🚨 La lutte anti-blanchiment appliquée au paiement

Le GAFI : une norme sans force obligatoire

Le Groupe d'action financière (GAFI, Financial Action Task Force) est l'organisme intergouvernemental qui établit les normes internationales de lutte contre le blanchiment de capitaux et le financement du terrorisme. Il est né en juillet 1989 d'une décision du sommet du G7 de Paris. Son activité se répartit en trois fonctions, l'écriture des recommandations, l'évaluation des pays qui les transposent, et la tenue de deux listes publiques que consultent les directions conformité du monde entier. Le GAFI ne légifère pas. Aucun de ces trois actes n'a valeur de loi, et l'obligation juridique naît de la seule transposition par le législateur de chaque juridiction. Le corpus commande pourtant l'ouverture des comptes, le prix des corridors et le délai d'entrée en relation sur presque tous les marchés, parce que les établissements et leurs superviseurs s'y réfèrent comme au standard commun.

Le corpus tient en 40 recommandations, publiées en 1990 puis révisées en 1996 et en 2003. Il a absorbé en février 2012 les neuf recommandations spéciales sur le financement du terrorisme adoptées après 2001. Les deux séries forment depuis un texte unique. Une dizaine de ces recommandations gouvernent directement l'activité de paiement, au premier rang desquelles la vigilance à l'égard de la clientèle, les virements électroniques et la déclaration des opérations suspectes. Les autres visent le droit pénal, la coopération judiciaire internationale et les professions non financières.

Les deux listes, et ce qu'elles font au prix d'un corridor

Le GAFI publie deux listes de juridictions à l'issue de chaque plénière, en février, juin et octobre. La première rassemble les juridictions à haut risque faisant l'objet d'un appel à l'action, que l'usage nomme liste noire. La seconde recense les juridictions sous surveillance renforcée, la liste grise, dont le gouvernement s'est engagé sur un plan d'action daté. Ni l'une ni l'autre ne crée d'interdiction directe, faute pour le GAFI de disposer d'un pouvoir contraignant sur les établissements. Leurs effets sont pourtant immédiats. Ils passent par les décisions que prennent les banques et les superviseurs qui les lisent, et portent sur les comptes ouverts comme sur le prix des opérations.

Une inscription sur la liste grise ne ferme aucun compte par elle-même. Elle déplace vers l'établissement concerné la charge de démontrer qu'il maîtrise ses flux. La banque correspondante réclame alors davantage de pièces, exige une gouvernance documentée et facture l'écart de travail qui en résulte. La liste de février 2026 comprend deux juridictions dont la situation intéresse directement le paiement européen. La Bulgarie est un État membre de l'Union, et Monaco participe au SEPA. L'appartenance à un espace réglementaire intégré ne préjuge donc pas de la notation du GAFI. Celle-ci porte sur le dispositif national lui-même, sur ses textes comme sur les résultats qu'il obtient.

• Le délai d'entrée en relation passe de quelques semaines à plusieurs mois pour un établissement dont le siège ou les flux touchent une juridiction listée.
• Le questionnaire correspondant s'alourdit : le CBDDQ du groupe Wolfsberg, standard de place depuis 2018, devient la pièce minimale attendue.
• Le prix du corridor monte, parce que le correspondant répercute son coût de vigilance sur des volumes qui restent faibles.
• Les sorties de liste comptent autant que les entrées : le GAFI a retiré le Burkina Faso, le Mozambique, le Nigeria et l'Afrique du Sud en octobre 2025, et les Émirats arabes unis en février 2024.
• Les entrées récentes de février 2026 visent le Koweït et la Papouasie-Nouvelle-Guinée.

La travel rule appliquée au virement

La travel rule désigne l'obligation, pour chaque établissement de la chaîne, de transmettre avec le paiement les données d'identification du donneur d'ordre et du bénéficiaire. La recommandation 16 la codifie et exige que ces données voyagent d'un bout à l'autre de la chaîne. Elle descend de la recommandation spéciale VII de 2001, intégrée au corpus lors de la refonte de 2012. Le mécanisme répond à une propriété du virement transfrontalier. Celui-ci traverse des intermédiaires qui ne connaissent ni le payeur ni le payé, et aucun d'eux ne peut cribler une information qu'il n'a pas reçue.

