Règles d’agrément et de conduite applicables aux prestataires de services sur cryptoactifs

Les régimes applicables aux cryptoactifs portent des noms différents selon les pays, mais reposent sur les mêmes éléments : un critère qui détermine qui doit obtenir un agrément, des tests concernant les personnes qui dirigent l’entreprise, des exigences de fonds propres, des règles relatives aux actifs des clients, des règles de conduite et la résilience opérationnelle. Un professionnel qui connaît ces éléments fondamentaux peut comprendre rapidement tout nouveau régime, en repérer les lacunes et le comparer aux autres auxquels une entreprise est déjà soumise.

Les références mondiales

Trois ensembles de normes internationales façonnent les régimes applicables aux prestataires de services sur cryptoactifs (CASP) :

• La recommandation 15 du GAFI exige des pays qu’ils agréent ou enregistrent les prestataires de services sur actifs virtuels à des fins de lutte contre le blanchiment de capitaux. Elle établit les exigences minimales et est abordée dans la leçon Normes du GAFI et Travel Rule.
• Les Recommandations stratégiques de l’OICV pour les marchés des cryptoactifs et des actifs numériques, publiées sous la forme d’un rapport final le 16 novembre 2023, définissent 18 recommandations à l’intention des autorités de réglementation des valeurs mobilières. Elles suivent le principe « même activité, même risque, même résultat réglementaire » et couvrent six domaines : les conflits liés à l’intégration verticale, les abus de marché et la fraude, la coopération transfrontalière, la conservation et les actifs des clients, le risque opérationnel et technologique, ainsi que la distribution aux particuliers. En décembre 2023, l’OICV a ajouté neuf recommandations stratégiques concernant la finance décentralisée (DeFi).
• Les recommandations de haut niveau du Conseil de stabilité financière (CSF) concernant les activités et marchés de cryptoactifs (juillet 2023) invitent les autorités à mettre en place une réglementation, une supervision et une coopération transfrontalière exhaustives, proportionnées aux risques pour la stabilité financière concernés.

Les deux organismes ont examiné la mise en œuvre en octobre 2025. L’OICV a constaté des « progrès significatifs » parmi ses membres, tout en indiquant que des efforts supplémentaires étaient nécessaires à mesure que les modèles économiques évoluent. Le CSF a décrit une mise en œuvre inégale et incohérente, avec des lacunes qui favorisent l’arbitrage réglementaire. Attendez-vous à retrouver des éléments fondamentaux communs et des modalités différentes.

Critères d’agrément : l’activité, pas l’appellation

Chaque régime commence par répertorier les activités réglementées. Une entreprise doit obtenir un agrément si elle exerce l’une d’elles à titre professionnel pour des clients dans le territoire concerné. Les activités courantes comprennent :

• l’exploitation d’une plateforme de négociation qui met en relation acheteurs et vendeurs ;
• l’échange de cryptoactifs contre des monnaies fiduciaires ou d’autres cryptoactifs, pour compte propre (négociation) ou en qualité d’intermédiaire (courtage) ;
• l’exécution ou la réception et la transmission d’ordres de clients ;
• la conservation et l’administration de cryptoactifs pour le compte de clients ;
• les services de transfert ;
• la gestion de portefeuille, le conseil, ainsi que le placement ou la prise ferme d’offres de jetons ;
• le staking pour le compte de clients et les prêts en cryptoactifs, lorsque le régime les couvre ;
• l’émission de stablecoins, qui exige généralement un agrément distinct (voir Réglementation des stablecoins : principes mondiaux).

