Exceptions d’identifiant d’expéditeur pour les SMS A2P : approbation, portée et révision

Que signifie une exception d’identifiant d’expéditeur ?

Dans ce guide, une exception est une décision interne autorisant un usage précis d’un identifiant d’expéditeur qui ne respecte pas la procédure ordinaire d’enregistrement ou d’approbation d’une organisation. Il ne s’agit pas d’une catégorie réglementaire universelle : les sources générales disponibles ne définissent ni une définition commune ni une procédure applicable à tous les pays, opérateurs ou fournisseurs.

Il convient de distinguer trois décisions : la politique interne de l’entreprise, les exigences officielles applicables sur le marché de destination et les conditions commerciales ou opérationnelles de l’opérateur ou du fournisseur. Une approbation interne ne règle que le premier point. Elle ne prouve pas que l’usage est autorisé à l’extérieur de l’organisation.

• Approbation ordinaire : le cas respecte la procédure et les critères habituels de l’organisation.
• Exception interne : une personne habilitée autorise un écart délimité par rapport à ces critères.
• Autorisation externe : elle doit être vérifiée séparément selon le pays, l’opérateur et le fournisseur concernés.

Les risques d’une exception sans limites

Une approbation ambiguë peut être réutilisée pour une marque, une campagne, une destination ou un itinéraire différents de ceux qui ont été évalués. Elle complique également l’identification de la personne qui a accepté le risque, des éléments examinés et de la validité actuelle du motif.

L’objectif des contrôles internes n’est pas de contourner les règles externes, mais de limiter la décision aux éléments évalués et de détecter les situations où elle ne s’applique plus. Si une condition pertinente ne peut pas être vérifiée, la demande doit rester en attente ou être rejetée conformément à la politique de l’organisation.

• Utilisation à une fin différente de celle qui a été demandée.
• Envoi vers des destinations, des opérateurs ou des fournisseurs non inclus dans l’évaluation.
• Changement de marque, de contenu, de type de trafic ou de volume modifiant le cas examiné.
• Poursuite de l’utilisation après l’expiration de l’approbation ou un changement des conditions externes.

Dossier minimal pour évaluer la demande

Constituez un dossier permettant à une autre personne de reconstituer la demande et la décision. Les champs ci-dessous sont proposés comme mesures de contrôle interne ; ils ne constituent pas une liste universelle d’exigences officielles.

Consignez les données avec suffisamment de précision pour vérifier la portée. Si le trafic concerne plusieurs marchés, identifiez chacun d’eux ; ne supposez pas qu’une décision prise pour une destination s’applique à une autre.

• Entité demandeuse et personne à contacter ; marque ou entité qui sera visible par le destinataire.
• Identifiant d’expéditeur demandé et description de son lien avec la marque.
• Objectif du message et type de trafic, par exemple OTP, transactionnel ou marketing légitime.
• Pays ou destinations prévus et, s’ils sont connus, opérateurs et fournisseurs concernés.
• Volume ou profil de trafic attendu, en précisant s’il s’agit d’estimations internes.
• Justification de l’écart par rapport à la procédure ordinaire.
• Éléments disponibles : documents relatifs à la marque, autorisation du titulaire, description du flux et exigences externes consultées.
• Responsables de la demande, de l’examen et de la décision, ainsi que date de la décision.

Vérifier séparément les règles, les opérateurs et les fournisseurs

La vérification doit porter sur le marché et l’itinéraire concernés. Consultez les sources officielles de l’autorité de régulation pertinente et, le cas échéant, la documentation officielle de l’opérateur ou du fournisseur. Notez le lien, la date de consultation, la portée géographique et toute condition applicable ; si les informations sont ambiguës, demandez confirmation au responsable concerné.

Ne déduisez pas les règles relatives aux identifiants d’expéditeur de documents généraux sur la numérotation ou les réseaux. La recommandation UIT-T E.164 porte sur le plan international de numérotation des télécommunications publiques, mais les éléments disponibles ne démontrent pas qu’elle définit comment approuver des exceptions concernant les identifiants d’expéditeur des SMS A2P. De même, des pages générales sur les spécifications 3GPP ou les réseaux mobiles ne suffisent pas à confirmer les exigences d’un marché précis.

Si vous ne pouvez pas confirmer les exigences applicables, consignez cette incertitude et ne présentez pas l’approbation interne comme une autorisation externe. Les règles peuvent varier selon les marchés et évoluer ; ce guide ne détermine pas lesquelles sont en vigueur dans un pays, auprès d’un opérateur ou chez un fournisseur donné.

• Identifiez le marché, l’opérateur, le fournisseur et le mode d’envoi avant de commencer les recherches.
• Privilégiez les sources officielles et la documentation correspondant à l’acteur et à la destination concernés.
• Archivez la référence et la date de consultation avec la conclusion et les questions en suspens.
• Soumettez les cas ambigus à l’équipe de conformité ou au contact officiel concerné avant d’autoriser l’utilisation.

