Rapport FATF DeFi 2026 : ce que le test COSI signifie pour votre cabinet

Le Groupe d'action financière a publié un rapport de 49 pages sur la finance décentralisée, et le message central est sans ambiguïté : qualifier un protocole de « décentralisé » ne suffit pas à le placer hors du champ des obligations de lutte contre le blanchiment d'argent et le financement du terrorisme. Publié en juillet 2026, le rapport introduit un cadre structuré pour déterminer quand les mécanismes DeFi doivent être traités comme des prestataires de services sur actifs virtuels réglementés, et il désigne l'analyse de la blockchain comme l'outil principal pour rendre cette détermination opérationnelle. Pour les cabinets comptables menant des missions de conformité et reporting crypto, et pour les directeurs financiers exposés à des protocoles DeFi au bilan ou en trésorerie, les implications sont immédiates.

Pourquoi la FATF s'attaque à la DeFi maintenant

Les protocoles DeFi offrent de véritables avantages opérationnels : règlement automatisé, logique financière programmable et disponibilité continue sans intermédiaire central. Ces mêmes caractéristiques compliquent toutefois la question de savoir qui est responsable de la conformité. Les cadres AML traditionnels supposent une entité assujettie identifiable. Les structures de gouvernance DeFi brouillent ou obscurcissent souvent délibérément cette entité.

La FATF reconnaît que les institutions souhaitent utiliser l'infrastructure DeFi et que les juridictions devraient permettre ces interactions de manière responsable. En même temps, les propriétés qui attirent les utilisateurs légitimes attirent aussi les illicités. Le rapport cite une nette augmentation d'une année sur l'autre des flux illicites vers les protocoles DeFi, faisant de l'atténuation des risques plutôt que de la restriction pure et simple l'objectif politique déclaré.

Le déficit de conformité pratique est frappant. Une évaluation mutuelle de la FATF publiée parallèlement au rapport DeFi a révélé que 93 % des juridictions n'ont identifié aucun protocole DeFi qualifié sur leur territoire. Seules quatre juridictions ont imposé des exigences de licence aux mécanismes DeFi, et une seule a pris des mesures d'application. Le nouveau rapport est une réponse directe à cette lacune.

Le test de contrôle ou d'influence suffisante

La pièce maîtresse analytique du rapport est le test de « contrôle ou influence suffisante », désigné sous l'acronyme COSI. Le test détermine si une personne ou une entité exerce suffisamment d'autorité sur un protocole DeFi pour être traitée comme un PSAV au titre des normes de la FATF. Le cadre n'applique pas une seule réponse binaire. Au lieu de cela, il place les protocoles dans l'une des trois catégories en fonction du résultat de l'évaluation COSI.

Catégorie un : contrôle identifiable

Lorsque des personnes ou entités exercent clairement un contrôle ou une influence suffisante sur un protocole, ce protocole entre dans le champ des normes de la FATF et doit être traité comme un PSAV. Les exigences d'agrément, d'enregistrement, de diligence raisonnable à l'égard de la clientèle, de surveillance des transactions et de déclaration des activités suspectes s'appliquent pleinement.

Catégorie deux : contrôleurs non encore identifiés

Certains protocoles sont effectivement contrôlés par des personnes identifiables, mais ces personnes n'ont pas été divulguées publiquement. La FATF place ces mécanismes dans le champ d'application et demande aux superviseurs de travailler avec les autorités nationales, les homologues étrangers et les fournisseurs d'analyse de la blockchain pour identifier qui se cache réellement derrière. La charge de l'enquête incombe au superviseur, et non à une hypothèse de non-applicabilité.

Catégorie trois : véritablement décentralisé

Lorsqu'aucune personne ou entité n'exerce de contrôle ou d'influence suffisante, le protocole est hors du champ formel des normes de la FATF. Cela ne signifie pas que le risque disparaît. Le rapport appelle explicitement à des mesures d'atténuation alternatives fondées sur les risques pour faire face aux risques résiduels que ces mécanismes présentent pour le système financier au sens large.

Indicateurs utilisés dans l'évaluation COSI

Le rapport définit des indicateurs spécifiques sur la chaîne et hors chaîne que les superviseurs et les entités réglementées devraient utiliser lors d'une évaluation COSI. Ces indicateurs traduisent une question juridique abstraite en tâches analytiques concrètes, dont beaucoup nécessitent un logiciel de comptabilité crypto ou des outils d'analyse de la blockchain pour être exécutées de manière fiable.

Indicateurs sur la chaîne

La concentration des jetons de gouvernance est le premier signal sur la chaîne. Lorsqu'un petit nombre de portefeuilles détient suffisamment de jetons de gouvernance pour diriger les opérations financières d'un protocole, un contrôle peut exister même si l'arrangement est formellement structuré en organisation autonome décentralisée. La FATF demande spécifiquement aux superviseurs d'examiner le regroupement des portefeuilles et le comportement de vote en chaîne pour détecter les modèles cachés de contrôle. La concentration seule n'est pas une preuve concluante de centralisation, mais c'est un facteur matériel dans l'analyse.

