7e bulletin FATF sur la crypto : le fossé d'application est désormais le problème central

Le Groupe d'action financière a publié son septième rapport ciblé sur les actifs virtuels et les prestataires de services d'actifs virtuels le 16 juillet 2026, et la conclusion principale est inconfortable : la communauté réglementaire mondiale a réalisé de véritables progrès législatifs, mais l'application ne suit pas le rythme. Pour les cabinets comptables, les auditeurs et les DAF opérant dans le domaine des actifs numériques, cet écart n'est pas une abstraction. Il façonne le contrôle de surveillance auquel vos clients sont confrontés, les contrôles LBC que vous êtes censés intégrer dans les flux de travail de reporting de conformité crypto et l'exposition à la responsabilité qui découle d'une erreur.

Ce que montre réellement l'enquête de la FATF sur 147 juridictions

La FATF a enquêté sur 147 juridictions pour produire ce bulletin. Les chiffres clés sont encourageants en surface. Les juridictions qui ont réalisé une évaluation des risques liés aux actifs virtuels sont passées de 76 % en 2025 à 86 % cette année. Celles ayant une législation en place sont passées de 73 % à 83 %. La part notée "Largement conforme" est passée de 29 % à 34 %. Parmi les 95 juridictions qui exigent une licence VASP, 81 % effectuent désormais des inspections de supervision, contre 73 %, et 71 % ont pris au moins certaines mesures d'application.

Cette trajectoire est réelle. Les juridictions qui se sont engagées dans des cadres d'octroi de licences les mettent de plus en plus en œuvre, ce qui est important pour toute entreprise conseillant des clients opérant sur plusieurs marchés.

Où les chiffres s'effondrent

Au-delà des pourcentages principaux, le tableau change. Soixante pour cent des juridictions ayant une législation sur la Travel Rule dans leurs livres n'ont pas encore pris de mesures de supervision ou d'application contre les VASP non conformes. La Travel Rule, qui exige que les institutions d'origine et bénéficiaires partagent les données des contreparties pour les transferts au-dessus d'un seuil, fait partie de la norme FATF depuis 2019. Sept ans plus tard, la majorité des juridictions législatives ne l'appliquent toujours pas.

Le fossé des contrôles préventifs est encore plus frappant. Lorsque la FATF a évalué dans quelle mesure les juridictions satisfont au critère des mesures préventives LBC/FT, seules 13 sur 139 — moins de 10 % — satisfaisaient pleinement à la norme. Ce sont les contrôles proactifs conçus pour arrêter les flux illicites avant qu'ils ne se déplacent, pas après. Le filtrage, le blocage et le signalement au point de transaction plutôt que la reconstruction des traces après l'incident. Le propre cadrage de la FATF : la prévention est le plus grand domaine de potentiel inexploité dans l'ensemble du cadre de la Recommandation 15.

Il existe également un décalage structurel entre les exigences d'octroi de licences et leur application pratique. Alors que 73 % des juridictions exigent une licence VASP, seulement 58 % ont effectivement délivré une licence à au moins une entité. Seules 40 % satisfont de manière satisfaisante à ce critère dans les évaluations mutuelles. Exiger quelque chose et l'opérationnaliser sont deux choses différentes, et la FATF ne traite plus cette distinction comme acceptable.

Trois fossés structurels que le rapport signale explicitement

L'interdiction sans surveillance crée des angles morts

Vingt-trois pour cent des juridictions interdisent désormais purement et simplement les VASP, contre 11 % en 2023. L'inquiétude de la FATF n'est pas l'interdiction elle-même mais ce qui s'ensuit : la plupart de ces juridictions "n'ont pas progressé" dans l'application. Interdire une activité sans un régime de surveillance actif n'élimine pas l'activité. Il la pousse dans l'opacité. Le rapport est direct sur ce point : chaque juridiction, y compris celles qui ont interdit les VASP, est censée évaluer complètement son exposition aux actifs virtuels. Les VASP domestiques, les VASP offshore sollicitant des clients locaux, les émetteurs de stablecoins, les arrangements DeFi qualifiés, l'activité peer-to-peer via des portefeuilles non hébergés et les nouveaux modèles commerciaux doivent tous être pris en compte.

La classification DeFi reste presque entièrement non résolue

Quatre-vingt-treize pour cent des juridictions n'ont pas identifié ce que la FATF appelle les "arrangements DeFi qualifiés", c'est-à-dire les protocoles où il existe un propriétaire ou un opérateur identifiable qui peut être intégré dans un régime de licence VASP. Seules quatre juridictions ont imposé une exigence de licence à ces arrangements, deux ont délivré au moins une licence, et une a pris des mesures d'application. La FATF a publié des orientations supplémentaires pour aider les juridictions à travailler sur la question de la classification, mais le résultat pratique est qu'une énorme part de l'activité DeFi se trouve en dehors de tout périmètre réglementaire à l'échelle mondiale. Pour les entreprises conseillant des clients qui interagissent avec des protocoles DeFi, ce n'est pas un risque futur. C'est un risque présent, et la direction prise par la FATF est claire : les orientations de la FATF sur les éléments centralisés dans la DeFi et la classification VASP se resserrent depuis deux ans.

