GAFI : Les éléments centralisés dans la DeFi doivent être réglementés comme des PSAN
Le Groupe d'action financière a envoyé un signal clair aux régulateurs mondiaux : l'étiquette décentralisée accolée à de nombreux protocoles DeFi n'élimine pas la nécessité des contrôles de lutte contre le blanchiment d'argent. Dans une position publiée le 22 juillet 2026, le GAFI a déclaré que les éléments centralisés « persistent fréquemment » au sein des arrangements de finance décentralisée supposés décentralisés, et que ces éléments devraient être soumis aux mêmes obligations applicables aux prestataires de services sur actifs numériques que celles imposées aux plateformes d'échange centralisées. Pour les cabinets comptables, les auditeurs et les directeurs financiers ayant des clients en actifs numériques, il s'agit d'un développement réglementaire matériel, et non d'une simple curiosité réglementaire lointaine.
Ce que le GAFI a réellement dit
La position du GAFI s'appuie sur son cadre existant pour les actifs virtuels, qui exige que les juridictions membres veillent à ce que les PSAN effectuent des vérifications d'identité, surveillent les transactions et déclarent les activités suspectes. Le défi avec la DeFi a toujours été l'attribution : lorsqu'un protocole est régi par un contrat intelligent sans opérateur évident, qui assume les obligations du PSAN ?
La conclusion « persistent fréquemment »
La réponse du GAFI est que le protocole DeFi purement sans opérateur est plus rare que ce que l'industrie prétend. Les éléments centralisés, c'est-à-dire des personnes ou entités identifiables qui exercent un contrôle ou une influence suffisante sur un protocole, persistent fréquemment. Ceux-ci peuvent prendre plusieurs formes. Une équipe fondatrice qui conserve des clés d'administration ou des droits de mise à niveau en est un exemple. Une structure de gouvernance DAO où un petit groupe de détenteurs de jetons détient une majorité qualifiée en est un autre. Les bénéficiaires de frais, les opérateurs de front-end et les déployeurs de liquidités avec accès privilégié entrent tous dans la même catégorie selon le GAFI.
Lorsque de tels éléments existent, la position du GAFI est que la partie responsable doit être traitée comme un PSAN et réglementée en conséquence. Ce n'est pas un argument conceptuel nouveau : les orientations actualisées du GAFI de 2021 sur les actifs virtuels avaient déjà signalé ce problème. La déclaration de juillet 2026 renforce et affine cette position, signalant aux régulateurs nationaux que le pouvoir discrétionnaire en matière d'exécution ne devrait pas être utilisé pour exonérer les projets DeFi du cadre des PSAN simplement parce qu'ils portent une étiquette décentralisée.
Périmètre : Quels protocoles sont concernés
Le GAFI ne nomme pas de protocoles spécifiques. Il décrit plutôt les caractéristiques qui amènent un arrangement DeFi dans le champ d'application. Le test clé est de savoir si une personne physique ou morale a la capacité de définir ou de modifier les règles du protocole, de percevoir des frais ou d'exercer un contrôle. La décentralisation est traitée comme un spectre, et non comme un état binaire. Un protocole peut être décentralisé dans sa couche d'exécution tout en restant centralisé dans sa couche de gouvernance, et c'est sur la couche de gouvernance que le GAFI se concentre.
Cela importe concrètement pour les cabinets qui conseillent des clients DeFi. Un fonds investissant dans des jetons de protocole DeFi, un trésor qui déploie des actifs via un agrégateur de rendement DeFi, ou un cabinet comptable qui audite une DAO doivent tous comprendre où se situe leur client sur ce spectre.
Pourquoi cela importe pour les cabinets comptables et les directeurs financiers
L'impact réglementaire direct concerne les juridictions membres du GAFI, ce qui couvre la grande majorité des économies de l'OCDE. Les régulateurs nationaux sont censés transposer les recommandations du GAFI dans leur droit interne. La déclaration de juillet 2026 donne aux régulateurs une couverture explicite pour appliquer les obligations d'enregistrement des PSAN, de KYC et de surveillance des transactions aux opérateurs DeFi qui opéraient auparavant dans une zone grise.
Obligations d'onboarding et de KYC des clients
Si un client est lui-même un opérateur DeFi présentant des caractéristiques centralisées, le cabinet comptable ou l'auditeur prend une exposition qui va au-delà du risque standard d'assurance responsabilité professionnelle. Le client peut opérer comme un PSAN non enregistré. Les cabinets devraient revoir leurs procédures d'acceptation des clients et s'assurer que leurs questionnaires d'onboarding capturent si le client exploite, contrôle ou tire des revenus de frais d'un protocole DeFi. Si la réponse est oui, une due diligence renforcée et un avis juridique sur le statut réglementaire du client sont les étapes minimales raisonnables.
