Mise à jour 2026 du GAFI sur les actifs virtuels : que doivent retenir les équipes de conformité des fournisseurs de services d’actifs virtuels ?

La septième mise à jour ciblée du FATF sur les actifs virtuels, publiée le 16 juillet 2026, indique que les règles applicables aux entreprises de cryptomonnaies existent largement sur le papier mais restent peu appliquées. La plupart des juridictions ont adopté une législation Travel Rule, mais moins de la moitié ont pris des mesures de supervision ou d’exécution. Le rapport identifie quatre risques croissants : les stablecoins, les transferts de pair à pair par des portefeuilles non hébergés, les PSAV offshore et la finance décentralisée.

Pour un VASP Pour les équipes de conformité, la partie la plus utile est la liste des recommandations destinées au secteur privé. Elles sont précises : examiner les portefeuilles numériques, pouvoir les bloquer et les geler, appliquer une vigilance accrue aux activités à haut risque des portefeuilles non hébergés et surveiller de près les comptes susceptibles d’être des plateformes offshore se faisant passer pour des clients particuliers. La suite de cet article présente les conclusions du rapport et traduit ces recommandations en actions concrètes à mettre en œuvre.

Qu'a révélé la mise à jour de 2026 ?

Le rapport ( FATF , 16 juillet 2026 (s’ouvre dans un nouvel onglet) ) combine les évaluations mutuelles avec une enquête auprès des juridictions. Les chiffres ci-dessous en sont extraits.

Une juridiction demeure pleinement conforme à la règle R.15, comme en 2025. FATF L'amélioration est qualifiée de « modeste » et son propre résumé est sans détour : des lacunes importantes subsistent quant à la transformation des évaluations des risques en mesures d'atténuation, à la mise en œuvre concrète des licences et à l'identification des personnes qui gèrent ces systèmes. VASP entreprises sans licence.

Deux autres constats se dégagent :

• L'application de la règle relative aux voyages est rare. Sur les 91 juridictions dotées d'une législation sur cette règle, 55 n'avaient pas encore publié de conclusions, de directives ou de mesures d'application visant à garantir son respect (paragraphe 25). Le rapport indique que près de la moitié des juridictions concernées sont concernées ; le paragraphe 25 en donne le nombre.

• L’interdiction se développe, mais n’est pas appliquée. 23 % des répondants interdisent désormais les fournisseurs de services à valeur ajoutée (PSVA), contre 11 % en 2023. FATF affirme que les juridictions qui empruntent cette voie « n’ont pas progressé dans la mise en œuvre de mesures de surveillance ou d’application de la loi » et que les interdictions non appliquées « peuvent représenter des risques importants ».

Quels sont les risques liés au FATF disent qu'ils sont en croissance ?

Stablecoins conçus pour résister au gel

Le rapport décrit un conglomérat de services financiers qui a lancé un stablecoin indexé sur le dollar « présenté comme étant à l'abri du gel des actifs », après qu'un autre émetteur en ait gelé un. USD 29 millions de personnes y sont liées. FATF La conclusion de [référence manquante] est essentielle pour les fournisseurs de services d'actifs virtuels (PSAV) : les entités assujetties « pourraient ne pas être en mesure de se fier aux mécanismes de gel/destruction d'actifs au niveau de l'émetteur comme garantie de conformité ». Si vos contrôles partent du principe que l'émetteur peut toujours récupérer les actifs, cette hypothèse mérite d'être réexaminée.

Transferts de pair à pair via des portefeuilles non hébergés

Parmi les juridictions ayant évalué le risque, 88 % (58 sur 66) ont attribué la note « élevée ». P2P Ces transactions sont considérées comme à haut risque. Le rapport souligne que ces transferts s'effectuent sans intermédiaire réglementé, de sorte qu'aucune entité assujettie ne dépose de déclaration d'opération suspecte à leur sujet. VASP Le risque survient lorsque les fonds provenant de ces chaînes atteignent l'adresse de dépôt d'un client.

Fournisseurs de services d'actifs virtuels offshore, y compris les comptes imbriqués

Le rapport décrit des plateformes offshore qui démarchant des clients sans autorisation, conseillant parfois aux utilisateurs d'utiliser des VPN ou fournissant de fausses informations. Il décrit également une pratique similaire : des fournisseurs de services d'actifs virtuels (PSAV) offshore se faisant passer délibérément pour des particuliers lors de l'ouverture de comptes auprès de PSAV et d'établissements financiers agréés, puis traitant des volumes de transactions bien supérieurs à ceux d'un client particulier classique.

Finance décentralisée

Seuls 18 % des répondants (26 sur 142) ont évalué les risques liés à la DeFi. Quatre juridictions ont imposé des exigences d'agrément ou d'enregistrement aux dispositifs DeFi, et deux ont effectivement délivré un agrément ou un enregistrement. La séance plénière de juin 2026 a approuvé un rapport spécifique consacré (s’ouvre dans un nouvel onglet) aux défis réglementaires posés par la DeFi.

