Rapport PPP du GAFI : les lacunes AML crypto que les entreprises doivent combler maintenant
Le Groupe d'action financière a publié en juillet 2026 son examen historique des partenariats public-privé (PPP) dans la lutte contre la criminalité financière, et la conclusion principale pour toute entreprise traitant des actifs numériques est inconfortable : le secteur des cryptoactifs reste sous-intégré dans les réseaux mêmes que les régulateurs et les forces de l'ordre considèrent désormais comme la première ligne de défense AML. Pour les cabinets comptables, les auditeurs et les directeurs financiers dont les clients touchent aux crypto, cette conclusion n'est pas une curiosité politique de fond. C'est un indicateur avancé de l'évolution des attentes de supervision.
Ce que le rapport du GAFI a réellement constaté
Le rapport du GAFI a recensé au moins 84 PPP opérant dans toutes les régions du monde, des arrangements par lesquels les gouvernements et les organisations du secteur privé partagent des informations et des capacités pour détecter et perturber la criminalité financière. Ce nombre semble substantiel. La qualité, cependant, varie énormément.
Un spectre allant du consultatif à l'opérationnel
Le GAFI décrit ces partenariats sur un spectre. À une extrémité se trouvent les forums consultatifs : des organes qui se réunissent périodiquement pour échanger des typologies, des données de tendances et des signaux d'alerte au niveau sectoriel. À l'autre extrémité se trouve la collaboration opérationnelle complète, où les analystes publics et privés travaillent sur des dossiers en direct contre des sujets nommés, et où la coopération traverse les frontières pour suivre les réseaux criminels entre les juridictions.
La conclusion franche du rapport est que la plupart des PPP se regroupent vers l'extrémité la moins profonde. Le travail plus approfondi au niveau des dossiers reste contraint par la législation sur la protection des données, les régimes de secret bancaire et l'incertitude juridique quant à l'autorité de partager des informations. Le secteur des cryptoactifs, en particulier, est identifié comme sous-intégré même dans ce paysage déjà limité.
Pourquoi les crypto sont à la traîne
Les raisons que le rapport soulève sont familières aux professionnels de la conformité : les typologies spécifiques aux crypto sont plus récentes et moins bien comprises par les agences ; les données blockchain nécessitent des capacités spécialisées que la plupart des organismes publics sont encore en train de construire ; et les portes juridiques qui permettent le partage de données personnelles ont été rédigées avant que les crypto ne soient un vecteur important de criminalité financière. L'écart entre où se trouve le secteur et où le GAFI veut qu'il soit est réel, et la direction du rapport est de le combler au cours des deux prochaines années.
Le Royaume-Uni comme cas de test opérationnel
Le GAFI reconnaît explicitement à la fois les structures permanentes et les exercices limités dans le temps comme des formes légitimes de PPP. Le Royaume-Uni opère déjà à l'extrémité la plus avancée et opérationnelle de ce spectre via la Crypto Cash Fusion Cell (CCFC), une initiative conjointe qui rassemble les forces de l'ordre, les régulateurs et les partenaires du secteur privé pour perturber l'utilisation criminelle des cryptoactifs.
Comment fonctionne la collaboration opérationnelle en pratique
Le modèle CCFC est instructif pour comprendre ce que le GAFI considère comme une bonne pratique. Plutôt que d'échanger des rapports ou d'assister à des forums, les analystes du secteur privé travaillaient directement aux côtés de leurs homologues des agences en temps réel. Cette proximité signifiait que les questions sur les données on-chain pouvaient être répondues le jour même, que des scripts analytiques pouvaient être construits et itérés immédiatement, et que les données de sanctions de l'OFSI pouvaient être croisées avec des renseignements blockchain sur des entités sanctionnées dans la même session. Un travail qui aurait auparavant pris des jours a été compressé en heures.
