La recommandation 16 appliquée aux actifs virtuels

La recommandation 16 marque le moment où les données clients d’une entreprise crypto cessent d’être purement internes. Chaque transfert vers un autre prestataire doit comporter des données d’identification sur les deux parties, et chaque transfert entrant doit être vérifié pour s’assurer qu’il en contient. La plupart des manquements à la Travel Rule sont dus à une mauvaise compréhension de la personne responsable de chaque donnée, du niveau de vérification requis et du moment où les données doivent être envoyées.

Des virements bancaires aux transferts d’actifs virtuels

La recommandation 16 a été rédigée pour les virements bancaires. Le paragraphe 7(b) de la note interprétative de la recommandation 15 (INR.15) l’étend aux actifs virtuels. Les PSAV d’origine doivent obtenir et conserver les informations requises et exactes sur le donneur d’ordre ainsi que les informations requises sur le bénéficiaire, les transmettre au PSAV ou à l’institution financière du bénéficiaire « immédiatement et de manière sécurisée », et les mettre à la disposition des autorités sur demande. Les PSAV bénéficiaires doivent obtenir et conserver les informations requises sur le donneur d’ordre ainsi que les informations requises et exactes sur le bénéficiaire. Les autres obligations de la R.16 s’appliquent de la même manière : surveiller la présence des informations, et geler et interdire les transactions avec les personnes et entités désignées. Les banques et autres institutions financières qui envoient ou reçoivent des transferts d’actifs virtuels pour le compte de clients sont soumises aux mêmes obligations.

La terminologie des virements bancaires correspond aux termes crypto comme suit :

Le GAFI a révisé la recommandation 16 elle-même en juin 2025, et les modifications entreront en vigueur d’ici la fin de 2030. Les obligations relatives aux actifs virtuels sont toujours interprétées à la lumière du paragraphe 7(b) de l’INR.15 et des lignes directrices du GAFI sur les actifs virtuels (octobre 2021). Les éléments de données présentés dans cette leçon sont ceux du texte antérieur à 2025 décrit dans ces lignes directrices ; la R.16 révisée en modifie certains. Il faut donc vérifier quelle version un pays a mise en œuvre. La leçon La recommandation 15 et sa note interprétative traite du reste de l’INR.15.

Informations requises et exactes

Deux mots sont essentiels. Les informations requises désignent la liste des éléments de données qui doivent accompagner le transfert. Les informations exactes sont des informations qui ont été vérifiées.

Au-dessus du seuil, les informations requises sur le donneur d’ordre comprennent son nom, le numéro de compte (adresse de portefeuille) utilisé pour traiter le transfert ou une référence unique de transaction, et l’un des éléments suivants : son adresse physique, son numéro d’identité national, son numéro d’identification client ou sa date et son lieu de naissance. Les informations requises sur le bénéficiaire comprennent son nom et son numéro de compte ou une référence unique de transaction.

Cette asymétrie s’explique par le fait que chaque partie connaît une personne différente :

• Le PSAV d’origine a vérifié son propre client ; les données qu’il transmet sur le donneur d’ordre doivent donc être exactes. Le nom du bénéficiaire est celui saisi par son client ; le PSAV d’origine ne peut pas le vérifier, et la norme ne le lui demande pas.
• Le PSAV bénéficiaire a vérifié son propre client ; il est donc responsable de l’exactitude des données sur le bénéficiaire et peut comparer le nom reçu à ses propres dossiers.

Une discordance de nom du côté du bénéficiaire constitue donc un résultat de contrôle attendu, et non une erreur système. Elle peut révéler une faute de frappe, un client qui envoie des fonds à la mauvaise personne ou un compte utilisé par quelqu’un d’autre que son titulaire.

Le seuil de minimis

La norme du GAFI permet aux pays d’appliquer un seuil de minimis de 1 000 USD/EUR. En dessous de ce seuil, un transfert doit tout de même comporter les noms du donneur d’ordre et du bénéficiaire, ainsi que l’adresse de portefeuille ou la référence unique de chacun, mais les données n’ont pas besoin d’être vérifiées, sauf en cas de soupçon de blanchiment de capitaux ou de financement du terrorisme. Les mises en œuvre nationales varient, et certains pays fixent un seuil inférieur ou n’en appliquent aucun.

Deux conséquences opérationnelles en découlent. Un seuil incite au fractionnement : un client qui effectue régulièrement des retraits juste en dessous du seuil vers la même destination doit déclencher une surveillance (voir la leçon Signaux d’alerte et typologies). De plus, l’application d’un seuil en monnaie fiduciaire à un actif volatil nécessite une source de prix et un moment de conversion définis ; sinon, un même transfert peut se trouver d’un côté ou de l’autre du seuil. C’est pourquoi de nombreuses entreprises transmettent l’ensemble des données pour chaque transfert vers un autre PSAV et n’appliquent un traitement réduit que lorsqu’une règle locale l’exige.

Obligations selon le rôle

Le PSAV donneur d’ordre conserve les données du donneur d’ordre recueillies lors de l’intégration, obtient les données du bénéficiaire auprès du client au moment de la demande de retrait, vérifie les deux noms et transmet l’ensemble des données. La règle du GAFI sur les virements bancaires indique qu’une institution donneuse d’ordre ne devrait pas exécuter un transfert non conforme. En pratique, aucun retrait vers un autre PSAV n’est effectué sans un ensemble complet de données, et chaque message est conservé conformément à l’obligation de tenue de registres prévue par la recommandation 11.

