Le PSAV en tant qu’entité assujettie

Avant de concevoir un programme de LBC/FT, une entreprise doit répondre à une question préalable : sommes-nous une entité assujettie et, si oui, pour quelles activités ? Une erreur de périmètre coûte cher. Une entreprise qui conclut à tort qu’elle n’est pas assujettie exerce sans agrément et sans contrôles ; une entreprise incapable d’expliquer pourquoi un produit n’entre pas dans le champ d’application aura du mal à convaincre un superviseur ou un partenaire bancaire.

Les définitions du GAFI

Le glossaire du GAFI contient les deux définitions que la plupart des régimes nationaux reprennent ou adaptent.

Un actif virtuel (AV) est une représentation numérique de valeur qui peut être échangée ou transférée par voie numérique et utilisée à des fins de paiement ou d’investissement. Cette définition ne comprend pas les représentations numériques de monnaies fiduciaires, de valeurs mobilières et d’autres actifs financiers déjà couverts ailleurs dans les Recommandations du GAFI.

Un prestataire de services sur actifs virtuels (PSAV) est toute personne physique ou morale qui n’est pas couverte ailleurs par les Recommandations et qui, à titre professionnel, exerce une ou plusieurs des activités suivantes pour ou pour le compte d’une autre personne physique ou morale :

1. échange entre des actifs virtuels et des monnaies fiduciaires ;
2. échange entre une ou plusieurs formes d’actifs virtuels ;
3. transfert d’actifs virtuels (déplacement d’un AV d’une adresse ou d’un compte à un autre pour le compte d’une autre personne) ;
4. conservation et/ou administration d’actifs virtuels ou d’instruments permettant de contrôler des actifs virtuels ;
5. participation à des services financiers liés à l’offre et/ou à la vente d’un actif virtuel par un émetteur, ou fourniture de tels services.

La Recommandation 15 et sa note interprétative assujettissent ensuite les PSAV aux mêmes mesures préventives que les institutions financières (Recommandations 10 à 21) : vigilance à l’égard de la clientèle, conservation des documents, surveillance, déclaration des opérations suspectes, sanctions financières ciblées et Travel Rule. Les banques et les entreprises de valeurs mobilières qui proposent les mêmes activités sont déjà des entités assujetties. La leçon La Recommandation 15 et sa note interprétative détaille les obligations des pays au titre de la R.15.

Lire la définition sous un angle fonctionnel

Le Guide actualisé du GAFI sur l’approche fondée sur les risques pour les actifs virtuels et les PSAV (octobre 2021) demande aux pays d’interpréter largement les deux définitions et d’appliquer une approche fonctionnelle : ce qui compte, c’est le service réellement fourni, pas son appellation, sa présentation commerciale ou la technologie utilisée. Quatre expressions sont déterminantes.

• « À titre professionnel » exclut les activités occasionnelles et non commerciales. Une personne qui vend une fois ses propres jetons n’est pas un PSAV ; une personne qui achète et vend régulièrement pour des tiers, moyennant des honoraires ou une marge, en est un.
• « Pour ou pour le compte d’une autre personne » exclut les activités réalisées pour son propre compte. Une société de négociation qui investit sa propre trésorerie n’est pas un PSAV pour cette activité.
• Le contrôle est le fil conducteur de la conservation, du transfert et de l’échange. Détenir les clés, pouvoir déplacer ou bloquer les actifs des clients ou modifier le fonctionnement d’un service sont autant d’indices d’un statut de PSAV.
• « Non couvert ailleurs » évite une double couverture. Chaque actif pertinent est couvert par les normes, soit en tant qu’AV, soit en tant qu’autre actif financier ; la question est donc de savoir quel ensemble de règles s’applique, et non si des règles s’appliquent.

Ce qui n’entre pas dans le champ d’application

Le guide désigne plusieurs activités qui n’entrent pas dans la définition du PSAV lorsqu’elles constituent la seule activité de la personne concernée.

Être hors du champ de la définition ne signifie pas être hors du programme de conformité d’un PSAV. Les transferts depuis et vers des portefeuilles non hébergés et les activités P2P constituent des facteurs de risque que votre entreprise doit évaluer, comme l’expliquent les leçons Risques technologiques propres aux cryptoactifs et Portefeuilles non hébergés et transferts auto-hébergés.

DeFi et test des propriétaires/exploitants

Le guide trace une ligne de démarcation précise pour la finance décentralisée (DeFi). Une application DeFi, c’est-à-dire le logiciel, n’est pas un PSAV, car les normes ne s’appliquent pas à la technologie sous-jacente. Toutefois, les créateurs, propriétaires et exploitants, ou d’autres personnes qui maintiennent un contrôle ou une influence suffisante sur un dispositif DeFi, peuvent être des PSAV lorsqu’ils fournissent ou facilitent activement des services couverts, même si le dispositif se présente comme décentralisé.