Approbation, responsables et décision documentée

Définissez une procédure interne adaptée aux risques et à la taille de l’organisation. Par mesure de prudence, évitez que la personne qui demande l’exception ou en tire directement avantage soit la seule à l’approuver. Cette séparation des rôles est une recommandation de gouvernance interne, et non une exigence externe confirmée par les sources disponibles.

La décision doit indiquer si la demande est approuvée, rejetée ou mise en attente ; en expliquer le motif ; résumer les éléments examinés ; et énumérer les conditions qui limitent l’utilisation. En cas de désaccord ou d’absence d’une vérification externe essentielle, consignez l’escalade et ne considérez pas le silence comme une approbation.

• Équipe commerciale ou responsable du dossier : explique l’objectif et le besoin.
• Opérations : évalue la faisabilité du flux et la possibilité d’appliquer les limites.
• Conformité : examine le risque et la vérification pertinente des exigences externes.
• Approbateur désigné : consigne la décision et ses conditions conformément à la politique interne.
• Registre d’audit : conserve l’identité de la personne qui a décidé, la date, les éléments examinés et le motif.

Délimiter la portée et fixer une durée de validité

Chaque approbation devrait décrire sans ambiguïté ce qui est autorisé. Pour que le contrôle puisse être appliqué, limitez l’autorisation aux destinations et aux fournisseurs évalués, à l’objectif et au type de trafic décrits, ainsi qu’aux conditions consignées. Si un système ne peut pas appliquer une limite, précisez qui effectuera le contrôle et comment les écarts seront détectés.

Fixez une date de début et une date d’expiration ou de révision, selon la politique interne. Les éléments disponibles ne définissent aucune durée universelle pour ces exceptions. L’intervalle doit être choisi en fonction du risque, de la stabilité du cas et des conditions susceptibles d’évoluer ; il ne doit pas être interprété comme une durée de validité reconnue par les autorités de régulation ou les opérateurs.

• Identifiant d’expéditeur et marque autorisés.
• Objectif, type de trafic et conditions d’utilisation permis.
• Pays ou destinations, ainsi que les opérateurs ou fournisseurs inclus lorsqu’ils ont été vérifiés.
• Limites de volume ou de profil, si l’organisation en définit pour le cas.
• Date de début, date d’expiration ou de révision, et responsable du renouvellement.
• Mesure à prendre si du trafic est détecté en dehors de la portée autorisée.

Modifications, renouvellement et conservation des éléments

Reprenez l’évaluation avant toute extension ou modification de l’utilisation. Un changement de marque, d’objectif, de contenu, de marché, de fournisseur ou de profil de trafic peut rendre les éléments précédemment recueillis inadéquats pour décrire le cas. Déterminez en interne quels changements nécessitent une nouvelle approbation et lesquels exigent seulement une mise à jour du dossier.

Le renouvellement ne devrait pas être automatique au seul motif que le trafic a fonctionné. Vérifiez que le besoin, la portée, les éléments justificatifs et les conditions externes consultées sont toujours valables. Conservez la demande, la décision, les sources et dates de vérification, les changements ultérieurs et le résultat de chaque révision pendant la période définie par la politique de conservation de l’organisation.

• Demandez une nouvelle validation en cas de changement d’objectif, de marque, de destination, de fournisseur ou de conditions externes.
• Comparez l’utilisation observée à la portée approuvée, si des journaux opérationnels sont disponibles.
• Consignez les renouvellements, les modifications et les motifs justifiant le maintien ou la clôture de l’exception.
• Appliquez la politique interne de conservation et d’accès aux dossiers.

Surveillance, suspension et clôture

Définissez les signaux de révision avant d’activer l’exception. Il peut s’agir de trafic vers une destination non approuvée, d’un changement de fournisseur, d’un écart entre l’utilisation observée et l’objectif déclaré, d’éléments qui ne sont plus valides ou de l’arrivée de la date d’expiration. Ce sont des critères proposés pour une politique interne, et non des déclencheurs réglementaires universels.

Lorsqu’un signal apparaît, appliquez une procédure proportionnée : limitez ou suspendez uniquement la portée concernée si cela peut se faire sans risque ; enquêtez et consignez les faits ; puis décidez de rétablir, modifier, renouveler ou clôturer l’exception. Évitez, dans la mesure du possible, d’interrompre le trafic légitime sans rapport avec le problème lorsqu’il est possible de le distinguer, tout en respectant les obligations externes applicables.

• Désignez un responsable et un canal pour signaler les écarts.
• Consignez l’événement, la portée concernée, les éléments disponibles et la mesure prise.
• Faites remonter les cas pouvant indiquer un manquement potentiel ou la perte d’une autorisation externe.
• Clôturez l’exception lorsqu’elle n’est plus nécessaire, que son fondement ne peut plus être vérifié ou qu’elle a expiré sans renouvellement.