Mise en œuvre de la Travel Rule · Leçon 2 sur 5
Identifier et évaluer la contrepartie
9 min de lecture
Avant d’envoyer des données au titre de la Travel Rule, un VASP doit répondre à deux questions : qui contrôle l’adresse de destination, et peut-on confier les données personnelles du client à cette partie ? Une mauvaise réponse entraîne soit la divulgation de données personnelles à une partie inconnue, soit l’envoi de fonds à une entreprise que la société n’aurait jamais acceptée comme cliente. Cette leçon explique comment identifier la contrepartie, comment l’évaluer et que faire lorsqu’elle ne peut pas recevoir de données.
La destination est-elle un VASP ?
Une demande de retrait fournit à la société une adresse et, au mieux, la description donnée par le client de sa destination. Plusieurs méthodes permettent de distinguer un VASP d’un portefeuille non hébergé, et chacune présente ses propres limites :
| Méthode | Fonctionnement | Point fort | Point faible |
|---|---|---|---|
| Déclaration du client | Le client choisit le prestataire destinataire dans une liste ou déclare « mon propre portefeuille » | Toujours disponible, peu coûteuse | Les clients commettent des erreurs, et certains mentent |
| Attribution par analyse de la blockchain | L’adresse ou son groupe d’adresses porte une étiquette de service | Indépendante et applicable à grande échelle | Les étiquettes peuvent être obsolètes ou erronées ; les nouvelles adresses de dépôt sont souvent dépourvues d’étiquette |
| Recherche dans un annuaire ou via un protocole | La société demande aux contreparties d’un réseau si elles contrôlent l’adresse | La contrepartie confirme elle-même son contrôle | Ne couvre que les membres de ce réseau |
| Formats de destination structurés | La chaîne de destination encode le point de terminaison du prestataire, ou une adresse accompagnée d’un mémo ou d’un tag | Sans ambiguïté lorsque le format est pris en charge | Fonctionne uniquement si le VASP bénéficiaire prend ce format en charge |
| Historique de confirmation | L’adresse a déjà été confirmée par une contrepartie | Rapide | Peut devenir obsolète si le prestataire renouvelle ses adresses |
Aucune méthode ne suffit à elle seule. Une procédure rigoureuse recoupe les sources : elle consigne la déclaration du client, le résultat de l’analyse avec son niveau de confiance et toute réponse d’un annuaire, puis applique une règle en cas de divergence. Une règle courante consiste à traiter l’opération comme un transfert entre VASP dès lors qu’une source fiable indique que l’adresse appartient à un service, même si le client a déclaré « mon propre portefeuille », puis à interroger le client. Les étiquettes issues de l’analyse sont des hypothèses, et non des faits ; consultez la leçon L’analyse de la blockchain au service de la conformité, ainsi que la formation IDFE-CF pour comprendre comment les groupes d’adresses et les étiquettes sont construits.
Les adresses de dépôt partagées exigent une attention particulière. Certains prestataires utilisent une seule adresse pour tous leurs clients et les distinguent par un mémo ou un tag de destination. L’adresse identifie alors le prestataire, mais seul le tag identifie le compte du bénéficiaire : il doit donc être recueilli et transmis dans les données de la Travel Rule.
Annuaires de VASP
La plupart des réseaux Travel Rule tiennent un annuaire des VASP participants, qui indique généralement leur dénomination sociale, leur identifiant d’entité juridique (LEI, ISO 17442), les enregistrements déclarés, les points de terminaison techniques et les clés ou certificats utilisés pour authentifier les messages. Les annuaires répondent aux besoins de découverte et d’authentification, abordés dans la leçon Données et messagerie de la Travel Rule.
La découverte comporte elle-même un risque pour la vie privée. Une méthode qui demande simultanément à de nombreux VASP s’ils contrôlent une adresse leur révèle à tous qu’un client s’apprête à y envoyer des fonds. Privilégiez les méthodes qui interrogent uniquement la contrepartie probable et assurez-vous qu’aucune donnée personnelle n’est transmise avant que la contrepartie ait confirmé son contrôle et satisfait aux vérifications de vigilance.
Une inscription dans un annuaire ne constitue pas une vérification de vigilance. Les opérateurs d’annuaires appliquent des contrôles d’admission différents, et une inscription renseigne peu sur les dispositifs de LBC de la contrepartie. Vérifiez indépendamment les éléments importants : confirmez l’enregistrement ou l’agrément dans le registre public tenu par l’autorité compétente, vérifiez la fiche LEI et recherchez d’éventuelles mesures coercitives rendues publiques.
Vérifications de vigilance à l’égard du VASP contrepartie
Le FATF attend du VASP donneur d’ordre qu’il effectue des vérifications de vigilance à l’égard du VASP contrepartie avant de lui envoyer des données clients, de manière comparable à l’évaluation d’une banque correspondante. Ces vérifications ne sont pas répétées à chaque transfert : elles sont effectuées une première fois, actualisées périodiquement en fonction du risque et reprises lorsqu’un événement déclencheur survient, comme des informations médiatiques défavorables, un retrait d’agrément ou une hausse soudaine des activités suspectes. Certaines équipes reprennent la structure du questionnaire de vigilance relatif aux relations de correspondance bancaire du Wolfsberg Group (CBDDQ) et l’adaptent aux cryptoactifs.
