Conformité AML des stablecoins : ce que les banques doivent savoir maintenant
Les stablecoins ont franchi la barre des 300 milliards de dollars de capitalisation boursière cumulée, et les banques ne sont plus de simples spectatrices. Des desks de règlement, des offres de conservation et des services de réserve se construisent autour d'eux en ce moment même. Le risque de criminalité financière est réel, mais selon la dernière analyse d'Elliptic, il est gérable avec les cadres dont les banques disposent déjà, avec un ajout essentiel : la capacité de voir ce qui se passe réellement on-chain et de le vérifier par rapport à ce que prétend une contrepartie. Les entreprises cherchant à déployer des logiciels de comptabilité crypto robustes et des contrôles AML doivent comprendre exactement où le risque lié aux stablecoins pénètre dans l'institution et comment dimensionner la réponse.
Pourquoi les stablecoins comptent pour les banques et leurs équipes de conformité
L'argument commercial est simple. Des règlements transfrontaliers qui se dénouent en quelques minutes plutôt qu'en plusieurs jours, 24 heures sur 24, représentent une véritable amélioration par rapport aux banques correspondantes. Un nombre croissant d'institutions veulent leur part de ce gain d'efficacité.
Le problème est que les mêmes propriétés qui rendent les stablecoins utiles pour les paiements légitimes les rendent aussi attrayants pour la finance illicite. L'analyse d'Elliptic est sans détour sur ce point : les stablecoins sont devenus le canal dominant du blanchiment d'actifs cryptographiques, et ils apparaissent de plus en plus fréquemment dans les schémas de contournement des sanctions, y compris ceux liés à la Russie et à la banque centrale d'Iran. Cette réalité est une raison de bien gérer le risque, pas une raison de quitter le marché.
L'ampleur du basculement
Une capitalisation boursière de 300 milliards de dollars ne reste pas immobile. Elle circule à travers les comptes correspondants, les portefeuilles de réserve, les relations avec les VASP et, de plus en plus, via des clients de détail dont les portefeuilles touchent les rails de stablecoins. Chacun de ces canaux est un point d'entrée potentiel pour le risque de criminalité financière, et les équipes de conformité doivent savoir à quel canal elles ont affaire avant de pouvoir calibrer le bon contrôle.
Trois canaux par lesquels le risque lié aux stablecoins atteint une banque
Le cadre d'Elliptic identifie trois canaux distincts. Nommer le bon canal est le point de départ d'une réponse proportionnée.
Canal 1 : L'émetteur en tant que contrepartie
Le risque survient ici lorsqu'un émetteur de stablecoin demande à une banque de détenir des réserves ou d'opérer des comptes de règlement. La banque assume effectivement une relation de type correspondant à forte valeur avec une entité dont le comportement on-chain peut ou non correspondre à ce qu'elle déclare dans sa documentation. La diligence raisonnable traditionnelle peut évaluer le modèle d'affaires de l'émetteur, sa structure de gouvernance et ses contrôles déclarés. Elle ne peut pas, à elle seule, vous dire si l'activité du portefeuille du token est cohérente avec ces déclarations.
Canal 2 : Le propre produit stablecoin de la banque
Lorsqu'une banque décide d'offrir directement des services de stablecoin, elle hérite des risques de conception des tokens qu'elle choisit de soutenir. Les questions clés deviennent : quels stablecoins sont autorisés, quels cas d'usage sont dans le périmètre, quels seuils de surveillance s'appliquent et dans quelles circonstances une transaction doit-elle être escaladée ? Les réponses dépendent fortement des caractéristiques de conception de chaque token spécifique.
