PSAV de l'UE après MiCA : qui a obtenu sa licence et qui porte le risque
La fenêtre transitoire de MiCA s'est fermée le 1er juillet 2026, et les chiffres sont frappants. Sur 1 343 prestataires de services crypto opérant dans l'Espace économique européen, seuls 281 ont obtenu une licence CASP complète avant la date limite. Les 1 062 autres opèrent désormais hors-la-loi, et une nouvelle analyse de la société d'intelligence blockchain TRM Labs montre qu'ils sont nettement plus risqués que les entreprises qui ont réussi. Pour les cabinets comptables, les auditeurs et les directeurs financiers dont les clients sont des prestataires de services crypto ou en dépendent, ce n'est pas une simple histoire réglementaire de fond. C'est un événement de risque de contrepartie.
Ce que la date limite de grand-pèrement signifiait réellement
Avant décembre 2024, chaque État membre de l'UE gérait son propre régime d'enregistrement ou de licence crypto. Les normes variaient considérablement. Un enregistrement obtenu dans la juridiction la plus permissive avait la même légitimité nominale qu'une licence complète délivrée par l'un des régulateurs nationaux les plus stricts, et les entreprises choisissaient leur domicile en conséquence.
MiCA a remplacé ce patchwork par une norme d'autorisation unique en vertu du règlement sur les marchés de crypto-actifs. Les entreprises opérant déjà en vertu de la loi nationale avant le 30 décembre 2024 ont bénéficié d'une période transitoire en vertu de l'article 143(3) pour convertir leur enregistrement national existant en une licence CASP complète. Cette fenêtre a duré jusqu'au 1er juillet 2026. À partir de cette date, une entreprise sans autorisation MiCA ne peut plus fournir légalement de services de crypto-actifs dans l'UE.
L'ampleur de la non-conversion
Le taux de conversion était faible. TRM a identifié 1 343 entreprises offrant des services crypto observables dans l'EEE avant la date limite. Parmi celles-ci, 281 ont obtenu une licence CASP MiCAR. Cela représente environ un sur cinq. Les 1 062 restants ont désormais trois options : quitter le marché de manière ordonnée, se restructurer en une entité autorisée, ou transférer leurs relations clients à une entreprise détenant une licence. Aucune de ces options n'est rapide ou sans friction, et toutes créent des expositions de conformité pour chaque partie impliquée.
Quelles juridictions ont converti et lesquelles ne l'ont pas fait
Les données d'autorisation révèlent un clivage net entre les juridictions qui ont développé une capacité d'octroi de licences tôt et celles qui ont laissé s'accumuler de grands registres sous des régimes nationaux plus souples.
Juridictions à taux de conversion élevé
La BaFin allemande a autorisé 55 des 57 entreprises agréées opérant en Allemagne, un taux de conversion qui reflète l'exigence de longue date de la BaFin de licences substantielles de garde de crypto sous la loi bancaire allemande avant l'arrivée de MiCA. Le Luxembourg, Chypre, Malte et l'Irlande ont également obtenu des taux de conversion élevés par rapport à leurs registres pré-MiCA. Malte et Chypre ont chacune autorisé plus d'entreprises (20 et 19 respectivement) que l'Italie, qui n'a autorisé que 9 des 145 entreprises opérant sur son registre. Au total, Malte, Chypre, l'Irlande et le Luxembourg détiennent 63 des 272 autorisations d'origine identifiées du bloc, sur une base de seulement 101 entreprises opérantes.
Juridictions à faible taux de conversion
La Lituanie et la Pologne présentent les cas les plus frappants de la dynamique inverse. TRM a observé 383 entreprises offrant des services crypto sous enregistrement lituanien et plus de 1 800 entrées sur le registre polonais, bien que la plupart des inscrits polonais n'aient jamais fourni de services crypto observables. La Lituanie a autorisé huit entreprises de ce registre de plus de 400. La Pologne n'en a autorisé aucune. La Grèce et le Portugal n'ont également émis aucune autorisation d'origine. Ces chiffres illustrent précisément le problème d'arbitrage que MiCA visait à éliminer : les régimes nationaux à faible barrière attiraient un grand nombre d'inscrits, et la norme plus rigoureuse de MiCA a maintenant filtré la plupart d'entre eux.
Passeporting et concentration de la supervision
Le passeporting permet à une entreprise autorisée dans un État membre de fonctionner dans tout le bloc. C'est voulu, mais les données montrent un effet secondaire : la responsabilité de supervision se concentre désormais plus rapidement que la présence sur le marché. Une poignée de régulateurs, notamment la BaFin, la Banque centrale d'Irlande, la Malta Financial Services Authority et la Commission de surveillance du secteur financier au Luxembourg, deviennent les superviseurs principaux des entreprises servant des clients dans des pays où aucune autorisation d'origine n'a été délivrée. C'est la condition derrière les avertissements de l'Autorité européenne de lutte contre le blanchiment de capitaux (AMLA) concernant des normes AML/CFT inégales et l'arbitrage réglementaire au sein du marché unique.
