« Je n'ai rien fait, pourquoi mon compte a-t-il été signalé ? » Ce guide explique, au niveau où le secteur opère réellement, les quatre catégories de signaux de surveillance AML que toute institution régulée doit suivre — structuration, écart par rapport à la ligne de base, correspondance de typologies et screening d'adresses on-chain — et pourquoi un signal déclenche un examen, pas un verdict.
Le précédent volet de cette série exposait les quatre grandes catégories qui peuvent conduire au blocage d'un compte actif : surveillance des schémas transactionnels, screening d'adresses on-chain, signalements de tiers et déclencheurs de protection côté utilisateur. La première catégorie est celle sur laquelle les utilisateurs posent le plus de questions, généralement sous une forme ou une autre de « je n'ai rien fait, pourquoi mon compte a-t-il été signalé ? ». Ce guide répond à cette question au niveau où le secteur opère réellement. Il décrit les catégories de signaux que les institutions financières régulées sont tenues de surveiller. Il ne décrit pas les règles internes d'une plateforme particulière, Bitbase comprise.
Qui définit le « suspect »
« Suspect » n'est pas une étiquette qu'une plateforme d'échange invente de son côté. C'est une catégorie définie par les cadres internationaux de lutte contre le blanchiment et rafraîchie en continu par des rapports publics.
L'histoire institutionnelle suit trois jalons. Le Bank Secrecy Act américain de 1970 a introduit les Currency Transaction Reports (« CTR ») : la première obligation fédérale de déclarer les opérations en espèces au-dessus d'un seuil, et la première reconnaissance officielle qu'un comportement conçu pour contourner ce seuil constituait lui-même un signal. Le Groupe d'action financière (« GAFI »), créé à Paris en 1989 par le G7, publie depuis lors des rapports de typologies récurrents : des catalogues fondés sur des cas décrivant comment le blanchiment, le financement du terrorisme et les abus voisins apparaissent réellement dans les systèmes financiers. Après 2013, la méthodologie d'analyse de la blockchain est apparue comme une troisième couche, appliquant la reconnaissance de schémas par adresse aux données des registres publics.
La plupart des institutions financières régulées — banques, courtiers, transmetteurs de fonds, plateformes crypto — convergent vers des dimensions de surveillance très semblables. La raison est structurelle : elles répondent au même corpus de normes internationales. Les recommandations 10 (vigilance à l'égard de la clientèle), 11 (conservation des documents) et 20 (déclaration des opérations suspectes) du GAFI en forment la colonne vertébrale commune.
Une note de vocabulaire avant les catégories. Les praticiens de l'AML appellent les signaux de surveillance des « indicateurs d'alerte » : des schémas observables qui méritent un examen supplémentaire, non des constats de faute. Ce guide emploie « signal » en ce sens tout du long.
Signal de type un — la structuration
La structuration est le signal AML de manuel. Le concept précède la crypto de plusieurs décennies. Dans sa forme originelle, à l'époque du BSA, structurer voulait dire découper un gros dépôt en espèces en plusieurs plus petits, chacun juste sous le seuil déclenchant un CTR, afin d'échapper à l'obligation de déclaration. Le droit américain traite la structuration comme une infraction distincte depuis 1986, quand le 31 U.S.C. § 5324 — une disposition du Bank Secrecy Act — en a fait une.
Si ce schéma est signalé avec autant de constance, c'est qu'il peut être observé sans le moindre accès à l'intention du client. Un système de surveillance n'a pas besoin de savoir pourquoi les transactions ont cette taille. Il lui suffit d'observer qu'elles se placent systématiquement juste sous les seuils de déclaration, qu'elles arrivent en grappes inhabituelles ou qu'elles se répartissent entre comptes d'une manière qui ressemble statistiquement davantage à une structuration d'évitement qu'à une activité commerciale normale.
