L'AMLA signale les risques de blanchiment lors de la migration post-MiCA : ce que les cabinets comptables et les directeurs financiers doivent faire maintenant

La présidente de l'Autorité européenne de lutte contre le blanchiment de capitaux a lancé un avertissement cinglant : la vague actuelle de transferts de clients entre prestataires de services sur actifs cryptographiques, provoquée par le réaménagement des licences post-MiCA, crée des lacunes identifiables dans la couverture LBC que les acteurs malveillants peuvent et vont exploiter. Pour les cabinets comptables conseillant des clients en actifs numériques, les auditeurs validant les contrôles des PSAC, et les directeurs financiers supervisant les opérations de trésorerie touchant aux cryptos, ce n'est pas un développement réglementaire de fond. C'est un risque de conformité actif qui exige une réponse procédurale immédiate.

La vague de migration MiCA et pourquoi elle crée un risque

Le règlement sur les marchés des crypto-actifs exigeait que les prestataires de services sur actifs cryptographiques opérant dans l'UE obtiennent une licence MiCA ou quittent le marché. Cette échéance est passée, et le marché est désormais dans sa phase de consolidation : certains PSAC ont obtenu leur autorisation, d'autres non, et les sociétés qui n'ont pas pu ou choisi de ne pas terminer le processus liquident leurs portefeuilles clients. Ces clients ont besoin d'une destination, et les PSAC agréés absorbent de gros volumes de transferts de comptes entrants dans un délai serré.

Où la lacune LBC s'ouvre

C'est précisément dans ce processus de transfert que la présidente de l'AMLA a identifié le risque. Lorsqu'un client passe d'un PSAC fermé ou non conforme à un nouveau PSAC agréé, la société réceptrice doit effectuer ses propres vérifications de connaissance du client et de diligence raisonnable à partir de zéro. Elle ne peut pas simplement hériter du dossier du prestataire précédent. En pratique, les retards d'intégration signifient que ces vérifications sont parfois différées, compressées ou traitées par des équipes conformité surchargées travaillant à des volumes exceptionnels. Il en résulte une fenêtre pendant laquelle le PSAC récepteur détient des actifs pour des clients dont le profil de risque complet n'a pas encore été validé selon la norme MiCA.

La préoccupation spécifique de la présidente de l'AMLA

Les remarques de la présidente de l'AMLA indiquent clairement que l'autorité considère cette période de transition comme une vulnérabilité systémique, non isolée. L'inquiétude est structurelle : il ne s'agit pas d'une société qui coupe les coins ronds, mais d'une migration à l'échelle du secteur créant des pics d'intégration simultanés chez plusieurs PSAC agréés en même temps. Cette concentration de due diligence compressée est, selon le régulateur, un risque LBC en soi, qui nécessite une gestion proactive plutôt que réactive.

Ce que MiCA et l'AMLA exigent des PSAC agréés

MiCA impose des obligations LBC aux PSAC par référence au cadre LBC existant de l'UE, y compris le règlement sur les transferts de fonds tel que mis à jour pour les crypto-actifs. Selon ces règles, les PSAC sont tenus d'appliquer la diligence raisonnable à l'égard de la clientèle lors de l'intégration et en continu, de filtrer les sanctions et les médias défavorables, et de signaler les transactions suspectes le cas échéant. Aucune de ces obligations n'est suspendue ou allégée parce que le client arrive d'une autre société réglementée plutôt que directement du marché de détail.

Les fichiers hérités ne sont pas des fichiers conformes

C'est le point que les cabinets comptables et les responsables conformité doivent faire comprendre à leurs clients PSAC : accepter un export de données client d'une société transféreuse ne constitue pas un processus KYC achevé. Le PSAC récepteur est responsable de sa propre due diligence. Si un client hérité s'avère plus tard impliqué dans des flux illicites, les régulateurs examineront si la société réceptrice a effectué une vérification indépendante adéquate, et non si elle a reçu un dossier de passation en bon ordre de la part du prestataire partant.

Le rôle de supervision de l'AMLA à l'avenir

L'AMLA devient le superviseur LBC direct des plus grands PSAC transfrontaliers dans le cadre du nouveau paquet LBC de l'UE, les autorités nationales compétentes conservant la supervision des acteurs nationaux plus petits. Les commentaires publics de la présidente indiquent que l'AMLA observe déjà comment les PSAC gèrent la période de migration, et que l'attention de supervision se concentrera sur les contrôles d'intégration, la continuité de la surveillance des transactions, et l'adéquation des évaluations de risque pour les portefeuilles clients transférés.

