Intégration API SIMAH : Requêtes au Bureau de Crédit pour la Fintech Saoudienne

Tout produit de prêt développé en Arabie Saoudite passe obligatoirement par SIMAH — la Saudi Credit Information Company. Il n'existe pas d'alternative : la réglementation SAMA exige une vérification auprès d'un bureau de crédit agréé avant tout octroi de financement, et SIMAH est le seul bureau autorisé dans le Royaume. Ce que la réglementation ne fournit pas, c'est un guide pour les développeurs. Voici ce guide.

Ce qu'est vraiment SIMAH

SIMAH (الشركة السعودية للمعلومات الائتمانية) est le premier et unique bureau de crédit agréé d'Arabie Saoudite, fondé en 2002 par neuf banques saoudiennes et placé sous la supervision de la Banque centrale saoudienne (SAMA). Son réseau FINDATA agrège des données provenant d'environ 330 sources — banques, opérateurs télécoms, fournisseurs de services et agences gouvernementales — pour produire les rapports de crédit que tout prêteur saoudien est tenu de consulter avant d'accorder un financement.

Pour un développeur, cela représente une source de données faisant autorité pour :

• L'historique de crédit — facilités actives et remboursées, comportement de paiement auprès de tous les prêteurs saoudiens
• Le score TAQEEM — le modèle de notation propriétaire de SIMAH utilisé par les institutions prêteuses
• Le score consommateur MOLIM — la note de crédit visible par les demandeurs via l'application Molim
• Les encours — la donnée brute pour le calcul obligatoire du Debt Burden Ratio (DBR)

La Porte d'Accès : Adhésion Institutionnelle, pas API Ouverte

Contrairement au cadre open banking de SAMA qui utilise des flux OAuth 2.0 standard avec une inscription développeur, l'accès à SIMAH est un service réservé aux membres, conditionné au niveau institutionnel.

Le point crucial : vous ne pouvez pas appeler SIMAH directement tant que votre société ne détient pas une licence de prêt ou de services bancaires ouverts délivrée par SAMA. Les fintechs en amorçage développant des modèles de crédit doivent passer par un partenaire agrégateur disposant d'une adhésion institutionnelle à SIMAH.

Les Produits SIMAH que Vous Utiliserez

Rapport de Crédit Individuel (التقرير الائتماني)

Le rapport complet contient :

• Toutes les facilités de crédit actives (prêts, cartes de crédit, lignes BNPL)
• Les facilités remboursées des 10 dernières années
• Les dossiers de défaut et d'impayés avec détails d'ancienneté
• Les décisions de justice relatives aux obligations de crédit
• L'historique des consultations (les consultations répétées abaissent le score TAQEEM)

Le Score TAQEEM

Le modèle de notation propriétaire à trois chiffres de SIMAH. La plage exacte et l'interprétation des bandes ne sont pas publiées — elles sont communiquées aux institutions membres dans le cadre du contrat d'adhésion.

Rapports d'Entreprise (SIMAT)

Pour le prêt B2B et le crédit fournisseur :

• Statut du registre commercial et structure de propriété
• Facilités de crédit détenues par l'entité juridique
• Comportement de paiement avec les banques et principaux fournisseurs

Le Calcul du DBR : Pourquoi Toute Intégration Commence Ici

La réglementation SAMA sur le financement personnel plafonne le Debt Burden Ratio (DBR) à 33% du salaire mensuel net pour la plupart des produits de crédit à la consommation (50% pour les prêts immobiliers). Il s'agit d'une exigence réglementaire stricte, pas d'une recommandation. Le rapport SIMAH vous fournit les données brutes pour ce calcul :

interface DBRInput {
  monthlyNetIncome: number;           // Issu de WPS ou Qiwa pour la vérification des revenus
  existingMonthlyObligations: number; // Issu des facilités actives dans SIMAH
  proposedInstalment: number;         // Issu de votre simulateur de prêt
}
 
function calculateDBR(input: DBRInput): {
  dbr: number;
  approved: boolean;
  remainingCapacity: number;
} {
  const total = input.existingMonthlyObligations + input.proposedInstalment;
  const dbr = total / input.monthlyNetIncome;
  const maxObligations = input.monthlyNetIncome * 0.33;
  return {
    dbr,
    approved: dbr <= 0.33,
    remainingCapacity: maxObligations - input.existingMonthlyObligations,
  };
}

SIMAH vous fournit existingMonthlyObligations depuis les données des facilités actives. Le monthlyNetIncome provient d'une requête séparée en amont — généralement une vérification de paie WPS (voir réconciliation des données de paie WPS) ou une vérification d'emploi Qiwa (voir guide d'intégration Qiwa).

Séquence éprouvée en production : Vérification d'identité Nafath → Vérification emploi et revenus Qiwa → Rapport de crédit SIMAH → Calcul DBR → Modèle de crédit interne → Décision et offre.

