Mise à jour ciblée n°7 de la FATF : ce que les cabinets comptables et les CFO doivent faire immédiatement

Le Groupe d'action financière (GAFI) a publié sa septième mise à jour ciblée de la Recommandation 15 le 16 juillet 2026, et la conclusion principale est d'une simplicité trompeuse : le monde a adopté davantage de lois crypto, mais ne les applique pas. Pour les cabinets comptables, les auditeurs et les CFO exposés aux actifs numériques, cette mise à jour n'est pas une simple lecture de fond. Elle redéfinit ce que les régulateurs attendront des entités supervisées et de leurs conseillers professionnels à l'avenir.

Ce que mesure réellement la 7e mise à jour ciblée

La FATF enquête chaque année auprès des juridictions membres sur leur adoption de la Recommandation 15, le cadre publié il y a plus de sept ans qui définit comment les nations devraient réglementer les prestataires de services d'actifs virtuels (PSAV). La septième mise à jour, couvrant 147 juridictions, montre une amélioration globale sur presque toutes les mesures législatives.

Les progrès législatifs

Les évaluations des risques sont maintenant achevées dans 86 % des juridictions, contre 76 % en 2025. La législation a été adoptée dans 83 % des juridictions, contre 73 % l'année précédente. La part des juridictions notées « largement conformes » est passée de 29 % à 34 %. Parmi les 95 juridictions qui exigent une licence PSAV, 81 % effectuent désormais des inspections de supervision, contre 73 %, et 71 % ont pris au moins une mesure d'exécution. Ce sont de véritables progrès, pas un bruit statistique.

Là où le cadre se dégrade

Le tableau de l'application est radicalement différent. Soixante pour cent des juridictions ayant une législation sur la Travel Rule n'ont pris aucune mesure de supervision ou d'exécution à son sujet. Lorsque la FATF a évalué les mesures préventives de LBC et de lutte contre le financement du terrorisme (LCFT), les contrôles destinés à empêcher les activités illicites avant que les fonds ne circulent plutôt qu'après, seules 13 juridictions sur 139 ont pleinement satisfait à la norme. C'est moins de 10 %. Le langage même de la FATF qualifie la prévention de « plus grand domaine de potentiel inexploité de l'ensemble du cadre R.15 ».

Trois lacunes structurelles se démarquent. Premièrement, 73 % des juridictions exigent une licence PSAV, mais seulement 58 % ont réellement délivré une seule licence, et seules 40 % satisfont correctement au critère de licence dans les évaluations mutuelles. Deuxièmement, 23 % des juridictions interdisent désormais complètement les PSAV, contre 11 % en 2023, mais la majorité « n'a pas progressé » sur l'application de cette interdiction. Interdire une activité sans la surveiller crée un angle mort réglementaire où l'activité d'actifs virtuels se poursuit en dehors de toute visibilité de supervision. Troisièmement, 93 % des juridictions n'ont pas identifié les arrangements DeFi dits qualifiés, où un propriétaire ou un opérateur identifiable existe et pourrait être intégré à la réglementation PSAV. Seules quatre juridictions ont imposé des exigences de licence à ces arrangements ; deux en ont licencié un ; une a pris des mesures d'exécution contre l'un d'eux.

Pour les entreprises gérant des clients actifs dans la DeFi ou conseillant sur des structures de trésorerie DeFi, ce dernier point de données compte : l'absence d'action réglementaire n'est pas la même chose que la clarté réglementaire, et la FATF a maintenant publié des orientations supplémentaires spécifiquement pour répondre à la DeFi. Les entreprises devraient traiter cela comme un signal que l'application arrive, pas une confirmation qu'elle ne viendra pas.

La mise à jour introduit également un changement structurel notable : les résultats de l'enquête annexés incluent désormais une colonne dédiée au suivi de la licence des émetteurs de stablecoins, reflétant l'accent mis par la FATF dans ses orientations précédentes sur les stablecoins. Cette colonne sera surveillée de près dans les prochaines itérations.

Cinq domaines de risque croissant nommés par la FATF

Au-delà des statistiques de conformité, la mise à jour identifie cinq domaines où l'environnement de menace s'est matériellement aggravé. Chacun a des implications directes sur la façon dont les entreprises effectuent la diligence raisonnable des clients et structurent leurs propres flux de travail logiciels comptables crypto.

Fraude industrialisée à grande échelle

La FATF nomme les opérations d'escroquerie basées au Cambodge, y compris les réseaux de « boucherie porcine », comme des « générateurs importants de produits illicites ». Un conglomérat a blanchi au moins 4 milliards USD entre août 2021 et janvier 2025, reliant le crime organisé, la banque souterraine et le blanchiment basé sur les actifs virtuels. Au moins 37 millions USD de cette somme ont été attribués à des cyberattaques de la RPDC finançant des programmes d'armes de destruction massive. En Europe, l'opération Borrelli de l'Espagne a démantelé un réseau de fraude à l'investissement de 460 millions EUR touchant plus de 5 000 victimes dans plusieurs pays. Ce ne sont pas des cas marginaux. C'est l'échelle opérationnelle que les régulateurs attendent désormais des superviseurs et des PSAV pour être équipés afin de détecter.