En crypto, la structuration a ses variantes. Découper un gros transfert en plusieurs transferts plus petits vers ou depuis la même contrepartie. Faire transiter des montants similaires par plusieurs comptes à des noms différents. Des transactions de test de faible montant immédiatement suivies d'une grosse, dans une séquence qui reproduit des scripts de blanchiment connus. Les Orientations actualisées du GAFI pour une approche fondée sur les risques appliquée aux actifs virtuels et aux VASP (juin 2019, révisées en octobre 2021) nomment ces schémas dans leur catalogue de typologies.
Deux caractéristiques de la structuration en tant que signal. D'abord, ce qui est surveillé, c'est le schéma, pas une transaction isolée. Une transaction unique sous n'importe quel seuil n'a rien de remarquable. C'est la forme d'une séquence qui s'enregistre. Ensuite, l'apparence de surface d'une structuration n'implique pas à elle seule une intention illicite : beaucoup de comportements légitimes — paiements récurrents à des fournisseurs pour des montants standardisés, cycles de paie, découpage routinier d'abonnements — peuvent produire des ressemblances de surface. C'est précisément pour cela que le signal déclenche un examen et non une conclusion.
Signal de type deux — écart par rapport à la ligne de base
Chaque compte établit une ligne de base comportementale à mesure qu'il est utilisé. Les dimensions sont familières à quiconque a lu un relevé bancaire : sources de financement habituelles, contreparties habituelles, catégories d'actifs habituelles, tailles de transaction habituelles, horaires habituels. La ligne de base elle-même n'est pas communiquée au titulaire du compte et, pour les besoins de la surveillance, elle n'a pas à l'être.
Quand l'activité s'écarte de cette ligne de base au-delà de ce qu'expliquerait une variation normale, le compte entre en examen. Les écarts qui attirent souvent l'attention relèvent de plusieurs schémas : une hausse d'un ordre de grandeur des tailles de transaction ; un glissement des sources de financement, de canaux établis vers des canaux nouveaux ; de nouvelles contreparties concentrées dans des zones géographiques à risque plus élevé. Les changements rapides de composition d'actifs s'enregistrent aussi — par exemple un compte qui a longtemps traité de grandes capitalisations et qui enchaîne soudain une série de jetons à faible liquidité. De même pour des transactions regroupées à des heures inhabituelles par rapport au rythme établi du compte.
La ligne de base n'est pas punitive par conception. Sa fonction est l'inverse : elle fournit l'étalon de comparaison qui permet au système de traiter l'activité normale comme normale, plutôt que de considérer chaque transaction comme méritant par défaut une vérification. Le coût de cette approche, c'est que tout écart suffisamment marqué par rapport à la ligne de base, même avec une explication anodine, s'enregistre comme un signal.
En pratique, des événements de vie parfaitement explicables peuvent produire des écarts de ligne de base. Hériter de fonds, vendre une entreprise, toucher une grosse prime, entamer une nouvelle stratégie d'investissement ou simplement reprendre une activité après une longue dormance : tout cela peut apparaître comme une déviation. Le système de surveillance n'a pas accès à la raison sous-jacente. Il enregistre la forme du changement. La vérification, apportée par l'utilisateur pendant l'examen, est le mécanisme par lequel l'explication entre au dossier.
Le cadrage : un écart par rapport à la ligne de base n'est pas un verdict indiquant qu'une chose cloche. C'est le système qui note que le tableau a changé et qu'un examinateur humain devrait y jeter un œil.
Signal de type trois — correspondance de typologies
Le GAFI et ses organismes régionaux publient des rapports de typologies sans interruption depuis les années 1990. Les cellules de renseignement financier nationales en font autant — FinCEN aux États-Unis, la FCA au Royaume-Uni, AUSTRAC en Australie, et d'autres. Ces rapports sont des catalogues fondés sur des cas, décrivant comment des schémas d'abus précis se sont manifestés dans des affaires observées : fraude par prise de contrôle de compte, chaînes d'empilage dans les opérations de blanchiment, scénarios de manipulation de marché, flux de paiement de rançongiciels, méthodes de contournement des sanctions.