Parmi les facteurs pris en compte par le GAFI pour cette évaluation figurent :

• le contrôle du protocole ou la capacité d’en définir ou d’en modifier les paramètres (en pratique, les clés d’administration, les droits de mise à niveau ou le pouvoir de suspendre les contrats) ;
• une relation commerciale continue avec les utilisateurs, même si elle passe par un contrat intelligent ou un protocole de vote ;
• les bénéfices tirés du service, par exemple au moyen de commissions ou de marges.

Dans la pratique, les équipes de conformité se demandent également si quelqu’un peut déplacer, geler ou rediriger les actifs des utilisateurs, car cela constitue une preuve directe de contrôle.

La décentralisation est une question de fait, et non de présentation commerciale. Un opérateur d’interface qui prélève des commissions sur chaque échange et peut modifier les contrats de routage est très différent d’un protocole dont les clés ont été détruites il y a des années. Lorsqu’aucune personne exerçant un contrôle ou une influence suffisante ne peut être identifiée, le GAFI s’attend à ce que les pays surveillent les risques et envisagent des mesures d’atténuation ; ses mises à jour ciblées ultérieures ont régulièrement désigné la DeFi comme un défi de mise en œuvre encore ouvert.

NFT et stablecoins

L’approche fonctionnelle s’applique aussi bien aux actifs qu’aux services.

Les jetons non fongibles (NFT) uniques et utilisés en pratique comme objets de collection ne sont généralement pas des AV au sens de la définition du GAFI. Un NFT utilisé en pratique à des fins de paiement ou d’investissement — par exemple des jetons émis en grandes séries fongibles, ou fractionnés et négociés comme des investissements — peut être un AV ; les plateformes qui l’échangent ou le détiennent pour des tiers peuvent alors être des PSAV. Un NFT qui représente simplement une valeur mobilière est couvert en tant que valeur mobilière.

Les stablecoins peuvent être des AV ou d’autres actifs financiers selon leur conception ; dans les deux cas, ils sont couverts. Le guide indique que l’organisme central de gouvernance d’un stablecoin, c’est-à-dire les personnes qui définissent les règles du dispositif, sera généralement couvert par les normes en tant que PSAV ou institution financière, en particulier s’il exerce également d’autres fonctions dans le dispositif. Le rapport ciblé du GAFI sur les stablecoins et les portefeuilles non hébergés (mars 2026) a cité comme bonne pratique l’obligation faite aux émetteurs d’adopter des contrôles fondés sur les risques, tels que la capacité de geler, de détruire ou de retirer des jetons sur le marché secondaire.

Tableau décisionnel

Le tableau suivant applique les définitions à des modèles d’affaires courants. Il s’agit d’un outil de raisonnement ; la réponse définitive dépend des faits et de la mise en œuvre nationale.

Enregistrement ou agrément partout

Selon la note interprétative de la R.15, les PSAV doivent être agréés ou enregistrés, au minimum dans le pays où ils sont constitués et, pour les personnes physiques, dans le pays où elles exercent leur activité. Les pays peuvent également exiger l’agrément des PSAV qui servent des clients sur leur territoire ou y exercent leurs activités, et beaucoup le font. Les pays doivent aussi prendre des mesures pour identifier les personnes exerçant sans agrément ni enregistrement et leur appliquer des sanctions. Un pays peut interdire les activités de PSAV, mais il doit alors faire respecter cette interdiction.

Pour un responsable de la conformité, cela entraîne trois conséquences. Cartographiez chaque activité au regard de la définition dans chaque pays où vous servez des clients, car les régimes diffèrent quant aux seuils, au champ d’application relatif à la DeFi et aux agréments proposés (voir la leçon Comment les régimes nationaux mettent en œuvre la norme). Documentez l’analyse, y compris les raisons pour lesquelles les produits sont hors du champ d’application. Enfin, appliquez la même démarche aux contreparties : vérifier si un autre PSAV est dûment enregistré est l’une des premières étapes de la vigilance à l’égard des contreparties.

Points clés pour l’examen : les définitions du GAFI d’un actif virtuel et d’un PSAV, ainsi que les cinq activités ; le sens des expressions « à titre professionnel » et « pour ou pour le compte d’une autre personne » ; l’approche fonctionnelle (la substance prime sur l’appellation et la technologie) ; les activités hors du champ de la définition (logiciels, matériel, infrastructures auxiliaires, validateurs, utilisateurs de portefeuilles non hébergés, P2P pur) et les circonstances qui peuvent changer cela ; le test des propriétaires/exploitants de dispositifs DeFi et ses indicateurs de contrôle, de relation et de profit ; le traitement des NFT et des stablecoins ; l’agrément ou l’enregistrement au moins dans le pays où le PSAV est constitué, ainsi que l’obligation d’identifier les opérateurs sans agrément.