Normes mondiales AML/CFT et cadres réglementaires · Leçon 5 sur 5
Supervision, inspections et mesures coercitives
11 min de lecture
Le programme de LBC/FT d’un PSAV est en définitive évalué par son autorité de supervision et, dans les cas les plus graves, par les procureurs. Savoir comment les autorités choisissent les entités à inspecter, ce qu’elles demandent et quels manquements ont donné lieu aux sanctions publiques les plus lourdes permet au responsable de la conformité de préparer les preuves avant qu’elles ne soient exigées et de corriger les faiblesses avant qu’elles ne deviennent des constats.
Supervision fondée sur les risques
Le paragraphe 5 de l’INR.15 exige que les PSAV soient supervisés par une autorité compétente dotée du pouvoir d’inspecter, d’exiger des informations et de sanctionner. Les Orientations du GAFI sur la supervision fondée sur les risques (4 mars 2021) expliquent comment procéder : les autorités de supervision doivent comprendre les risques de chaque secteur et de chaque entreprise, affecter leurs ressources aux risques les plus élevés, choisir les outils adaptés et actualiser leur appréciation à mesure que les risques évoluent. Depuis la révision de R.1 en février 2025, elles doivent également tenir compte des mesures d’atténuation déjà appliquées par les entreprises, afin que celles qui présentent un risque plus faible ne soient pas soumises à une supervision excessive.
En pratique, une autorité de supervision évalue chaque PSAV selon son risque inhérent (clientèle, produits, volumes, exposition aux services et pays à haut risque) et la qualité de ses contrôles, souvent à partir des données déclarées et des inspections précédentes. Cette combinaison détermine la fréquence et la profondeur des examens auxquels l’entreprise est soumise.
| Outil | Description | Cas d’utilisation |
|---|---|---|
| Déclaration périodique de données | Chiffres normalisés transmis par chaque entreprise | En permanence ; alimente le modèle de risque |
| Examen sur pièces | Examen de documents et de données sans visite sur place | Entreprises à moindre risque, suivi des constats |
| Inspection de portée générale | Examen sur place de l’ensemble du programme | Entreprises à risque plus élevé, selon un cycle défini |
| Examen thématique | Un sujet examiné dans plusieurs entreprises (par exemple la Travel Rule ou l’intégration des clients) | Préoccupations concernant l’ensemble du secteur |
| Inspection ciblée | Un problème particulier dans une entreprise | À la suite d’une plainte, d’un incident ou d’un article de presse |
| Analyses propres à l’autorité de supervision | Analyses de la blockchain et transactions tests effectuées par l’autorité de supervision | Pour vérifier les chiffres d’exposition ou détecter des activités non autorisées |
Le GAFI a publié en juin 2025 les Bonnes pratiques en matière de supervision de la Travel Rule, une référence utile sur les aspects que les autorités de supervision sont susceptibles de vérifier dans le processus d’application de la Travel Rule d’un PSAV.
Demandes de données et déclarations réglementaires
Les déclarations de supervision permettent de comparer les entreprises entre elles ainsi qu’avec leurs propres chiffres antérieurs ; toute évolution inexpliquée suscite donc des questions. Une déclaration simplifiée pourrait contenir les éléments suivants :
{
"reporting_period": "2026-H1",
"customers_active": 412300,
"customers_by_risk": { "low": 301200, "medium": 98400, "high": 12700 },
"deposits_value_usd": 2850000000,
"share_inflows_high_risk_services": 0.012,
"travel_rule_transfers_out": 186500,
"travel_rule_missing_data_rate": 0.031,
"monitoring_alerts_closed": 25840,
"suspicious_reports_filed": 642,
"sanctions_freezes": 3,
"compliance_staff_fte": 38
}Chaque chiffre doit provenir d’une requête documentée et correspondre aux informations communiquées par la direction au conseil d’administration. Si une autorité de supervision constate que 642 déclarations ont été déposées sur 25 840 alertes clôturées, elle demandera combien d’alertes ont été transmises à un niveau supérieur et pourquoi les autres ont été clôturées ; si elle constate un taux de données manquantes de 3,1 % pour les transferts soumis à la Travel Rule, elle demandera ce qu’il est advenu de ces transferts. Si l’entreprise ne peut pas reproduire un chiffre, la déclaration elle-même devient un constat.
L’inspection
Une inspection sur place ou à distance suit généralement les mêmes étapes :
- Notification et demande de documents : politiques, évaluation des risques, procès-verbaux du conseil d’administration, organigrammes, informations de gestion, rapports d’audit, extractions de données.
- Entretiens et parcours des processus : les membres du conseil d’administration, le responsable de la conformité, les équipes des opérations, des produits et des technologies expliquent comment un processus fonctionne réellement.