<CdtTrfTxInf>
  <PmtId>
    <EndToEndId>INV-2026-004821</EndToEndId>
    <UETR>4c8a1f70-2b1e-4c9a-9d33-7b0e5a1c8f42</UETR>
  </PmtId>
  <IntrBkSttlmAmt Ccy="USD">18500.00</IntrBkSttlmAmt>

  <Dbtr>                            <!-- donneur d'ordre -->
    <Nm>NOVA TEXTILES LIMITED</Nm>
    <PstlAdr>                       <!-- adresse STRUCTUREE, pas du texte libre -->
      <StrtNm>Jalan Sudirman</StrtNm>
      <BldgNb>52</BldgNb>
      <TwnNm>Jakarta</TwnNm>
      <Ctry>ID</Ctry>
    </PstlAdr>
    <Id><OrgId><LEI>529900T8BM49AURSDO55</LEI></OrgId></Id>
  </Dbtr>
  <DbtrAcct><Id><Othr><Id>0123456789</Id></Othr></Id></DbtrAcct>
  <DbtrAgt><FinInstnId><BICFI>BMRIIDJAXXX</BICFI></FinInstnId></DbtrAgt>

  <Cdtr>                            <!-- beneficiaire -->
    <Nm>ATLAS IMPORT GMBH</Nm>
    <PstlAdr><TwnNm>Hamburg</TwnNm><Ctry>DE</Ctry></PstlAdr>
  </Cdtr>
  <CdtrAcct><Id><IBAN>DE89370400440532013000</IBAN></Id></CdtrAcct>
</CdtTrfTxInf>

La travel rule appliquée aux crypto-actifs

Les prestataires de services sur actifs virtuels sont les entités qui, pour le compte de tiers, échangent, transfèrent ou conservent des actifs virtuels. En juin 2019, le GAFI leur a étendu la recommandation 15 et les a soumis aux obligations qui pèsent sur les institutions financières. Un transfert de jetons entre deux plateformes doit depuis lors transporter les mêmes données qu'un virement bancaire, alors que le protocole sous-jacent ne prévoit aucun champ pour les porter. Le secteur a donc construit une couche de messagerie hors chaîne, qui circule en parallèle du registre et rattache à chaque transfert l'identité des deux parties.

• Le périmètre du prestataire : échange entre monnaie légale et actif virtuel, échange entre actifs virtuels, transfert, conservation pour compte de tiers, services financiers liés à l'émission ou à la vente.
• Le standard de données : IVMS 101, publié par l'InterVASP Messaging Standards Group, normalise la représentation des identités échangées entre prestataires.
• Le transport : plusieurs protocoles concurrents coexistent, sans interopérabilité garantie entre eux, ce qui reste le point faible du dispositif.
• Les portefeuilles auto-hébergés : dans l'Union, un transfert vers ou depuis une adresse auto-hébergée au-delà de 1 000 EUR oblige le prestataire à vérifier que le client en est bien le titulaire.
• Le contrôle des adresses : l'analyse de chaîne remplace en partie la surveillance transactionnelle classique, avec ses propres limites sur les protocoles d'anonymisation.

Le principal angle mort du dispositif tient à la géographie de l'usage. Tether USDT, premier rail stablecoin par l'usage réel, sert de dollar de substitution dans les économies soumises au contrôle des changes ou à une forte inflation. Cet usage court de la Turquie à l'Argentine, du Nigeria à l'Asie du Sud-Est. Sa capitalisation dépasse 183 Md USD (CoinGecko, fin juillet 2026). Il n'est pas conforme à MiCA, et les plateformes desservant l'Union l'ont retiré de leur offre. Le rail fonctionne hors de ces plateformes. La mise en conformité d'un marché déplace donc les transferts hors du périmètre surveillé, au lieu de les supprimer.

La déclaration de soupçon selon les marchés

La déclaration de soupçon est l'acte par lequel un établissement assujetti signale à la cellule de renseignement financier de son pays une opération qu'il soupçonne d'être liée à une infraction. La recommandation 20 impose de déclarer, sans délai, toute opération soupçonnée de porter le produit d'une infraction ou de financer le terrorisme. Aucun seuil de montant ne s'applique, et les tentatives comptent autant que les opérations exécutées. La recommandation 21 complète le dispositif par deux règles indissociables, l'immunité du déclarant de bonne foi et l'interdiction absolue d'informer le client.

Les cellules communiquent entre elles par le groupe Egmont, constitué en 1995 au palais d'Egmont à Bruxelles et fort de plus de cent soixante-dix membres. Son réseau chiffré, l'Egmont Secure Web, transporte leurs demandes d'entraide. L'accès en est réservé aux cellules elles-mêmes, à l'exclusion des établissements assujettis. Un prestataire de paiement n'en subit les effets que lorsque son superviseur ou sa banque lui transmet une demande d'information portant sur un client ou sur une opération.