L'écart de risque entre les entreprises autorisées et non autorisées
Le statut d'autorisation et le profil de risque ne sont pas indépendants. Les évaluations de risque de TRM, appliquées aux entreprises actives sur les douze mois précédant le 6 juillet 2026, montrent un écart clair et significatif entre les deux cohortes.
Évaluations de risque élevé et sévère
Douze pour cent des entreprises non autorisées portent une évaluation de risque élevé ou sévère selon TRM. Parmi les entreprises autorisées, ce chiffre est de 2 %. En termes absolus, 30 des 244 entreprises non autorisées évaluées tombent dans la catégorie élevé ou sévère, contre seulement 2 des 90 entreprises autorisées évaluées. De manière cruciale, chaque évaluation sévère dans l'ensemble des données appartient à une entreprise qui n'a pas obtenu l'autorisation. Vingt autres entreprises non autorisées portent une évaluation moyenne, élargissant encore l'écart si l'on considère la distribution complète.
Exposition directe à des activités illicites
Les fonds illicites atteignent les deux groupes à des taux agrégés similaires. Les entreprises non autorisées ont envoyé 0,09 % de leur volume directement à des contreparties illicites ou à haut risque ; les entreprises autorisées, 0,07 %. À ce niveau, la différence semble modeste. Mais l'agrégat cache une queue qui compte.
La plupart des entreprises des deux groupes ont une exposition directe illicite négligeable. Un petit nombre d'entreprises non autorisées est différent : plusieurs envoient entre 1 % et 12 % de leur volume total directement à des adresses illicites. Aucune entreprise autorisée ne dépasse le seuil de 1 %. Cette queue est ce qui crée le risque de contrepartie aigu pour toute entreprise absorbant des clients non autorisés.
Exposition aux sanctions
La divergence la plus significative entre les deux groupes est l'exposition aux sanctions. Les entreprises non autorisées ont envoyé environ trois fois plus de volume directement à des contreparties sanctionnées que les entreprises autorisées. Les expositions les plus importantes dans les deux cohortes sont concentrées dans les échanges à haut risque et les services de jeu, mais l'écart de sanctions est le chiffre qui attirera l'attention des responsables de conformité et des régulateurs en premier.
Ce que l'AMLA dit qu'il se passera ensuite
L'AMLA a émis une note consultative sur la fin de la période transitoire MiCAR identifiant trois conséquences structurelles : les entreprises non autorisées quittent le marché, de grands volumes de relations clients sont transférés ou résiliés, et l'activité crypto se concentre parmi moins de CASP autorisés. L'AMLA qualifie ces conséquences d'impact matériel sur le fonctionnement du marché crypto de l'UE.
Risques signalés par l'AMLA pour les entreprises autorisées
Alors que les entreprises non autorisées se retirent dans des délais serrés, leurs contrôles AML sont mis à rude épreuve. Les CASP autorisés qui absorbent leurs clients font face à des changements soudains de leurs profils de risque et à une pression immédiate sur les systèmes de surveillance des transactions calibrés pour une base de clients différente et plus étroite. Pendant ce temps, les superviseurs perdent la visibilité sur les transferts entre les deux groupes précisément lorsque cette visibilité compte le plus.
L'AMLA a demandé aux superviseurs nationaux de prioriser la surveillance des plans de sortie et des transferts de clients, et de se coordonner au-delà des frontières tandis que les clients migrent. Les données de TRM donnent une base quantitative à cette demande : les 30 entreprises non autorisées évaluées élevé ou sévère sont identifiables maintenant, avant que les transferts n'aient lieu, et elles représentent la concentration de risque la plus aiguë que les CASP autorisés et leurs superviseurs doivent gérer.
Implications comptables et de conformité pour les entreprises et les directeurs financiers
Le clivage MiCA crée un travail concret pour les cabinets comptables, les auditeurs et les directeurs financiers ayant une exposition crypto dans l'UE. Trois domaines se démarquent.
Due diligence de contrepartie et intégration
Tout CASP autorisé préparant à absorber des relations clients d'une entreprise non autorisée doit réévaluer son cadre de risque de contrepartie avant que les transferts aient lieu, pas après. Les données de risque montrent que la population de clients migrants n'est pas homogène. Un petit sous-ensemble porte une exposition disproportionnée aux activités illicites et aux sanctions. Les processus KYC standard conçus pour l'intégration de détail peuvent ne pas être calibrés pour détecter ce type de risque de queue concentré assez rapidement. Les cabinets comptables conseillant des CASP sur cette transition devraient examiner dès maintenant les déclencheurs de due diligence renforcée et les seuils de surveillance des transactions de leurs clients. Notre analyse détaillée sur la construction d'un cadre AML d'intégration VASP décrit à quoi ressemble un processus robuste selon les attentes réglementaires actuelles.