- Échantillonnage et vérification : dossiers clients, alertes, déclarations, messages liés à la Travel Rule et correspondances avec les listes de sanctions, sélectionnés par les examinateurs.
- Vérification des systèmes : configuration du filtrage, journaux de mise à jour des listes, inventaire des règles de surveillance et registres d’ajustement.
- Lettre de constats et réponse : l’entreprise répond à chaque constat au moyen d’un plan de remédiation précisant les responsables et les échéances.
| Les examinateurs demandent | Éléments de preuve qui les satisfont |
|---|---|
| L’évaluation des risques à l’échelle de l’entreprise | Un document daté et approuvé par le conseil d’administration, lié à des contrôles précis et mis à jour après le lancement de nouveaux produits |
| Un échantillon de dossiers de clients à haut risque | Identité vérifiée, preuve de l’origine des fonds, approbation par le niveau hiérarchique approprié, examens effectués aux dates prévues |
| La couverture de la surveillance | Un inventaire des règles mis en correspondance avec les typologies, accompagné de registres d’ajustement et de tests sous le seuil de détection |
| Les décisions relatives aux alertes | Une justification écrite pour chaque clôture et les résultats du contrôle qualité |
| Les décisions relatives aux déclarations | Un registre des décisions incluant les décisions de ne pas effectuer de déclaration, avec leurs motifs |
| Les contrôles des sanctions | Paramètres de filtrage, horodatage des mises à jour des listes, preuves du blocage géographique |
| La gouvernance | Procès-verbaux du conseil d’administration montrant les échanges contradictoires, les informations de gestion et les décisions relatives aux ressources |
Le principe est simple : un contrôle qui n’est pas étayé par des preuves sera considéré comme un contrôle inexistant.
Constats récurrents dans les mesures coercitives rendues publiques
Les affaires publiques concernant des entreprises du secteur des cryptoactifs dans de nombreuses régions révèlent sans cesse les mêmes manquements. Ils sont présentés ici selon la nature du manquement et le type de conséquence, et non selon la loi applicable.
| Manquement | Exemples rendus publics | Conséquence | Contrôle préventif |
|---|---|---|---|
| Absence ou faiblesse des contrôles KYC | États-Unis, début 2025 : deux plateformes d’échange avaient permis à des clients particuliers de négocier pendant des années sans vérification d’identité. Corée du Sud, 2025 : la plus grande plateforme d’échange nationale avait enregistré des centaines de milliers d’échecs de vérification et des dizaines de milliers de transferts avec des prestataires étrangers non enregistrés | Plaidoyers de culpabilité, sanctions et, pour une plateforme d’échange, retrait du marché pendant deux ans ; interdiction de trois mois d’accepter de nouveaux clients transférant des cryptoactifs vers ou depuis la plateforme, et mesures disciplinaires à l’encontre de dirigeants | Vérification avant tout dépôt ou toute opération de négociation ; remédiation concernant les comptes existants ; vérifications des contreparties |
| Défaillance silencieuse de la surveillance | Irlande, 2025 : des erreurs de configuration avaient laissé sans surveillance environ un tiers des transactions d’une entreprise pendant environ un an, et le traitement de l’arriéré avait entraîné des milliers de déclarations tardives | Amende et réprimande | Rapprochements visant à vérifier l’exhaustivité et tests après chaque modification des règles |
| Déclarations jamais déposées | États-Unis, 2025 : une plateforme d’échange a reconnu n’avoir jamais déposé de déclarations d’activités suspectes sur un marché où elle servait environ 1,5 million d’utilisateurs | Plaidoyer de culpabilité et retrait du marché | Une décision de déclaration pour chaque dossier transmis à un niveau supérieur |
| Violation d’une restriction imposée par l’autorité de supervision | Royaume-Uni, 2024 : une entreprise qui avait accepté de ne pas intégrer de clients à haut risque en avait intégré plus de 13 000 | Amende | Des contrôles pour chaque condition imposée par l’autorité de supervision, testés avant la mise en production |
| Politique uniquement théorique | États-Unis, 2023 : la politique d’une plateforme d’échange interdisait les clients d’un pays, tandis que son personnel cherchait à les attirer | Une partie d’un accord pénal | Vérifier l’efficacité des contrôles, y compris des mesures incitatives commerciales |
| Violations des sanctions | Lituanie, 2024, et plusieurs affaires aux États-Unis (voir Mettre en œuvre un programme de conformité aux sanctions) | Amendes, contrôleurs indépendants | Filtrage géographique et des portefeuilles |
| Conformité en retard sur la croissance | Japon, 2018 : après un vol majeur, les inspections ont révélé que les contrôles internes, y compris ceux de LBC/FT, de certaines plateformes d’échange étaient très en retard sur leur croissance | Injonctions d’amélioration des activités ; suspensions d’un mois pour deux plateformes d’échange | Limites d’appétence au risque liées à la capacité de conformité |
Les activités non autorisées constituent souvent le premier chef d’accusation, car elles sont les plus faciles à prouver, mais les conséquences s’alourdissent en fonction des manquements de LBC/FT qui les sous-tendent.
