La surveillance continue comble l'écart de risque après le criblage AML crypto

Un criblage AML crypto vous donne un score de risque à un moment donné. Ce score peut être précis, défendable et complètement inutile six mois plus tard si le portefeuille que vous avez approuvé a depuis transféré des fonds via un marché du darknet. La nouvelle capacité de surveillance continue d'Elliptic est conçue pour combler exactement cet écart : elle surveille les portefeuilles et les transactions inscrits pour détecter les événements susceptibles de modifier un résultat de criblage, réexécute une évaluation complète selon les règles de risque configurées par l'entreprise, et envoie des alertes ciblées sans submerger les analystes de bruit. Pour les équipes de conformité, les auditeurs et les directeurs financiers qui s'appuient sur des logiciels de comptabilité crypto pour maintenir un enregistrement vérifiable du risque de contrepartie, les implications sont significatives.

Le problème du criblage crypto ponctuel

Le criblage ponctuel est la norme de l'industrie pour une raison pratique : il est rapide, il produit un résultat et il satisfait une case à cocher lors de l'intégration. La difficulté est que le risque crypto ne reste pas statique.

Comment les scores obsolètes s'accumulent silencieusement

Considérons le scénario qu'Elliptic utilise pour illustrer le problème. Un portefeuille est criblé à l'intégration et obtient un score de 0,5 sur 10. Aucune exposition significative, autorisé à transiger. Des mois plus tard, ces fonds sont transférés vers un marché du darknet. Rien n'allait pas avec le criblage initial ; le portefeuille a simplement changé. Il est maintenant à 10 sur 10. Mais à moins qu'un membre de l'équipe de conformité ne le re-crible manuellement, le seul nombre visible dans le système est toujours 0,5. L'équipe continue de traiter une contrepartie à haut risque comme une contrepartie propre.

Ce n'est pas un cas marginal. C'est une lacune structurelle dans tout flux de travail qui repose uniquement sur des vérifications au moment de l'intégration. La combler manuellement nécessiterait de re-cribler chaque entité inscrite à plusieurs reprises, ce qui n'est pas extensible pour toute entreprise traitant des volumes de transactions importants. L'écart augmente avec la taille du portefeuille.

Pourquoi les approches de surveillance existantes sont insuffisantes

Les solutions antérieures à ce problème ont tendance à échouer dans l'une de deux directions. La surveillance basée sur les étiquettes surveille les changements dans les désignations attachées aux adresses connues et déclenche une alerte lorsqu'une étiquette change. La limitation est que le risque peut arriver sans qu'aucune étiquette ne change du tout : une nouvelle transaction ou une nouvelle connexion à un acteur illicite auparavant non lié ne modifiera pas l'étiquette d'une adresse, donc la surveillance reste silencieuse pendant que l'exposition fraîche s'accumule.

Le mode de défaillance opposé est le sur-alerte : envoyer une notification à chaque changement d'étiquette, matériel ou non, sans mécanisme pour filtrer ce qui compte vraiment pour une entreprise spécifique. Les analystes de conformité déjà surchargés signalent être submergés par des notifications sans véritable signal. Lorsque chaque alerte se ressemble, les plus importantes sont enterrées.

Comment fonctionne la surveillance continue

L'approche d'Elliptic est structurée autour de trois étapes séquentielles, superposées à une base de re-criblage planifiée.

Étape une : détection large des événements

Le système surveille les criblages inscrits pour les événements spécifiques capables de modifier un résultat de criblage. Cela inclut une nouvelle étiquette ou une étiquette modifiée sur une adresse ou une contrepartie criblée, et des changements dans les clusters auxquels une adresse appartient. Chaque événement qualifiant déclenche un re-criblage. Elliptic décrit cela comme l'ensemble de détection d'événements le plus large actuellement disponible sur le marché, s'appuyant sur des données d'attribution que l'entreprise affine depuis 2013.

