Le contrôle de conformité au service client consiste à vérifier dans chaque conversation les étapes qu’imposent vos règles, comme les contrôles d’identité, les mentions obligatoires et le traitement des données de carte bancaire, et à en conserver la preuve. Mené sur un échantillon, il vous dit qu’un problème existe.
Mené sur chaque appel, chat et e-mail, il vous dit quelles conversations sont concernées et vous permet de prouver que les autres étaient conformes.
En bref
- Le contrôle de conformité vérifie les étapes obligatoires de chaque conversation ; la QA qualité juge si la conversation s’est bien passée, et les deux peuvent partager une même grille d’évaluation.
- Un échantillon peut montrer que des conseillers oublient une mention obligatoire, mais pas quels clients sont concernés, et c’est la question que pose ensuite un auditeur ou un régulateur.
- Une grille de conformité a besoin de critères éliminatoires pour les étapes qui ne doivent jamais manquer, et de critères pondérés pour le reste.
- PCI DSS interdit de conserver les codes de vérification de carte après l’autorisation, y compris dans les enregistrements, et certains États américains, dont la Californie, exigent le consentement de tous les participants pour enregistrer un appel.
- Six étapes suffisent pour le mettre en place, et le résultat est un dossier de preuves que vous pouvez remettre quand on vous le demande.
Côté plateforme, la page sur le contrôle qualité du service client montre comment Kaizo évalue chaque conversation selon vos critères, et la page conformité et risques explique comment les critères de conformité s’intègrent à la même grille.
Qu’est-ce que le contrôle de conformité au service client ?
Le contrôle de conformité au service client est l’examen des conversations support au regard des règles qu’une entreprise doit suivre : lois, exigences des régulateurs, règles des réseaux de cartes et politiques internes. Il demande si chaque étape obligatoire a eu lieu, pas si la conversation était agréable.
Il recoupe la QA sans se confondre avec elle. La QA demande si le conseiller a bien résolu le problème.
Le contrôle de conformité pose des questions fermées lourdes de conséquences : le client a-t-il été identifié, l’annonce d’enregistrement a-t-elle été faite, l’avertissement sur les risques a-t-il été lu, un numéro de carte s’est-il retrouvé dans la transcription. Dans un support réglementé, comme les services financiers ou les jeux d’argent, ces questions décident si vous pouvez défendre une réclamation.
| QA qualité | Contrôle de conformité | |
|---|---|---|
| Question | La conversation a-t-elle été bien traitée ? | Chaque étape obligatoire a-t-elle eu lieu ? |
| Évaluation | Critères pondérés, une note sur 100 | Réussite ou échec par vérification, souvent éliminatoire |
| Qui pose la question | Chefs d’équipe, QA, direction de l’expérience client | Conformité, auditeurs, régulateurs, réseaux de cartes |
| Ce que coûte un oubli | Une occasion de coaching | Une réclamation indéfendable, une amende, une opération de remédiation |
| Preuve nécessaire | Une note et un commentaire | La phrase exacte de la transcription, conservée pendant la durée de conservation |
Les deux fonctionnent mieux sur une même grille : les conseillers reçoivent une seule évaluation et un seul standard. Notre guide sur les auto-fail criteria (en anglais) explique comment une seule vérification de conformité en échec peut ramener une note à zéro sans fausser le reste.
Pourquoi l’échantillonnage ne tient-il pas face à un audit de conformité ?
L’échantillonnage ne tient pas face à un audit de conformité, car il estime la fréquence d’un oubli sans dire quelles conversations sont concernées, et c’est ce que demande ensuite un auditeur ou un régulateur.
Exemple chiffré (chiffres illustratifs, pas des données Kaizo). Un centre de contact reçoit 30 000 appels par mois. Sur 8 000 d’entre eux, des paiements et des modifications de compte, les conseillers doivent lire une mention obligatoire. Ils l’oublient sur un de ces appels sur 50 : 160 appels. La QA relit un échantillon aléatoire de 900 appels.
| Valeur | |
|---|---|
| Appels par mois | 30 000 |
| Appels qui exigent la mention | 8 000 |
| Appels où elle a été oubliée | 160 |
| Appels relus | 900 |
| Nombre attendu d’oublis trouvés dans l’échantillon | environ 5 |
| Oublis que personne n’a vus | environ 155 |
L’échantillon remplit son rôle de mesure : cinq oublis sur environ 240 appels qui exigeaient la mention vous disent que le problème existe.