Que signifie le FATF que demander aux VASP ?

Les recommandations du rapport destinées au secteur privé (recommandations 5 et 6) se traduisent par une liste de contrôle pratique.

En quoi cela modifierait-il un véritable ensemble de contrôle ?

Prenons l'exemple d'une transaction effectuée avec des clients au Nigéria et au Kenya.

Un compte de détail se comporte comme une plateforme. Un client, initialement inscrit comme trader individuel, commence à recevoir des dépôts provenant de centaines d'adresses différentes et à effectuer des retraits consolidés vers un petit nombre d'adresses de bourse à l'étranger. C'est ce modèle offshore imbriqué que décrit le rapport. Une règle de surveillance portant sur de nombreuses contreparties entrantes distinctes, combinée à un volume d'échanges bien supérieur au profil déclaré, devrait attirer l'attention d'un analyste sur ce compte. Il pourrait en résulter une demande de documents commerciaux et une requalification en compte professionnel. KYB , ou une sortie.

Retrait vers un portefeuille auto-hébergé. Un client demande le retrait d'une somme importante vers une nouvelle adresse dont il affirme être le contrôle. Le rapport exige une vigilance accrue concernant les activités non hébergées à haut risque. Concrètement, cela peut impliquer la vérification de l'adresse, la demande au client de prouver qu'il en a le contrôle et la mise en attente des premiers retraits importants pour examen. Certaines juridictions ont également des règles spécifiques en la matière ; le règlement européen sur les transferts de fonds, par exemple, exige une évaluation de la propriété ou du contrôle. EUR 1 000. Les exigences varient selon la juridiction, et cet article fournit des informations générales et ne constitue pas un avis juridique.

Contrepartie VASP Dans une juridiction où la règle relative aux déplacements de fonds n'est pas appliquée, les chiffres de l'enquête indiquent que de nombreuses contreparties sont situées dans des pays où cette règle existe, mais où sa conformité n'est vérifiée par aucun contrôle. Le statut d'agrément d'une contrepartie ne garantit pas sa capacité à recevoir et à protéger les informations relatives à l'émetteur et au bénéficiaire. Il est donc essentiel de poser ces questions lors de vos vérifications préalables.

Où se trouve Toden ajuster?

Deux éléments de la liste de contrôle sont couverts par des produits disponibles aujourd'hui.

Le dépistage de la liste de surveillance comprend un WALLET Type de contrôle. Les adresses de portefeuille associées à un client sont comparées aux données des portefeuilles sanctionnés, vérifiées à nouveau régulièrement et immédiatement en cas de modification de l'ensemble des adresses ( documentation relative au contrôle (s’ouvre dans un nouvel onglet) ). Les portefeuilles sont considérés comme des attributs de risque du client, et non comme des clés d'identité, car les adresses partagées et les adresses de conservation risqueraient sinon de fusionner des personnes sans lien entre elles.

La surveillance des transactions évalue les événements en temps réel selon des règles telles que la vélocité, le nombre de contreparties entrantes distinctes, les mouvements rapides et le transit, et vous permet de rédiger vos propres règles sous forme de données sans déploiement.

Le filtrage des portefeuilles vérifie les adresses par rapport à des listes. Il ne s'agit pas d'une analyse de la blockchain et il ne retrace pas l'exposition via les sauts intermédiaires ; il complète donc, plutôt qu'il ne remplace, l'analyse de la blockchain. FATF Concernant la règle relative aux voyages, nous développons actuellement cette fonctionnalité dans l'espace de travail dédié aux cryptomonnaies et aux règles relatives aux voyages ; n'hésitez pas à nous faire part de vos besoins plutôt que de supposer que l'échange de contreparties est disponible.

Que devrait être un VASP L'équipe de conformité fait-elle cela ce trimestre ?

• Ajoutez les stablecoins, les portefeuilles non hébergés, les VASP offshore et la DeFi comme sections nommées dans votre évaluation des risques à l'échelle de l'entreprise, avec votre propre exposition pour chacun.

• Testez la rapidité avec laquelle vous pouvez bloquer une adresse et geler les fonds d'un client après une nouvelle désignation. Visez quelques heures.

• Établissez des déclencheurs de diligence raisonnable renforcée pour l'activité des portefeuilles non hébergés : premier retrait vers une nouvelle adresse, flux importants ou fréquents, allers-retours rapides.

• Examinez les comptes de détail dont les volumes ou le nombre de contreparties semblent institutionnels.

• Cessez de considérer la capacité d'un émetteur à geler un stablecoin comme un moyen de contrôle.

• Gardez le rapport à portée de main : il servira de référence à votre supérieur. Les chiffres présentés ici ont été vérifiés par rapport au rapport du 27 septembre 2026.