Audit et exposition aux états financiers
Pour les équipes d'audit, la question pertinente est de savoir si un client détient des actifs crypto matériels sur une plateforme qui a perdu son autorisation MiCA ou est en cours de liquidation. Les actifs détenus sur une entreprise non autorisée peuvent être soumis à des restrictions de retrait, un risque d'insolvabilité ou une perturbation opérationnelle lors d'une sortie précipitée. C'est une question de continuité d'exploitation et de recouvrabilité des actifs, et elle doit être à l'ordre du jour de la planification de l'audit pour toute mission avec une exposition au bilan crypto. Les IFRS et les PCGR de l'UE ne fournissent pas de directives spécifiques sur le risque de garde des intermédiaires non autorisés, mais le cadre général de dépréciation et de divulgation est assez clair : s'il existe une incertitude matérielle quant à la recouvrabilité d'un actif, elle doit être divulguée.
Obligations de lutte contre le blanchiment (AML) et de criblage des sanctions
L'écart de trois fois en matière d'exposition aux sanctions entre les entreprises non autorisées et autorisées est le chiffre qui devrait attirer l'attention le plus rapidement. Les obligations AML de l'UE s'appliquent aux entités assujetties qui traitent avec des prestataires de services crypto, que la contrepartie soit autorisée ou non en vertu de MiCA. Si un client continue d'acheminer des transactions via une entreprise non autorisée après juillet 2026, cette relation comporte désormais une obligation renforcée de criblage des sanctions et un déclencheur potentiel de déclaration réglementaire. Les cabinets comptables qui agissent également en tant qu'entités déclarantes AML doivent évaluer si leurs propres procédures couvrent adéquatement ce scénario.
Pour les entreprises naviguant dans le paysage plus large de la conformité MiCA, notre analyse précédente sur l'impact de MiCA sur les équipes comptables de stablecoins couvre les dimensions de classification des actifs qui se juxtaposent à l'histoire des licences.
Questions fréquemment posées
Qu'est-il arrivé aux entreprises qui n'ont pas obtenu l'autorisation MiCA avant le 1er juillet 2026 ?
À partir du 1er juillet 2026, ces entreprises ne peuvent plus fournir légalement de services de crypto-actifs dans l'UE. Elles doivent choisir entre une sortie de marché ordonnée, une restructuration en une entité autorisée, ou le transfert de leurs relations clients à un CASP agréé. L'AMLA s'attend à ce que ces transitions créent des perturbations matérielles du marché et a demandé aux superviseurs nationaux de surveiller de près la planification des sorties.
Pourquoi certaines juridictions ont-elles eu des taux de conversion MiCA très bas ?
Des juridictions comme la Lituanie et la Pologne avaient accumulé de très grands registres nationaux sous des régimes pré-MiCA relativement permissifs. De nombreux inscrits n'ont jamais fourni de services crypto observables, et ceux qui l'ont fait souvent ne répondaient pas aux exigences d'autorisation plus rigoureuses de MiCA. Le faible taux de conversion reflète à la fois l'effet de filtrage des normes plus élevées et l'héritage de l'arbitrage réglementaire dans le système morcelé précédent de l'UE.
Dans quelle mesure les entreprises non autorisées sont-elles plus risquées que les autorisées ?
Selon les données de TRM Labs, 12 % des entreprises non autorisées portent une évaluation de risque élevé ou sévère contre 2 % des entreprises autorisées. Chaque évaluation sévère dans l'ensemble des données appartient à une entreprise non autorisée. Un petit sous-ensemble d'entreprises non autorisées envoie également entre 1 % et 12 % de leur volume directement à des adresses illicites, un seuil qu'aucune entreprise autorisée ne franchit.
Que signifie le passeporting pour la surveillance de la supervision après MiCA ?
Le passeporting permet à un CASP autorisé de servir des clients dans tous les États membres de l'UE à partir d'une seule autorisation d'origine. Par conséquent, la responsabilité de supervision se concentre dans un petit nombre d'États membres, notamment l'Allemagne, l'Irlande, Malte, Chypre et le Luxembourg, dont les régulateurs sont maintenant responsables de la surveillance des entreprises servant des clients dans des pays qui n'ont pas délivré d'autorisations d'origine. L'AMLA a signalé cette concentration comme un facteur d'incohérence potentielle AML/CFT dans tout le bloc.
Que devrait faire un cabinet comptable ou un directeur financier maintenant ?
Trois mesures immédiates valent la peine d'être prises. Premièrement, identifier tout client ou société de portefeuille qui détient des actifs sur un CASP non autorisé et évaluer les implications en matière de recouvrabilité et de divulgation. Deuxièmement, vérifier si des clients CASP autorisés prévoient d'absorber des clients d'entreprises non autorisées, et si oui, s'assurer que leurs cadres de due diligence et de surveillance des transactions sont calibrés pour le risque de queue élevé dans cette population migrante. Troisièmement, vérifier si des relations de contrepartie existantes impliquent des entreprises non autorisées, car les obligations AML de l'UE et les exigences de criblage des sanctions s'appliquent indépendamment du statut MiCA de la contrepartie.
Source : TRM Labs