Points clés à retenir.
- Champ d’application étendu : les prestataires de services sur actifs numériques (PSAN) rejoignent officiellement la liste des entités soumises aux obligations LCB-FT (lutte contre le blanchiment des capitaux et le financement du terrorisme).
- Déclenchement du délai de déclaration : les huit jours courent dès le moment où l’opération apparaît suspecte, et non à la date de l’alerte interne.
- Intelligence artificielle encouragée : l’ACPR et Tracfin recommandent l’IA pour segmenter les risques, hiérarchiser les alertes et affiner la connaissance client.
- COSI réécrites : seuils, calendrier et modalités d’envoi sont précisés ; la plate-forme Ermes devient incontournable.
1. Genèse et valeur normative des nouvelles lignes directrices.
Les lignes directrices conjointes publiées le 23 avril 2025 remplacent le référentiel de 2018 et incorporent :
- l’ordonnance 2020-115 du 12 février 2020, l’arrêté du 6 janvier 2021 et leurs textes d’application ;
- la jurisprudence de la Commission des sanctions de l’ACPR et du Conseil d’État, dont les décisions 2019-02 et 2023-06 [1] ;
- les standards du GAFI (Le Groupe d’action financière) de mars 2023.
Ces textes sont interprétatifs : ils n’ont pas la force d’un règlement, mais l’ACPR les applique comme référence lors des contrôles et procédures de sanction. Toute déviation doit donc être explicitement motivée et documentée dans le plan de conformité interne.
2. Extension aux PSAN : obligations et bonnes pratiques.
2.1 Cartographie des risques spécifique.
Les PSAN doivent analyser :
- volatilité des actifs et anonymat partiel (mixers, chain-hopping) ;
- exposition aux « dark pools » et marchés décentralisés ;
- provenance des adresses publiques (screening blockchain).
Chaque segment client-produit-canal reçoit une notation : faible, modéré, élevé, critique. Cette hiérarchisation détermine les seuils d’alerte et la profondeur de la vigilance.
2.2 Vigilance continue (articles L561-6 et R 561-12 CMF).
- Revue mensuelle automatique des portefeuilles à risque élevé.
- Vérification documentaire renforcée lorsque les flux dépassent les seuils internes ou proviennent de mixers.
- Conservation des traces (hash, adresse, horodatage) pendant cinq ans.
2.3 Déclaration de soupçon et COSI.
- Déclaration de soupçon (DS) : déclenchée si un transfert traverse un mixer réputé ou si une adresse figure sur la liste OFAC.
- Communication systématique d’informations (COSI) : émission ou réception supérieure à 1 000 € en une seule opération crypto-fiat ou 2 000 € cumulés sur trente jours.
- Envoi via Ermes dans les huit jours calendaires suivant le constat de suspicion.
3. Détection des opérations atypiques.
La procédure s’enchaîne en sept jalons :
- Collecte : agrégation en temps réel des données KYC et transactionnelles.
- Scénarisation : paramétrage d’alertes fondé sur les typologies Tracfin et le retour d’expérience interne.
- Enrichissement : croisement avec les listes d’adresses blockchain, les sanctions internationales, les bases bénéficiaires effectifs.
- Scoring algorithmique : attribution d’un indice de risque dynamique ; c’est ici que l’IA intervient (réseaux de neurones, graphes relationnels).
- Revue humaine : l’analyste confirme ou invalide l’alerte, explique son raisonnement et joint les pièces justificatives.
- Arbitrage : décision hiérarchique - désescalade, DS ou COSI.
- Archivage : conservation de l’intégralité du chemin de décision (logs, captures, mémo) pour faciliter l’audit ACPR.
4. Intelligence artificielle et obligation de maîtrise.
4.1 Pourquoi l’IA est encouragée.
- Volume : plusieurs millions d’opérations par jour exigent un filtrage automatisé.
- Complexité : les schémas d’empilement de structures (trusts, shell companies) requièrent une lecture graphée.
- Réactivité : l’IA réduit le délai entre l’opération suspecte et la déclaration.
4.2 Deux garde-fous réglementaires.
- Principe d’explicabilité : la direction doit être capable de justifier chaque décision automatisée, en conformité avec l’article 13 RGPD.
- Contrôle humain ultime : la signature de la DS reste de la responsabilité d’un membre habilité, en application de l’article R561-38 CMF.
4.3 Gouvernance algorithmique minimale.
- Document de politique IA (versioning, hyper-paramètres, jeux de données d’entraînement).
