Directrice OFAC Gacki : les risques liés aux sanctions crypto sont réels et croissants

La responsable du bureau de contrôle des sanctions du Trésor américain a adressé à l'industrie crypto un avertissement sans ambiguïté : les obligations de conformité aux sanctions s'appliquent pleinement aux entreprises d'actifs numériques, et l'OFAC n'attend pas que le secteur rattrape son retard. Dans une conversation avec David Carlisle d'Elliptic, la directrice de l'OFAC, Andrea Gacki, a exposé la position actuelle de l'agence sur les privacy coins, les portefeuilles non hébergés, les rançongiciels et le minage. Le message est clair : documentez vos risques, filtrez vos contreparties et soyez prêts à démontrer les deux.

Qui est Andrea Gacki et pourquoi cette conversation compte

Andrea Gacki dirige l'Office of Foreign Assets Control, l'unité du département du Trésor américain chargée d'administrer et d'appliquer les sanctions économiques et commerciales des États-Unis. Les sanctions de l'OFAC touchent pratiquement toutes les institutions financières et entreprises de paiement ayant une quelconque exposition aux États-Unis, que ce soit par le règlement en dollars, des contreparties américaines ou des employés ressortissants américains. Pour les entreprises crypto, cette portée est plus large que beaucoup ne l'imaginent.

Les propos de la directrice Gacki ont été tenus dans le cadre de la série Crypto and Coffee d'Elliptic consacrée aux régulateurs financiers, un dialogue public entre régulateurs et secteur privé. Il s'agissait du premier volet, et le choix de l'OFAC comme participant d'ouverture montre à quel point l'application des sanctions est devenue centrale dans l'agenda de conformité crypto. Une session de suivi a également été annoncée avec Clara Chiu, directrice des licences et responsable fintech de la Securities and Futures Commission de Hong Kong, ce qui souligne la dimension mondiale de cette pression réglementaire.

Les quatre exigences de conformité fondamentales de l'OFAC

Les propos de la directrice Gacki se résument en quatre attentes précises pour l'industrie crypto. Chacune a des conséquences pratiques pour les équipes de conformité, les directeurs financiers et les cabinets comptables qui les servent.

1. Expliquez comment vous gérez les transactions opaques

Les entreprises crypto doivent pouvoir montrer à l'OFAC, clairement et concrètement, comment elles gèrent le risque de sanctions lorsque l'identité ou la localisation d'une contrepartie ne peut pas être déterminée. Les deux scénarios les plus courants dans cette catégorie sont les transactions impliquant des portefeuilles non hébergés et celles impliquant des privacy coins. Lorsqu'un utilisateur se connecte via un portefeuille non hébergé, l'entreprise n'a souvent aucune relation KYC directe avec le contrôleur de ce portefeuille. Lorsqu'un privacy coin est impliqué, l'analyse de blockchain peut ne pas suffire à retracer les flux de fonds jusqu'à une contrepartie connue.

L'OFAC ne demande pas aux entreprises de refuser purement et simplement toutes ces transactions. Elle leur demande de disposer d'une politique documentée et défendable pour évaluer le risque que ces transactions représentent, et d'appliquer cette politique de manière cohérente.

2. Prenez la responsabilité stricte au sérieux

Le droit américain des sanctions fonctionne sur la base de la responsabilité stricte. Cela signifie que l'OFAC peut imposer des sanctions civiles même lorsqu'une entreprise ignorait qu'elle traitait avec une partie sanctionnée. Cela n'est pas propre à la crypto, mais c'est particulièrement pertinent dans un espace où les adresses pseudonymes, les outils renforçant la confidentialité et les flux transfrontaliers rendent l'identification des contreparties réellement difficile.

La directrice Gacki a souligné que le traitement de privacy coins ou la facilitation de transactions avec des portefeuilles non hébergés augmente le profil de risque de sanctions d'une entreprise, précisément parce que ces caractéristiques compliquent l'identification des contreparties. Ce risque accru ne crée pas une interdiction générale, mais il exige un environnement de contrôle plus rigoureux. Il existe un programme d'auto-déclaration volontaire auprès de l'OFAC, et une solide culture de conformité constitue un facteur atténuant dans les décisions de sanction, mais ni l'un ni l'autre ne remplace les contrôles sous-jacents.

