L’approche fondée sur les risques

Les autorités de contrôle demandent rarement à un PSAV s’il dispose de contrôles ; elles veulent savoir pourquoi il a mis en place ces contrôles, avec ce niveau d’exigence, pour ces clients et ces produits. La réponse se trouve dans l’évaluation des risques à l’échelle de l’entreprise. Une société capable d’expliquer comment elle a identifié ses risques, le degré d’efficacité de ses contrôles et les risques qu’elle a choisi d’accepter peut justifier presque tous ses choix de conception ; une société qui en est incapable doit défendre chaque contrôle isolément.

L’approche fondée sur les risques du GAFI

La Recommandation 1 exige des pays — et, par leur intermédiaire, des institutions financières et des PSAV — qu’ils identifient, évaluent et comprennent leurs risques de blanchiment de capitaux et de financement du terrorisme, et qu’ils appliquent des mesures adaptées à ces risques. Depuis octobre 2020, cette même recommandation couvre également le risque de financement de la prolifération, au sens restreint du non-respect ou du contournement des sanctions financières ciblées. En février 2025, le GAFI a modifié la R.1 et sa note interprétative pour remplacer « proportionnées » par proportionnelles, défini comme une mesure correspondant de manière appropriée au niveau du risque identifié, et pour exiger des pays qu’ils autorisent et encouragent des mesures simplifiées dans les situations à risque plus faible.

L’approche fondée sur les risques (AFR) joue donc dans les deux sens. Les risques plus élevés exigent des mesures renforcées ; les risques plus faibles permettent des mesures simplifiées. Appliquer partout des contrôles maximaux n’est pas « prudent » : cela gaspille des ressources qui devraient être consacrées aux risques réels et peut exclure des clients légitimes.

La note interprétative de la R.1 définit quatre attentes à l’égard de l’évaluation propre à la société :

• prendre des mesures appropriées pour identifier et évaluer les risques liés aux clients, aux pays ou aux zones géographiques, ainsi qu’aux produits, services, transactions ou canaux de distribution ;
• documenter l’évaluation afin que la société puisse en démontrer le fondement ;
• la tenir à jour ;
• disposer de mécanismes permettant de la communiquer aux autorités compétentes sur demande.

La Recommandation 15 ajoute une exigence particulièrement importante dans le domaine des cryptomonnaies : une société doit évaluer les risques liés aux nouveaux produits, aux nouvelles pratiques commerciales, aux nouveaux mécanismes de distribution et aux technologies nouvelles ou en développement avant leur lancement.

L’évaluation des risques à l’échelle de l’entreprise

L’évaluation des risques à l’échelle de l’entreprise (EWRA), parfois appelée évaluation des risques à l’échelle de l’activité, applique ces principes à l’ensemble de la société. Pour un PSAV, elle couvre généralement cinq catégories de risques.

Les bonnes évaluations combinent des données quantitatives (comptages, volumes, pourcentages d’exposition issus de l’analyse de la chaîne de blocs, statistiques d’alertes et de signalements) et un jugement qualitatif (rapports sur les typologies, constatations des autorités de contrôle, incidents). Les FAQ du Groupe Wolfsberg sur les évaluations des risques (2015) décrivent la même structure que celle utilisée par les banques : risque inhérent, efficacité des contrôles et risque résiduel.

Risque inhérent, contrôles et risque résiduel

Le risque inhérent est le risque avant la mise en place de contrôles : le risque auquel la société est exposée par la nature même de ses activités. Une société proposant des passerelles fiat, des services de conservation et 15 chaînes prises en charge présente un risque inhérent plus élevé qu’un courtier mono-actif destiné aux institutions, quels que soient ses contrôles.

L’efficacité des contrôles mesure la qualité de leur conception et de leur mise en œuvre. Les éléments probants proviennent des tests, de l’assurance qualité, des constatations d’audit, des retards dans le traitement des alertes et des incidents, et non de la seule existence d’une politique.

Le risque résiduel est le risque qui subsiste après la mise en place des contrôles. C’est cette valeur que le conseil d’administration compare à son appétit pour le risque. Deux erreurs sont fréquentes : juger les contrôles solides parce qu’une procédure existe, et calculer une moyenne à partir d’un si grand nombre de facteurs qu’une lacune grave passe inaperçue.

Les évaluations nationales des risques comme données d’entrée

En vertu de la R.1, chaque pays doit évaluer ses propres risques et en communiquer les résultats au secteur privé. Une évaluation nationale des risques (NRA) indique à un PSAV quelles infractions sous-jacentes génèrent localement le plus de produits du crime, quels secteurs sont considérés comme vulnérables et quelle est la position des autorités sur les actifs virtuels. Le GAFI a publié des orientations actualisées sur les NRA relatives au blanchiment de capitaux en novembre 2024.

