Sanctions et cadres réglementaires internationaux

Des outils différents, des objectifs différents

Les sanctions sont des restrictions imposées en vertu de l’autorité juridique d’une juridiction à des personnes, entités, activités ou territoires particuliers. Elles peuvent interdire certaines opérations, imposer le blocage ou le gel d’avoirs et créer des obligations de déclaration. La réglementation prudentielle porte sur la sécurité et la résilience d’un établissement ; la réglementation de la conduite concerne le comportement sur les marchés et le traitement des clients ; la réglementation en matière de LBC/FT porte sur les contrôles de lutte contre la criminalité financière. Ces domaines se recoupent, mais ne doivent pas être confondus dans une « licence crypto » générique. Un prestataire peut être soumis à plusieurs obligations parce qu’il détient des actifs de clients, transfère de la valeur, sert des clients à l’étranger et traite avec une partie soumise à des restrictions légales.

La règle applicable dépend de la juridiction, de la classification de l’actif, de l’activité réglementée, de la localisation du client et du calendrier. Les professionnels du secteur public et du droit devraient consigner la date de leur analyse réglementaire. La déclaration d’une entreprise selon laquelle elle est « conforme » ne prouve pas qu’elle est autorisée à fournir un service particulier dans tous les pays. De même, une autorisation dans une juridiction ne confère pas automatiquement une autorisation ailleurs.

Le GAFI : la référence internationale commune

Les Recommandations 1, 10, 15, 16, 20 et 35 du GAFI éclairent les cadres nationaux en matière d’évaluation des risques, de vigilance à l’égard de la clientèle, d’actifs virtuels, de transparence des paiements, de déclarations et de sanctions en cas de non-conformité. Le GAFI recourt à des évaluations mutuelles et à des processus de suivi pour évaluer la manière dont les juridictions mettent en œuvre et font appliquer les normes. Une évaluation à faible risque n’autorise pas à ignorer les sanctions contraignantes ou les obligations de vigilance. Les autorités nationales conservent leurs propres rôles juridiques et pouvoirs d’application.

Autres organismes internationaux de normalisation

Le GAFI n’est pas la seule référence mondiale. Le Conseil de stabilité financière (FSB) a publié en 2023 des recommandations de haut niveau relatives aux activités liées aux crypto-actifs et aux dispositifs mondiaux de stablecoins, fondées sur le principe « mêmes activités, mêmes risques, même réglementation ». L’Organisation internationale des commissions de valeurs (OICV) a publié en novembre 2023 des recommandations stratégiques pour les marchés des crypto-actifs et des actifs numériques, couvrant les conflits d’intérêts, les abus de marché, la conservation des actifs des clients et la coopération transfrontalière. Le Comité de Bâle sur le contrôle bancaire définit le traitement prudentiel des expositions des banques aux crypto-actifs. Ces organismes n’accordent aucune licence ; les autorités nationales transforment leurs normes en règles contraignantes.

Différences entre les régimes nationaux et régionaux

Les cadres nationaux mettent ces normes en œuvre de différentes manières. La plupart exigent une autorisation ou un enregistrement pour des activités telles que l’échange, le transfert, la conservation et le courtage, mais définissent ces activités, les exemptions ainsi que les exigences de fonds propres et de conduite selon leurs propres règles. Certains créent une loi spécifique sur les crypto-actifs assortie d’une licence unique utilisable dans plusieurs pays ; par exemple, le règlement de l’UE sur les marchés de crypto-actifs (MiCA) permet à un prestataire agréé d’offrir des services dans toute l’UE. D’autres appliquent les lois existantes sur les valeurs mobilières, les paiements et les transferts d’argent activité par activité, avec la participation de plusieurs autorités de régulation ; les États-Unis en sont un exemple, où une loi fédérale distincte encadre désormais les stablecoins de paiement. Les seuils, les périodes transitoires et les dates d’entrée en vigueur diffèrent également : la date de toute analyse juridique est donc importante.

La déclaration d’une entreprise selon laquelle elle est « réglementée » nécessite donc trois vérifications : quelle autorité, quelle activité et quelle juridiction. Une autorisation dans un pays ne permet pas de servir des clients partout.

Les sanctions : un volet distinct

Les programmes de sanctions proviennent de deux grandes sources. Les sanctions du Conseil de sécurité des Nations Unies sont adoptées au niveau international et mises en œuvre par chaque État membre au moyen de son droit national. En outre, des États et des organismes régionaux gèrent leurs propres programmes et listes, qui peuvent aller au-delà des listes de l’ONU. De nombreux programmes prévoient une responsabilité stricte : une opération interdite peut constituer une violation même si l’entreprise ignorait que la contrepartie était désignée. Certaines autorités ont désigné des adresses blockchain précises, ce qui fait du filtrage des adresses un élément d’un programme de sanctions. Comme plusieurs programmes peuvent s’appliquer simultanément à une même entreprise (en raison de son lieu d’activité, de sa monnaie, de ses clients ou de son personnel), il faut identifier les programmes applicables avant de déterminer les conséquences d’une correspondance.

Appliquer les sanctions dans un processus opérationnel concret

Un programme de sanctions efficace évalue l’exposition, utilise des listes à jour et leurs mises à jour, valide les correspondances potentielles, examine le fondement juridique des restrictions et soumet les décisions au personnel habilité. Une adresse on-chain peut figurer dans une désignation publique, mais toutes les adresses associées par des outils d’analyse ne sont pas nécessairement désignées légalement. L’attribution comporte souvent des limites de confiance ; un professionnel ne devrait pas transformer un lien établi par heuristique en affirmation selon laquelle une personne est sanctionnée. Le blocage, le rejet, le gel, la notification aux autorités et la libération de fonds sont des mesures juridiquement distinctes. Le choix approprié est déterminé par la loi et les directives propres au programme, et non par la préférence de l’analyste.

Un organisme public qui achète des services de données peut devoir contrôler les prestataires, les contreparties contractuelles et les circuits de paiement concernés, tout en respectant le droit des marchés publics, les garanties procédurales et la protection des données. Un incident transfrontalier peut soulever simultanément des questions de compétence en matière de sanctions, d’agrément local, de divulgation de données à caractère personnel et de coopération entre autorités compétentes. Le résultat défendable est un document daté consignant les décisions juridiques et opérationnelles, qui identifie les sources, les hypothèses, les questions non résolues et les responsables des approbations. Une matrice réglementaire constitue un point de départ, et non un avis juridique applicable à une transaction.

Point essentiel pour l’examen : Identifier les rôles du GAFI et des autres organismes internationaux de normalisation (FSB, OICV, Comité de Bâle) ; expliquer pourquoi les sanctions, les autorisations, les règles de LBC/FT et les règles de conduite sont des critères distincts ; reconnaître que les régimes nationaux mettent en œuvre les normes de différentes manières, qu’une licence accordée dans une juridiction ne s’étend pas automatiquement à d’autres juridictions, et qu’il faut vérifier les dates d’entrée en vigueur ainsi que le statut juridique confirmé.