| Domaine | Éléments à vérifier | Signaux d’alerte |
|---|---|---|
| Identité et propriété | Entité juridique, LEI, bénéficiaires effectifs, structure du groupe | Structure de propriété opaque, propriétaires figurant sur des listes de sanctions |
| Enregistrement ou agrément | Statut dans le pays d’établissement et dans les pays où des clients sont servis | Absence d’enregistrement lorsqu’il est obligatoire |
| Dispositifs de LBC/FT | Responsable de la conformité, politiques, filtrage, surveillance, capacité à appliquer la Travel Rule, antécédents de mesures coercitives | Absence de fonction de conformité désignée, manquements répétés constatés par les autorités |
| Protection et sécurité des données | Capacité à protéger la confidentialité des données reçues, chiffrement, certifications de sécurité telles qu’ISO/IEC 27001, historique des violations de données | Canaux non chiffrés, violations de données inexpliquées |
| Juridiction | Listes publiques du FATF, résultats des évaluations mutuelles pour R.15, entrée en vigueur ou non de la Travel Rule | Pays faisant l’objet d’un « appel à l’action » |
| Modèle économique et exposition | Services imbriqués, services P2P ou bureaux OTC, prise en charge de cryptomonnaies axées sur la confidentialité, exposition sur la blockchain de ses groupes d’adresses à des sources illicites | Forte proportion de flux provenant de mélangeurs ou de places de marché du darknet |
Le résultat est une décision documentée : approuver, approuver sous conditions (par exemple, des plafonds de transfert ou une surveillance renforcée des flux), ou refuser, avec un niveau de risque et une date de réexamen. Les contreparties refusées sont inscrites sur une liste de blocage interne que le processus de retrait consulte automatiquement.
Le décalage de mise en œuvre
Le décalage de mise en œuvre désigne une application inégale : un VASP situé dans un pays où la Travel Rule est en vigueur doit effectuer des opérations avec des contreparties situées dans des pays où elle n’a pas encore force de loi, ou dans lesquels elle a force de loi mais où la contrepartie ne dispose d’aucun outil compatible. Le FATF attend une décision fondée sur les risques plutôt qu’une règle uniforme dans un sens ou dans l’autre.
| Situation de la contrepartie | Réponse habituelle fondée sur les risques |
|---|---|
| Assujettie et techniquement capable de recevoir les données (protocole identique ou interopérable) | Envoyer les données avant le transfert |
| Pas encore assujettie dans son pays, mais capable de recevoir les données et disposée à le faire | Envoyer les données après avoir confirmé leur protection lors des vérifications de vigilance |
| Disposée à recevoir les données, mais sans protocole | Utiliser un canal sécurisé convenu et consigner l’échange |
| Incapable de recevoir les données par quelque moyen que ce soit | Recueillir et conserver les données malgré tout ; autoriser uniquement dans certaines limites et avec une surveillance renforcée, ou refuser |
| Dépourvue d’agrément alors qu’un agrément est requis, ou n’ayant pas satisfait aux vérifications de vigilance | N’envoyer aucune donnée et refuser le transfert |
Même lorsque la contrepartie ne peut pas recevoir les données, le VASP donneur d’ordre les recueille, les soumet au filtrage et les conserve, afin de pouvoir répondre aux autorités et surveiller le flux. Le volet entrant du décalage de mise en œuvre, à savoir les transferts reçus sans données, est traité dans la leçon Opérations et exceptions liées à la Travel Rule.
Étude de cas
Un client demande un retrait d’USDC d’une valeur de 18 000 USD et déclare comme destination « Exchange Z ». L’analyse étiquette l’adresse comme appartenant à un service nommé Exchange Z, avec un niveau de confiance moyen. Z ne figure dans aucun des annuaires utilisés par la société. Son site web affirme qu’il est enregistré dans le pays fictif C, mais le registre public de l’autorité compétente du pays C ne contient aucune entrée le concernant.
- Identification : deux sources concordent pour indiquer que la destination est un service ; le transfert est donc traité comme un transfert entre VASP.
- Évaluation : l’enregistrement de Z ne peut pas être confirmé, aucun dossier de vigilance n’est disponible et aucun canal sécurisé n’existe.
- Décision : mettre le retrait en attente, informer le client que la société ne peut pas envoyer de fonds à ce prestataire pour le moment et proposer un envoi vers un prestataire évalué ou vers un portefeuille auto-hébergé dont le client peut prouver qu’il a le contrôle.
- Remontée pour examen : l’analyste conformité examine l’historique du client pour repérer d’autres flux vers Z et détermine si ce schéma d’activité est suspect.
- Consignation : les éléments probants d’attribution, la recherche dans le registre avec sa date, la décision et l’identité de la personne l’ayant approuvée sont conservés dans le dossier.
La société n’a pas conclu que Z était une organisation criminelle. Elle a conclu qu’elle ne pouvait pas satisfaire à ses propres obligations avec une contrepartie non vérifiée, et elle en a documenté les raisons.
Points clés pour l’examen : les méthodes permettant de distinguer un VASP d’un portefeuille non hébergé et les faiblesses de chacune ; pourquoi le recoupement des sources et une règle écrite de résolution des divergences sont nécessaires ; les adresses avec mémo ou tag ; pourquoi une inscription dans un annuaire ne remplace pas les vérifications de vigilance ; les composantes des vérifications de vigilance à l’égard du VASP contrepartie (identité, agrément, dispositifs de LBC, protection des données, juridiction, exposition) et leur actualisation périodique ou à la suite d’un événement déclencheur ; le décalage de mise en œuvre et les réponses fondées sur les risques ; le recueil et la conservation des données même lorsque la contrepartie ne peut pas les recevoir.