L'ESMA lance une action de contrôle sur la résilience de gardiennage des CASP
L'Autorité européenne des marchés financiers a confirmé le lancement d'une action de contrôle commune ciblant la résilience opérationnelle numérique des prestataires de services sur crypto-actifs, avec un accent particulier sur les activités de gardiennage. Pour les cabinets comptables conseillant des CASP agréés, les équipes d'audit interne et les directeurs financiers responsables des opérations sur actifs numériques, il ne s'agit pas d'une consultation à observer à distance. Les autorités compétentes nationales commenceront à examiner un échantillon fondé sur le risque de CASP agréés au second semestre 2026, et les conclusions alimenteront un rapport final destiné au conseil des superviseurs de l'ESMA au second semestre 2027. Si vos clients ou votre propre entreprise détiennent ou gèrent des actifs numériques en gardiennage, le chronomètre a déjà commencé. Les entreprises qui s'appuient sur un logiciel de comptabilité crypto robuste et des cadres de conformité intégrés seront mieux positionnées lorsque les examinateurs arriveront.
Ce que couvre l'action de contrôle commune
Une action de contrôle commune est un exercice d'examen coordonné dans lequel l'ESMA collabore avec les autorités compétentes nationales des États membres de l'UE pour appliquer des normes de contrôle cohérentes à une population définie d'entités réglementées. Cette approche garantit qu'une entreprise agréée, par exemple, en France fasse l'objet du même examen qu'une entreprise agréée en Allemagne ou aux Pays-Bas, réduisant ainsi l'arbitrage réglementaire et relevant le niveau pour l'ensemble du secteur.
Cette action de contrôle commune particulière cible les cadres de résilience opérationnelle numérique des CASP en ce qui concerne le gardiennage. L'ESMA a identifié à la fois la résilience opérationnelle numérique et le secteur des CASP comme des domaines de risque prioritaires dans son programme de supervision, et cette action concrétise cette préoccupation.
Six dimensions de risque examinées
L'annonce de l'ESMA définit les domaines spécifiques que les autorités compétentes nationales examineront. Chacune représente une catégorie de risque distincte que les entreprises doivent évaluer en interne avant qu'un examinateur ne le fasse pour elles.
- Dispositifs de gouvernance : Comment les décisions relatives à l'infrastructure de gardiennage sont-elles prises ? Qui est responsable et cette responsabilité est-elle documentée au niveau du conseil d'administration ?
- Gestion des clés et du stockage : Comment les clés privées sont-elles générées, stockées, sauvegardées et renouvelées ? Des modules de sécurité matériels ou des contrôles équivalents sont-ils en place ?
- Contrôles des transactions : Quels contrôles pré- et post-négociation existent pour détecter et prévenir les transactions non autorisées ou erronées impliquant des actifs en gardiennage ?
- Détection et réponse aux incidents : L'entreprise dispose-t-elle d'une surveillance en temps réel, de voies d'escalade définies et de procédures de reprise testées pour les incidents liés au gardiennage ?
- Risques liés aux contrats intelligents : Lorsque l'infrastructure de gardiennage implique des contrats intelligents, ces contrats sont-ils audités, gérés par version et soumis à une évaluation continue des vulnérabilités ?
- Dépendances vis-à-vis de tiers : Les dépendances importantes vis-à-vis de fournisseurs de cloud, d'opérateurs de nœuds ou de fournisseurs de technologies sont-elles cartographiées, contractées et testées pour le risque de concentration ?
Chacune de ces dimensions correspond directement au règlement sur la résilience opérationnelle numérique (DORA), qui impose des obligations contraignantes aux entités financières, y compris les CASP, dans toute l'UE. L'action de contrôle commune recoupe effectivement les obligations de gardiennage de MiCA avec les normes de résilience opérationnelle de DORA, créant ainsi un paysage de conformité à plusieurs niveaux.