- Comité d’éthique interne : revue trimestrielle des faux positifs/négatifs.
- Tests de robustesse avant mise en production et après chaque patch majeur.
5. Déclaration de soupçon.
Pour sécuriser vos procédures, retenez cinq « D » :
- Déclencheur : date à laquelle l’opération devient suspecte.
- Délai : huit jours calendaires, prorogés uniquement si la cellule interne d’investigation justifie un besoin complémentaire de données.
- Données : identité complète, bénéficiaire effectif, nature, montant, justification des fonds et analyse motivée.
- Dépôt : plate-forme Ermes, signature du déclarant dûment habilité.
- Durée de conservation : cinq ans ; dix ans si la DS est suivie d’une enquête pénale [2].
Omettre le bénéficiaire effectif ou mentionner un « virement exceptionnel » sans détailler l’origine des fonds conduit quasi systématiquement à un blâme de l’ACPR.
6. COSI : obligations pratiques.
Une COSI se distingue de la DS : elle n’est pas fondée sur un soupçon subjectif mais sur un seuil quantitatif. Les nouvelles lignes directrices imposent :
- transmission en J+15 au plus tard ;
- contenu identique à la DS, à l’exception de l’analyse de soupçon ;
- archivage similaire.
Si l’opération déclenchante révèle également un doute (ex. cash structuring via plusieurs retraits de 9 000 € chacun), la DS doit accompagner la COSI, sous deux flux Ermes distincts.
7. Dispositif interne, contrôle permanent et audit.
7.1 Organisation minimale.
- Responsable conformité LCB-FT : niveau exécutif, accès direct au conseil.
- Comité LCB-FT mensuel : analyse des alertes majeures, suivi des KPI (taux de faux positifs, délais moyens, volumétrie d’alertes).
- Formation obligatoire : initiale à l’embauche et annuelle pour tous les collaborateurs.
7.2 Externalisation.
Tout prestataire réalisant un filtrage transactionnel pour le compte de l’assujetti doit :
- héberger les données en Europe, sauf clause de transfert conforme RGPD ;
- se soumettre à un audit annuel de sécurité ;
- garantir la réversibilité dans un format exploitable par l’assujetti (CSV, JSON horodaté).
8. Sanctions ACPR récentes : enseignements clés.
- 2023-02 : 3 M€ d’amende pour DS tardive malgré système d’alerte performant ; le motif incriminé : absence de suivi post-alerte.
- 2022-06 : 1,5 M€ pour défaut de traçabilité documentaire ; la banque n’avait pas conservé l’argumentaire d’un classement sans suite.
- 2021-03 : 5 M€ contre un prestataire de paiement pour défaut de paramétrage ; 88% de ses flux passaient hors scénarios.
Tendance constante : l’ACPR sanctionne plus sévèrement le non-respect des fondamentaux documentaires que la rare erreur d’analyse.
9. Conseils stratégiques aux dirigeants d’établissement.
- Réviser la cartographie des risques tous les douze mois, ou dès qu’un nouvel écosystème (NFT, play-to-earn, métavers) apparaît.
- Tester l’IA en bac à sable avant implémentation ; mesurer le taux de faux positifs cible (idéalement < 30%).
- Mettre en place un « sas urgence » : en cas de suspicion grave (terrorisme, financement d’armes), transmission en 24h.
- Sceller la documentation via horodatage blockchain ; cette preuve inviolable est appréciée des inspecteurs.
- Sensibiliser les administrateurs : responsabilité pénale personnelle possible en cas d’aveuglement volontaire [3].
10. Évolutions européennes et zones de vigilance.
Le Paquet Blanchiment (AMLD 6, règlement AMLA) prévoit :
- un superviseur européen direct pour les entités systémiques ;
- un registre unique des bénéficiaires effectifs ;
- l’interdiction des paiements anonymes au-delà de 3 000 € sur les « crypto-cartes ».
La centralisation des données et l’usage massif d’IA posent des défis : biais algorithmiques, sécurité des bases ; la CNIL rappelle l’exigence de « privacy by design » - minimisation, pseudonymisation, traçabilité.
Les lignes directrices 2025 consolident la culture française de LCB-FT : traçabilité intégrale, cycles de décision rapides, gouvernance algorithmique contrôlée. Les entités qui transformeront ces obligations en levier organisationnel - via l’intelligence artificielle explicable, la digitalisation des preuves et un pilotage par indicateurs - renforceront leur résilience et leur crédibilité. À défaut, la sanction financière n’est plus l’exception ; elle devient la norme.