Le PSAV intermédiaire se trouve dans une chaîne en série et reçoit puis retransmet un transfert pour le compte d’un autre prestataire, par exemple un fournisseur de liquidités qui effectue le règlement pour une plateforme d’échange de plus petite taille. Il doit conserver toutes les informations reçues avec le transfert et les maintenir rattachées à celui-ci, tenir des registres, prendre des mesures raisonnables pour repérer les transferts dépourvus des informations requises et mettre en place des politiques fondées sur le risque pour les exécuter, les rejeter ou les suspendre.

Le PSAV bénéficiaire doit prendre des mesures raisonnables, qui peuvent comprendre une surveillance après l’événement ou en temps réel, afin de repérer les transferts entrants dépourvus des informations requises. Il vérifie le bénéficiaire s’il ne l’a pas déjà fait et doit mettre en place des politiques fondées sur le risque pour décider quand exécuter, rejeter ou suspendre ces transferts et quelles mesures de suivi prendre. L’absence d’informations constitue également un facteur à prendre en compte pour déterminer s’il faut faire un signalement à la cellule de renseignement financier. La leçon Opérations liées à la Travel Rule et exceptions transforme ces politiques en procédures.

Lorsque le donneur d’ordre et le bénéficiaire sont tous deux clients du même PSAV, aucun message ne franchit de frontière, mais l’entreprise détient les deux ensembles de données. À l’instar d’un prestataire de paiement qui contrôle les deux extrémités d’un paiement, elle devrait s’appuyer sur les informations des deux côtés pour déterminer si l’activité est suspecte.

Transferts groupés et portefeuilles omnibus

La règle relative aux virements bancaires permet à un fichier de lots contenant des transferts individuels d’un même donneur d’ordre de ne porter que le numéro de compte ou la référence du donneur d’ordre pour chaque opération, à condition que le fichier lui-même contienne toutes les informations sur le donneur d’ordre et le bénéficiaire et qu’il soit traçable dans le pays du bénéficiaire.

Les cryptoactifs introduisent une autre forme de regroupement. Une plateforme d’échange peut regrouper les retraits de nombreux clients dans une seule transaction sur la chaîne, comportant des dizaines de sorties et envoyée depuis un portefeuille chaud partagé. Les textes du GAFI ne traitent pas directement ce cas, mais la logique de la R.16 mène à une conclusion : l’obligation s’applique au transfert de chaque client, et non à la transaction sur la chaîne qui en règle plusieurs. Selon ce raisonnement, chaque sortie vers un autre PSAV doit avoir son propre ensemble de données reliant le client, le montant et l’adresse de destination concernés. L’adresse qui apparaît sur la chaîne appartient à la plateforme d’échange, et non au client ; l’identifiant de compte dans le message doit donc désigner le compte du client, et les registres doivent associer chaque sortie à son message.

Délais et exemple détaillé

« Immédiatement » ne signifie pas « tôt ou tard ». Les lignes directrices du GAFI sur les actifs virtuels interprètent ce terme comme signifiant avant, en même temps que ou simultanément au transfert. Un transfert confirmé ne peut pas être rappelé ; envoyer les données au préalable permet donc au PSAV bénéficiaire de confirmer que l’adresse appartient à un client, de vérifier le donneur d’ordre et d’accepter ou de rejeter le transfert avant que la valeur ne soit transférée. Des données envoyées plusieurs heures après la confirmation ne respectent ni la norme ni l’objectif du contrôle. De manière sécurisée signifie protéger l’intégrité et la confidentialité des données pendant leur transmission et en limiter l’accès aux personnes qui en ont besoin.

Un client de la plateforme d’échange A retire des USDT d’une valeur de 2 400 USD vers une adresse de dépôt de la plateforme d’échange B :

1. L’attribution montre que l’adresse appartient à la plateforme d’échange B, un PSAV enregistré que A a déjà vérifié.
2. A extrait du dossier client le nom vérifié du donneur d’ordre, son numéro client et sa date de naissance, ainsi que le nom du bénéficiaire saisi par le client.
3. A vérifie les deux noms par rapport aux listes de sanctions et envoie l’ensemble des données à B avant la diffusion de la transaction.
4. B confirme que l’adresse est une adresse de dépôt client, constate que le nom du bénéficiaire correspond à celui de son client à l’exception d’un accent manquant, vérifie le donneur d’ordre et accepte le transfert.
5. A diffuse la transaction et envoie le txid à B. Les deux entreprises conservent ensemble le message, la réponse et le txid.

Si B avait rejeté le transfert, rien n’aurait été transféré sur la chaîne et A aurait pu demander à son client de corriger les informations.

Points clés pour l’examen : comment l’INR.15 applique la R.16 aux PSAV d’origine et bénéficiaires ainsi qu’aux institutions financières ; les champs requis concernant le donneur d’ordre et le bénéficiaire, et la différence entre données requises et exactes ; l’option du seuil de minimis de 1 000 USD/EUR, les données qui doivent tout de même être transmises en dessous de ce seuil et le risque de fractionnement qu’il crée ; les obligations distinctes des PSAV donneurs d’ordre, intermédiaires et bénéficiaires, notamment les politiques fondées sur le risque pour exécuter, rejeter ou suspendre les transferts ; pourquoi chaque sortie d’un retrait groupé sur la chaîne nécessite son propre ensemble de données ; le sens d’« immédiatement » — avant, en même temps que ou simultanément au transfert — et pourquoi l’échange de données avant le transfert constitue le contrôle le plus efficace.