Normes mondiales AML/CFT et cadres réglementaires · Leçon 2 sur 5
La Recommandation 15 et sa note interprétative
11 min de lecture
La Recommandation 15 est la raison pour laquelle les entreprises du secteur des cryptoactifs sont des entités assujetties. Sa note interprétative est courte, mais chaque paragraphe se traduit par une obligation concrète : une demande de licence, une inspection de supervision, un seuil de vigilance plus bas, une sanction visant un dirigeant. Un responsable de la conformité capable de rattacher une règle nationale au paragraphe qu’elle met en œuvre peut distinguer le socle mondial, les ajouts locaux et les éléments qu’un évaluateur vérifiera.
Deux volets d’une même Recommandation
La Recommandation 15 (Nouvelles technologies) comporte deux parties. La première, plus ancienne, exige des pays et des institutions financières qu’ils identifient et évaluent les risques de blanchiment de capitaux et de financement du terrorisme liés aux nouveaux produits, pratiques commerciales, mécanismes de prestation et technologies. Elle exige aussi des institutions qu’elles évaluent ces risques avant le lancement et prennent des mesures pour les gérer. La deuxième partie, ajoutée en octobre 2018, exige des pays qu’ils veillent à ce que les prestataires de services sur actifs virtuels (PSAV) soient réglementés à des fins de LBC/FT, agréés ou enregistrés, et soumis à des systèmes efficaces de contrôle du respect des obligations.
Le premier volet s’applique aussi aux PSAV. Répertorier un nouveau jeton, ajouter une chaîne, lancer une activité de staking ou ouvrir un réseau de distributeurs automatiques de cryptoactifs sont autant de nouveaux produits ou technologies, et une autorité de supervision demandera à consulter l’évaluation des risques réalisée avant le lancement.
La Note interprétative de la Recommandation 15 (INR.15), adoptée en juin 2019 et modifiée depuis (notamment par des changements correspondants en février 2025), en précise les modalités. La leçon Le PSAV en tant qu’entité assujettie traite des personnes qui sont considérées comme des PSAV et de ce qui ne relève pas de cette définition.
INR.15, paragraphe par paragraphe
| Paragraphe | Exigence | Destinataires |
|---|---|---|
| 1 | Les actifs virtuels sont considérés comme des « biens », des « produits », des « fonds », des « fonds ou autres actifs » et une « valeur équivalente », de sorte que chaque Recommandation s’y applique, notamment en matière de confiscation et de gel | Pays |
| 2 | Identifier, évaluer et comprendre les risques liés aux actifs virtuels et appliquer une approche fondée sur les risques ; les PSAV doivent identifier, évaluer et atténuer leurs propres risques | Pays et PSAV |
| 3 | Agréer ou enregistrer les PSAV, au minimum là où ils sont créés ; empêcher les criminels et leurs complices d’en être propriétaires, de les contrôler ou de les gérer ; identifier et sanctionner les personnes exerçant une activité de PSAV sans agrément ni enregistrement | Pays |
| 4 | Aucun agrément ou enregistrement distinct de PSAV n’est nécessaire pour les institutions financières déjà agréées ou enregistrées, autorisées à exercer des activités de PSAV et soumises à l’ensemble des obligations du GAFI | Pays |
| 5 | Supervision ou contrôle fondé sur les risques par une autorité compétente, et non par un organisme d’autorégulation, dotée du pouvoir d’inspecter, d’exiger des informations et de sanctionner, notamment en retirant, limitant ou suspendant un agrément | Pays et autorités de supervision |
| 6 | Sanctions efficaces, proportionnées et dissuasives (pénales, civiles ou administratives), applicables aux PSAV ainsi qu’à leurs administrateurs et à leur haute direction | Pays |
| 7 | Les mesures préventives des R.10 à R.21 s’appliquent, sous réserve de certaines précisions : (a) un seuil de 1 000 USD/EUR pour la vigilance à l’égard de la clientèle (CDD) lors des opérations occasionnelles ; (b) la Travel Rule | PSAV et institutions financières qui envoient ou reçoivent des transferts d’actifs virtuels |
| 8 | La coopération internationale la plus large possible ; les autorités de supervision échangent des informations avec leurs homologues étrangers, quelle que soit leur nature ou leur statut, ou les appellations utilisées pour les PSAV | Pays et autorités de supervision |
Le paragraphe 7(b), la Travel Rule, est traité en détail dans la leçon Application de la Recommandation 16 aux actifs virtuels.