Mesures coercitives et remédiation
Les autorités de supervision disposent de plusieurs niveaux de mesures, appliqués selon la gravité du manquement et la réponse de l’entreprise : constats assortis d’échéances, injonctions formelles de remédiation, restrictions concernant les nouveaux clients ou les produits, amendes, suspension ou retrait de l’agrément et, dans les affaires pénales, poursuites contre l’entreprise et les personnes physiques.
Un programme de remédiation crédible comprend cinq éléments :
- Analyse des causes profondes : pourquoi le contrôle a échoué (conception, ressources, données, culture), et pas seulement ce qui a échoué.
- Un plan précisant les responsables, les étapes clés et la supervision du conseil d’administration, et transmis à l’autorité de supervision.
- Un examen rétrospectif : réexaminer les clients ou les transactions passés pour la période durant laquelle le manquement s’est produit ; cela entraîne souvent des déclarations tardives d’opérations suspectes et des décisions de mettre fin à des relations d’affaires.
- Validation indépendante : l’audit interne ou un examinateur externe vérifie l’efficacité de chaque mesure corrective avant sa clôture.
- Pérennité : la mesure corrective est intégrée aux tests habituels (voir Formation, culture et tests indépendants).
Dans les affaires les plus importantes, les autorités imposent un contrôleur indépendant, un expert externe qui intervient au sein de l’entreprise pendant plusieurs années, teste le programme et rend compte à l’autorité, comme dans l’accord conclu aux États-Unis en 2023 concernant la plus grande plateforme d’échange du monde. Une mesure moins lourde consiste à ordonner un audit externe : en 2025, l’autorité de supervision australienne en a imposé un à la filiale locale d’une grande plateforme d’échange, invoquant un fort taux de rotation du personnel et une supervision locale de la haute direction insuffisante. D’autres entreprises font appel de leur propre initiative à un consultant en conformité pour démontrer leur bonne foi.
Responsabilité personnelle
Le paragraphe 6 de l’INR.15 exige que les sanctions s’appliquent aux administrateurs et aux cadres supérieurs, et pas seulement à l’entreprise ; les affaires publiques le confirment dans la pratique. Aux États-Unis, le fondateur et directeur général de la plus grande plateforme d’échange a plaidé coupable en 2023 pour ne pas avoir maintenu un programme de LBC efficace ; les fondateurs d’une plateforme d’échange de produits dérivés ont plaidé coupables du même manquement en 2022 et payé des amendes à titre personnel ; et les fondateurs d’une autre plateforme d’échange ont renoncé à des fonds personnels et quitté sa direction en 2025. En Corée du Sud, en 2025, le directeur général de la plus grande plateforme d’échange nationale a reçu un avertissement officiel, et les responsables de la conformité et des déclarations ont fait l’objet de mesures de révocation.
Pour le responsable de la conformité, la protection réside dans les traces écrites. Signalez par écrit les faiblesses importantes, demandez que les décisions soient consignées dans les procès-verbaux, consignez tout désaccord lorsque le conseil d’administration accepte un risque contre votre avis et conservez les preuves des demandes de ressources. Une autorité de supervision fait la distinction entre un responsable de la conformité qui a donné l’alerte et n’a pas été suivi et un responsable qui n’a rien dit.
Points clés pour l’examen : la signification de la supervision fondée sur les risques (Orientations du GAFI de mars 2021 ; le risque inhérent et la qualité des contrôles déterminent la fréquence et la profondeur) ainsi que les outils utilisés par les autorités de supervision ; pourquoi les déclarations de données doivent pouvoir être reproduites et concorder avec les informations communiquées au conseil d’administration ; les étapes d’une inspection et les éléments de preuve qui satisfont les examinateurs ; les manquements récurrents dans les mesures coercitives rendues publiques dans de nombreuses régions (faiblesse des contrôles KYC, défaillances silencieuses de la surveillance, déclarations non déposées, violation des conditions imposées par l’autorité de supervision, politiques uniquement théoriques, violations des sanctions, conformité en retard sur la croissance) ; les différents niveaux de mesures coercitives et l’éventail des conséquences ; les cinq éléments d’un programme de remédiation, les examens rétrospectifs et les contrôleurs indépendants ; la responsabilité personnelle des administrateurs et des cadres supérieurs au titre de l’INR.15 et les moyens dont dispose le responsable de la conformité pour se protéger.