Calendrier et processus
Comment l'exercice se déroulera
L'exercice s'étend sur environ douze mois de travail de contrôle actif. Les autorités compétentes nationales sélectionneront leurs échantillons sur une base de risque, ce qui signifie que les dépositaires les plus importants, ceux ayant des architectures DLT plus complexes ou ceux ayant déjà fait l'objet de constatations de contrôle sont plus susceptibles d'être sélectionnés. La sélection n'est pas aléatoire et les entreprises ne doivent pas supposer qu'un dossier d'agrément vierge les en exempte.
Une fois sélectionnée, une entreprise doit s'attendre à des demandes de documents, des entretiens avec le personnel technique et de gouvernance, et éventuellement des inspections sur place ou virtuelles. Les autorités compétentes nationales transmettront ensuite leurs conclusions à l'ESMA, qui les consolidera dans un rapport final destiné au conseil des superviseurs. Ce rapport, attendu au second semestre 2027, informera très probablement les orientations de contrôle ultérieures, les mises à jour potentielles des questions-réponses ou l'élaboration de règles ciblées dans le cadre des actes délégués de MiCA.
Ce qui se passe après le rapport
Les rapports finaux des actions de contrôle communes ont historiquement déclenché des lettres de supervision à l'échelle du secteur, des orientations thématiques ou des actions de suivi directes contre les entreprises qui n'étaient pas à la hauteur. Le rapport de 2027 arrivera à un moment où l'architecture de supervision complète de MiCA est encore en cours de mise en place, ce qui signifie que ses conclusions pourraient façonner la manière dont les autorités compétentes nationales appliquent les exigences de gardiennage pour les années à venir. Les cabinets comptables conseillant les CASP doivent suivre la publication du rapport et être prêts à mettre à jour leurs conseils aux clients en conséquence.
Pourquoi le gardiennage est au centre
Le gardiennage est l'activité la plus risquée qu'un CASP puisse exercer. Une entreprise qui négocie des crypto-actifs pour le compte de clients peut causer un préjudice financier si elle exécute mal. Une entreprise qui assure le gardiennage d'actifs clients peut causer un préjudice catastrophique, potentiellement irréversible, si sa gestion des clés échoue, si ses contrats intelligents sont exploités ou si un fournisseur tiers critique devient indisponible sans solution de repli adéquate. La décision de l'ESMA d'ancrer cette action de contrôle commune dans le gardiennage reflète le profil de risque asymétrique de cette activité.
La technologie des registres distribués introduit des risques qui n'ont pas d'analogue direct dans le gardiennage traditionnel de titres. Il n'existe pas de registre central pour annuler une transaction erronée. La compromission d'une clé privée est permanente. Les bogues de contrats intelligents peuvent être exploités en quelques secondes après leur déploiement. Ces caractéristiques signifient que les contrôles de gouvernance et techniques qui suffisent pour un dépositaire traditionnel sont souvent structurellement inadéquats pour un dépositaire basé sur DLT, et l'ESMA teste si la population agréée de CASP s'est véritablement adaptée à cette réalité.
Implications comptables et d'audit
Pour les cabinets comptables et les auditeurs externes
Les auditeurs externes des CASP doivent comprendre que les conclusions de l'action de contrôle commune affecteront directement leurs évaluations des risques. Si une autorité compétente nationale identifie des faiblesses significatives dans la gestion des clés ou la capacité de réponse aux incidents d'un client, ces faiblesses sont pertinentes pour l'évaluation de la continuité d'exploitation de l'auditeur, pour l'évaluation des contrôles internes en matière d'information financière et pour l'exhaustivité des informations sur les actifs. Les équipes d'audit qui n'ont pas encore intégré de procédures spécifiques à la DLT dans leurs programmes de test de gardiennage sont exposées.
