un peu mal à l'aise. Il y avait une anomalie. Cela peut être lié au fait que le document est encrassé, imparfait – il est vrai, mais une tache masque un caractère et le système de reconnaissance optique de caractères (OCR) conclut que le document présente une anomalie. J'ai fait une expertise : j'ai confirmé à la victime que la carte d'identité figurant dans le dossier était contrefaite. Le document avait été dupliqué et utilisé au sein d'un réseau. C'est pourquoi d'autres banques ou créanciers se mettaient à poursuivre à leur tour la victime.

La démarche de RESOCOM et de l'association est notamment d'inviter les victimes d'usurpation à venir s'exprimer. Il faut regarder de quoi il s'agit, sinon il est difficile de comprendre leur parcours du combattant. Quelques victimes m'ont contactée dernièrement, grâce à l'association. Je leur ai immédiatement indiqué la démarche à suivre – il faut commencer par déposer plainte, bien sûr. J'ai intégré dans ma base de données les documents volés, afin de l'enrichir. Une des personnes, qui habite dans la région de Montpellier, sait que des comptes ont été ouverts à Arles et à Perpignan.

L'utilité publique est dans mon état d'esprit. Il s'agit d'apporter une réponse aux citoyens et aux victimes d'usurpation d'identité, en plus des banques.

L'usurpation d'identité se professionnalise. Lorsque j'ai commencé, on falsifiait des prénoms ou des dates de naissance, parce que les personnes concernées étaient fichées à la Banque de France. Aujourd'hui, il peut s'agir de personnes fichées S qui cherchent à obtenir des crédits en recourant à une autre identité.

Il y a deux ans, la Lituanie a connu une faille dans son état civil, ou plutôt dans ses systèmes informatiques. J'ai identifié un certain nombre de cartes d'identité lituaniennes concernées. Elles sont sécurisées – elles sont faites en polycarbonate et utilisent la biométrie – et parfaitement maîtrisées sur le plan industriel, mais des fichiers ont été usurpés par un réseau. Des gens tout à fait convenables ont ouvert un compte en France, dans une agence située à la campagne. On a mis en cause mon système en disant qu'il ne savait pas lire un document exotique tel qu'une carte d'identité lituanienne. J'ai apporté la preuve que nous savons non seulement lire une carte d'identité lituanienne – qui est européenne – mais aussi voir que le document en question est volé. J'ai mis en place un réseau de coopération qui m'a permis d'avoir des informations sur le fait que l'identité avait été usurpée et que la carte d'identité était fausse, même si elle ressemblait à une vraie carte d'identité lituanienne.

Je peux, effectivement, ne pas tout connaître. Mais j'améliore depuis vingt ans mon système, qui devient de plus en plus performant. J'ai des clients qui me font confiance.

Merci pour l'éclairage très intéressant que vous nous avez apporté.

Si j'ai bien compris, l'action que vous avez engagée il y a vingt ans avec les banques correspond à ce que nous pourrions faire aujourd'hui avec les régimes sociaux. J'imagine que les banquiers étaient un peu dans le flou à l'époque : ils se doutaient qu'il y avait de la fraude mais ils n'en étaient pas sûrs, et ils n'étaient pas certains que ce qu'ils mettaient en place fonctionne.

Nous pourrions peut-être demander aux organismes sociaux d'essayer. Vous pourriez les aider sur le plan de l'ingénierie, pour ce qui est de la mise en place des systèmes de contrôle, mais vous avez également des fichiers. Si le fraudeur ouvre un compte en banque, c'est peut-être pour frauder la caisse d'allocations familiales et la sécurité sociale.

Il est agréable de se dire qu'il y a des solutions alors que tous les organismes sociaux nous expliquent qu'elles n'existent pas. Ils nous disent aussi, très souvent, qu'il n'y a pas de fraudes, que c'est nous qui les inventons. Or il semblerait que les fraudes existent, quand même un peu, et qu'il y ait des solutions. Si des systèmes ont été créés pour les banques, c'est parce qu'elles trouvent que c'est intéressant. On pourrait essayer de faire de même du côté des organismes sociaux. Cette audition permet de mettre le doigt sur un point important.

J'ajoute que la fraude sociale peut être liée à d'autres sujets très graves, comme le terrorisme, dont vous avez parlé. On sait que tout cet argent sert très souvent à des trafics.

Confirmez-vous que votre système est transposable ? Les régimes de protection sociale en auraient bien besoin !

Il existe beaucoup de task forces, d'interministérialité, et des ministères souhaitent développer des outils. Notre avantage est que RESOCOM existe… Nous pouvons évidemment être un partenaire.

Je voudrais revenir sur un sujet d'actualité : l'ouverture de comptes dans les tabacs. Je sais que ces commerces ont besoin de se diversifier, de recréer de l'activité, parce qu'il y a une baisse de la consommation de tabac, ce qui est d'ailleurs très positif en ce qui concerne la santé publique. Le compte Nickel est une avancée en soi – il est formidable que l'accès à une banque ne dépende pas des revenus – mais on crée une situation très compliquée pour les débitants de tabac. Ils ont des habilitations données par l'État dans certains domaines, mais pas pour le contrôle des papiers d'identité et des sources. L'ouverture de ces comptes peut créer une nouvelle faille dans notre système de contrôle.

Mme Azevedo vient, à l'origine, du secteur de la monétique. Le Conseil national du commerce s'était demandé comment on pouvait se protéger. Les TPE et PME n'ont pas forcément les outils juridiques et les équipes pour se préserver. Je ne vis pas dans le monde des bisounours : elles peuvent être victimes ou organisatrices – il y a des gens dont le métier est de travailler sur cette question.

Nous serions heureuses de contribuer à aider, car c'est un enjeu d'intérêt général. Même si on ne peut pas tout éviter, on peut sans doute limiter le risque.

Merci beaucoup pour ces précisions. Nous allons, hélas, être obligés de terminer cette audition, puisque nous devons rejoindre l'hémicycle pour une séance de questions au Gouvernement.

Vous nous avez apporté un éclairage sur la question, essentielle, de l'usurpation d'identité. On estime que 200 000 de nos concitoyens en sont victimes chaque année, sous des formes diverses. Il peut s'agir d'utiliser une identité pour capter des prestations sociales ou pour frauder le système bancaire. Des permis de conduire et des cartes grises peuvent aussi être usurpés, comme les services de police nous l'ont rappelé, ce qui a pour effet de mettre des infractions sur le dos de concitoyens qui n'y sont strictement pour rien.

Si nous avons tenu à vous auditionner, c'est parce que l'expertise de RESOCOM, ce qui est fait pour lutter contre la fraude du côté du système financier, mérite notre attention : il faut essayer d'améliorer les pratiques dans d'autres secteurs.