Systèmes — RÉCOR
RÉCOR
Statut: Pré-déploiement
RÉCOR est un registre souverain des bénéficiaires effectifs conçu pour le Cameroun, bâti pour satisfaire les recommandations 24 et 25 du GAFI et exporter vers le standard de données sur les bénéficiaires effectifs (BODS v0.4). Il a fait l’objet d’une démonstration complète auprès d’Open Ownership le 1 juillet 2026, et Open Ownership en a pris acte.
En bref
| Nom du système | RÉCOR |
|---|---|
| Catégorie | Registre souverain des bénéficiaires effectifs |
| Statut | Pré-déploiement |
| Modèle d’exploitation | Conçu pour une exploitation institutionnelle sous gouvernance de consortium |
| Conçu pour | Le Cameroun |
| Standards | GAFI R.24, GAFI R.25, BODS v0.4 |
| Format d’export | BODS v0.4 JSON |
| Langues du portail | français / anglais / pidgin camerounais |
| Code source | Gardé strictement privé ; ni publié ni distribué |
Le problème
L’opacité de la propriété des entreprises laisse la finance illicite circuler sans être vue et empêche une juridiction de satisfaire les standards internationaux. Un registre des bénéficiaires effectifs rend la propriété réelle lisible — mais seulement si les données sont fiables, si la piste d’audit est infalsifiable, et si les droits des citoyens sur leurs propres données sont respectés.
Ce que fait RÉCOR
Une déclaration de propriété traverse une chaîne de vérification en neuf étapes avant d’être publiée et exportée. Chaque étape confirme, signale ou renvoie la déclaration ; rien n’est publié sur la seule confiance. RÉCOR est conçu pour être gouverné par un consortium d’institutions camerounaises avec des observateurs internationaux, et son portail déclarant est trilingue : français, anglais et pidgin camerounais.
Les neuf étapes, en détail
Parité de schéma et attestation signée
Chaque déclaration arrive sous forme d’une suite d’octets canonique et fixe, signée dans le navigateur du déclarant. Cette étape vérifie que la structure est complète, que les parts déclarées totalisent exactement 100 %, qu’aucun bénéficiaire n’apparaît deux fois, et que la signature Ed25519 correspond à ces octets précis. Une signature invalide ou une déclaration malformée est refusée d’emblée — la chaîne échoue en position fermée plutôt que d’avancer dans le doute.
Contrôles d’identité
Chaque bénéficiaire effectif déclaré est confronté à des sources officielles d’identité civile, afin qu’une déclaration ne puisse reposer sur une personne inventée. Quand tous les bénéficiaires sont résolus, la déclaration gagne un degré de confiance mesuré — jamais une preuve. Quand aucun ne l’est, un fort signal de fausseté est levé ; quand la source est injoignable, l’étape consigne l’insuffisance de preuve au lieu de passer en silence.
Criblage des sanctions (ONU / UE / OFAC, plus données ICIJ sur les sociétés offshore)
Les noms déclarés sont criblés contre les listes de sanctions de l’ONU, de l’UE et de l’OFAC et les données ICIJ Offshore Leaks, par un rapprochement flou à paliers qui quantifie la proximité de chaque correspondance. Une correspondance quasi certaine appelle l’examen le plus strict ; une correspondance faible consigne l’incertitude pour un analyste ; et l’étape est conçue pour refuser de conclure sur des listes périmées.
Criblage des personnes politiquement exposées
La même mécanique de criblage pose une question différente : un bénéficiaire déclaré est-il une personne politiquement exposée, ou un proche d’une telle personne ? Une correspondance est traitée comme un signal de risque, non comme une accusation — elle alourdit l’examen au lieu de bloquer la déclaration, et une exposition confirmée oriente le dossier vers la revue humaine.