C’est alors que les questions commencent. Quels clients sont concernés ? L’appel à l’origine de cette réclamation en fait-il partie ? L’oubli touche-t-il toutes les équipes ou une seule ? Avec un échantillon, vous répondez en réécoutant 8 000 appels après coup. Avec chaque appel évalué, vous filtrez sur un critère en échec et vous avez la liste.
Il existe un second angle mort. Les appels les plus risqués pour la conformité, une réclamation, un client vulnérable, un litige sur des plafonds, sont rares : un échantillon aléatoire a donc le moins de chances de les contenir. Les statistiques sont détaillées dans why a 3% QA sample cannot support agent-level decisions (en anglais).
Les vérifications d’une grille de conformité
Une grille de conformité contient des critères éliminatoires pour les étapes qui ne doivent jamais manquer, comme la vérification d’identité et le traitement des données de carte, et des critères pondérés pour les étapes qui peuvent être partiellement manquées. Chaque vérification doit pouvoir être tranchée à partir de la transcription.
Voici une base à adapter. Remplacez les exemples par la formulation exacte qu’imposent vos règles.
| Vérification | Exemple de réussite | Type | Preuve |
|---|---|---|---|
| Identité vérifiée avant toute information sur le compte | Le conseiller a posé les questions de sécurité requises avant de parler du solde | Éliminatoire | Les phrases de vérification |
| Annonce d’enregistrement faite | « Cet appel est enregistré à des fins de qualité et de formation » au début | Éliminatoire là où des règles de consentement s’appliquent | Le début de l’appel |
| Mention obligatoire lue | L’avertissement sur les risques, les frais ou les conditions validé, en entier | Éliminatoire | La phrase de la mention |
| Aucune donnée de carte dans la transcription | Aucun numéro de carte complet ni code de sécurité écrit dans un chat ou un e-mail | Éliminatoire | L’absence, vérifiée sur chaque message |
| Pas de conseil personnalisé là où il n’est pas autorisé | Le conseiller a donné une information, pas une recommandation | Pondéré ou éliminatoire, selon vos règles | La réponse concernée |
| Réclamation reconnue et enregistrée | Le conseiller l’a qualifiée de réclamation et a suivi le processus | Pondéré | La réclamation et l’étape suivante |
| Vulnérabilité signalée | Les signes de vulnérabilité ont été repérés et traités selon la politique | Pondéré | Les mots du client et la réponse du conseiller |
| Information sur l’IA (agents IA) | Le client a été informé qu’il échangeait avec une IA | Éliminatoire là où c’est obligatoire | Le premier message ou la formule d’accueil |
Formulez chaque vérification comme une question unique, à laquelle on répond par oui ou par non, et précisez ce qui compte comme preuve. « Le conseiller a-t-il lu la mention sur les frais avant d’encaisser le paiement ? » s’évalue de la même façon sur chaque appel. « Le conseiller était-il conforme ? » ne s’évalue pas.
PCI DSS, enregistrements d’appels et QA
PCI DSS n’autorise pas la conservation des codes de vérification de carte après l’autorisation, même chiffrés, et le PCI Security Standards Council précise que cela vaut pour les enregistrements audio. La QA doit vérifier que les données de carte n’arrivent jamais dans les enregistrements ni dans les transcriptions.
Le détail, d’après la source :
- L’exigence 3.3.1 de PCI DSS prévoit que les données d’authentification sensibles ne sont pas conservées après l’autorisation, même chiffrées. La FAQ du PCI SSC sur les enregistrements audio indique que conserver des codes de vérification de carte dans un enregistrement audio numérique après l’autorisation enfreint donc cette exigence, que tout doit être fait pour empêcher l’enregistrement de ces données, et que la suppression ou le masquage doivent être activés là où la technologie le permet.
- Si l’enregistrement ne peut pas être évité, la FAQ indique que les données doivent être supprimées de façon sécurisée une fois la transaction autorisée, avec des contrôles compensatoires si ce n’est pas possible.
- PCI DSS v4.0.1 est la version en vigueur ; le PCI SSC a annoncé que la v4.0 serait retirée le 31 décembre 2024.
- PCI DSS ne prime pas sur les lois locales relatives à la durée de conservation des enregistrements, comme le précise la même FAQ.
Ce que cela signifie pour la QA en pratique : les dispositifs qui tiennent les données de carte à l’écart des enregistrements relèvent de votre téléphonie et de votre système de paiement, pas de la QA. Le rôle de la QA est de vérifier qu’ils fonctionnent sur chaque conversation.