Les systèmes de surveillance utilisent ces typologies comme modèles de référence. Quand l'activité d'un compte présente assez de ressemblance avec une typologie connue — schémas de transaction, profils de contreparties, horaires et autres traits —, l'évaluation de similarité franchit un seuil et le compte entre en examen. C'est ce qu'on appelle la « correspondance de typologies ».
Deux caractéristiques comptent.
D'abord, la correspondance est probabiliste. Un système de surveillance ne déclare en aucun sens binaire qu'un compte « correspond » à un montage de blanchiment. Il produit une évaluation de similarité, qui peut être élevée, modérée ou faible. Les correspondances peu assurées doivent tout de même être examinées, car le coût d'un cas réel manqué dépasse celui d'un faux positif écarté. Cette asymétrie de coûts explique que la surveillance soit conçue pour être trop inclusive au stade du signal.
Ensuite, les typologies évoluent. De nouveaux schémas d'abus apparaissent, les anciens se transforment, le catalogue est révisé en continu. Un comportement de compte qui ne produisait aucune correspondance il y a six mois peut en produire une aujourd'hui, non parce que le compte a changé, mais parce que la bibliothèque de typologies s'est élargie à un schéma nouvellement identifié. C'est l'une des raisons pour lesquelles la surveillance est décrite comme continue plutôt que comme un contrôle à un instant donné.
Ce que la correspondance de typologies n'est pas : la constatation que le compte se livre à l'activité décrite par la typologie. C'est l'observation que la surface du comportement, sur les traits que le système sait mesurer, ressemble assez à un schéma connu pour mériter un regard humain plus attentif.
Signal de type quatre — screening d'adresses on-chain
Les trois premiers types de signaux lisent le comportement de l'utilisateur. Ce quatrième type lit autre chose : l'historique amont des fonds de l'utilisateur.
Les cadres publics d'analyse de blockchain — développés par des sociétés comme Chainalysis, Elliptic et TRM Labs depuis 2013 environ — maintiennent de vastes bibliothèques d'étiquettes de risque au niveau des adresses, tirées de données publiques on-chain, d'enquêtes publiques et de divulgations des autorités. Les catégories courantes comprennent : les adresses liées à des entités sanctionnées par l'OFAC ; les adresses exploitées par des mixeurs connus ; les adresses reliées à des exploits, des vols ou des paiements de rançongiciels publiquement attribués ; les adresses associées à des marchés du darknet ; les adresses impliquées dans des opérations d'escroquerie confirmées.
Quand des fonds arrivent sur un compte de plateforme depuis une adresse portant l'une de ces étiquettes, le compte destinataire peut entrer en examen indépendamment de la conduite de l'utilisateur. Dans le sens sortant, cela fonctionne pareil : une adresse de retrait correspondant à une étiquette de sanction ou de vol déclenche une attention comparable. Le règlement européen sur les transferts de fonds, entré en vigueur en même temps que MiCA, formalise une obligation parallèle pour les VASP d'échanger les informations sur le donneur d'ordre et le bénéficiaire pour les transferts au-dessus de seuils définis.
L'implication pour l'utilisateur, c'est que la provenance des fonds, et pas seulement leur destination, peut affecter le statut du compte. Un utilisateur ayant reçu un transfert dont l'historique amont lui était inconnu peut découvrir que le compte destinataire exige une vérification. C'est un trait structurel de la manière dont la transparence on-chain rencontre les obligations AML : la chaîne est publique, les étiquettes relèvent d'une méthodologie publique, et les institutions régulées sont tenues de lire les deux.
Comme pour les trois types de signaux précédents, une correspondance d'étiquette d'adresse est un déclencheur d'examen, pas une constatation. Beaucoup d'associations d'étiquettes se dénouent dès que l'utilisateur fournit des justificatifs sur l'origine des fonds.