Revue de la presse défavorable
Les informations publiquement accessibles recueillies au sujet de chaque bénéficiaire sont évaluées par un examinateur automatique délibérément conservateur, tenu de rendre un verdict, un niveau de confiance et des citations à l’appui. Un constat défavorable à haute confiance signale la déclaration ; toute ambiguïté est consignée comme preuve insuffisante. L’étape est conçue pour ne jamais convertir l’absence d’information en résultat favorable.
Détection de motifs par graphe et apprentissage automatique
Les structures de propriété sont analysées comme un graphe à la recherche de schémas de dissimulation connus — propriété circulaire, montages de prête-noms, grappes d’entités partageant une même adresse. Chaque schéma détecté porte un poids de sévérité : plus la structure est suspecte, plus sa contribution au tableau de risque fusionné est lourde. En l’absence de score, l’étape le consigne plutôt que d’inventer un signal.
Fusion multi-sources Dempster-Shafer
Les preuves de chaque étape précédente — et de sources gouvernementales et institutionnelles indépendantes — sont combinées par la théorie des croyances de Dempster-Shafer, capable de dire « nous ne savons pas » au lieu de forcer une probabilité. Les sources qui concordent renforcent la croyance ; celles qui se contredisent — une source officielle donnant une entité active, une autre la donnant dissoute — lèvent un signalement à elles seules.
Revue des parties prenantes
Les déclarations que la machine ne peut ni innocenter ni condamner passent à des examinateurs humains des institutions exploitantes. Une revue en attente ne se résout jamais d’elle-même : le dossier attend. La décision de l’examinateur exige une justification écrite, est consignée dans un journal en ajout seul, et pèse de manière décisive sur l’issue — une personne, non un modèle, tranche les cas difficiles.
Consultation publique
Le dernier verrou est le regard du public. RÉCOR est conçu pour recevoir des signalements de divergence sur toute inscription — anonymement, si l’auteur le préfère — et pour consigner chaque signalement dans un journal en ajout seul destiné au triage institutionnel. Une contestation étayée est conçue pour renvoyer la déclaration en revue des parties prenantes : le public devient un contrôle permanent du registre.
Modèle de données et ce qui est publié
Une déclaration nomme l’entité ou la construction juridique concernée et énumère chaque personne physique qui la possède ou la contrôle en dernier ressort. Pour chaque personne, elle consigne la part exacte détenue — stockée en points de base entiers, de sorte que 99,99 % et 100,00 % restent arithmétiquement distincts —, la nature de l’intérêt (capital, droits de vote, arrangements familiaux ou par procuration, contrôle contractuel, ou autre), l’éventuelle qualité de prête-nom et la personne derrière le prête-nom, ainsi que le fondement juridique du contrôle lorsque la propriété seule ne l’explique pas. Le déclarant signe l’ensemble dans son propre navigateur, avec l’affirmation formelle que la déclaration est adéquate, exacte et à jour — la formule de la recommandation 24 du GAFI, portée dans les données elles-mêmes.
Ce que voit le public est délibérément plus restreint que ce que détient l’institution. La fiche publique est conçue pour montrer cinq champs par bénéficiaire effectif — nom, nationalité, rôle, pourcentage de propriété et pourcentage de contrôle — et rien d’autre : ni adresse résidentielle, ni date de naissance, ni numéro national d’identité. La déclaration complète, ses preuves et son historique de vérification restent auprès de l’institution exploitante, accessibles aux seuls examinateurs autorisés, sous des contrôles d’accès eux-mêmes journalisés.
Pour l’interopérabilité, RÉCOR exporte vers le standard de données sur les bénéficiaires effectifs (BODS) v0.4, un format ouvert fondé sur des énoncés : des énoncés distincts décrivent chaque personne, chaque entité et chaque relation de propriété ou de contrôle, avec des types d’intérêts tels que la participation au capital ou les droits de vote. Le format étant un standard ouvert, les données sont lisibles par tout outil compatible BODS et ne sont pas verrouillées à RÉCOR lui-même. La correspondance d’export est auto-déclarée par SIGIL ; elle n’est certifiée par aucun tiers.