Le critère est fonctionnel, comme dans la définition des prestataires de services sur actifs virtuels du GAFI : ce que fait l’entreprise compte, et non la façon dont elle se présente. Une même plateforme peut avoir besoin de plusieurs autorisations. Une plateforme d’échange qui détient aussi les clés des clients, prête leurs actifs et exploite un programme de staking peut relever de quatre activités. Les exclusions courantes concernent les opérations réalisées uniquement pour compte propre, les fournisseurs de logiciels ou d’infrastructures uniquement (opérateurs de nœuds, éditeurs de logiciels de portefeuille) et les services intragroupe. Par exemple, le règlement MiCA de l’UE répertorie chaque service sur cryptoactifs qui nécessite un agrément, tandis qu’aux États-Unis, la même activité peut déclencher des obligations d’agrément d’émetteur de monnaie ou de transfert de fonds au niveau des États, ou des règles fédérales relatives aux valeurs mobilières ou aux matières premières, selon l’actif concerné.

Honorabilité et compétence, gouvernance et fonds propres

Les tests d’honorabilité et de compétence s’appliquent aux administrateurs, aux cadres dirigeants et aux actionnaires importants : honnêteté et intégrité, compétence et expérience, solidité financière, et absence d’antécédents criminels ou réglementaires pertinents. Les autorités de supervision vérifient également l’origine des fonds des propriétaires et doivent être informées de tout changement ultérieur de contrôle.

Les règles de gouvernance exigent un conseil d’administration en mesure de contester la direction, des fonctions de contrôle indépendantes (gestion des risques, conformité, audit interne), un responsable désigné de la lutte contre le blanchiment de capitaux et une véritable présence locale. Un agrément détenu par un bureau « boîte aux lettres », alors que les décisions sont prises ailleurs, constitue souvent un motif de refus.

Les exigences de fonds propres et les garanties prudentielles visent à s’assurer qu’une entreprise peut absorber les pertes et cesser ses activités de manière ordonnée. Une formule courante consiste à retenir « le montant le plus élevé entre » un minimum fixe qui dépend de l’activité et une part des frais généraux fixes annuels. Dans un régime hypothétique où le seuil minimal est de 150 000 et où l’exigence correspond au quart des frais généraux fixes, une entreprise dont les frais généraux fixes s’élèvent à 8 000 000 par an doit détenir 2 000 000, car le montant calculé sur la base des frais généraux est plus élevé. Certains régimes acceptent qu’une partie du montant soit couverte par une assurance, et beaucoup exigent également des actifs liquides et un plan de cessation des activités éprouvé.

Actifs des clients : ségrégation et conservation

La plupart des pertes importantes dans le secteur des cryptoactifs ont été causées par des entreprises qui utilisaient les actifs de leurs clients comme s’il s’agissait des leurs. Les recommandations de l’OICV relatives aux actifs des clients définissent les résultats attendus.

Les portefeuilles omnibus sont autorisés dans la plupart des régimes si le registre interne est exact et fait l’objet de rapprochements. Le fonctionnement technique de la conservation est abordé dans les leçons Modèles de conservation et aspects juridiques de la détention d’actifs et Risque de contrepartie et preuve de réserves.

Conflits d’intérêts, information et traitement équitable

Les entreprises de cryptoactifs cumulent souvent des fonctions qui sont séparées dans la finance traditionnelle : plateforme d’échange, courtier, teneur de marché, dépositaire, prêteur et même émetteur de jetons. Les recommandations de l’OICV préconisent une gouvernance qui gère ces conflits et, lorsqu’ils ne peuvent pas être atténués, une séparation juridique et des enregistrements distincts. Elles exigent également que chaque rôle joué par l’entreprise soit communiqué, que les ordres soient traités équitablement et que des restrictions soient imposées aux opérations d’initiés avant l’exécution des ordres des clients, que des normes publiques régissent l’admission et le retrait des jetons, et que les conflits liés aux jetons émis ou détenus par l’entreprise soient gérés, ce qui peut impliquer de ne pas les inscrire.

Les règles de traitement équitable visent les clients particuliers : vérification du caractère approprié ou adéquat avant la souscription à des produits complexes ou risqués, communication commerciale équitable et claire (y compris sur les réseaux sociaux et par l’intermédiaire d’influenceurs rémunérés), information sur l’ensemble des frais et des conflits d’intérêts, et avertissements sur les risques en langage clair.