Le résultat de ce sprint particulier a été la production d'ordonnances de gel, un résultat d'application concret plutôt qu'une recommandation politique. C'est le changement que le GAFI dit vouloir que ses membres reproduisent : du forum consultatif à l'ordonnance de gel de portefeuille.
Pour les cabinets comptables conseillant des entreprises crypto réglementées, c'est un signal à classer soigneusement. La CCFC est décrite dans le rapport comme un projet pilote, non comme un organe permanent. La direction explicite est de rendre ce type de collaboration routinier. Lorsqu'il deviendra routinier, les entités réglementées qui y alimentent des données, y compris les prestataires de services sur actifs virtuels (VASP) et toute institution financière exposée aux crypto, seront confrontées à des attentes accrues en matière de qualité des données, de tenue de registres et de rapidité de surveillance des transactions.
Renforcement des capacités transfrontalières : essentiel mais sous-développé
Le rapport identifie le renforcement des capacités transfrontalières comme fondamental pour des PPP efficaces, mais simultanément comme l'une des formes de coopération les moins développées actuellement. Cette association est importante pour les entreprises mondiales.
Formation entre juridictions
Un exemple mis en avant par le rapport est la formation régionale dispensée à des agents des forces de l'ordre dans plusieurs pays d'Asie-Pacifique, réunissant des analystes de 11 juridictions pour comprendre comment les données blockchain peuvent exposer les écosystèmes de compounds d'escroquerie et tracer les flux de cryptoactifs jusqu'à des acteurs spécifiques au sein de ces réseaux. Le rapport du GAFI présente ce type de transfert de compétences transfrontalier comme à la fois essentiel et rare.
Pour les cabinets comptables ayant des clients opérant au Royaume-Uni, dans l'UE et au-delà, l'implication est que le plancher réglementaire monte activement dans les juridictions qui manquaient auparavant de capacité d'investigation blockchain. Un VASP ou une institution financière exposée aux crypto qui était satisfait de ses contrôles AML dans une juridiction à moindre capacité il y a deux ans pourrait voir ces mêmes contrôles soumis à un examen beaucoup plus strict à mesure que les agences locales développent leurs capacités grâce à ces programmes de formation PPP.
Protection des données comme architecture, pas obstacle
La tension autour du partage de données au cœur du rapport du GAFI mérite une attention particulière de la part des responsables de la conformité et des conseillers qui les servent. Plus de la moitié des juridictions interrogées par le GAFI ont cité les règles de protection des données comme leur principal obstacle au partage d'informations, le classant au-dessus du secret bancaire et des portes juridiques peu claires. Ce chiffre reflète un problème structurel réel, mais la conclusion du rapport est nuancée.
Concevoir pour la vie privée au sein des PPP
Les partenariats qui fonctionnent efficacement au niveau opérationnel ne traitent pas la protection des données comme un obstacle à contourner. Ils conçoivent leur architecture de partage d'informations pour s'y conformer dès le départ, en travaillant dans le cadre de portes juridiques établies, sous des contrôles d'accès basés sur le besoin de savoir, et avec des engagements de confidentialité qui régissent la manière dont les informations partagées peuvent être utilisées en aval.
Le renseignement blockchain est un candidat naturel pour ce modèle. Un volume significatif de travail analytique peut être réalisé en utilisant des données qui sont déjà publiques sur la chaîne avant que des informations personnelles ne soient échangées. La capacité à établir des connexions entre adresses de portefeuille, tracer les flux de transactions et cartographier les relations entre entités à partir de données de registre public signifie qu'une grande partie de l'image de renseignement peut être assemblée sans déclencher les obligations de protection des données qui s'appliqueraient au partage de données personnelles hors chaîne.
Pour les directeurs financiers et les responsables de la conformité, cela a une implication pratique directe. Lorsque votre organisation est impliquée dans un PPP, que ce soit par le biais d'une demande réglementaire, d'une liaison avec les forces de l'ordre ou d'un exercice conjoint de typologies, la base juridique de toute information que vous partagez aura de l'importance. Les entreprises qui ont déjà cartographié leurs portes juridiques pour le partage de données, documenté leurs contrôles d'accès basés sur le besoin de savoir et compris lesquels de leurs résultats analytiques proviennent de données blockchain publiques par rapport à des données personnelles seront dans une position bien plus forte que celles qui ne l'ont pas fait.