Implications comptables et d'audit pour les cabinets

Pour les cabinets comptables et les auditeurs servant des clients PSAC, l'avertissement de l'AMLA se traduit par un travail concret. La conformité MiCA devient de plus en plus une composante du risque des états financiers, pas seulement une case à cocher réglementaire. Lorsqu'un PSAC a absorbé un grand volume de clients migrés, les auditeurs doivent évaluer si l'environnement de contrôle LBC de la société a été adapté proportionnellement, et si les lacunes de contrôle durant la fenêtre de migration ont été corrigées ou restent ouvertes.

Documentation des lacunes de contrôle

Les auditeurs et les réviseurs conformité devraient demander la preuve que le PSAC a établi un protocole spécifique d'intégration de migration : une politique écrite distinguant le processus d'intégration standard pour la clientèle de détail du processus accéléré ou par lots utilisé pour les clients transférés, avec des justifications de risque documentées pour toute variation. Si un tel protocole n'existe pas, c'est une constatation. S'il existe mais n'a pas été suivi de manière cohérente, c'est une constatation plus sérieuse.

Continuité de la surveillance des transactions

Un risque plus subtil réside dans la surveillance des transactions. Lorsqu'un client migre, ses données historiques de transactions détenues par le PSAC partant ne sont généralement pas transférées au système de surveillance de la société réceptrice. Le PSAC récepteur commence donc la surveillance à partir d'un point de départ vierge, sans référence comportementale. Toute anomalie présente dans l'activité pré-migration du client est invisible pour les systèmes de la nouvelle société, à moins que celle-ci ne demande et n'examine spécifiquement les données historiques, puis ne les charge dans un format compatible avec ses outils de surveillance. Les sociétés utilisant un logiciel de comptabilité d'actifs numériques robuste devraient vérifier que leurs flux de surveillance des transactions sont configurés pour signaler les nouveaux clients de la société pendant une période à risque élevé.

Considérations sur le capital réglementaire et les provisions

Lorsqu'un PSAC fait face à une éventuelle action de supervision découlant de manquements LBC pendant la période de migration, la possibilité de sanctions financières crée une question de provisionnement pour le directeur financier et l'auditeur. L'application de MiCA en est encore à ses débuts, mais les déclarations publiques de l'AMLA suggèrent que l'intensité de la supervision augmentera durant cette période. Une information financière prudente nécessite au moins une divulgation du risque éventuel là où les contrôles de la société pendant la période de migration ont été matériellement mis à rude épreuve.

Mesures pratiques pour les directeurs financiers et les responsables conformité

L'avertissement de la présidente de l'AMLA est une incitation à un examen interne immédiat plutôt qu'une raison de s'alarmer. Les mesures suivantes sont fondées sur les exigences existantes de MiCA et de la réglementation LBC de l'UE, non sur de nouvelles obligations inventées par cet article.

Auditez votre file d'attente d'intégration de migration

Les directeurs financiers et les responsables conformité chez les PSAC qui ont absorbé des clients transférés devraient exécuter un rapport d'état sur chaque compte migré ouvert depuis la transition MiCA. Le rapport devrait montrer : si la documentation KYC complète a été collectée et vérifiée, si une notation de risque a été attribuée, si une due diligence renforcée a été appliquée aux profils à risque plus élevé, et si des comptes restent dans un état provisoire ou incomplet. Tout dossier incomplet représente une exposition LBC ouverte.

Révisez la configuration de la surveillance des transactions

Confirmez avec votre équipe technologique conformité que les clients migrés sont signalés comme nouveaux dans la société dans votre système de surveillance et que des règles de risque élevé appropriées sont appliquées à leur activité durant une période d'observation initiale. Lorsque les données historiques de transactions sont disponibles auprès du PSAC partant, évaluez si elles peuvent être ingérées dans votre système pour établir une référence comportementale. Les sociétés utilisant un logiciel de comptabilité crypto ou un logiciel de comptabilité d'actifs numériques doivent s'assurer que les flux de données entre la couche comptable et la couche de surveillance conformité sont intacts et à jour pour tous les comptes migrés.

Documentez la préparation à la supervision

L'AMLA et les autorités nationales compétentes sont informées du risque lié à la période de migration. Une enquête de supervision ou une visite sur site déclenchée par la vague de migration est un scénario réaliste à court terme. Les équipes conformité devraient préparer un dossier de migration : un enregistrement consolidé du protocole d'intégration utilisé, du volume de clients transférés, du calendrier d'achèvement KYC, et de toute escalade ou DTS déposée pendant la période. Ce dossier devrait être prêt pour audit avant que tout régulateur ne le demande.