Canal 3 : L'exposition indirecte via les clients et les VASP
Elliptic signale qu'il s'agit du canal que les banques manquent le plus souvent. Des acteurs illicites ont été documentés utilisant des étapes de conversion de liquidités en stablecoins à plusieurs niveaux du système bancaire. Au moment où les flux de stablecoins touchent un client de la banque ou un VASP de son réseau correspondant, la source d'origine peut être bien obscurcie. La tâche de la banque ici est de cartographier quels clients et VASP envoient ou reçoivent des stablecoins, d'identifier les contreparties derrière ces flux et de vérifier à quelle fréquence elles recoupent des typologies connues de blanchiment d'argent, de contournement des sanctions et de fraude.
Cinq facteurs de conception qui déterminent le profil de risque d'un stablecoin
Tous les stablecoins ne présentent pas le même risque. L'analyse d'Elliptic met en évidence cinq facteurs au niveau de la conception qui devraient guider l'évaluation de tout token par une équipe de conformité avant de l'accepter dans un produit, un compte de réserve ou un flux surveillé.
1. La circulation pair à pair
Plus un token circule librement en dehors de tout intermédiaire réglementé, plus son profil de risque est élevé. L'analyse du GAFI a constaté que la plupart de l'activité illicite liée aux stablecoins se produit désormais sur ce marché secondaire, les tokens circulant entre détenteurs et entre chaînes sans entité soumise à des obligations AML dans le chemin de la transaction.
2. Base d'utilisateurs et juridiction
Un stablecoin utilisé principalement par des contreparties institutionnelles dans des juridictions à faible risque est très différent d'un stablecoin largement adopté par le détail et acheminé via des VASP à haut risque. Le profil géographique et de contrepartie de la base d'utilisateurs est un facteur de risque important.
3. Cadre réglementaire de l'émetteur
Un stablecoin émis sous un régime réglementaire formel, tel que le GENIUS Act américain ou le règlement européen sur les marchés de crypto-actifs (MiCA), présente un profil de risque catégoriquement différent de celui émis sans supervision significative. L'existence d'un ancrage réglementaire modifie le paysage de l'application de la loi tant pour l'émetteur que pour les institutions qui interagissent avec lui.
4. Capacités de gel et de blocage des smart contracts
Certains émetteurs intègrent la capacité de geler ou de bloquer des tokens au niveau du smart contract, ce qui soutient la récupération en cas de fraude et la conformité aux sanctions. D'autres ne le font délibérément pas. Ces derniers portent un risque résiduel plus élevé, car l'émetteur ne peut pas agir unilatéralement pour inverser ou bloquer un transfert une fois qu'il a été identifié comme problématique. Pour les banques évaluant des émetteurs en tant que contreparties, il s'agit d'un élément concret de diligence technique, et non d'une question de politique abstraite.
5. Criblage des portefeuilles et des transactions par l'émetteur
Le fait qu'un émetteur criblé activement les portefeuilles et les transactions puis applique ces résultats dans ses smart contracts change la quantité de risque que son token introduit sur le marché global. Un émetteur qui criblé mais n'applique pas on-chain offre une protection plus faible qu'un émetteur dont les contrôles sont directement intégrés dans la logique du token.
Mener une diligence raisonnable sur un émetteur de stablecoin
Les cadres existants de banque correspondante constituent un point de départ valable pour évaluer un émetteur de stablecoin en tant que contrepartie. Les lacunes, cependant, sont réelles et nécessitent une capacité supplémentaire.
Ce que couvre la diligence raisonnable traditionnelle
Le modèle d'affaires, la structure de gouvernance, les contrôles AML et sanctions déclarés et le statut réglementaire de l'émetteur peuvent tous être évalués à l'aide des cadres déjà en place dans toute banque réglementée. Ceux-ci constituent la couche documentaire de l'évaluation.