Architecture d'Intégration pour les Prêteurs Agréés SAMA

Une fois vos identifiants d'adhésion SIMAH émis, l'intégration suit un pattern REST standard :

interface SimahCreditRequest {
  nationalId: string;      // Numéro national saoudien ou Iqama pour les expatriés
  memberCode: string;      // Code institution membre SIMAH
  requestType: "INDIVIDUAL" | "BUSINESS";
  consentToken: string;    // Référence du consentement client (obligatoire SAMA)
}
 
interface CreditFacility {
  facilityType: string;
  lenderName: string;
  outstandingBalance: number;
  monthlyInstalment: number;
  paymentStatus: "CURRENT" | "DELINQUENT" | "DEFAULTED";
  openedAt: string;
}
 
interface SimahCreditResponse {
  reportId: string;
  customerId: string;
  creditScore: number | null;
  activeFacilities: CreditFacility[];
  settledFacilities: CreditFacility[];
  totalOutstandingBalance: number;
  monthlyObligations: number;
  defaultRecords: DefaultRecord[];
  inquiries: Inquiry[];
  generatedAt: string;
}

L'authentification utilise le mTLS (mutual TLS avec certificats) pour l'API SIMAH directe — les certificats sont émis lors du processus d'intégration après approbation de l'adhésion. Les parcours via agrégateurs ajoutent généralement une couche OAuth 2.0, conformément au cadre open banking SAMA entré en vigueur en mars 2026.

Les Erreurs de Production qui Surprennent les Développeurs

Clients Invisibles Côté Crédit

SIMAH retourne une réponse "no record" pour les personnes sans historique de crédit — fréquent chez les jeunes diplômés, les femmes entrant nouvellement sur le marché du travail saoudien, et les expatriés récemment arrivés. Ce n'est pas une erreur. Cela signifie que le client est invisible du point de vue du crédit.

async function querySimah(
  request: SimahCreditRequest
): Promise<SimahCreditResponse | null> {
  const response = await simahClient.getCreditReport(request);
 
  if (response.status === "NO_RECORD") {
    // Invisible côté crédit : routage vers un modèle de données alternatives
    return null;
  }
 
  if (response.status === "CONSENT_REQUIRED") {
    // Consentement non actif — relancer le flux de consentement
    throw new ConsentRequiredError(request.nationalId);
  }
 
  return response.data;
}

Votre politique de prêt doit traiter explicitement les dossiers minces (thin files). Refuser sans explication crée à la fois un problème d'expérience client et un risque de conformité vis-à-vis des exigences SAMA sur l'équité en matière de crédit.

Le Consentement est Obligatoire

SAMA exige un consentement client explicite et documenté avant chaque requête auprès du bureau de crédit. L'API SIMAH l'applique via un token de consentement. L'absence de cette étape constitue une violation réglementaire — SAMA peut auditer les journaux d'accès des membres et révoquer l'accès aux données.

Retry et Idempotence

La disponibilité de SIMAH en production suit les niveaux de service des entités gouvernementales, pas les SLA fintech cloud. Construisez une couche de retry avec backoff exponentiel, et stockez chaque reportId pour ne jamais requêter SIMAH deux fois pour une décision déjà exécutée. Les requêtes superflues abaissent le score TAQEEM du demandeur.

Le Parcours Pré-Licence : Les Agrégateurs

Si votre licence SAMA est encore en cours d'instruction, vous pouvez développer et tester votre modèle de crédit via des intermédiaires agréés :

• Elm / Wathq — le réseau de courtage de données gouvernementales ; certains produits SIMAH sont accessibles via leur catalogue de services authentifiés, aux côtés des données du registre du commerce et des données de travail
• HES LoanBox / Lendsqr — plateformes d'origination de prêts qui intègrent les requêtes SIMAH dans leur SDK de prêt
• Fournisseurs AIS agréés SAMA (cadre 2026) — fournisseurs de services d'information de compte agréés capables de surfacer des flux de données liées au crédit

L'accès via agrégateur entraîne une prime de coût par rapport à l'accès direct, mais il permet de construire et valider un modèle de crédit opérationnel — y compris des calculs DBR réels — avant l'approbation de votre licence.

Ce qu'il Faut Lire Avant de Développer

SIMAH ne dispose pas de portail développeur public. Les schémas d'API, les identifiants de test et la documentation du modèle de notation ne sont communiqués qu'après signature du contrat d'adhésion. Avant cette étape, trois documents méritent d'être lus :

1. Loi sur l'information de crédit (Décret Royal M/37) — définit ce que les membres peuvent interroger, stocker et partager
2. Réglementation SAMA sur le financement personnel — plafonds DBR, exigences de consentement et obligations d'avis de refus
3. Cadre Open Banking SAMA (2026) — normes OAuth 2.0, flux de consentement et sécurité des API

Connecter la Stack de Conformité

SIMAH se trouve au centre d'une stack de données plus large. Une intégration fonctionnant en isolation fonctionne rarement en production si les vérifications d'identité et de revenus en amont ne sont pas câblées :

• Vérification des revenus → Intégration Qiwa pour les données d'emploi saoudien
• Preuve de salaire → Réconciliation des données de paie WPS
• Conformité facturation B2B → Guide d'intégration ZATCA e-invoicing

Si vous dimensionnez un produit de prêt en Arabie Saoudite et avez besoin d'une évaluation technique de la stack d'intégration complète — nombre de systèmes impliqués, calendrier réaliste de l'adhésion SIMAH et points de défaillance potentiels — contactez-nous. Nous avons déjà construit cette stack.