Consultez un conseil juridique sur la responsabilité héritée

Lorsqu'un client transféré est découvert plus tard comme ayant été impliqué dans des activités illicites avant la migration, des questions de responsabilité entre le PSAC partant et récepteur peuvent surgir. Les sociétés devraient prendre un avis juridique précoce sur l'étendue de leur exposition et sur la question de savoir si les termes de tout accord de transfert de client du prestataire partant contiennent des déclarations ou indemnités pertinentes.

Le tableau plus large de la conformité MiCA

Cet avertissement de l'AMLA n'arrive pas isolément. L'ESMA a déjà effectué des évaluations de supervision des pratiques de conservation des PSAC, et les régulateurs nationaux dans toute l'UE ont publié des directives et des mesures d'exécution au fur et à mesure que le régime MiCA se met en place. Les remarques de la présidente de l'AMLA sont la contrepartie LBC de cette intensification plus large de la supervision. Pris ensemble, les signaux des autorités de l'UE sont cohérents : la licence MiCA était le seuil, et le véritable travail de supervision commence maintenant.

Les cabinets comptables conseillant les PSAC sur les obligations crypto conformité MiCA devraient traiter le risque LBC de migration comme un élément d'engagement actif, non une surveillance de fond. La fenêtre durant laquelle ce risque est le plus aigu est la fenêtre actuelle, et les sociétés qui documentent leurs contrôles et corrigent les lacunes maintenant seront dans une position matériellement meilleure lorsque le contrôle de supervision arrivera. Pour une vue plus large des développements de supervision MiCA en cours, voir notre couverture des obligations de licence MiCA pour les conservateurs de crypto et les questions-réponses de l'ESMA sur les obligations de conservation des PSAC.

Questions fréquemment posées

Un PSAC agréé MiCA doit-il refaire le KYC pour les clients transférés d'un prestataire non agréé ?

Oui. Un PSAC récepteur doit effectuer sa propre diligence raisonnable à l'égard de la clientèle selon le cadre LBC de l'UE et les exigences MiCA. Accepter un fichier de données du prestataire partant ne remplace pas une vérification indépendante. La société réceptrice est entièrement responsable de l'adéquation de son propre processus KYC et d'évaluation des risques dès le moment où elle accepte le client.

Qu'est-ce que l'AMLA et quand prend-elle la responsabilité directe de supervision des PSAC ?

L'Autorité de lutte contre le blanchiment de capitaux est le nouveau superviseur LBC centralisé de l'UE, établi dans le cadre du paquet LBC 2024 de l'UE. Elle assumera la responsabilité directe de supervision des plus grands PSAC transfrontaliers dans le cadre du déploiement progressif de ce paquet. Les PSAC nationaux plus petits restent sous la supervision des autorités nationales compétentes, mais l'AMLA fixe les normes de supervision et coordonne entre les juridictions.

Comment un cabinet comptable doit-il traiter les lacunes LBC de la période de migration lors de l'audit d'un client PSAC ?

Les auditeurs doivent évaluer si le PSAC a établi et suivi un protocole documenté d'intégration de migration, si la surveillance des transactions a été configurée de manière appropriée pour les nouveaux clients de la société, et si les lacunes de contrôle durant la fenêtre de migration ont été corrigées. Les lacunes non résolues sont des constatations de contrôle. Lorsque ces lacunes comportent un risque réaliste de sanction réglementaire, le directeur financier et l'auditeur devraient considérer si une divulgation de passif éventuel est requise dans les états financiers.

Ce risque LBC s'applique-t-il aux PSAC qui n'ont reçu qu'un petit nombre de clients migrés ?

L'obligation d'effectuer un KYC adéquat s'applique indépendamment du volume. Un PSAC qui a intégré même une petite cohorte de clients transférés sans avoir effectué une due diligence indépendante a la même exposition de conformité pour ces comptes qu'une société qui en a intégré des milliers. Le volume affecte la gestion opérationnelle des risques ; il n'affecte pas l'exigence légale.

Que doit inclure un directeur financier dans un dossier de conformité de migration pour se préparer à un éventuel examen de supervision ?

Le dossier doit contenir le protocole écrit d'intégration de migration, un résumé quantitatif des comptes transférés, un journal d'état montrant le taux d'achèvement et le calendrier des vérifications KYC, les enregistrements de toute due diligence renforcée appliquée aux clients transférés à plus haut risque, et des copies de tout signalement d'activité suspecte ou de transaction suspecte déposé en lien avec les comptes migrés. Cette documentation doit être conservée et accessible avant que toute enquête de supervision ne soit reçue.

Source : Cointelegraph Régulation