Stablecoins propriétaires résistants au gel

C'est probablement le nouveau risque le plus significatif signalé dans toute la mise à jour, et il a des implications directes pour la diligence raisonnable sur les stablecoins. Après qu'un émetteur tiers a gelé plus de 29 millions USD dans des portefeuilles liés au conglomérat basé au Cambodge, le même réseau criminel a lancé son propre stablecoin adossé au USD, commercialisé explicitement comme immunisé contre le gel des actifs. Il a été émis sur plusieurs blockchains publiques et une chaîne propriétaire.

L'avertissement de la FATF au secteur privé est explicite : les PSAV « pourraient être incapables de se fier aux mécanismes de gel et de burn au niveau de l'émetteur comme garantie de conformité » lorsqu'ils traitent avec des stablecoins non émis par des contreparties réglementées et coopératives. La mise à jour note également que les organisations terroristes, y compris l'EIIL et Al-Qaïda, privilégient de plus en plus les stablecoins au Bitcoin pour la collecte de fonds et les transferts, conformément à la tendance plus large des stablecoins représentant une part croissante du volume on-chain illicite total.

Pour les cabinets comptables et les CFO, l'implication pratique est immédiate : les avoirs en stablecoins sur les bilans des clients ou des entreprises doivent être évalués non seulement pour le risque de valorisation et de liquidité, mais aussi pour le profil LBC de l'émetteur lui-même. Les entreprises utilisant un logiciel comptable d'actifs numériques qui suit les positions en stablecoins devraient vérifier si ces systèmes signalent les attributs de risque de l'émetteur, pas seulement le prix du jeton.

L'IA comme amplificateur structurel

La FATF présente l'intelligence artificielle non pas comme une curiosité technique isolée, mais comme « un facteur structurel qui peut amplifier les risques de blanchiment d'argent, de financement du terrorisme et de contournement des sanctions ». Les cas cités incluent des escroqueries de recrutement basées sur le deepfake dépassant 1 million USD de pertes, le développement assisté par IA d'exploits de contrats intelligents et l'utilisation de modèles d'IA open-weight pour contourner les mesures de protection commerciales des contenus. Les escroqueries par usurpation d'identité par IA ont été identifiées séparément comme la sous-catégorie de fraude à la croissance la plus rapide dans les périodes de rapport récentes. Pour les entreprises effectuant l'intégration des clients et la KYC, cela signifie que les processus de vérification d'identité qui étaient adéquats il y a deux ans pourraient ne plus résister à un environnement de menace capable de deepfakes. Des vérifications de vivacité renforcées et une documentation d'identité de corroboration ne sont plus une meilleure pratique facultative.

Convergence du financement de la prolifération, du financement du terrorisme et du contournement des sanctions

La FATF est explicite que ces trois catégories de menace ne devraient plus être traitées comme des silos de risque séparés. Elles partagent des infrastructures, y compris les comptes PSAV, les protocoles DeFi, les nœuds de réseau et les systèmes de sécurité multipartites. La RPDC en particulier est identifiée comme exploitant non seulement les PSAV et la DeFi, mais aussi l'infrastructure technique sous-jacente dont dépendent ces plateformes. Pour les entreprises effectuant le filtrage des sanctions sur les clients d'actifs numériques, cette convergence signifie qu'un seul événement de risque peut simultanément déclencher des obligations de déclaration LBC, une exposition aux sanctions et des signaux d'alerte de financement de la prolifération. Les flux de travail de conformité doivent être conçus pour attraper les trois, pas seulement le plus évident.

PSAV offshore et lacunes de pair à pair

Les PSAV offshore sollicitent activement des clients dans des juridictions où ils ne sont pas licenciés, conseillant aux clients d'utiliser des VPN pour masquer leur localisation et exploitant des comptes imbriqués qui les font apparaître aux régulateurs comme des utilisateurs de détail plutôt que comme des PSAV. Pendant ce temps, 88 % des juridictions considèrent l'activité de pair à pair via des portefeuilles non hébergés comme à haut risque, mais seulement 23 % collectent des mesures à ce sujet. Pour les entreprises conseillant des clients qui effectuent des transactions via des portefeuilles non hébergés ou des plateformes offshore, ces points de données confirment que l'absence d'exigence de licence dans un canal donné ne signifie pas que l'activité tombe sous le seuil LBC.

Ce que la FATF attend désormais des superviseurs et du secteur privé

Les recommandations de la mise à jour aux régulateurs et au secteur privé sont plus spécifiques sur le plan opérationnel que les éditions précédentes, ce qui compte pour la façon dont les cabinets comptables interprètent les obligations des clients.