Les émetteurs de stablecoins ont désormais leur propre colonne de suivi

Le tableau d'enquête annexé au rapport comprend désormais une colonne dédiée à l'octroi de licences aux émetteurs de stablecoins, un changement structurel qui signale à quel point la FATF prend au sérieux les risques spécifiques aux stablecoins. Des organisations terroristes, dont l'EIIL et Al-Qaïda, se sont tournées vers les stablecoins pour le financement et le transfert, favorisant leur liquidité et leur convertibilité par rapport au Bitcoin. La FATF note que les stablecoins représentent désormais une part significative et croissante du volume de transactions illicites.

Cinq domaines de risque croissants que les cabinets comptables doivent suivre

Fraude industrialisée et blanchiment à grande échelle

Le rapport documente des opérations d'escroquerie basées au Cambodge qui sont devenues, selon la FATF, des "générateurs significatifs de produits illicites". Un conglomérat a blanchi au moins 4 milliards USD entre août 2021 et janvier 2025, son infrastructure reliant la fraude organisée, la banque souterraine et le blanchiment d'actifs virtuels. Au moins 37 millions USD de ces produits ont été attribués à des cyberattaques nord-coréennes soutenant des programmes d'armes de destruction massive. L'opération Borrelli de l'Espagne a démantelé un réseau distinct de fraude d'investissement de 460 millions EUR affectant plus de 5 000 victimes dans plusieurs pays.

Stablecoins propriétaires "résistants au gel"

C'est sans doute le risque opérationnel le plus significatif que le rapport identifie pour les équipes de conformité. Après qu'un émetteur tiers a gelé plus de 29 millions USD détenus dans ses portefeuilles, le même conglomérat a lancé son propre stablecoin indexé sur le dollar américain, explicitement commercialisé comme immunisé contre le gel d'actifs, émis sur plusieurs blockchains publiques et une chaîne propriétaire. L'avertissement de la FATF est direct : les VASP "pourraient être incapables de se fier aux mécanismes de gel ou de brûlage d'actifs au niveau de l'émetteur comme garantie de conformité". Tout cadre LBC qui traite la capacité de gel des stablecoins comme un contrôle suffisant doit être revu. Le rapport appelle à des exigences robustes de LBC/FT applicables à l'émission même de stablecoins, pas seulement aux échanges et portefeuilles qui distribuent les jetons.

L'IA comme amplificateur structurel de la criminalité financière

La FATF présente l'intelligence artificielle non pas comme une curiosité technique isolée mais comme "un facteur structurel qui peut amplifier les risques de blanchiment d'argent, de financement du terrorisme et de contournement des sanctions". Les cas documentés incluent des escroqueries de recrutement alimentées par deepfake volant plus d'un million USD, le développement assisté par IA d'exploits de contrats intelligents, et l'utilisation de modèles à poids ouverts pour contourner les protections commerciales d'IA intégrées dans les systèmes de pointe. Pour les équipes de conformité, l'implication est que les règles de surveillance des transactions calibrées sur des schémas de fraude à vitesse humaine peuvent ne pas être adéquates contre des vecteurs d'attaque accélérés par l'IA.

Convergence du financement de la prolifération, du financement du terrorisme et du contournement des sanctions

Le rapport est explicite sur le fait que ces catégories de menace ne devraient plus être traitées comme des silos de risque distincts. La Corée du Nord exploite non seulement les VASP et les protocoles DeFi, mais aussi l'infrastructure tierce dont ces systèmes dépendent, y compris les nœuds de réseau et les systèmes de sécurité multipartites. Cette convergence signifie qu'un client qui présente un risque de financement de la prolifération peut simultanément présenter un risque de sanctions et de financement du terrorisme. Des évaluations des risques en silo manqueront cela.

VASP offshore et lacunes peer-to-peer

Les VASP offshore sollicitent activement des clients sur des marchés réglementés, conseillant l'utilisation de VPN pour obscurcir la juridiction et se faisant passer pour des utilisateurs de détail via des comptes imbriqués au sein de plateformes réglementées. Quatre-vingt-huit pour cent des juridictions considèrent l'activité peer-to-peer via des portefeuilles non hébergés comme à haut risque. Seules 23 % collectent des métriques pour la mesurer. Ce fossé entre l'évaluation des risques et la collecte de données est en soi un échec de surveillance que la FATF signale.