3. Adaptez les pratiques de filtrage du secteur bancaire

L'OFAC reconnaît que l'industrie crypto peut et devrait s'appuyer sur les cadres de filtrage établis déjà utilisés dans la banque traditionnelle. Le filtrage des sanctions dans la banque implique généralement des vérifications en temps réel ou quasi réel des transactions par rapport à la liste des Specially Designated Nationals (SDN) de l'OFAC, ainsi que des contrôles sur les relations de banque correspondante, l'exposition juridictionnelle et la surveillance des transactions pour les typologies associées à l'évasion des sanctions.

Il ne s'agit pas pour les entreprises crypto de reproduire intégralement les processus bancaires ; la technologie et les structures de transaction diffèrent sensiblement. Il s'agit de constater que les principes de risque sous-jacents, identifier les contreparties, filtrer par rapport aux listes de personnes désignées, surveiller les signaux d'alerte, appliquer une diligence renforcée lorsque le risque est élevé, se transposent directement dans un contexte crypto. Les entreprises qui ont déjà investi dans des logiciels de comptabilité crypto et des logiciels de comptabilité d'actifs numériques dotés de modules de conformité intégrés sont mieux placées pour opérationnaliser ces contrôles au niveau des transactions.

4. Documentez les risques propres au minage et aux rançongiciels

L'OFAC attend des entreprises crypto qu'elles maintiennent une évaluation écrite des risques couvrant les risques de sanctions spécifiques associés à leurs activités particulières. Deux activités ont été explicitement citées : le minage et les rançongiciels. Les opérations de minage peuvent recevoir des récompenses de bloc ou des frais de transaction provenant d'adresses liées à des acteurs sanctionnés. Les paiements de rançongiciels ont historiquement été acheminés vers des portefeuilles contrôlés par des groupes sanctionnés ou des entités situées dans des juridictions sanctionnées. Une évaluation générique du risque de blanchiment ne suffit pas ; elle doit refléter la composition réelle des produits et des transactions de l'entreprise.

Pour les cabinets comptables qui conseillent des clients natifs de la crypto, c'est un signal direct que l'évaluation des risques au niveau du conseil d'administration est un document réglementé, et non une simple convention de gouvernance interne. Elle doit être revue au moins annuellement, mise à jour lorsque l'OFAC ajoute de nouvelles désignations pertinentes pour l'activité du client, et disponible pour inspection.

Contexte géopolitique : pourquoi cet avertissement est opportun

Les propos de la directrice Gacki ont coïncidé avec un développement qui illustrait exactement le type de pression d'évasion des sanctions que l'OFAC gère : le gouvernement iranien a, à l'époque, autorisé le paiement des importations en crypto, une mesure visant à contourner les restrictions liées aux sanctions. Cela s'inscrit dans un schéma plus large où les États sanctionnés et les acteurs non étatiques considèrent les rails crypto comme un mécanisme de règlement alternatif lorsque les canaux traditionnels sont fermés.

Pour les équipes de conformité, ce contexte compte à deux titres. Premièrement, il confirme que l'attention de l'OFAC portée à la crypto est motivée par de réelles tentatives d'évasion opérationnelle, et non par un risque théorique. Deuxièmement, il renforce l'idée que les listes de sanctions et le paysage des menaces évoluent plus vite que les cycles d'examen annuels. Les entreprises ont besoin d'une surveillance quasi continue, et non d'instantanés ponctuels.

La dimension plus large de l'Asie du Sud-Est dans ce moment réglementaire mérite également d'être notée. Hong Kong et la Thaïlande avaient un projet pilote actif de CBDC transfrontalière, tandis que la Banque nationale du Cambodge menait un pilote de son réseau de paiement de détail Bakong basé sur la blockchain. La croissance des infrastructures proches de la crypto dans la région augmente la surface d'exposition au risque de sanctions, en particulier lorsque des contreparties de ces juridictions peuvent acheminer des fonds via des mécanismes préservant la confidentialité.

Implications comptables et opérationnelles pour les entreprises B2B

Ce que cela signifie pour les cabinets comptables et les directeurs financiers

Pour les cabinets comptables ayant des clients crypto, les propos de la directrice Gacki se traduisent par plusieurs responsabilités de conseil concrètes. Les clients ont besoin d'évaluations des risques de sanctions documentées et approuvées par le conseil, reflétant leur composition de produits spécifique. Ils ont besoin de contrôles de filtrage des sanctions intégrés au niveau des transactions, et pas seulement à l'entrée en relation. Et ils ont besoin d'un dossier défendable de la manière dont ils ont traité les transactions où l'identité de la contrepartie était incertaine.