Pour les directeurs financiers des entreprises qui interagissent avec des protocoles DeFi, que ce soit par la gestion de trésorerie, des stratégies de rendement ou des avoirs en jetons, la position du GAFI soulève des questions sur le risque de contrepartie. Si le protocole DeFi qu'une entreprise utilise est ultérieurement considéré comme un PSAN non enregistré dans la juridiction d'origine de l'entreprise, l'historique des transactions avec ce protocole pourrait attirer un contrôle réglementaire. Un logiciel de comptabilité crypto robuste qui capture l'ensemble du registre des transactions, y compris l'identité du protocole, le type de transaction et le portefeuille de la contrepartie lorsque connu, devient un atout de conformité plutôt qu'un simple outil de tenue de livres.
Conception des programmes LCB pour l'exposition à la DeFi
Les cabinets qui ont déjà des programmes LCB couvrant l'activité des plateformes d'échange centralisées doivent étendre ces programmes pour couvrir l'exposition à la DeFi. La position du GAFI implique que les régulateurs s'attendront à ce que la surveillance des transactions couvre l'activité DeFi on-chain, et non seulement les événements de sortie vers la monnaie fiduciaire. Cela a des implications directes sur la façon dont les cabinets configurent leur logiciel de comptabilité d'actifs numériques : la classification des transactions doit distinguer les transactions sur plateformes d'échange centralisées des interactions avec les protocoles DeFi, car le profil de risque LCB et les obligations de déclaration potentielles diffèrent.
Les étapes clés pour la mise à jour des programmes LCB comprennent : cartographier toutes les interactions avec les protocoles DeFi dans les portefeuilles clients ou les trésoreries d'entreprise ; évaluer si les opérateurs du protocole répondent au test de centralisation du GAFI ; et documenter cette évaluation dans le dossier LCB. Lorsqu'un opérateur de protocole est identifiable et non enregistré comme PSAN dans une juridiction pertinente, ce fait doit être remonté au responsable de la conformité et, selon l'appétit au risque du cabinet, à un conseiller juridique.
Implications en matière d'audit et de reporting financier
Pour les auditeurs, la position du GAFI introduit une nouvelle considération de continuité d'exploitation et de passif éventuel. Un jeton de protocole DeFi détenu par un client d'audit peut représenter un investissement dans une entité qui, selon le cadre du GAFI, opère comme un intermédiaire financier non enregistré. Si le régulateur national concerné décide d'appliquer les obligations de PSAN à cet opérateur de protocole, la valeur du jeton et la capacité du client à continuer d'utiliser le protocole pourraient être matériellement affectées.
Il ne s'agit pas d'une hypothèse lointaine. Les juridictions membres du GAFI ont progressivement renforcé l'exécution en matière de crypto, comme le montrent les actions récentes dans plusieurs marchés de l'OCDE. Les auditeurs devraient considérer si l'exposition au protocole DeFi justifie une divulgation spécifique dans les notes aux états financiers, en particulier pour les clients dont l'exposition est significative par rapport à l'actif net.
Du point de vue du logiciel de tenue de livres crypto, l'exigence pratique est que chaque interaction DeFi soit enregistrée avec suffisamment de métadonnées pour soutenir un examen réglementaire ultérieur : le nom du protocole, l'adresse du contrat intelligent, le type de transaction (échange, fourniture de liquidité, emprunt, staking), les montants entrants et sortants, et la juste valeur à la date de transaction. Si les systèmes actuels du client ne capturent pas ce niveau de détail, combler cette lacune est désormais une priorité de conformité, et non une simple commodité de reporting.
Le paysage réglementaire mondial
La déclaration du GAFI ne crée pas directement de loi, mais elle établit l'attente quant à la manière dont les juridictions membres devraient interpréter et appliquer leurs cadres PSAN existants à la DeFi. Plusieurs régulateurs de l'OCDE s'étaient déjà orientés dans cette direction avant la déclaration de juillet 2026. La déclaration leur donne un ancrage multilatéral pour les actions d'exécution qui auraient pu autrement être contestées comme un excès réglementaire.
Implications pour les juridictions de l'OCDE
Dans l'Union européenne, le règlement sur les marchés de crypto-actifs impose déjà des obligations aux prestataires de services sur crypto-actifs, et l'Autorité bancaire européenne et l'ESMA élaborent des normes techniques qui touchent à la DeFi. La position du GAFI est cohérente avec la direction des futures révisions de MiCA, qui devraient examiner si les arrangements DeFi devraient être inclus dans le périmètre réglementé. Les cabinets conseillant des clients dans l'UE devraient suivre ces révisions de près.
Au Royaume-Uni, la Financial Conduct Authority a signalé son ouverture à la réglementation de la DeFi lorsqu'il existe des opérateurs identifiables, une position qui correspond directement au cadre du GAFI. Aux États-Unis, le débat sur la réglementation de la DeFi a été plus controversé, mais la position renforcée du GAFI ajoute une pression internationale sur les décideurs politiques nationaux. Pour les cabinets ayant une exposition transfrontalière aux clients DeFi, la mosaïque des mises en œuvre nationales signifie qu'un seul engagement client peut impliquer plusieurs régimes réglementaires simultanément.