Évaluez si les conseillers ont demandé au client de lire un code de sécurité à voix haute alors que le processus l’interdit, et si un numéro de carte complet apparaît dans la transcription d’un chat ou d’un e-mail. La page conformité de Kaizo cite d’ailleurs « Numéro de carte partagé » comme exemple de critère éliminatoire.
Les règles américaines de consentement à l’enregistrement
La loi fédérale américaine autorise l’enregistrement avec le consentement d’une seule partie, mais certains États exigent le consentement de tous : la plupart des centres de contact font donc une annonce d’enregistrement au début de chaque appel.
- Niveau fédéral : selon le 18 U.S.C. § 2511(2)(d), il n’est pas illégal, pour une personne qui n’agit pas sous couvert de l’autorité publique (under color of law), d’intercepter une communication lorsqu’elle y participe ou que l’une des parties a donné son consentement préalable, sauf si cela vise à commettre un acte criminel ou délictuel.
- Californie : le Penal Code § 632 fait de l’enregistrement d’une communication confidentielle sans le consentement de toutes les parties une infraction, punie d’une amende pouvant atteindre 2 500 dollars par infraction pour une première infraction.
- Autres États : le Reporters Committee for Freedom of the Press recense environ 11 États qui exigent principalement le consentement de toutes les parties, et conseille de partir du principe que la loi de l’État le plus strict s’applique quand un appel traverse plusieurs États.
Ceci est un résumé, pas un avis juridique ; vérifiez avec votre conseil juridique les règles de chaque État et de chaque pays que vous servez. Pour la QA, l’étape est concrète : faites de « annonce d’enregistrement faite » un critère éliminatoire au début de chaque appel enregistré, pour pouvoir montrer qu’elle a eu lieu à chaque fois.
Mettre en place le contrôle de conformité sur chaque appel
Pour mettre en place le contrôle de conformité sur chaque appel, listez les règles, transformez chacune en question fermée, ajoutez ces vérifications à votre grille, testez l’évaluation, évaluez tout et examinez chaque échec.
Étape 1 : lister les règles applicables
Avec votre équipe conformité, listez chaque règle qui touche une conversation support : lois, exigences des régulateurs, règles des réseaux de cartes, politiques internes. Pour chacune, notez à quelles conversations elle s’applique, comme les appels de paiement, les réclamations ou les clôtures de compte.
Étape 2 : transformer chaque règle en une vérification
Rédigez une question fermée par règle, avec la formulation ou le comportement exact qui vaut réussite et la preuve attendue. Décidez quelles vérifications sont éliminatoires. Restez concis : une vérification que personne ne sait évaluer de façon cohérente est pire que pas de vérification du tout.
Étape 3 : ajouter les vérifications à votre grille QA
Placez les vérifications de conformité à côté de vos critères qualité, pour que chaque conversation reçoive une seule évaluation. Limitez chaque vérification aux conversations qu’elle concerne, pour qu’un contrôle de mention obligatoire ne fasse pas échouer un appel où aucune mention n’était requise. Notre guide sur la pondération d’une grille d’évaluation explique comment se combinent critères éliminatoires et critères pondérés.
Étape 4 : tester l’évaluation avant de vous y fier
Évaluez à la main une série de conversations passées, avec votre équipe conformité, et comparez les résultats aux notes automatiques ou à celles des évaluateurs. Corrigez les vérifications là où ils divergent. C’est cette étape qui rend les résultats défendables.
Étape 5 : évaluer chaque conversation
Évaluez tous les appels, chats et e-mails concernés par les vérifications, chaque résultat étant lié à la phrase de la transcription qui le justifie. Notre guide sur la QA score traceability (en anglais) explique pourquoi une note sans sa preuve est difficile à défendre.
Étape 6 : examiner chaque échec
Transmettez chaque échec sur un critère éliminatoire à une personne dans la semaine. Déterminez s’il s’agit d’une erreur du conseiller, d’une faille de processus ou d’une erreur d’évaluation, agissez en conséquence et consignez ce que vous avez fait. Cherchez ensuite des tendances par équipe, par file et par vérification.
Voyez-le en démo. Kaizo évalue chaque conversation selon vos critères de conformité et relie chaque note à la transcription. Parlons-en.
Le dossier de preuves pour un auditeur ou un régulateur
Montrez la règle, la vérification qui la teste, la couverture, les échecs et ce que vous avez fait pour chacun. Un dossier de preuves en cinq parties répond à la plupart des questions de conformité sur les conversations support.