Étape deux : re-criblage complet selon les règles de risque configurées

Lorsqu'un événement est détecté, le système n'applique pas un modèle de risque générique. Il exécute un criblage complet selon les règles de risque configurées par l'entreprise. Parce que ces règles peuvent être mises à jour sans soumettre un ticket de support, la capacité de surveillance évolue avec l'appétit pour le risque de l'organisation. Une entreprise qui resserre ses seuils d'exposition pour les mélangeurs, par exemple, verra ce resserrement reflété automatiquement dans le prochain re-criblage.

Étape trois : notification ciblée

Les alertes sont envoyées par webhook ou Slack, et uniquement lorsqu'un changement de risque franchit les critères définis par l'entreprise. Les déclencheurs configurables incluent un dépassement de seuil de score, un changement du score de risque absolu, une règle de risque déclenchée ou une source de criblage spécifique. Le résultat est que les analystes reçoivent des notifications calibrées selon leurs propres définitions d'un changement matériel, plutôt qu'un flux brut de chaque événement détecté par le système.

La couche de re-criblage planifié

En plus de la détection pilotée par les événements, la surveillance continue re-crible également chaque portefeuille et transaction inscrits selon un calendrier régulier, chaque vérification étant un recalcul complet plutôt qu'une mise à jour incrémentale. Les deux couches sont complémentaires : la détection d'événements capture le changement au moment où il se produit, tandis que le cycle planifié garantit que rien ne dérive sans être remarqué sur une période plus longue. Elliptic présente cette conception à double couche comme la surveillance des risques la plus complète actuellement disponible dans ses solutions.

Qui cela affecte et comment

Elliptic identifie plusieurs cas d'utilisation distincts, chacun avec une pression de conformité différente que la surveillance continue aborde différemment.

Processeurs de transactions à haut volume

Les entreprises traitant de grands volumes de criblages sensibles au temps doivent réagir dès qu'une entité approuvée devient risquée. Le re-criblage manuel à ce volume n'est pas opérationnellement viable. La surveillance continue maintient le risque à jour sans examen manuel, et les webhooks configurables acheminent uniquement les changements qui répondent aux seuils de l'entreprise dans son flux de travail de gestion des cas, réduisant la charge de triage sur les analystes.

Petites équipes de conformité avec obligations d'audit

Les équipes avec une capacité d'analystes limitée font face à une tension spécifique : elles sont censées maintenir une surveillance continue et vérifiable mais n'ont pas l'effectif pour effectuer des revérifications manuelles à intervalles réguliers. La surveillance continue couvre la fenêtre entre les examens planifiés tout en maintenant un volume d'alertes suffisamment faible pour être gérable. La piste de preuves vérifiable qu'elle produit est directement pertinente pour les examens réglementaires, car les régulateurs attendent de plus en plus que les entreprises démontrent non seulement qu'un criblage a été effectué à l'intégration, mais que l'évaluation des risques est restée à jour tout au long de la relation.

Opérations de paiement et de règlement

Pour les opérations qui doivent maintenir les approbations de paiement rapides sans manquer les risques sur les entrées et sorties de fonds, des seuils de risque configurables peuvent prendre en charge des décisions d'approbation plus rapides tout en générant des enregistrements vérifiables pour les résultats de retenue ou de rejet. Cela importe pour les directeurs financiers qui supervisent les opérations de trésorerie impliquant des actifs numériques : la capacité de montrer à un régulateur le score de risque précis et la règle qui a déclenché une décision est un atout de conformité matériel.

Surveillance de l'écosystème et des contreparties

Les entreprises qui doivent surveiller un large ensemble d'adresses et de contreparties de l'écosystème, comme les échanges qui suivent le comportement des grands fournisseurs de liquidité, peuvent le faire sans re-cribler manuellement les entités connues. La surveillance continue maintient une image précise de l'exposition au risque à mesure que le réseau autour d'une contrepartie change.

