La licence MiCA n'est que le début : l'ESMA place les dépositaires de cryptoactifs sous un microscope

Pour les dépositaires de cryptoactifs opérant dans l'UE, une licence MiCA n'est plus la destination. L'Autorité européenne des marchés financiers (ESMA) a lancé une action de surveillance commune (CSA) ciblant la résilience opérationnelle des prestataires de services sur cryptoactifs (CASP), avec la conservation au centre de l'examen. Le message adressé au marché est indubitable : la conformité MiCA pour les sociétés crypto signifie désormais prouver que les contrôles de sécurité tiennent dans la pratique, pas seulement sur le papier.

Ce que couvre réellement l'action de surveillance commune de l'ESMA

La CSA s'applique à un échantillon de CASP ayant déjà reçu une autorisation MiCA. L'ESMA a confirmé que l'examen évaluera la maturité du cadre de résilience opérationnelle numérique de chaque entreprise, spécifiquement en ce qui concerne les activités de conservation.

Les quatre domaines de risque examinés

L'examen de l'ESMA se concentre sur quatre domaines de risque opérationnel distincts :

• Gestion des clés et du stockage : Comment les clés privées sont générées, stockées et renouvelées, et si la ségrégation entre stockage à froid et à chaud est réellement appliquée plutôt que supposée.
• Contrôles des transactions : Les flux de validation, les seuils d'autorisation et les mécanismes de détection d'anomalies qui régissent les transferts sortants.
• Réponse aux incidents : Si les entreprises ont des plans testés et documentés pour les failles de sécurité, les pannes imprévues et les scénarios de stress de marché, et non simplement des politiques écrites qui n'ont jamais été mises en pratique.
• Dépendances envers des tiers : Le risque de concentration qui survient lorsque plusieurs CASP s'appuient sur un petit nombre de fournisseurs de technologies de conservation, ce qui signifie qu'une seule défaillance d'un fournisseur pourrait affecter de nombreuses entreprises simultanément.

Les dirigeants du secteur qui se sont exprimés auprès de Cointelegraph après l'annonce ont été directs quant à l'importance de ce changement. Sebastien Dessimoz, co-fondateur et associé gérant de la société d'infrastructure d'actifs numériques Taurus, a décrit l'exercice comme un passage "de l'affirmation de la sécurité à sa démonstration". Cette expression capture exactement ce que la CSA exige : une preuve vérifiable, pas une simple attestation.

Le double cadre réglementaire : MiCA et DORA ensemble

L'un des aspects les plus importants de cette CSA est qu'elle relève simultanément de deux cadres réglementaires de l'UE. MiCA établit les obligations de conservation que les CASP autorisées doivent respecter. Le règlement sur la résilience opérationnelle numérique (DORA) impose indépendamment des exigences de gestion des risques technologiques aux entreprises financières, y compris celles qui détiennent ou administrent des cryptoactifs.

Pourquoi le chevauchement crée une charge de conformité plus élevée

Yuriy Brisov, avocat chez Digital & Analogue Partners, a souligné à Cointelegraph que la technologie de conservation est concentrée parmi un petit nombre de fournisseurs. Cette concentration signifie qu'un seul maillon faible dans la chaîne d'approvisionnement peut affecter de nombreuses CASP autorisées à la fois. Démontrer la résilience à travers cette chaîne d'approvisionnement, sous MiCA et DORA simultanément, est, selon ses termes, "le véritable défi pour les CASP".

Pour les cabinets comptables et les directeurs financiers conseillant ou auditant des CASP, cette double obligation a des conséquences directes sur la manière dont les preuves de conformité sont collectées et rapportées. Une entreprise qui satisfait aux règles de conservation de MiCA peut encore échouer aux normes de gestion des risques TIC de DORA si elle ne peut pas démontrer que ses fournisseurs tiers ont été évalués et contractuellement liés aux niveaux de résilience requis. Les deux cadres exigent différents types de documentation, et les entreprises doivent produire les deux.

Notre précédent article sur l'action de surveillance de l'ESMA sur la résilience des dépositaires de CASP décrivait la portée initiale de cet exercice. Les rapports émanant désormais des participants du secteur confirment que cette portée est prise au sérieux au niveau de la direction.