Utilisez ce modèle :
| Partie | Contenu |
|---|---|
| 1. Règle | L’exigence, sa source et les conversations auxquelles elle s’applique |
| 2. Vérification | La question de la grille, ce qui vaut réussite et si elle est éliminatoire |
| 3. Couverture | Combien de conversations concernées ont été évaluées sur la période, sur combien au total |
| 4. Échecs | Chaque conversation en échec, avec la phrase de la transcription et la date |
| 5. Actions | Ce que vous avez fait pour chaque échec (coaching, changement de processus, remédiation client) et quand |
Si la question porte sur une seule conversation, comme une réclamation, le même dossier y répond : la note sur chaque vérification et les phrases de la transcription qui la justifient. C’est tout l’intérêt d’une couverture QA à 100 % dans un contexte réglementé : la piste d’audit est l’évaluation elle-même, pas un rapport assemblé après coup.
Kaizo est conçu pour cette partie. Sa page conformité indique qu’il évalue chaque conversation selon vos critères de conformité et relie chaque note à la transcription, avec des critères personnalisés pour votre contexte réglementaire, et ses grilles d’évaluation reprennent vos critères existants plutôt qu’un modèle.
Kaizo est certifié SOC 2 Type II et ISO 27001 et conforme au RGPD, avec les rapports disponibles dans son Trust Center. Kaizo évalue les conversations une fois terminées : il n’empêche donc pas une erreur pendant un appel en direct. Pour un exemple dans les jeux d’argent réglementés, découvrez comment GAMING1 utilise Kaizo sur ses conversations liées au jeu responsable.
Comment démarrer le contrôle de conformité
Commencez par une règle sur laquelle un régulateur ou un auditeur vous interrogerait en premier, transformez-la en un critère éliminatoire et évaluez pendant un mois chaque conversation qu’elle concerne. La liste des échecs constitue votre premier dossier de preuves, et ses lacunes vous montrent quelle vérification ajouter ensuite.
Pour les équipes réglementées, la page dédiée aux équipes support de la fintech montre comment Kaizo applique des critères de conformité à chaque conversation.
Questions fréquentes
Quelle différence entre contrôle de conformité et assurance qualité ?
L’assurance qualité juge si une conversation a été bien traitée, en général avec des critères pondérés et une note. Le contrôle de conformité vérifie si chaque étape obligatoire a eu lieu, en général par réussite ou échec, preuve à l’appui. Les deux fonctionnent bien sur une même grille : la conformité en critères éliminatoires, la qualité en critères pondérés, et une seule évaluation par conversation.
Un centre d’appels qui enregistre ses appels peut-il être conforme PCI ?
Oui, mais l’enregistrement ajoute un risque. PCI DSS n’autorise pas la conservation des codes de vérification de carte après l’autorisation, et le PCI SSC applique cette règle aux enregistrements audio : empêchez l’enregistrement quand c’est possible, ou supprimez les données de façon sécurisée. La conformité de votre dispositif se décide lors de votre évaluation PCI, pas dans votre outil de QA.
Faut-il un consentement pour enregistrer les appels du service client aux États-Unis ?
La loi fédérale autorise l’enregistrement avec le consentement d’une seule partie, qui peut être l’entreprise elle-même. Plusieurs États, dont la Californie, exigent le consentement de toutes les parties à un appel confidentiel. Comme les clients appellent depuis de nombreux États, la plupart des centres de contact diffusent une annonce d’enregistrement au début de chaque appel. Vérifiez les règles de vos États avec votre conseil juridique.
À quelle fréquence contrôler la conformité des appels ?
Sur chaque appel concerné par la règle, si vous pouvez évaluer automatiquement, car une mention oubliée sur un appel pose problème pour ce client, qu’il soit dans l’échantillon ou non. Si vous évaluez à la main, contrôlez chaque appel des catégories les plus risquées, comme les réclamations et les litiges de paiement, et échantillonnez le reste.
L’IA peut-elle vérifier que les mentions obligatoires ont été données ?
Oui, si chaque mention fait l’objet d’une vérification claire, comme « le conseiller a lu la mention sur les frais avant d’encaisser le paiement », et si l’évaluation a d’abord été testée sur vos propres évaluations passées. Chaque résultat doit renvoyer à la phrase de la transcription qui le justifie, pour qu’une personne puisse vérifier toute note, et les échecs doivent être examinés par une personne.