Agrément et enregistrement
Le paragraphe 3 de l’INR.15 fixe le minimum : un PSAV qui est une personne morale doit être agréé ou enregistré dans la juridiction où il a été créé, ce que les orientations du GAFI interprètent comme le lieu où il est constitué ; une personne physique doit l’être dans son lieu d’activité. Les pays peuvent également exiger l’agrément des PSAV qui proposent des produits ou des services à des clients sur leur territoire, ou y exercent leurs activités. Le paragraphe 4 évite aux institutions financières déjà agréées et autorisées à exercer des activités de PSAV d’obtenir un deuxième agrément. Le GAFI accepte également qu’un pays puisse interdire les activités des PSAV, à condition qu’il identifie et sanctionne malgré tout ceux qui poursuivent ces activités.
Le paragraphe 3 prévoit également un critère d’honorabilité et de compétence : les autorités doivent empêcher les criminels ou leurs complices de détenir une participation importante ou de contrôle, d’être bénéficiaires effectifs ou d’exercer une fonction de direction. Il exige aussi des autorités qu’elles repèrent et sanctionnent les opérateurs non agréés.
Voici un cas concret. Un PSAV fictif, Kestrel, est constitué dans le pays X, gère son équipe opérationnelle depuis le pays Y et propose ses services à des clients particuliers dans le pays Z.
- Le pays X doit agréer ou enregistrer Kestrel : c’est le minimum prévu au paragraphe 3.
- Le pays Y peut exiger un agrément parce que Kestrel exerce ses activités depuis son territoire.
- Le pays Z peut exiger un agrément parce que Kestrel propose des services à ses résidents.
- Si Kestrel ne détient qu’un agrément du pays X, il doit vérifier si Y et Z exercent les pouvoirs facultatifs qui leur sont conférés en tant que pays d’accueil, ce que fait une minorité importante de juridictions.
L’équipe de conformité consigne chaque conclusion, son fondement juridique et la date de révision. La leçon Mise en œuvre de la norme dans les régimes nationaux explique comment tenir ce registre dans de nombreux pays.
Supervision et sanctions
Les paragraphes 5 et 6 déterminent ce qui se passe après l’agrément. La supervision doit être fondée sur les risques et exercée par une autorité compétente dotée de pouvoirs réels : inspection, production obligatoire d’informations et éventail de sanctions disciplinaires et financières pouvant aller jusqu’au retrait de l’agrément. Les sanctions doivent également viser les administrateurs et la haute direction, et pas seulement l’entreprise. Dans le cadre de l’évaluation de l’efficacité de la supervision et des mesures préventives (RI.3 selon la Méthodologie 2022), les évaluateurs testent le respect de ces deux paragraphes et recherchent des preuves que des inspections sont effectuées et que des sanctions sont effectivement imposées. La leçon Supervision, examens et mesures coercitives explique comment les autorités de supervision s’y prennent.
Mesures préventives et précisions applicables aux PSAV
Le paragraphe 7 applique les Recommandations 10 à 21 aux PSAV. Le tableau montre comment chacune se traduit dans un programme consacré aux cryptoactifs.
| Recommandation | Application aux PSAV |
|---|---|
| R.10 Vigilance à l’égard de la clientèle | Relations d’affaires dans tous les cas ; opérations occasionnelles à partir de 1 000 USD/EUR (pour les autres institutions financières, le seuil des opérations occasionnelles est de 15 000 USD/EUR) ; dans tous les cas en présence d’un soupçon ou de doutes concernant des données précédemment obtenues |
| R.11 Conservation des documents | Au moins cinq ans, y compris les pièces relatives aux transactions, telles que les adresses de portefeuilles et les identifiants de transaction (txid), afin de pouvoir reconstituer les transactions |
| R.12 Personnes politiquement exposées | Filtrage et mesures renforcées comme pour toute institution financière |
| R.13 Correspondance bancaire | Le GAFI l’applique aux relations transfrontalières entre PSAV qui s’apparentent à des relations de correspondance bancaire : vigilance à l’égard de la contrepartie avant tout échange de données ou de fonds |
| R.15 Nouvelles technologies | Évaluation des risques avant le lancement de produits, de jetons ou de chaînes |
| R.16 Transparence des paiements | La Travel Rule, par l’intermédiaire du paragraphe 7(b) |
| R.17 et R.18 | Recours à des tiers ; contrôles internes et programmes à l’échelle du groupe, y compris dans les succursales étrangères |
| R.19 Pays à haut risque | Vigilance renforcée et contre-mesures lorsque le GAFI le demande |
| R.20 et R.21 | Déclarations d’opérations suspectes, y compris les opérations tentées ; interdiction de divulguer leur existence |
Les sanctions financières ciblées prévues par les R.6 et R.7 s’appliquent aux PSAV comme à toute personne. C’est pourquoi le gel sans délai des actifs désignés doit figurer dans chaque programme de PSAV.