Ce que la FATF attend désormais des superviseurs et du secteur privé

Les recommandations du rapport aux superviseurs sont sans ambiguïté. Les juridictions sont censées opérationnaliser leurs régimes, pas simplement les avoir sur le papier. Cela signifie octroyer des licences aux VASP, aux émetteurs de stablecoins et aux arrangements DeFi qualifiés ; mener de véritables inspections sur site et hors site ; et identifier et sanctionner activement les entités non autorisées. Le fossé entre avoir une exigence de licence et délivrer effectivement des licences est un fossé que la FATF veut combler lors du prochain cycle de rapport.

De manière cruciale, le rapport inclut un prérequis qui affecte directement la façon dont les superviseurs auditent les entreprises que vous conseillez : les superviseurs eux-mêmes doivent exploiter les données on-chain. Évaluer de manière crédible la posture de conformité d'un VASP nécessite de comprendre ce qui se passe on-chain, pas seulement d'examiner des documents de politique. Les régulateurs qui ne peuvent pas tracer les flux ou prouver leurs conclusions auront du mal à démontrer la mise en œuvre efficace que la FATF exige désormais. Cela est directement pertinent pour la façon dont la supervision LBC pilotée par l'IA remodèle les attentes réglementaires au niveau juridictionnel.

Pour le secteur privé, les recommandations de la FATF listent explicitement le filtrage des portefeuilles, les listes noires et blanches, l'analyse de la blockchain, et les capacités de gel et de blocage comme composantes attendues d'un cadre de conformité LBC. Ce ne sont plus des améliorations optionnelles. Ce sont des attentes de base. Pour les cabinets comptables et les DAF conseillant des entreprises d'actifs numériques, s'assurer que vos clients peuvent démontrer ces capacités lors d'une inspection de supervision est désormais un livrable essentiel.

Implications comptables et opérationnelles pour les entreprises et les DAF

La documentation des contrôles LBC doit refléter des standards prêts pour l'application

Le passage de la conformité papier à une conformité prête pour l'application change ce à quoi ressemble une documentation adéquate. Une politique qui décrit le filtrage sans preuve que le filtrage est opérationnellement intégré, testé et produit des résultats exploitables ne satisfera pas un inspecteur appliquant le critère des mesures préventives de la FATF. Les entreprises conseillant des VASP ou détenant des actifs numériques pour le compte de clients doivent s'assurer que la documentation des contrôles LBC correspond à la réalité opérationnelle, pas seulement à l'aspiration réglementaire.

Les logiciels de comptabilité crypto qui intègrent le filtrage des portefeuilles et les sorties de surveillance des transactions directement dans la piste d'audit sont de plus en plus pertinents ici. Lorsqu'un superviseur demande des preuves de contrôles préventifs, la capacité de produire des enregistrements horodatés et liés on-chain est considérablement plus défendable qu'une description narrative d'un processus.

Les avoirs en stablecoins nécessitent une nouvelle évaluation des risques

L'émergence de stablecoins résistants au gel comme outil documenté de contournement de la conformité a des implications directes sur le bilan. Pour tout client détenant des stablecoins comme actifs de trésorerie ou les utilisant pour le règlement de paiements, l'équipe de conformité doit évaluer si l'émetteur de ces stablecoins maintient des contrôles LBC robustes, y compris une véritable capacité de gel et de brûlage, et si cette capacité est soumise à une quelconque surveillance réglementaire. Un stablecoin qui commercialise sa résistance au gel d'actifs est, du point de vue de la conformité, un signal d'alarme qui justifie une diligence renforcée, indépendamment de sa stabilité de prix.

L'exposition des clients à la DeFi nécessite un cadrage explicite

Avec 93 % des juridictions n'ayant pas encore classé les arrangements DeFi qualifiés, il y a une incertitude réglementaire, mais aussi une direction réglementaire. La FATF a clairement indiqué que les propriétaires et opérateurs identifiables de protocoles DeFi sont dans le champ d'application des exigences VASP. Pour tout client qui opère, investit dans ou génère des rendements à partir de protocoles DeFi, un exercice de cadrage explicite doit déterminer si une obligation de licence ou d'enregistrement existe ou émerge dans la juridiction concernée. Laisser cette question ouverte est en soi un risque de gouvernance.

La conformité à la Travel Rule justifie une analyse des écarts dès maintenant

La constatation que 60 % des juridictions ayant une législation sur la Travel Rule ne l'ont pas appliquée a un double effet. Cela signifie que la pression de l'application va probablement augmenter alors que la FATF pousse les juridictions à combler cet écart. Pour les clients qui ont reporté la mise en œuvre de la Travel Rule en se basant sur l'inactivité des superviseurs, cette fenêtre se rétrécit. Une analyse des écarts réalisée maintenant, avant une inspection, est considérablement moins coûteuse qu'une analyse réalisée en réponse à un avis réglementaire.

Source : Chainalysis