Les directeurs financiers des entreprises crypto devraient traiter la conformité OFAC comme un risque de reporting financier, et non seulement comme un risque juridique. Une violation des sanctions peut entraîner des sanctions civiles, des dommages réputationnels et, dans les cas graves, la perte de relations bancaires. Chacune de ces conséquences a un impact direct sur le bilan. Le coût de l'environnement de contrôle est presque toujours inférieur au coût d'une sanction, et un logiciel de comptabilité crypto robuste qui capture les données de contrepartie et signale les schémas de transactions à haut risque fait partie intégrante de cet environnement de contrôle.

Il vaut également la peine de suivre l'intersection des actions de l'OFAC avec le comportement des émetteurs de stablecoins. Comme le montre le contexte de la récente action d'application du gel de stablecoins par le Trésor, les émetteurs de stablecoins coopèrent déjà avec les forces de l'ordre pour inverser et geler des transactions liées à des activités illicites. Cette coopération crée une trace documentaire que l'OFAC peut utiliser dans ses propres enquêtes, ce qui signifie que l'exposition ne se limite pas à la partie qui effectue directement la transaction.

L'évaluation des risques comme document vivant

L'attente de l'OFAC d'une évaluation documentée des risques n'est pas un exercice ponctuel. Elle doit tenir compte des nouvelles désignations, des nouvelles fonctionnalités de produits (comme l'ajout d'un privacy coin à la cote d'une plateforme d'échange), de l'évolution de l'exposition géographique de l'entreprise et des typologies émergentes telles que les risques de paiement de rançongiciels que la directrice Gacki a spécifiquement signalés. Intégrer une cadence de revue dans le calendrier de conformité, avec une responsabilité attribuée à une personne ou une fonction nommée, est l'attente minimale.

Pour les cabinets qui conseillent des clients sous l'angle de la manière dont les règles crypto américaines sont testées pour leur durabilité politique, la dimension OFAC est un contrepoids important : quel que soit le résultat législatif, l'autorité de l'OFAC découle de l'International Emergency Economic Powers Act et du Trading with the Enemy Act, qui se situent tous deux bien en dehors des débats réglementaires spécifiques à la crypto. L'application des sanctions par l'OFAC ne sera pas remise en cause par un changement d'approche chez un autre régulateur financier américain.

Prochaines étapes pratiques pour les équipes de conformité

Les propos de la directrice Gacki ne s'accompagnent d'aucune nouvelle orientation formelle, mais ils indiquent clairement où se situe le point focal de l'examen de l'OFAC. Les équipes devraient agir sur cinq priorités :

• Revoir et mettre à jour l'évaluation écrite des risques de sanctions pour couvrir l'exposition aux privacy coins, les volumes de transactions via portefeuilles non hébergés, les opérations de minage et toute activité proche des rançongiciels dans la clientèle.
• Confirmer que le filtrage des sanctions s'exécute au niveau des transactions, et pas seulement à l'entrée en relation client, et que la liste SDN et les autres listes de l'OFAC sont mises à jour selon un calendrier reflétant la fréquence à laquelle l'OFAC publie de nouvelles désignations.
• Établir et documenter un protocole de décision pour les transactions où l'identité ou la localisation de la contrepartie ne peut être déterminée, y compris les critères de rejet, de diligence renforcée et d'escalade.
• Veiller à ce que les logiciels de comptabilité d'actifs numériques utilisés pour enregistrer les transactions capturent également les métadonnées de conformité nécessaires pour reconstituer un dossier de filtrage des sanctions pour toute transaction donnée.
• Revoir la politique d'auto-déclaration volontaire et s'assurer que le personnel concerné sait quand et comment l'utiliser, car une déclaration rapide est un facteur atténuant reconnu dans le cadre des sanctions civiles de l'OFAC.

Aucune de ces étapes n'exige d'attendre une nouvelle réglementation. Le cadre juridique est déjà en place. Ce que l'OFAC demande, ce sont des preuves que les entreprises l'appliquent.

Source: Elliptic