Les orientations actualisées d’octobre 2021
Le GAFI a publié les Orientations actualisées pour une approche fondée sur les risques à l’égard des actifs virtuels et des prestataires de services sur actifs virtuels le 28 octobre 2021, en remplacement de ses orientations de juin 2019. Elles ne sont pas contraignantes, mais les évaluateurs et les autorités de supervision s’y réfèrent. Elles ont actualisé six domaines :
- clarification des définitions des actifs virtuels et des PSAV (notamment pour déterminer quand les NFT et les dispositifs de finance décentralisée sont concernés) ;
- application des normes du GAFI aux stablecoins, y compris à leurs organes de gouvernance centrale ;
- risques des transactions de pair à pair et outils permettant d’y répondre ;
- agrément et enregistrement des PSAV ;
- mise en œuvre de la Travel Rule par les secteurs public et privé ;
- principes d’échange d’informations et de coopération entre les autorités de supervision des PSAV.
Pour une équipe de conformité, les domaines 3 à 5 se traduisent le plus directement par des contrôles : traitement fondé sur les risques des transferts vers et depuis des portefeuilles non hébergés, éléments justificatifs pour les demandes d’agrément et les contrôles des contreparties, et processus de mise en œuvre de la Travel Rule. Le domaine 6 explique pourquoi les conclusions d’une autorité de supervision sur un PSAV peuvent rapidement être communiquées à une autre autorité de supervision.
Mises à jour ciblées : le déficit de mise en œuvre
Les pays ont tardé à mettre la norme en œuvre. Le GAFI a mené deux examens de 12 mois (en 2020 et en 2021) et publie des mises à jour ciblées annuelles depuis 2022. En février 2023, il a adopté une feuille de route visant à renforcer la mise en œuvre de la R.15. Depuis 2024, il publie un tableau présentant l’état de la mise en œuvre de la R.15 dans les membres du GAFI et les juridictions où l’activité des PSAV revêt une importance significative.
La septième mise à jour ciblée (juillet 2026) et un rapport ciblé sur la finance décentralisée (juillet 2026) ont mis en évidence :
- un écart entre l’adoption de lois sur la Travel Rule et leur supervision et leur application ;
- des lacunes persistantes dans la transformation des évaluations des risques en mesures d’atténuation, dans l’application concrète des règles d’agrément et dans le repérage des PSAV non agréés et offshore ;
- très peu de juridictions appliquant la norme aux dispositifs de finance décentralisée qui répondent à la définition des PSAV ;
- une recommandation selon laquelle les institutions financières et les PSAV ne devraient pas interagir avec un dispositif de finance décentralisée lorsqu’ils ne peuvent pas respecter les Recommandations applicables.
La conséquence pratique est un environnement disparate. Un PSAV agréé dans une juridiction stricte aura affaire à des contreparties agréées ailleurs, mais aussi à certaines qui ne le sont nulle part. La vigilance à l’égard des contreparties et les limites fondées sur les risques comptent donc autant que son propre agrément.
Points clés pour l’examen : les deux volets de la R.15 (évaluation des risques avant le lancement de nouveaux produits ou de nouvelles technologies ; réglementation, agrément et supervision des PSAV) ; les exigences de l’INR.15 à l’égard des pays, des autorités de supervision et des PSAV ; l’agrément, au minimum, dans le pays où le PSAV est créé, le pouvoir facultatif du pays d’accueil et le critère d’honorabilité et de compétence ; la supervision par une autorité compétente, et non par un organisme d’autorégulation, et des sanctions visant les administrateurs et la haute direction ; le seuil de 1 000 USD/EUR applicable à la CDD des opérations occasionnelles et l’application des R.10 à R.21 aux PSAV ; les six domaines des Orientations actualisées d’octobre 2021 ; la feuille de route de février 2023 et l’objectif des mises à jour ciblées.