Les clients institutionnels exigent déjà plus

La pression réglementaire n'est pas arrivée de manière isolée. Jody Mettler, directrice des opérations de BitGo et présidente de BitGo Trust, a noté que les clients institutionnels posaient déjà des questions plus détaillées sur la ségrégation des actifs, la gestion des contrôles d'accès, les protocoles de réponse aux incidents et la planification de la continuité des activités en période de stress du marché, avant même l'annonce officielle de la CSA. Les régulateurs rattrapent en quelque sorte les normes de diligence raisonnable que les grandes contreparties institutionnelles ont déjà commencé à appliquer.

Cette convergence est importante pour les professionnels de la comptabilité et de l'audit. Lorsque les investisseurs institutionnels exigent des dépositaires qu'ils produisent des preuves de résilience opérationnelle comme condition d'intégration, ces preuves doivent être présentées dans un format pouvant être vérifié de manière indépendante. Les pistes d'audit, les journaux de gestion des clés, les rapports de tests de pénétration et les évaluations des fournisseurs tiers deviennent tous pertinents pour le périmètre de la mission d'une manière qui ne l'était pas lorsque MiCA n'était qu'un exercice d'autorisation.

Ce que cela signifie pour les cabinets comptables et les directeurs financiers

La CSA est un exercice de surveillance, pas une mesure d'exécution à ce stade. Mais les conclusions alimenteront directement deux débats politiques en cours qui ont des conséquences importantes sur la manière dont les fonctions de comptabilité et de conformité crypto sont structurées dans toute l'UE.

La révision de MiCA et la supervision centralisée de l'ESMA

Brisov a déclaré à Cointelegraph que les conclusions de la CSA devraient influencer à la fois la révision en cours de MiCA et la proposition distincte de transférer la supervision de toutes les CASP des autorités nationales compétentes à l'ESMA directement. Si la supervision de l'ESMA est centralisée, la cohérence des normes de conformité entre les États membres augmentera fortement. Les entreprises qui ont structuré leur conformité MiCA autour des attentes plus souples de certains régulateurs nationaux pourraient constater que ces positions ne sont plus viables.

Pour les cabinets comptables, c'est un signal de planification. Les clients qui ont obtenu une autorisation MiCA auprès de régulateurs nationaux dans des juridictions aux styles de surveillance plus légers devraient être conseillés dès maintenant qu'un régime centralisé de l'ESMA pourrait appliquer des normes plus uniformes et plus exigeantes. Le moment de combler les lacunes est avant la publication des conclusions, pas après.

Différenciation concurrentielle pour les dépositaires mieux préparés

Markus Levin, co-fondateur de la société d'infrastructure blockchain XYO, a noté que l'obtention d'une autorisation MiCA et la démonstration de la résilience opérationnelle sont "deux tests différents". Les dépositaires qui peuvent prouver des contrôles robustes avant la conclusion de l'examen de la CSA sont susceptibles de gagner un avantage concurrentiel à mesure que l'adoption institutionnelle s'approfondit. Ce cadrage est directement pertinent pour les directeurs financiers des sociétés crypto : l'investissement dans l'infrastructure de conformité maintenant n'est pas simplement un coût, c'est une décision de positionnement.

Pour les équipes d'audit travaillant avec des CASP, la conséquence pratique est que le périmètre d'une mission de revue opérationnelle s'élargit. Les procédures de gestion des clés, les cadres de contrôle d'accès, les journaux de tests de réponse aux incidents et les dossiers de due diligence des fournisseurs deviennent tous des livrables d'audit standard, et non des options supplémentaires. Les entreprises utilisant un logiciel de comptabilité crypto et des outils de comptabilité d'actifs numériques doivent s'assurer que ces systèmes peuvent produire les enregistrements de transactions granulaires et les journaux d'accès qu'un examen de résilience aux normes de l'ESMA exigerait.

La consultation de la Commission européenne pour la révision de MiCA et ce qu'elle signifie pour les cabinets comptables fournit un contexte important sur la manière dont le cadre réglementaire lui-même est susceptible d'évoluer, ce qui façonne l'architecture de conformité à plus long terme que les CASP et leurs conseillers devraient construire.

Points d'action immédiats pour les équipes conformité et finance

La CSA de l'ESMA est active. Qu'une CASP spécifique fasse partie ou non de l'échantillon initial, l'examen établira des références qui deviendront probablement l'attente standard pour l'ensemble du secteur. Les équipes conformité et finance devraient traiter les points suivants comme des priorités immédiates.