Les cabinets ne devraient pas attendre que leur régulateur national publie des orientations spécifiques sur la DeFi avant d'agir. La position du GAFI est suffisamment claire pour éclairer une évaluation prudente des risques dès maintenant. La mise à jour des questionnaires d'onboarding des clients, l'extension de la surveillance des transactions LCB pour couvrir l'activité DeFi et la garantie que le logiciel de comptabilité d'actifs numériques du cabinet capture les métadonnées nécessaires à l'examen réglementaire sont autant d'étapes qui peuvent être entreprises sans attendre que la législation nationale rattrape son retard.
Prochaines étapes pratiques pour les cabinets
La déclaration du GAFI appelle une réponse structurée plutôt qu'une posture attentiste. Voici une liste d'actions priorisées pour les cabinets comptables et les directeurs financiers.
Actions immédiates
Premièrement, examiner tous les clients existants et potentiels qui ont une quelconque implication avec des protocoles DeFi, que ce soit en tant qu'opérateurs, investisseurs ou utilisateurs. Documenter la nature de cette implication et évaluer si un client pourrait être caractérisé comme exploitant un PSAN selon le test de centralisation du GAFI.
Deuxièmement, vérifier si votre politique LCB couvre explicitement la surveillance des transactions DeFi. La plupart des politiques LCB rédigées avant 2024 ne le feront pas. Un avenant ou une évaluation des risques mise à jour traitant de la DeFi est une exigence minimale dans la plupart des juridictions membres du GAFI maintenant que le GAFI a rendu sa position explicite.
Troisièmement, auditer la configuration de votre logiciel de tenue de livres crypto. Peut-il étiqueter les interactions avec les protocoles DeFi séparément des transactions sur plateformes d'échange centralisées ? Enregistre-t-il les adresses des contrats intelligents ? Capture-t-il la juste valeur à la date de transaction pour chaque événement DeFi ? Si non, travailler avec votre fournisseur de logiciel pour combler ces lacunes.
Quatrièmement, informer vos équipes d'audit et de conseil sur les angles de continuité d'exploitation et de passif éventuel décrits ci-dessus. Le risque n'est pas seulement le risque du client ; c'est aussi un risque de responsabilité professionnelle pour le cabinet si une exposition réglementaire connue n'a pas été identifiée et divulguée.
Foire aux questions
La position du GAFI signifie-t-elle que tous les protocoles DeFi sont désormais réglementés comme des PSAN ?
Non. La position du GAFI est que les protocoles DeFi où des personnes ou entités identifiables exercent un contrôle ou une influence suffisante doivent être traités comme des PSAN. Les protocoles véritablement décentralisés sans partie contrôlante identifiable restent une zone grise, bien que le GAFI reconnaisse que ces protocoles sont moins courants en pratique que ce que l'industrie suggère.
Comment cela affecte-t-il le processus d'acceptation des clients d'un cabinet comptable ?
Les cabinets devraient ajouter des questions spécifiques à la DeFi à leurs questionnaires d'onboarding. Si un client exploite, contrôle ou perçoit des frais d'un protocole DeFi, le cabinet doit évaluer si ce client opère comme un PSAN non enregistré dans toute juridiction pertinente avant d'accepter ou de poursuivre la mission. Lorsque le risque n'est pas clair, un conseiller juridique devrait être impliqué.
Qu'est-ce que cela signifie pour la surveillance des transactions dans les programmes LCB ?
Les programmes LCB qui surveillent actuellement uniquement l'activité des plateformes d'échange centralisées doivent être étendus pour couvrir les interactions DeFi. La position du GAFI implique que les régulateurs s'attendront à une surveillance de l'activité DeFi on-chain, et non seulement des événements d'entrée et de sortie en monnaie fiduciaire. Le logiciel de comptabilité d'actifs numériques doit être configuré pour soutenir ce niveau de surveillance en capturant les métadonnées au niveau du protocole pour chaque transaction DeFi.
Y a-t-il des implications de divulgation d'audit pour les clients détenant des jetons DeFi ?
Oui. Si un client détient des jetons dans un protocole DeFi dont l'opérateur pourrait être caractérisé comme un PSAN non enregistré, les auditeurs devraient considérer si cette exposition justifie une divulgation en tant que passif éventuel ou facteur de continuité d'exploitation, en particulier lorsque la détention est significative. Le risque est que des mesures d'exécution réglementaires contre l'opérateur du protocole puissent compromettre la capacité du client à accéder ou à réaliser la détention.
Quelles juridictions sont les plus susceptibles d'agir en premier sur la position du GAFI ?
Les juridictions membres du GAFI avec des programmes de réglementation crypto actifs sont les plus susceptibles d'agir tôt. Au sein de l'OCDE, l'UE (via les révisions de MiCA et les orientations de l'AMLA), le Royaume-Uni (via l'application par la FCA) et les juridictions avec des régimes d'enregistrement PSAN existants sont les mieux placés pour agir rapidement. Les cabinets ayant des clients opérant dans plusieurs juridictions de l'OCDE devraient surveiller la réponse de chaque régulateur national plutôt que d'attendre une mise en œuvre mondiale unique.
Source : Decrypt