Il y a également un angle pratique de documentation. Les auditeurs demandent régulièrement des preuves de l'existence et de l'exhaustivité des actifs pour les avoirs en gardiennage. Un CASP qui ne peut pas démontrer des contrôles de gestion des clés solides ou qui s'appuie sur une infrastructure tierce non documentée aura du mal à fournir des preuves prêtes pour l'audit. Les entreprises proposant un logiciel de comptabilité d'actifs numériques ou des services de conseil aux CASP doivent tester la documentation de leurs clients dès maintenant, avant que les autorités compétentes nationales ne le fassent à leur place.
Le cas La FSMA belge signale six CASP non autorisés après le délai MiCA illustre à quelle vitesse la pression de supervision peut s'intensifier dès qu'une autorité identifie des lacunes de conformité. Les entreprises qui considèrent l'agrément MiCA comme un événement ponctuel plutôt que comme une obligation de conformité continue se méprennent sur la trajectoire réglementaire.
Pour les directeurs financiers et les équipes financières des CASP
Les directeurs financiers des CASP agréés portent une responsabilité directe pour l'intégrité financière des opérations de gardiennage. Les six dimensions de risque signalées par l'ESMA ne sont pas purement techniques ; elles ont des conséquences directes sur l'information financière. Le risque de concentration vis-à-vis de tiers, par exemple, est un élément d'information à fournir en vertu d'IFRS 7 et des propres obligations de déclaration de MiCA. Les défaillances de détection et de réponse aux incidents qui entraînent une perte d'actifs soulèvent immédiatement des questions sur les dépréciations d'actifs, la recouvrabilité des assurances et la responsabilité envers les clients.
Les équipes financières doivent travailler dès maintenant avec leurs homologues technologiques et de conformité pour produire une évaluation interne des écarts sur les six dimensions. Cette évaluation doit être documentée, approuvée par le conseil d'administration et conservée comme preuve de conformité proactive. Lorsqu'une autorité compétente nationale arrive, démontrer que l'entreprise a elle-même identifié et comblé les lacunes est nettement mieux que de laisser l'examinateur les découvrir en premier.
Les entreprises qui ont mis en œuvre un logiciel de comptabilité crypto intégré avec un rapprochement en temps réel du gardiennage auront un avantage naturel : elles peuvent extraire rapidement des preuves au niveau des transactions et démontrer que leurs contrôles sont opérationnels plutôt que théoriques. C'est également le moment d'examiner si les informations fournies dans les derniers états financiers reflètent adéquatement l'environnement de risque de gardiennage décrit dans l'annonce de l'ESMA.
Convergence de la supervision et contexte plus large de MiCA
Cette action de contrôle commune ne se situe pas en isolation. Elle fait partie de l'effort plus large de l'ESMA pour construire une convergence de la supervision entre les 27 régulateurs nationaux de l'UE alors que le cadre complet de MiCA prend effet. Des actions d'exécution antérieures, comme les situations couvertes dans ce que le nouveau rôle de supervision de l'AMF signifie pour les cabinets comptables et les directeurs financiers, montrent que les autorités compétentes nationales passent d'un mode transitoire axé sur l'enregistrement à une supervision active et thématique.
Le modèle de l'action de contrôle commune est spécifiquement conçu pour éviter une course vers le bas, où les CASP chercheraient à obtenir un agrément auprès de l'autorité compétente nationale la plus indulgente, puis à le faire passer dans toute l'UE. En exigeant que toutes les autorités compétentes nationales appliquent simultanément le même cadre d'examen, l'ESMA crée une norme de preuve cohérente. Le rapport consolidé alimente ensuite cette norme, la renforçant encore au fil du temps.
Pour les professionnels comptables, la conclusion pratique est que les attentes de supervision pour les CASP convergent à la hausse, et non qu'elles se fixent à un niveau minimum. Les entreprises dont les programmes de conformité ont été conçus pour répondre au strict minimum lors de l'agrément seront confrontées à une pression croissante à mesure que les conclusions des actions de contrôle commune établiront de nouvelles références de facto.