Attentes de supervision

Les juridictions sont censées combler l'écart entre avoir une exigence de licence et délivrer réellement des licences. Cela signifie effectuer de véritables inspections sur place et hors site, identifier activement les entités opérant sans licence et prendre des mesures d'exécution lorsque des violations sont trouvées. La FATF est également explicite que les superviseurs eux-mêmes doivent utiliser les données on-chain. Les régulateurs qui manquent d'outils pour tracer les flux, évaluer les risques et prouver leurs conclusions auront du mal à démontrer la mise en œuvre effective que la FATF exige désormais. Cela a une implication secondaire pour les entreprises : les régulateurs équipés d'analyses on-chain identifieront de plus en plus les écarts entre ce que les clients déclarent et ce que montre la blockchain.

Attentes techniques du secteur privé

Les recommandations de la FATF au secteur privé listent explicitement le filtrage des portefeuilles, les listes noires et blanches, les outils d'analyse de la blockchain et les capacités de gel et de blocage comme composants attendus d'un cadre LBC conforme. Ce ne sont plus présentés comme des capacités avancées ou facultatives. Ce sont des attentes de base. Pour les cabinets comptables conseillant les PSAV sur la conception de programmes de conformité et pour les CFO évaluant si le logiciel de comptabilité crypto de leur entreprise s'intègre à ces outils, ce langage définit la barre minimale que la prochaine série d'évaluations mutuelles testera.

La mise à jour renforce également un point souvent sous-estimé par les praticiens : la transparence on-chain de la blockchain est un avantage LBC, pas seulement une complication. Contrairement à la finance traditionnelle, où la visibilité des transactions dépend des rapports des intermédiaires après coup, les transactions crypto sont visibles en temps réel. Les entreprises et les superviseurs qui déploient le filtrage et l'analyse de manière proactive, avant que les fonds ne bougent plutôt qu'après, sont mieux positionnées à la fois pour la conformité et pour démontrer une mise en œuvre effective aux examinateurs.

Les entreprises qui ont déjà des programmes de conformité crypto structurés devraient traiter cette mise à jour comme une incitation à examiner si leur logiciel comptable d'actifs numériques produit des pistes d'audit qui satisferaient à un examen aligné sur la FATF. Celles qui travaillent encore avec des tableurs ou des processus manuels font face à un calendrier de remédiation plus urgent que ne le suggèrent les statistiques législatives en titre.

Pour le contexte sur la façon dont ces obligations interagissent avec les cadres régionaux, voir notre analyse des obligations de conformité de la période transitoire MiCA pour les PSAN et notre décomposition des obligations Travel Rule à Taïwan : l'échéance d'octobre 2026.

Implications comptables et d'audit : une liste de contrôle pratique

La mise à jour de la FATF ne crée pas directement de nouvelles obligations légales. Elle signale où la prochaine vague d'examens réglementaires se concentrera, et ce signal mérite d'être traduit en actions internes concrètes.

Pour les cabinets comptables et les auditeurs

• Évaluer si les PSAV clients sont passés de la licence papier à un engagement de supervision actif, y compris des inspections documentées et une préparation à l'application.
• Examiner les avoirs en stablecoins dans les comptes clients pour le profil LBC de l'émetteur, pas seulement la stabilité des prix. Les stablecoins émis par des entités sans mécanismes de gel et de burn robustes portent désormais une couche de risque de conformité distincte.
• Vérifier que les procédures KYC peuvent résister à la fraude d'identité générée par IA, y compris les vidéos deepfake et les documents synthétiques.
• Confirmer que la conformité à la Travel Rule est opérationnellement active, pas seulement documentée dans les politiques. La conclusion de la FATF selon laquelle 60 % des juridictions avec des lois sur la Travel Rule n'ont pris aucune mesure de supervision signifie qu'un rattrapage de l'application est probable.
• Documenter les sources de données on-chain utilisées dans les évaluations des risques clients. Les examinateurs s'attendront de plus en plus à ce que les entreprises montrent leur travail, pas seulement leurs conclusions.

Pour les CFO ayant une exposition de trésorerie en actifs numériques

• Si la trésorerie de l'entreprise détient des stablecoins, confirmer que l'émetteur est soumis à la réglementation LBC/LCFT et coopère avec les demandes de gel des forces de l'ordre.
• Évaluer si votre logiciel de comptabilité crypto ou logiciel comptable d'actifs numériques produit des enregistrements de transactions suffisants pour un examen réglementaire, y compris les données de contrepartie et les sorties de filtrage de portefeuille.
• Si toute activité de trésorerie implique des protocoles DeFi, évaluer si ces protocoles ont un opérateur identifiable et si cet opérateur est licencié dans une juridiction. Les orientations de la FATF sur les arrangements DeFi qualifiés sont maintenant un document vivant.
• Examiner la couverture de filtrage des sanctions pour toutes les contreparties d'actifs numériques, y compris les échanges offshore et les interactions avec des portefeuilles non hébergés.

Source : Chainalysis