La présidence britannique du GAFI et la suite
Le moment de ce rapport n'est pas anodin. Le Royaume-Uni a assumé la présidence du GAFI le 1er juillet 2026, et le partage d'informations via les PPP est explicitement listé parmi les priorités déclarées de la présidence. La fraude, identifiée dans le rapport comme la menace qui stimule le plus rapidement la formation de nouveaux partenariats dans le monde, est un autre domaine prioritaire.
Implications pour les entreprises réglementées au Royaume-Uni et dans l'UE
La combinaison de la direction britannique du GAFI et d'un projet pilote opérationnel actif au sein de la CCFC signifie que les normes testées à Londres sont susceptibles d'informer les recommandations que le GAFI fera à l'ensemble de ses membres au cours des deux prochaines années. Les VASP réglementés au Royaume-Uni et les institutions financières exposées aux crypto opèrent, en effet, dans un terrain d'essai pour la prochaine génération d'attentes AML mondiales.
Les entreprises réglementées dans l'UE sont confrontées à une trajectoire parallèle. L'Autorité de lutte contre le blanchiment d'argent (AMLA) commence la supervision directe de certaines entités crypto à partir de 2025, et le paquet AML plus large de l'UE intègre des obligations de partage de données dans son architecture de supervision. L'accent mis par le rapport du GAFI sur la conception de PPP autour du droit de la protection des données plutôt qu'en dépit de celui-ci s'aligne étroitement avec la manière dont l'AMLA devrait aborder l'échange d'informations entre les superviseurs nationaux, les cellules de renseignement financier et les entités du secteur privé dans le nouveau cadre de l'UE.
Les entreprises utilisant un logiciel de comptabilité crypto pour tenir des registres de transactions doivent se demander si ces registres sont structurés de manière à soutenir un partage d'informations rapide et légalement conforme si un régulateur ou une force de l'ordre le demande. Une piste d'audit bien structurée, avec des adresses de portefeuille, des identifiants de contrepartie, des hash de transaction et des horodatages enregistrés de manière cohérente, n'est pas seulement une bonne pratique de tenue de livres, mais aussi la matière première de tout engagement PPP productif. Les entreprises qui s'appuient sur des registres fragmentés ou manuels auront du mal à répondre au rythme qu'impliquent désormais le modèle CCFC et la direction du rapport. Voir aussi notre note sur l'avertissement de la CSSF concernant les opérateurs crypto non agréés pour voir comment les lacunes réglementaires peuvent se cristalliser en mesures d'exécution sans avertissement.
Mesures pratiques pour les cabinets comptables et les directeurs financiers
Le rapport du GAFI ne crée pas de nouvelles obligations légales immédiates. Mais il cartographie la direction de la supervision avec une clarté inhabituelle, et les cabinets comptables conseillant des clients exposés aux crypto devraient aider ces clients à se préparer maintenant plutôt que de réagir plus tard.
Actions clés à entreprendre avant la fin de l'année
Premièrement, examinez la couverture de surveillance des transactions pour les cryptoactifs. Si la surveillance de votre client est calibrée uniquement pour les flux de paiement traditionnels, les typologies que le GAFI demande aux PPP de traiter, y compris les réseaux de compounds d'escroquerie, le contournement de sanctions et le layer transfrontalier, peuvent ne pas déclencher d'alertes.
Deuxièmement, cartographiez les portes juridiques disponibles pour le partage d'informations. Les entreprises opérant sous la FSMA du Royaume-Uni, les directives AML de l'UE, ou les deux, doivent savoir quelles portes existent, quelles conditions sont attachées à leur utilisation et quels membres du personnel ont l'autorité d'agir en conséquence. Cette cartographie doit être documentée avant qu'une demande n'arrive, pas pendant.