Mesures pratiques pour les entreprises dès maintenant
Actions immédiates avant le second semestre 2026
Le second semestre 2026 n'est pas loin. Les entreprises ayant des opérations de gardiennage ou des clients ayant des opérations de gardiennage doivent prendre les mesures suivantes sans délai.
- Cartographier tous les fournisseurs tiers impliqués dans l'infrastructure de gardiennage, y compris les fournisseurs de cloud, de nœuds et de gestion de clés, et documenter les dispositions contractuelles et de résilience opérationnelle pour chacun.
- Examiner la documentation de gouvernance au niveau du conseil d'administration pour confirmer que la propriété du risque de gardiennage est explicitement attribuée et que les procédures d'escalade sont formellement approuvées.
- Tester les procédures de réponse aux incidents spécifiquement pour les scénarios de gardiennage, y compris la compromission de clés, l'exploitation de contrats intelligents et l'indisponibilité d'un tiers.
- Commander ou examiner les audits existants de tout contrat intelligent utilisé dans les opérations de gardiennage, et s'assurer que les enregistrements de gestion des versions et des modifications sont complets.
- Évaluer si le logiciel de comptabilité crypto ou les systèmes comptables actuels peuvent produire des rapports de rapprochement à la demande pour les actifs en gardiennage qui satisferaient à une demande de documents d'une autorité compétente nationale.
- Examiner les informations fournies dans les états financiers pour leur adéquation à la lumière des dimensions de risque identifiées par l'ESMA, en particulier concernant la concentration vis-à-vis de tiers et l'historique des incidents opérationnels.
Foire aux questions
Quels CASP seront examinés dans le cadre de cette action de contrôle commune ?
Les autorités compétentes nationales sélectionneront un échantillon fondé sur le risque de CASP agréés dans leur juridiction et exerçant des activités de gardiennage. L'ESMA n'a pas publié de méthodologie de sélection spécifique, mais l'échantillonnage fondé sur le risque privilégie généralement les grandes entreprises, celles ayant des opérations plus complexes ou celles ayant déjà fait l'objet de constatations de contrôle. Il n'existe pas de liste publiée des entreprises sélectionnées.
Cela s'applique-t-il aux CASP qui ne font que négocier et ne assurent pas de gardiennage ?
L'action de contrôle commune se concentre sur les services de gardiennage. Les CASP qui ne détiennent pas d'actifs clients en gardiennage sont moins susceptibles d'être dans le champ de cette action spécifique, mais ils restent soumis aux exigences plus larges de résilience opérationnelle de DORA et à d'autres priorités de supervision identifiées par l'ESMA.
Comment cette action de contrôle commune se rapporte-t-elle à DORA ?
DORA s'applique aux entités financières dans l'UE, y compris les CASP, et fixe des exigences contraignantes en matière de gestion des risques TIC, de déclaration des incidents, de test de la résilience opérationnelle et de gestion des risques liés aux tiers. L'action de contrôle commune évalue dans quelle mesure les CASP ont mis en œuvre ces normes spécifiquement dans leurs opérations de gardiennage, de sorte que les deux cadres sont directement complémentaires.
Quand le rapport final sera-t-il publié ?
L'ESMA a indiqué que les conclusions seront consolidées et soumises à son conseil des superviseurs au second semestre 2027, après la conclusion de la phase d'examen au premier semestre 2027. Les calendriers de publication publique des rapports finaux des actions de contrôle communes varient, mais ils sont généralement publiés après examen par le conseil des superviseurs.
Que doit faire un cabinet comptable si un client CASP est sélectionné pour un examen ?
Les cabinets doivent aider le client à organiser la documentation sur les six dimensions de risque identifiées par l'ESMA, coordonner entre les équipes juridiques, de conformité et technologiques du client, et s'assurer que les informations fournies dans les états financiers sont cohérentes avec les informations fournies à l'autorité compétente nationale. Les écarts entre les soumissions réglementaires et les comptes audités créent un risque de crédibilité important.