Implications comptables et d'audit

D'un point de vue comptable et d'audit, le passage d'une surveillance périodique à une surveillance continue a des conséquences pratiques qui vont au-delà de la fonction de conformité. Les entreprises qui utilisent les rapports de conformité crypto dans le cadre de leur cadre plus large de contrôles financiers doivent considérer comment les données de criblage AML obsolètes interagissent avec leurs livres.

Intégrité de la piste d'audit

Un auditeur examinant les procédures AML d'une entreprise demandera si l'évaluation des risques d'une contrepartie était à jour au moment où une transaction a été approuvée. Un score ponctuel qui était précis à l'intégration mais n'a jamais été actualisé n'est pas une réponse satisfaisante si le profil de risque de la contrepartie a changé matériellement entre les deux dates. La surveillance continue génère un enregistrement horodaté et référencé par règle de chaque re-criblage, ce qui est exactement la preuve dont un auditeur ou un régulateur a besoin pour évaluer si une décision a été prise sur des informations solides.

Calculs de provision et d'exposition

Pour les entreprises qui détiennent des actifs numériques à leur bilan et utilisent des classifications de risque pour éclairer les décisions de provision, une lacune de surveillance peut signifier que les expositions à haut risque restent classées à des niveaux de risque plus faibles plus longtemps qu'elles ne le devraient. Cela a des implications pour toute entreprise utilisant un logiciel de comptabilité crypto pour maintenir des registres d'actifs numériques précis : les données de risque alimentant la classification doivent être aussi à jour que les données de prix. Un score obsolète est aussi problématique qu'une valorisation obsolète.

Attentes réglementaires et règle de voyage

Les régulateurs de plusieurs juridictions, y compris les États membres du GAFI et ceux mettant en œuvre MiCA dans l'UE, attendent de plus en plus que les prestataires de services d'actifs virtuels démontrent une surveillance continue, pas seulement des vérifications à l'intégration. La règle de voyage complique cela : les entreprises doivent cribler les informations sur le donneur d'ordre et le bénéficiaire au moment du transfert, mais le profil de risque de la contrepartie entre les transferts compte également. La surveillance continue aborde directement la fenêtre entre les transferts. Pour le contexte sur l'environnement réglementaire plus large qui façonne ces attentes, voir notre couverture des changements de politique crypto mondiaux qui ont façonné les priorités de conformité au T2 2026.

Il est également utile de placer ce développement aux côtés des capacités qui distinguent les programmes AML efficaces des exercices de cases à cocher. Notre analyse précédente des huit capacités qui détectent réellement le blanchiment d'argent dans les logiciels AML crypto a identifié le re-criblage en temps réel et les règles de risque configurables comme deux des fonctionnalités les plus significatives sur le plan opérationnel. La surveillance continue offre les deux dans un flux de travail unique.

Ce que les équipes de conformité devraient faire maintenant

Indépendamment du fait qu'une entreprise adopte cet outil spécifique, le lancement de la surveillance continue soulève une question que chaque équipe de conformité devrait pouvoir répondre : qu'advient-il d'un criblage approuvé entre maintenant et la prochaine fois qu'il sera examiné manuellement ?

Évaluer l'écart actuel

Les responsables de la conformité devraient cartographier le cycle de vie d'un criblage typique dans leur flux de travail actuel. Quand un portefeuille ou une contrepartie est-il criblé pour la première fois ? Qu'est-ce qui déclenche un re-criblage manuel ? Quel est l'intervalle réaliste entre les re-criblages pour la majeure partie du portefeuille ? Si la réponse honnête est que la plupart des entités ne sont re-criblées que lorsqu'elles apparaissent dans une transaction, l'écart est réel et croissant.