Troisièmement, évaluez la qualité des registres par rapport à la norme opérationnelle qu'implique le modèle CCFC. Si une demande arrivait demain pour toutes les transactions impliquant une contrepartie ou une adresse de portefeuille spécifique au cours des trois dernières années, votre équipe pourrait-elle produire ces données en quelques heures ? Si non, l'écart entre votre structure de registre actuelle et la norme implicite vaut la peine d'être comblé maintenant.
Quatrièmement, engagez-vous avec le paquet MiCA et AML de l'UE sur les obligations de données. Les obligations de licence MiCA pour les dépositaires de crypto intègrent déjà des attentes en matière de tenue de registres et de reporting qui chevauchent significativement ce qu'une participation efficace aux PPP exige. Traiter ces éléments comme un seul exercice de conformité plutôt que comme des flux de travail séparés réduit les doublons et construit un environnement de contrôle plus cohérent.
Questions fréquemment posées
Qu'est-ce que le rapport PPP du GAFI et pourquoi est-il important pour les entreprises crypto ?
Le GAFI a publié en juillet 2026 son examen des partenariats public-privé dans la lutte contre la criminalité financière. Il recense 84 partenariats dans le monde et identifie le secteur des cryptoactifs comme sous-intégré dans ces réseaux. Le rapport est important car il indique où vont les attentes de supervision pour les VASP et les institutions financières exposées aux crypto au cours des deux prochaines années.
Qu'est-ce que la Crypto Cash Fusion Cell et qu'a-t-elle produit ?
La CCFC est une initiative britannique qui rassemble les forces de l'ordre, les régulateurs et les partenaires du secteur privé pour perturber l'utilisation criminelle des cryptoactifs. Dans au moins un exercice limité dans le temps, les participants de la CCFC ont croisé les données de sanctions de l'OFSI avec des renseignements blockchain sur des entités sanctionnées, tracé les transactions jusqu'à des échanges réglementés au Royaume-Uni et produit des ordonnances de gel comme résultat d'application concret.
Comment le droit de la protection des données affecte-t-il le partage d'informations crypto dans les PPP ?
Plus de la moitié des juridictions interrogées par le GAFI ont cité les règles de protection des données comme leur principal obstacle au partage. Le rapport conclut que les PPP efficaces conçoivent leur architecture pour se conformer au droit de la vie privée dès le départ, en travaillant dans le cadre de portes juridiques et de contrôles d'accès. Le renseignement blockchain dérivé de données publiques on-chain peut souvent être partagé avant que des obligations de données personnelles ne soient déclenchées, ce qui en fait un candidat naturel pour un échange d'informations PPP conforme.
Que signifie la présidence britannique du GAFI pour les calendriers de conformité ?
Le Royaume-Uni a assumé la présidence du GAFI le 1er juillet 2026 avec les PPP et la fraude parmi ses priorités déclarées. Les normes testées via des initiatives britanniques comme la CCFC sont susceptibles d'informer les recommandations du GAFI à l'ensemble de ses membres pendant la période de présidence, établissant ainsi la référence par rapport à laquelle les autres juridictions seront mesurées.
Quels changements de tenue de registres les entreprises devraient-elles apporter en réponse à ce rapport ?
Les entreprises doivent s'assurer que les registres de transactions incluent les adresses de portefeuille, les identifiants de contrepartie, les hash de transaction et les horodatages dans un format structuré et consultable. Un logiciel de comptabilité d'actifs numériques qui capture ces données de manière cohérente permet de répondre aux demandes réglementaires ou des forces de l'ordre au rythme qu'impliquent désormais les PPP opérationnels. Des registres manuels ou fragmentés créent à la fois un risque de conformité et une exposition réputationnelle si une demande ne peut être satisfaite rapidement.
Source : Elliptic