Le traitement des réclamations complète le dispositif : une procédure documentée, des délais d’accusé de réception et de réponse, la tenue de registres pour chaque réclamation, l’analyse des causes profondes et, lorsqu’il en existe un, l’accès à un organisme externe de règlement des litiges.

Externalisation et résilience opérationnelle

Une entreprise peut externaliser des tâches, mais pas sa responsabilité. Les autorités de supervision attendent des vérifications préalables concernant les prestataires, des contrats qui accordent à l’entreprise et à l’autorité de supervision des droits d’accès et d’audit, des plans de sortie et une attention portée au risque de concentration, car de nombreuses entreprises s’appuient sur les mêmes fournisseurs de services infonuagiques, de technologies de conservation, de vérification d’identité et d’analyse de chaînes de blocs. La recommandation de l’OICV sur le risque opérationnel et technologique appelle à la résilience des systèmes et en matière de cybersécurité, à un examen au moins annuel et à une communication en langage clair des risques opérationnels et technologiques importants. Les régimes imposent de plus en plus des délais de déclaration des incidents et des tests de résilience. Les sauvegardes et la récupération des clés sont abordées dans la leçon Assurance, résilience et assurance contre les risques.

Services transfrontaliers : passeport européen et sollicitation inversée

Le passeport européen permet à une entreprise agréée dans un pays de servir des clients dans d’autres pays partageant des règles harmonisées, généralement après une notification plutôt qu’une nouvelle demande. L’UE en est le principal exemple. En l’absence de passeport, une entreprise doit obtenir un agrément local, créer une filiale locale agréée ou s’associer à un partenaire, ou encore bénéficier d’une exemption.

La sollicitation inversée est une exception limitée qui s’applique lorsqu’un client prend contact avec une entreprise étrangère de sa propre initiative exclusive. Cette exception cesse de s’appliquer dès que l’entreprise sollicite des clients dans ce pays : sites Web en langue locale, publicités ciblées, parrainages, campagnes d’influenceurs ou offres de nouveaux produits à des clients qui avaient d’abord pris contact de leur propre initiative. Elle ne couvre que le service demandé par le client.

De plus en plus de pays agréent désormais les entreprises étrangères qui servent leurs résidents, en rattachant généralement l’obligation à une activité telle que le marketing ciblé ou l’utilisation des systèmes de paiement nationaux.

Les entreprises étayent leurs choix de marché par des mesures de contrôle : vérification du lieu de résidence à l’ouverture du compte, géolocalisation et blocage des adresses IP, et clôture des comptes des clients situés dans des pays où l’entreprise n’exerce pas ses activités.

Points clés pour l’examen : les trois références mondiales (recommandation 15 du GAFI pour l’agrément aux fins de lutte contre le blanchiment de capitaux, recommandations de l’OICV de 2023 sur la conduite et les actifs des clients, recommandations du CSF de 2023 sur la stabilité financière) et les conclusions des examens de mise en œuvre d’octobre 2025 ; l’agrément déclenché par l’exercice d’une activité à titre professionnel, et non par l’appellation utilisée ; les tests d’honorabilité et de compétence et les règles de gouvernance ; les formules de fonds propres fondées sur « le montant le plus élevé entre » et les plans de cessation des activités ; les mesures de contrôle des actifs des clients attendues par l’OICV (ségrégation, consentement pour toute utilisation, rapprochement, vérification indépendante, information) ; les conflits liés à l’intégration verticale et les mesures correctives de l’OICV ; le traitement équitable des clients particuliers et le traitement des réclamations ; la responsabilité en matière d’externalisation et la résilience opérationnelle ; le passeport européen, les limites de la sollicitation inversée et l’agrément des entreprises offshore.