L'autorité des clés privées est le deuxième indicateur. La possession de clés permettant des mises à niveau de contrats intelligents, des changements de paramètres, des pauses de protocole ou des modifications du contrôle d'accès est traitée comme un indicateur fort de contrôle. Un développeur ou une équipe qui conserve des droits de mise à niveau sur un protocole en direct exerce, en termes fonctionnels, une autorité sur les services financiers fournis par ce protocole.

Les flux de trésorerie et de frais fournissent une troisième source de données. Retracer où les revenus du protocole et les actifs de la trésorerie se déplacent, à travers les protocoles DeFi, les ponts et les échanges décentralisés, peut révéler les entités du monde réel qui bénéficient de la production économique d'un protocole et donc, potentiellement, la contrôlent.

Indicateurs hors chaîne

Le cadre COSI ne se limite pas aux données sur la chaîne. Le rapport identifie le contrôle des interfaces frontales, des référentiels de développement et des communications publiques sur la possibilité de modifier un protocole comme des facteurs hors chaîne pertinents. Une équipe qui contrôle le site web orienté utilisateur par l'intermédiaire duquel la plupart des participants accèdent à un protocole exerce une forme d'influence économiquement significative, même si les contrats intelligents sous-jacents sont immuables.

Ce que la FATF attend des superviseurs

Le rapport est explicite sur la boîte à outils de supervision. Trois capacités sont identifiées comme complémentaires et nécessaires à une surveillance efficace de la DeFi.

Analyse continue de la blockchain

La FATF recommande aux superviseurs de mener des analyses continues de la blockchain, y compris le traçage des transactions, le regroupement des portefeuilles et l'analyse des réseaux, pour identifier les contrôleurs et surveiller les protocoles à haut risque. Ce n'est pas un exercice ponctuel. Les structures de gouvernance des protocoles en direct peuvent changer par le biais de votes de gouvernance, de distributions de jetons ou de mises à niveau de code, ce qui nécessite une analyse continue plutôt que ponctuelle.

Collaboration avec les fournisseurs d'analyse

Lorsque les contrôleurs d'un protocole nominalement centralisé ne peuvent pas être facilement identifiés par des informations publiques, le rapport demande aux superviseurs de faire appel à des sociétés d'analyse de la blockchain qui peuvent détenir des identifiants supplémentaires. Ce modèle de partenariat public-privé est explicitement approuvé et reflète un thème plus large de la FATF de mise en application collaborative entre les secteurs public et privé.

Coopération transfrontalière

Les protocoles DeFi ne respectent pas les frontières nationales. Le rapport demande aux juridictions de collaborer avec leurs homologues étrangers lorsqu'elles enquêtent sur des protocoles opérant dans plusieurs systèmes juridiques. Pour les cabinets comptables conseillant des clients multinationals, cela indique qu'une contrepartie DeFi évaluée à faible risque dans une juridiction peut attirer l'attention d'un superviseur étranger, avec des implications pour les évaluations consolidées des risques AML.

Les cabinets qui suivent déjà les risques de conformité AML crypto en APAC et les réalités en matière de licences reconnaîtront ce modèle : les régulateurs mutualisent de plus en plus les renseignements entre juridictions, et une lacune de conformité dans un territoire peut devenir un problème d'application dans un autre.

Implications pour les institutions financières et les entités réglementées

Le rapport s'adresse non seulement aux superviseurs, mais aussi aux institutions financières, qu'elles opèrent dans la finance traditionnelle ou en tant qu'entités crypto agréées. Toutes les entreprises réglementées ayant une exposition à des contreparties DeFi sont censées effectuer une diligence raisonnable fondée sur les risques couvrant trois dimensions : la structure de gouvernance du protocole, l'efficacité des éventuels contrôles AML/CFT mis en œuvre par le protocole, et la capacité du protocole à gérer les risques opérationnels, y compris les vulnérabilités et les exploits de contrats intelligents.

Lorsque des risques plus élevés sont identifiés, une diligence raisonnable renforcée est requise. Le rapport cite spécifiquement l'exposition aux ponts, aux mélangeurs et aux outils inter-chaînes comme des facteurs devant déclencher une analyse plus approfondie des flux de fonds et des seuils plus bas pour signaler les activités suspectes. Les protocoles ayant mis en œuvre des contrôles de conformité limités ou inexistants sont traités comme des contreparties à plus haut risque par définition.

Une nuance à noter pour les directeurs financiers et les responsables de la conformité : la FATF encourage activement les protocoles à mettre en œuvre des fonctions de sécurité telles que les interrupteurs d'arrêt et les mécanismes de pause, ainsi que des contrôles AML tels que le filtrage frontal et les contrôles de sanctions. Le cadre réglementaire est conçu pour évaluer le contrôle des services financiers, et non pour pénaliser les bonnes pratiques de sauvegarde. Un protocole qui a mis en place une couche de filtrage des sanctions en front-end n'est pas, pour cette seule raison, considéré comme contrôlé de manière centralisée.