Examiner les attentes réglementaires

Les entreprises opérant sous licence dans des juridictions avec des programmes de supervision actifs, y compris le cadre VARA des Émirats arabes unis, l'UE sous MiCA, et les régimes conformes au GAFI ailleurs, devraient vérifier si leur fréquence de surveillance actuelle répond aux attentes déclarées du régulateur. Lorsque les directives mentionnent une surveillance continue, une approche purement périodique peut être insuffisante, en particulier si l'entreprise traite des types d'actifs à haut risque ou des catégories de contreparties.

Évaluer la configuration de l'outil

Pour les entreprises utilisant déjà des outils de criblage automatisés, la question est de savoir si ces outils peuvent distinguer les changements de risque matériels des immatériels. Un flux d'alertes qui ne peut pas être filtré selon les propres règles de risque de l'entreprise crée son propre problème de conformité : les analystes qui apprennent à ignorer les alertes à volume élevé peuvent manquer celles qui comptent. Toute évaluation de la capacité de surveillance devrait inclure un examen de la façon dont les seuils d'alerte sont configurés et qui a l'autorité de les ajuster.

Questions fréquemment posées

Quelle est la différence entre le criblage ponctuel et la surveillance continue ?

Le criblage ponctuel évalue le risque d'un portefeuille ou d'une transaction au moment où la vérification est effectuée. La surveillance continue surveille les entités inscrites après la vérification initiale et les re-crible automatiquement lorsque des événements se produisent qui pourraient modifier le résultat, comme de nouveaux liens de transaction ou des changements d'association de cluster. Le premier vous donne un instantané ; le second maintient cet instantané à jour.

Pourquoi le risque crypto change-t-il après un criblage initial ?

L'activité de la blockchain est continue. Un portefeuille qui n'avait aucune exposition à des acteurs illicites à l'intégration peut recevoir ou envoyer des fonds liés à des marchés du darknet, des entités sanctionnées ou des stratagèmes de fraude des jours ou des mois plus tard. Parce que la blockchain est publique et que chaque transaction est permanente, le profil de risque d'une adresse est une cible mobile, pas un attribut fixe.

Quelles preuves la surveillance continue automatisée produit-elle pour les auditeurs et les régulateurs ?

Un système de surveillance continue bien conçu génère un enregistrement horodaté de chaque re-criblage, le score de risque produit, la règle ou le seuil spécifique qui a déclenché une alerte, et l'action prise. Cette chaîne de preuves permet aux auditeurs et aux régulateurs d'évaluer si les décisions d'une entreprise étaient basées sur des données de risque actuelles plutôt que sur des résultats d'intégration obsolètes. C'est une preuve matériellement plus solide qu'un seul enregistrement de criblage à l'intégration.

Comment cela se rapporte-t-il aux logiciels de comptabilité d'actifs numériques et aux rapports financiers ?

Les logiciels de comptabilité d'actifs numériques enregistrent les soldes, les valorisations et les historiques de transaction. Les données de surveillance AML alimentent la classification des risques qui sous-tend les décisions de provision et d'exposition aux contreparties. Si la classification des risques est basée sur un criblage obsolète, les rapports financiers construits dessus peuvent ne pas refléter la véritable exposition au risque de l'entreprise. La surveillance continue maintient les données de risque qui éclairent les classifications comptables aussi à jour que les données de valorisation.

Quels cadres réglementaires exigent une surveillance AML continue plutôt que de simples vérifications à l'intégration ?

La recommandation 10 du GAFI sur la diligence raisonnable à l'égard de la clientèle exige explicitement une surveillance continue de la relation d'affaires, y compris l'examen des transactions pour s'assurer qu'elles sont cohérentes avec la connaissance qu'a l'institution du client et de son profil de risque. Les dispositions AML de MiCA, le règlement de l'UE sur le transfert de fonds et les mises en œuvre nationales dans les États membres du GAFI portent la même attente. Les directives spécifiques à la juridiction sur la fréquence et la profondeur varient, donc les entreprises devraient vérifier les règles applicables à leur type de licence et aux catégories d'actifs qu'elles traitent.

Source : Elliptic