Où l'analyse blockchain apporte la différence critique
La couche documentaire ne peut pas confirmer si l'activité on-chain correspond à ce que l'émetteur déclare. Les outils d'analyse blockchain comblent cette lacune en permettant à une banque de surveiller le comportement réel du portefeuille de l'émetteur, de vérifier les contreparties impliquées dans les flux du token et d'identifier l'exposition à des acteurs sanctionnés ou à haut risque. Il ne s'agit pas d'une vérification supplémentaire ; l'analyse d'Elliptic la positionne comme l'ajout essentiel à ce qui serait autrement un examen standard de correspondant à haut risque. Si la réalité on-chain diverge du profil de risque déclaré, la banque a des motifs d'agir avant qu'un problème n'atteigne son propre bilan ou ses comptes.
Cela compte directement pour les entreprises qui construisent des piles de logiciels de comptabilité d'actifs numériques : les données provenant de l'analyse blockchain vers un système comptable doivent être fiables et continuellement rapprochées, et non un instantané unique pris à l'entrée en relation.
Implications comptables et fiscales pour les praticiens B2B
Les équipes de conformité et les directeurs financiers opérant dans ce domaine font face à des obligations qui s'étendent au-delà de l'AML à la couche comptable et de reporting. Plusieurs points méritent d'être signalés pour les cabinets d'audit et les équipes financières.
Traitement des comptes de réserve
Lorsqu'une banque détient des réserves de stablecoins pour le compte d'un émetteur, la classification comptable de ces réserves selon IFRS ou US GAAP nécessite une analyse minutieuse. Savoir si l'accord donne lieu à un passif au bilan de la banque, et dans quelles conditions ces actifs pourraient être soumis à consolidation, dépend des termes contractuels spécifiques et du niveau de contrôle exercé sur les actifs de réserve.
Les données de surveillance des transactions comme piste d'audit
Les sorties d'analyse blockchain sont de plus en plus pertinentes pour l'audit. Pour les cabinets d'audit travaillant avec des clients qui détiennent ou négocient des stablecoins, l'enregistrement des transactions on-chain fournit une piste d'audit vérifiable qui complète, et à certains égards dépasse, ce qui est disponible dans les environnements de grand livre traditionnels. Les entreprises construisant des intégrations de logiciels de tenue de livres crypto doivent s'assurer que ces données sont capturées, horodatées et conservées d'une manière qui satisfait à la fois les obligations de conservation des enregistrements AML et les normes de preuve comptable attendues par les auditeurs.
L'exposition aux sanctions comme risque de reporting financier
Si les avoirs ou les flux de stablecoins d'une entreprise s'avèrent avoir intersecté des contreparties sanctionnées, les conséquences sur le reporting financier peuvent être importantes : gels d'actifs, amendes réglementaires et éventuelles exigences de retraitement. L'analyse d'Elliptic mentionne spécifiquement que les détenteurs et émetteurs de stablecoins en dollars ont besoin de capacités actives de détection et de réponse pour les liens avec des juridictions sanctionnées. Pour les directeurs financiers, cela signifie que le programme de gestion du risque de sanctions n'est pas séparable du processus de clôture financière.
Pour le contexte sur la façon dont les mécanismes de gel des stablecoins ont déjà donné lieu à des litiges, voir notre couverture antérieure du gel de Tether USDT lié à une action d'exécution au Brésil, qui illustre comment les contrôles au niveau de l'émetteur peuvent produire des conséquences juridiques et comptables en aval pour les contreparties. L'angle réglementaire européen est également pertinent ici : notre article sur la façon dont les législateurs européens intègrent la crypto dans la stratégie anti-corruption montre la direction que prennent les entreprises opérant sous MiCA.
À quoi ressemble un cadre de contrôle proportionné
Les orientations d'Elliptic convergent vers un principe pratique : les contrôles doivent correspondre au canal. Une relation émetteur-contrepartie justifie une surveillance on-chain continue, pas seulement une diligence initiale. Le propre produit stablecoin d'une banque nécessite des critères documentés pour les tokens pris en charge, les cas d'usage autorisés et la calibration des seuils de surveillance selon les facteurs de conception ci-dessus. L'exposition indirecte via les clients et les VASP nécessite une surveillance des transactions capable de faire remonter les flux de stablecoins même lorsqu'aucun produit stablecoin n'est offert directement.