La minimisation des données personnelles traverse la conception : la publication se limite aux cinq champs publics, les journaux sont caviardés avant d’être écrits, et le signalement public anonyme n’exige aucune coordonnée. Lorsqu’un enregistrement doit être effacé, le droit à l’effacement est conçu pour être honoré par broyage cryptographique — destruction de la clé qui rend l’enregistrement lisible — de sorte que l’effacement est réel sans briser l’intégrité de la chaîne d’audit.
Modèle de menace
Un registre des bénéficiaires effectifs est une cible : pour ceux qui voudraient le nourrir de mensonges, et pour ceux qui voudraient réécrire discrètement ce qu’il retient. RÉCOR est conçu contre des classes d’attaque précises, et chaque classe reçoit pour réponse un mécanisme nommé, non une simple politique.
| Classe d’attaque | Mécanisme de réponse |
|---|---|
| Déclarations falsifiées | Neuf étapes de vérification séparent la soumission de la publication ; l’attestation Ed25519 de la déclaration est vérifiée contre les octets signés exacts, et une signature invalide est refusée d’emblée. |
| Altération par un initié | Le journal des déclarations est en ajout seul au niveau même de la base de données — mises à jour et suppressions sont refusées quel que soit le rôle — et une chaîne d’audit triple-témoin, ancrée par arbre de Merkle, rend chaque modification infalsifiable. |
| Modifications silencieuses des enregistrements | Chaque changement est un événement de la chaîne d’audit, et la preuve cryptographique d’un enregistrement est conçue pour être re-vérifiable par chacun — une modification qui contourne la chaîne devient détectable au lieu de rester invisible. |
| Suppression sous contrainte | L’effacement est conçu pour être honoré par broyage cryptographique — la clé est détruite, l’intégrité de la chaîne d’audit survit — si bien qu’une suppression ne peut jamais réécrire l’histoire en silence. |
| Verrouillage fournisseur | Le registre exporte vers BODS v0.4, un standard ouvert ; l’institution exploitante peut emporter ses données ailleurs à tout moment. |
| Exfiltration de données | La clé de signature du déclarant ne quitte jamais son navigateur ; les clés de plateforme et de garde restent auprès de l’institution exploitante ; les services s’exécutent sous des règles réseau de refus par défaut, et les journaux sont caviardés avant d’être écrits. |
Interfaces et langues
Le portail déclarant est trilingue — français, anglais et pidgin camerounais — car une obligation déclarative qu’on ne peut pas lire n’est pas une obligation, c’est un piège. Le français est la langue juridique de référence et le repli de chaque chaîne d’interface : une traduction manquante s’affiche en français plutôt qu’en erreur. Le portail génère la clé de signature du déclarant dans le navigateur, guide le déclarant à travers sa déclaration, et remet un reçu cryptographique.
Autour du portail déclarant se trouvent les surfaces institutionnelles : une interface publique de recherche limitée à l’extrait minimal publié, des consoles de revue pour l’étape de revue des parties prenantes et pour la supervision institutionnelle, un tableau de bord d’exploitation dont les actions conséquentes sont conçues pour exiger deux personnes plutôt qu’une, une surface en libre-service par laquelle déclarants et personnes concernées exercent leurs droits d’accès, de rectification et de limitation, et une interface d’export contrôlée pour les données BODS v0.4. Un canal de signalement anonyme accepte les alertes du public sans exiger d’identité, et est conçu pour ne conserver aucune donnée réseau identifiante.
Standards et conformité
RÉCOR est bâti pour satisfaire les recommandations 24 et 25 du GAFI et pour exporter vers le standard de données sur les bénéficiaires effectifs (BODS) v0.4. Il a fait l’objet d’une démonstration complète auprès d’Open Ownership le 1 juillet 2026, et Open Ownership en a pris acte.
RÉCOR est bâti selon le standard de données sur les bénéficiaires effectifs (BODS v0.4) et a fait l’objet d’une démonstration complète auprès d’Open Ownership le 1 juillet 2026, qui en a pris acte. Il s’agit d’une démonstration technique, non d’un soutien institutionnel.