Les émetteurs de stablecoins sont spécifiquement signalés dans le rapport comme ayant des obligations distinctes. Étant donné que de nombreux protocoles DeFi s'appuient sur les stablecoins comme unité de compte principale, les entreprises ayant des positions de trésorerie en stablecoins qui interagissent avec des pools de liquidité DeFi devraient examiner si ces interactions créent une exposition à des contreparties à des protocoles qui n'ont pas encore été évalués pour le statut COSI.

Considérations comptables et d'audit pour les cabinets

Le rapport de la FATF a des conséquences directes sur la manière dont les cabinets comptables structurent les missions crypto et dont les directeurs financiers conçoivent les contrôles internes autour de l'activité DeFi.

Classification des contreparties dans les livres

Si un protocole DeFi tombe dans la catégorie une ou deux du cadre COSI, les transactions avec ce protocole peuvent comporter des obligations de conformité équivalentes à celles d'un PSAV. Les cabinets utilisant un logiciel de comptabilité crypto ou un logiciel de comptabilité d'actifs numériques pour enregistrer les transactions DeFi doivent étiqueter les contreparties avec leur statut de classification COSI, en particulier une fois que les superviseurs nationaux commenceront à publier des listes de protocoles qu'ils ont évalués. Cette classification affectera la manière dont les transactions sont traitées dans les pistes d'audit AML et, potentiellement, dans les divulgations aux régulateurs.

Flux de travail de diligence raisonnable renforcée

Pour les clients qui fournissent des liquidités à des protocoles DeFi, prêtent via des marchés monétaires DeFi ou détiennent des jetons de gouvernance comme actifs de trésorerie, le flux de travail standard de diligence raisonnable à l'égard de la clientèle n'est plus adéquat. Les cabinets ont besoin d'une procédure de diligence raisonnable au niveau du protocole couvrant la distribution des jetons de gouvernance, la garde des clés de mise à niveau, l'analyse des flux de trésorerie et la preuve des contrôles AML. Un logiciel de comptabilité crypto qui ne peut pas produire une piste d'audit structurée pour ces points de données devra être complété par une sortie d'analyse de la blockchain avant la signature des dossiers.

Surveillance de l'exposition aux sanctions

L'accent mis par le rapport sur les ponts et les outils inter-chaînes comme infrastructure à risque élevé s'aligne sur les tendances existantes en matière d'application des sanctions. Les cabinets qui gèrent déjà l'exposition aux sanctions de l'OFAC sur Shelbit et Aban Tether seront conscients que le routage inter-chaînes peut obscurcir l'origine des fonds. Le cadre de la FATF donne désormais aux superviseurs une base structurée pour exiger des entreprises qu'elles retracent ces flux dans le cadre de la surveillance AML standard, et non seulement en réponse à un signal d'alarme spécifique.

Documentation du dossier d'audit

Lorsqu'un client a une exposition DeFi importante, les dossiers d'audit devraient désormais inclure des preuves documentées de l'évaluation COSI pour chaque protocole utilisé. Cela signifie enregistrer la catégorie dans laquelle le protocole tombe, les indicateurs examinés et les données d'analyse de la blockchain qui ont étayé la conclusion. Au fur et à mesure que les superviseurs nationaux mettront en œuvre le cadre de la FATF, les cabinets qui ne pourront pas produire cette documentation sur demande seront confrontés à une exposition réglementaire importante.

Ce que les cabinets devraient faire maintenant

Le chiffre de 93 % est le nombre le plus significatif sur le plan opérationnel dans le rapport. Neuf juridictions sur dix n'ont pas encore officiellement évalué un protocole DeFi sur leur territoire. Cette lacune se comblera à mesure que le nouveau cadre de la FATF se diffusera dans les orientations nationales des superviseurs et le suivi des évaluations mutuelles. Les cabinets qui commencent leurs propres évaluations de protocoles maintenant seront en avance sur la courbe réglementaire plutôt que de se démener pour rattraper leur retard lorsque les règles nationales arriveront.

Concrètement, cela signifie quatre actions immédiates. Premièrement, inventorier toutes les interactions avec les protocoles DeFi dans votre clientèle ou sur votre propre bilan. Deuxièmement, appliquer un premier filtre COSI à chaque protocole en utilisant les données de gouvernance publiques, l'analyse en chaîne et la documentation publiée. Troisièmement, mettre à niveau vos flux de travail AML internes pour inclure la diligence raisonnable au niveau du protocole comme étape standard pour toute contrepartie DeFi. Quatrièmement, confirmer que le logiciel de comptabilité d'actifs numériques utilisé dans votre pratique peut produire la documentation de piste d'audit que les superviseurs exigeront éventuellement.

La FATF a fourni le cadre. Les superviseurs nationaux le traduiront maintenant en obligations exécutoires. Les cabinets les mieux positionnés pour cette transition sont ceux qui traitent l'analyse de la gouvernance des protocoles comme une fonction de conformité dès aujourd'hui, et non comme une considération future.

Source : Chainalysis