Documentation et analyse des écarts

• Cartographiez les obligations DORA par rapport à la documentation de conformité MiCA existante. Identifiez où existent des lacunes de preuves, en particulier concernant la gestion des risques TIC et les évaluations des fournisseurs tiers. Les deux cadres partagent certaines exigences, mais les normes de preuve diffèrent.
• Examinez les contrats des fournisseurs de technologie de conservation. DORA exige que les obligations contractuelles de résilience soient transmises aux fournisseurs tiers critiques. Les contrats existants signés avant l'entrée en vigueur complète de DORA peuvent ne pas contenir les clauses requises.
• Testez les plans de réponse aux incidents. Un plan écrit qui n'a jamais été mis en pratique ne satisfera pas à un examen de l'ESMA. Les exercices de simulation et les résultats documentés sont le niveau minimum attendu.
• Auditez les procédures de gestion des clés. Qui y a accès, sous quelles conditions et avec quels contrôles d'autorisation ? Si la réponse ne peut être produite rapidement et dans un format qu'un examinateur externe accepterait, c'est une lacune.
• Évaluez le risque de concentration dans la technologie de conservation. Si vos clients CASP partagent des fournisseurs d'infrastructure avec un nombre significatif d'autres entreprises autorisées, le profil de risque systémique est élevé et les régulateurs s'attendront à ce qu'il ait été reconnu et géré.

Les professionnels comptables conseillant les CASP sur l'utilisation d'un logiciel de tenue de livres crypto et d'un logiciel de comptabilité d'actifs numériques devraient également confirmer que ces systèmes génèrent des pistes d'audit immuables et sont capables de soutenir les obligations de tenue de registres imposées à la fois par MiCA et DORA. Un système qui produit des rapports de synthèse n'est pas suffisant si des enregistrements de transactions granulaires sont requis pour un examen de surveillance.

Foire aux questions

Qu'est-ce que l'action de surveillance commune de l'ESMA sur les CASP ?

Il s'agit d'un examen coordonné, mené par l'ESMA et réalisé par l'intermédiaire des autorités nationales compétentes, qui évalue la résilience opérationnelle d'un échantillon de prestataires de services sur cryptoactifs autorisés par MiCA. L'accent est mis spécifiquement sur les activités de conservation et les quatre domaines de risque que sont la gestion des clés, les contrôles des transactions, la réponse aux incidents et les dépendances envers des tiers.

Une licence MiCA satisfait-elle automatiquement aux exigences de DORA ?

Non. MiCA et DORA sont des cadres réglementaires distincts avec des exigences de preuve différentes. Une CASP ayant reçu une autorisation MiCA doit encore démontrer sa conformité aux normes de gestion des risques TIC de DORA, y compris les obligations contractuelles qui doivent être imposées aux fournisseurs de technologie tiers critiques.

Quelles entreprises sont incluses dans la CSA de l'ESMA ?

L'ESMA a confirmé que la CSA s'applique à un échantillon de CASP déjà autorisées sous MiCA. La méthodologie de sélection précise n'a pas été publiée, mais les conclusions devraient établir des références qui s'appliqueront à l'ensemble du secteur au fil du temps.

Comment les cabinets comptables devraient-ils préparer leurs clients à ce niveau de contrôle ?

Commencez par une analyse des écarts qui cartographie la documentation de conformité MiCA existante par rapport aux exigences de gestion des risques TIC de DORA. Ensuite, examinez les contrats des fournisseurs, les procédures de gestion des clés, les enregistrements de tests de réponse aux incidents et les cadres de contrôle des transactions. Les clients devraient être en mesure de produire ces preuves rapidement et dans un format qu'un examinateur externe peut évaluer de manière indépendante.

Quelles sont les implications si l'ESMA obtient une autorité de supervision directe sur toutes les CASP ?

Une supervision centralisée de l'ESMA remplacerait le modèle actuel où les autorités nationales compétentes appliquent les normes MiCA avec des degrés de rigueur variables. L'effet pratique serait une base de conformité plus uniforme et probablement plus exigeante dans tous les États membres de l'UE. Les entreprises qui ont structuré leur autorisation autour de superviseurs nationaux plus souples devraient commencer à combler les lacunes dès maintenant, avant que toute centralisation n'entre en vigueur.

Source : Cointelegraph