Garanties de souveraineté
| Garantie | Comment RÉCOR l’assure |
|---|---|
| Résidence des données | Conçu pour s’exécuter sur l’infrastructure nationale ; le registre et ses preuves restent dans le pays. |
| Garde des clés | Chaque déclaration est signée dans le navigateur du déclarant, avec une clé que seul le déclarant détient ; les clés de plateforme et de garde restent auprès de l’institution exploitante. |
| Droits des citoyens | Le droit à l’effacement est conçu pour être honoré par broyage cryptographique — destruction de la clé qui rend un enregistrement lisible. |
| Chaîne d’audit | Une chaîne d’audit triple-témoin, ancrée par arbre de Merkle, rend chaque modification infalsifiable. |
| Standard ouvert | Exporte vers BODS v0.4 ; les données sont portables et non verrouillées à un fournisseur. |
| Code source | Gardé strictement privé ; ni publié ni distribué. |
Questions posées par les institutions
RÉCOR satisfait-il les recommandations 24 et 25 du GAFI ?
RÉCOR est conçu pour satisfaire les recommandations 24 et 25 du GAFI et exporter vers le standard de données sur les bénéficiaires effectifs. Il a fait l’objet d’une démonstration complète auprès d’Open Ownership le 1 juillet 2026, et Open Ownership en a pris acte.
Comment le droit des citoyens à l’effacement est-il assuré ?
Le droit à l’effacement est conçu pour être honoré par broyage cryptographique : lorsqu’un enregistrement doit être effacé, la clé qui le rend lisible est détruite, rendant les données irrécupérables tout en préservant l’intégrité de la chaîne d’audit.
Les données de propriété sont-elles portables ?
Oui. RÉCOR exporte vers le standard de données sur les bénéficiaires effectifs (BODS) v0.4, un standard ouvert ; les données ne sont pas verrouillées à un fournisseur unique.
Le code source de RÉCOR est-il disponible ?
Non. L’intégralité du code source de RÉCOR est gardée strictement privée. Il n’est ni publié, ni miroité, ni distribué.
Comment une déclaration est-elle vérifiée avant publication ?
Jamais sur la seule confiance. Le déclarant signe sa déclaration dans son propre navigateur ; neuf étapes de vérification contrôlent ensuite la structure et la signature, l’identité de chaque bénéficiaire déclaré, l’exposition aux sanctions et aux personnes politiquement exposées, la presse défavorable et les schémas de dissimulation dans le graphe de propriété, avant que la fusion Dempster-Shafer ne pèse l’ensemble des preuves. Les cas difficiles passent à des examinateurs humains, et le public peut contester toute inscription. Alors seulement la déclaration est publiée et exportée.
Que permet l’export BODS v0.4 ?
Le standard de données sur les bénéficiaires effectifs est le format ouvert par lequel les données de propriété deviennent comparables d’une juridiction à l’autre et exploitables par des outils que l’exploitant du registre n’a pas construits — plateformes d’analyse, outils de journalisme, systèmes d’autres juridictions. RÉCOR exporte vers BODS v0.4 et a fait l’objet d’une démonstration complète auprès d’Open Ownership le 1 juillet 2026, et Open Ownership en a pris acte. Il s’agit d’une démonstration technique, non d’un soutien institutionnel. La démonstration figure dans les références.
Comment la gouvernance de consortium est-elle conçue ?
RÉCOR est conçu pour être gouverné par un consortium d’institutions camerounaises avec des observateurs internationaux, et non par un administrateur unique. Les opérations conséquentes sont conçues pour exiger un quorum cryptographique de membres du consortium, les actions administratives sensibles exigent deux personnes plutôt qu’une, et chaque décision laisse une trace signée et auditable. C’est la règle constante de SIGIL : l’institution détient les clés ; les données restent sous le contrôle de l’institution ; chaque action conséquente est autorisée, bornée et prouvée.