Que doit contenir un programme de lutte contre le blanchiment (LBC) pour une entreprise crypto ?

1. D'abord l'évaluation des risques

Le GAFI exige une approche fondée sur les risques (Recommandation 1). L'évaluation des risques à l'échelle de l'entreprise identifie les risques par type de client, zone géographique, produits (conservation, swaps, privacy coins, accès à la DeFi), canaux de distribution et exposition on-chain, évalue les contrôles en place et fixe l'appétence au risque. Mettez-la à jour au moins une fois par an et à chaque changement de l'activité. La notation des risques clients applique ensuite les mêmes critères à chaque relation.

2. Vigilance à l'égard de la clientèle

La vigilance à l'égard de la clientèle (Recommandation 10) consiste à identifier et vérifier le client, identifier les bénéficiaires effectifs des sociétés, comprendre le but de la relation et la surveiller dans la durée. Une vigilance renforcée s'applique aux risques plus élevés : personnes politiquement exposées (Recommandation 12), pays à haut risque, structures complexes et flux importants ou inhabituels, pour lesquels l'origine des fonds et l'origine du patrimoine doivent être documentées. Les règles nationales fixent des détails tels que les documents acceptés ou, en Suisse, les formulaires utilisés pour établir les ayants droit économiques.

3. Surveillance, sanctions et Travel Rule

• Surveillance des transactions : KYT on-chain sur les dépôts et les retraits, plus surveillance comportementale du compte, avec des règles documentées et un traitement des alertes.
• Filtrage des sanctions des clients et des adresses de portefeuille lors de l'onboarding et de manière continue, au regard des listes qui vous sont applicables et de celles qu'attendent vos banques et contreparties.
• Procédures Travel Rule (Recommandation 16), y compris la vigilance à l'égard des contreparties et les contrôles des portefeuilles auto-hébergés.

4. Communications et conservation des documents

Le personnel a besoin d'une voie claire pour signaler les activités inhabituelles, et le responsable de la conformité décide s'il y a lieu de transmettre une communication de soupçon à la cellule de renseignement financier (Recommandation 20), par exemple le MROS en Suisse ou l'UIF en Italie. Les documents relatifs à l'identification, aux transactions et aux analyses doivent être conservés au moins cinq ans selon le standard du GAFI (Recommandation 11) ; certains pays exigent davantage, comme dix ans en Suisse.

5. Gouvernance, formation et audit indépendant

Le conseil d'administration ou la direction approuve le programme et reçoit des rapports réguliers (Recommandation 18). Tout le personnel reçoit une formation adaptée à sa fonction, avec des attestations de participation. L'externalisation à des prestataires de KYC ou d'analyse est autorisée, mais la responsabilité reste à l'entreprise. Un audit indépendant teste le programme, et les auditeurs cherchent des preuves : des dossiers montrant que les procédures ont été appliquées, des alertes clôturées avec motifs et une évaluation des risques qui correspond à la clientèle réelle. Un programme type sans ces preuves est le constat le plus fréquent.

Comment Advisorn vous aide

Advisorn rédige des politiques LBC, des évaluations des risques et des procédures fondées sur les standards du GAFI et adaptées à votre activité et aux pays où vous opérez. Advisorn examine aussi les programmes existants avant les audits, les demandes d'autorisation ou la due diligence des banques.