Utilisez les NRA de chaque pays où vous avez une clientèle ou des activités importantes, ainsi que les listes publiques du GAFI des juridictions soumises à une surveillance renforcée ou faisant l’objet d’un appel à l’action, les rapports du GAFI sur les typologies et les indicateurs d’alerte, et les orientations des autorités de contrôle. Lorsque vos propres données contredisent la NRA — par exemple, si vos flux révèlent une forte exposition à une typologie que la NRA juge peu risquée — consignez l’écart et expliquez-le.

Exemple de notation détaillé

La société X est une plateforme d’échange fictive proposant des passerelles fiat, des services de conservation, un bureau de gré à gré et la prise en charge de 120 jetons sur neuf chaînes. Sa méthode attribue au risque inhérent une note de 1 (faible) à 4 (très élevé), classe les contrôles comme solides, adéquats ou faibles et détermine le risque résiduel à partir d’une matrice fixe.

Le score inhérent pondéré est de 3 × 0,25 + 4 × 0,25 + 3 × 0,20 + 3 × 0,15 + 4 × 0,15 = 3,40, ce que la méthode classe comme très élevé (3,25 ou plus). En convertissant les niveaux de risque résiduel en nombres (moyen 2, élevé 3, très élevé 4), on obtient un risque résiduel pondéré de 2,55, classé comme élevé (de 2,50 à 3,24).

La méthode de la société X prévoit également une règle de dérogation : toute catégorie présentant un risque résiduel très élevé fixe la note globale à élevé au minimum et exige un plan d’action daté, quel que soit le résultat moyen. Ici, la lacune technologique déclenche cette règle. Le dossier correspondant à cette catégorie pourrait se présenter ainsi :

{
  "ewra_id": "EWRA-2026-TECH-03",
  "category": "technologies",
  "risk": "Deposits on chains without analytics coverage cannot be screened",
  "inherent": { "score": 4, "evidence": ["asset_list_v12", "flow_stats_q3"] },
  "controls": { "rating": "weak", "evidence": ["qa_report_0917", "gap_log_44"] },
  "residual": "very_high",
  "within_appetite": false,
  "action": "Suspend deposits on uncovered chains until coverage is live",
  "owner": "Head of Financial Crime Compliance",
  "due": "2027-01-31",
  "approved_by": "Board risk committee, 2026-10-20"
}

Le dossier relie chaque note à des éléments probants (références à des documents internes dans cet exemple fictif), indique si le résultat est conforme à l’appétit pour le risque et désigne un responsable et une échéance. Un examinateur peut suivre le raisonnement, des données jusqu’à la décision : c’est ce que signifie concrètement « documentée afin d’en démontrer le fondement ».

La déclaration d’appétit pour le risque

Une déclaration d’appétit pour le risque décrit, avec l’approbation du conseil d’administration, le niveau de risque de criminalité financière que la société est disposée à accepter dans le cadre de sa stratégie. Elle transforme l’évaluation en décisions. Les déclarations utiles associent des limites qualitatives et des limites mesurables :

• « Nous n’intégrons pas de clients résidant dans des juridictions faisant l’objet d’un appel à l’action du GAFI. »
• « Nous ne référençons pas d’actifs dont nous ne pouvons ni contrôler ni surveiller les transactions. »
• « Tout risque résiduel supérieur au niveau moyen dans une catégorie exige un plan d’action approuvé dans un délai de 90 jours. »
• « Le volume entrant directement exposé à des catégories de risque grave reste inférieur à un seuil fixé à l’interne chaque mois, et chaque cas fait l’objet d’un examen. »

L’appétit pour le risque doit être cohérent avec le plan d’affaires ; une stratégie de croissance qui dépend de produits exclus par cet appétit constitue une défaillance de gouvernance. Réexaminez l’EWRA au moins une fois par an, ainsi qu’au lancement d’un produit, à l’entrée dans un pays, à l’ajout d’une chaîne ou après un incident important. La leçon Notation du risque client explique comment ces notes influent sur les scores attribués aux clients individuels.

Points clés pour l’examen : ce que la R.1 et la NI.1 exigent des sociétés (identifier, évaluer, documenter, tenir à jour, communiquer aux autorités) ; la modification de février 2025 concernant le terme « proportionnelles » et l’encouragement des mesures simplifiées dans les situations à risque plus faible ; l’obligation prévue par la R.15 d’évaluer les nouveaux produits et technologies avant leur lancement ; les cinq catégories de l’EWRA et les données qui les étayent ; la distinction entre risque inhérent, efficacité des contrôles et risque résiduel ; l’utilisation des évaluations nationales des risques et des listes du GAFI comme données d’entrée ; la lecture d’une matrice de risque résiduel et la raison pour laquelle une règle de dérogation empêche qu’une moyenne masque une lacune grave ; le contenu d’une déclaration d’appétit pour le risque et les moments où l’évaluation doit être actualisée.