Un signal n'est pas un verdict
Ce cadrage traverse toutes les sections qui précèdent.
Dans chacune des quatre catégories, l'action du système est la même : un signal déclenche une obligation d'examen. L'examen est mené par des humains, en général avec la coopération de l'utilisateur. On demande à l'utilisateur d'apporter du contexte : explications, justificatifs, pièces à l'appui. Le signal, l'explication de l'utilisateur et les faits objectifs dont dispose l'examinateur déterminent ensemble la suite.
Un signal, pris isolément, n'est pas la constatation qu'une chose cloche. C'est un drapeau qui mérite de l'attention. La plupart des signaux sont levés après examen. Une part plus faible conduit à des étapes supplémentaires, comme une vérification additionnelle ou des restrictions de compte. Dans les cas de soupçon d'abus grave, le renvoi aux autorités compétentes suit la voie définie par la loi. Aucune plateforme ne publie les proportions, car le faire annulerait la fonction de surveillance.
Pour un utilisateur dont le compte a été signalé, l'implication est directe. L'examen est une procédure. Coopérer aux demandes de vérification, fournir des justificatifs exacts et passer par les canaux officiels du service client sont les seules actions utiles. Il n'existe pas de voie plus rapide, pas d'interlocuteur avec qui négocier en interne, pas de technique pour effacer un signal. Le système est conçu pour peser des preuves. La réponse adaptée est de les fournir.
Ceci est le deuxième volet d'une série sur la manière dont les plateformes régulées gèrent les contrôles de compte — retrouvez d'autres articles de Bitbase Academy.
Articles associés
Autres articles Bitbase sur ce sujet :
- Courtier crypto ou plateforme d'échange : quelle différence ?
- Ratios de frais et modèles de conservation des ETF crypto
- Liquidité agrégée, inter-plateformes et cachée
Le contenu de ce guide (y compris, sans s'y limiter, les fonctionnalités du produit, les réseaux pris en charge, les structures de frais et les processus opérationnels) reflète l'état du système et les conditions générales du marché à la date de publication. Compte tenu de la volatilité des marchés d'actifs numériques et de l'évolution de l'environnement technique, Bitbase se réserve le droit d'optimiser ou d'ajuster à tout moment les paramètres ci-dessus. Les utilisateurs doivent considérer comme faisant foi les données en temps réel affichées sur le site officiel de Bitbase et dans l'interface d'exécution.
Ce guide n'est qu'un aperçu des fonctions du produit et des frais. Il ne constitue ni un conseil en investissement ni une offre juridique. Pour les paramètres qui touchent directement aux fonds (réseaux pris en charge, frais, montants minimums, délais de traitement), vérifiez l'information la plus à jour auprès du centre d'aide officiel de Bitbase avant d'exécuter la moindre transaction.
Avant d'utiliser Bitbase, les utilisateurs doivent lire et accepter les Conditions d'utilisation, la Déclaration de divulgation des risques et la Politique de confidentialité. Toutes les dispositions relatives aux droits des utilisateurs, à la sécurité des actifs, aux avertissements sur les risques et au règlement des litiges sont régies par les versions les plus récentes publiées sur le site officiel de Bitbase.
Bitbase opère selon des principes de conformité et de transparence du risque. Les utilisateurs de certaines juridictions peuvent être empêchés d'utiliser Bitbase ou certaines fonctionnalités en vertu de la réglementation locale. Bitbase conserve l'interprétation finale des restrictions juridictionnelles.
Les rapports de typologies du GAFI et les orientations réglementaires nationales sont mis à jour en continu. Cet article reflète les normes publiquement disponibles à la date de publication et ne constitue pas un conseil juridique.
Cet article décrit une méthodologie de surveillance sectorielle publiquement documentée. Il ne décrit pas les règles internes de surveillance d'une plateforme particulière.