Le fil conducteur entre les trois canaux est que les contrôles documentaires seuls ne suffisent pas. La couche de vérification on-chain est ce qui donne à une banque la confiance que ce qu'on lui dit correspond à ce qui se passe réellement. Les banques et les équipes de conformité qui développent cette capacité sont en position de saisir l'opportunité commerciale sans assumer un risque de criminalité financière non géré. Celles qui s'appuient uniquement sur la documentation sont exposées dans le canal qu'elles négligent le plus souvent : l'exposition indirecte via les flux clients et VASP.
Source : Elliptic
Foire aux questions
Qu'est-ce qui fait des stablecoins un risque de criminalité financière plus élevé que les autres cryptoactifs ?
Les stablecoins combinent un règlement transfrontalier quasi instantané et à faible coût avec une stabilité de valeur indexée sur une monnaie fiduciaire. Ces caractéristiques les rendent efficaces pour les paiements légitimes, mais la même efficacité s'applique aux transferts illicites. L'analyse du GAFI a constaté que la plupart de l'activité illicite liée aux stablecoins se produit désormais sur le marché secondaire, où les tokens circulent entre détenteurs sans intermédiaire soumis à des obligations AML impliqué dans la transaction.
Comment une banque doit-elle évaluer un émetteur de stablecoin pour lequel elle souhaite détenir des réserves ?
Commencez par la diligence raisonnable existante des correspondants à haut risque : modèle d'affaires, gouvernance, contrôles AML et sanctions déclarés et statut réglementaire. Ajoutez ensuite l'analyse blockchain pour vérifier que le comportement on-chain réel de l'émetteur correspond à ces déclarations. La surveillance on-chain doit se poursuivre après l'entrée en relation, et non s'y arrêter.
Qu'est-ce que l'exposition indirecte aux stablecoins et pourquoi les banques la manquent-elles ?
L'exposition indirecte survient lorsque les clients d'une banque ou ses contreparties VASP envoient ou reçoivent des stablecoins, même si la banque n'a aucun produit stablecoin direct. Des acteurs illicites ont été documentés convertissant des liquidités en stablecoins à plusieurs étapes du système bancaire, ce qui signifie que l'exposition peut atteindre une banque sans qu'un émetteur ou un produit ne soit directement impliqué. C'est le canal le plus souvent négligé car il n'apparaît pas dans les évaluations standard des risques produits.
La réglementation MiCA de l'UE change-t-elle le tableau des risques des stablecoins pour les banques européennes ?
Oui, de manière significative. Un stablecoin émis sous MiCA présente un profil de risque réglementaire différent de celui émis en dehors de tout cadre de supervision, car l'émetteur est soumis à autorisation, à des exigences de réserves et à une supervision continue par une autorité compétente de l'UE. Les banques de l'UE, ou celles traitant avec des stablecoins émis dans l'UE, devraient intégrer le statut MiCA de l'émetteur dans leurs évaluations du risque de contrepartie et mettre à jour ce statut au fur et à mesure de l'évolution du paysage de supervision.
Quels enregistrements comptables les entreprises doivent-elles conserver pour les transactions en stablecoins afin de satisfaire les auditeurs ?
Les entreprises doivent conserver les enregistrements de transactions on-chain avec horodatages, adresses de portefeuille, hachages de transaction et les sorties d'analyse blockchain utilisées pour évaluer le risque de contrepartie au moment de chaque transaction. Ces données soutiennent à la fois les obligations de conservation des enregistrements AML et les exigences de preuve d'audit selon IFRS et US GAAP. S'assurer que les logiciels de tenue de livres crypto capturent et préservent ces données dans un format structuré et récupérable est essentiel avant le début de tout cycle d'audit.