La qualité des déclarations est le point faible reconnu du système. Un établissement qui redoute la sanction déclare par précaution, et le volume de signalements sans élément exploitable augmente d'autant pour la cellule destinataire. Le Bank Policy Institute a mesuré en 2020 que les autorités américaines ne donnaient suite, en médiane, qu'à 4 % des déclarations. Le nombre de déclarations déposées ne renseigne donc pas sur l'efficacité du dispositif qui les produit. Un superviseur examine plutôt le taux de conversion des alertes en déclarations, la motivation écrite des classements sans suite et le délai entre la détection et le dépôt.

Le de-risking et ses effets sur les corridors

Le de-risking désigne la rupture ou le refus en bloc de relations d'affaires, par catégorie entière de clients ou de pays, au lieu d'une gestion du risque au cas par cas. La pratique prend deux formes courantes. Une banque ferme les comptes de tous les opérateurs de transfert de fonds, ou un correspondant abandonne l'ensemble d'une région. Le GAFI condamne ce comportement depuis 2014 et a ouvert en 2021 un chantier sur les conséquences non voulues de ses propres normes. Le nombre de relations de correspondance a continué de reculer après ces prises de position.

Le phénomène se mesure sur la correspondance bancaire, la couche de relations bilatérales qui rend possible tout paiement entre deux banques dépourvues de lien direct. Le Comité sur les paiements et les infrastructures de marché de la Banque des règlements internationaux en publie l'indicateur de référence. Celui-ci est construit à partir des messages Swift, sur mandat du Conseil de stabilité financière, et couvre plus de deux cents juridictions. Le réseau se contracte et se concentre depuis le début des années 2010. Chaque relation supprimée allonge la chaîne d'intermédiaires nécessaire pour atteindre une destination. Le coût de cette chaîne se répercute sur les corridors dont les volumes sont trop faibles pour l'absorber.

• Documenter son appétit au risque par pays, par activité et par canal, et savoir le présenter. Une politique écrite, datée et approuvée par l'organe de direction, est opposable au superviseur comme au correspondant, ce qu'une décision improvisée devant un comité de crédit ne sera jamais.
• Renseigner le CBDDQ du groupe Wolfsberg avant qu'on le demande. Le document est devenu la porte d'entrée de toute relation correspondante.
• Sécuriser un accès de repli au règlement : CENTROlink, opéré par la Banque de Lituanie depuis 2016, donne aux établissements de paiement et de monnaie électronique un accès direct au SEPA sans banque de parrainage.
• Surveiller la concentration : dépendre d'un correspondant unique sur un corridor expose à une fermeture unilatérale, sans préavis utile.
• Anticiper les revues de portefeuille déclenchées par une inscription sur liste grise, y compris lorsque l'établissement n'a qu'une exposition indirecte au pays visé.

La surveillance des transactions

La surveillance des transactions est le contrôle exercé sur les opérations déjà exécutées, destiné à repérer celles qui s'écartent du comportement attendu d'un client. Elle se distingue de deux dispositifs voisins avec lesquels elle est régulièrement mêlée, y compris dans des cahiers des charges. Le criblage des sanctions intervient avant l'exécution et bloque l'opération, la surveillance des transactions détecte après coup, et la vigilance à l'entrée en relation constitue le dossier du client à l'ouverture du compte. La confusion coûte cher, parce que le régime juridique et la tolérance à l'erreur diffèrent d'un dispositif à l'autre.

SCENARIO  ST-014  "structuring / fractionnement"
PERIMETRE comptes de paiement particuliers, anciennete < 180 jours

DECLENCHEMENT
  nb_operations_entrantes(fenetre = 10 jours) >= 5
  ET chaque montant compris entre 0,80 x SEUIL et 0,99 x SEUIL
  ET somme_cumulee > 3 x SEUIL
  ET nb_contreparties_distinctes >= 3

ENRICHISSEMENT AUTOMATIQUE
  + pays de la contrepartie present sur liste GAFI  -> score +30
  + compte credite puis vide a > 90 % sous 48 h     -> score +40
  + adresse IP differente du pays declare           -> score +10

SORTIE
  score >= 60  -> alerte niveau 2, delai de traitement 5 jours ouvres
  score <  60  -> alerte niveau 1, classement motive obligatoire

REGLAGE   seuils revus chaque semestre, ecarts justifies par ecrit,
          jeu de test rejoue avant toute mise en production

Deux marchés illustrent la réponse réglementaire apportée à ce déplacement du contrôle vers l'amont. En Chine, NetsUnion Clearing Corporation impose depuis juin 2018 que tous les paiements en ligne des institutions non bancaires transitent par lui, au lieu d'emprunter des connexions directes aux banques. La banque centrale dispose depuis lors d'une vue centralisée des flux d'Alipay et de Tenpay. Elle a placé les trois entités sous supervision LCB-FT directe en 2025. En Inde, la Reserve Bank of India a durci en 2025 l'enrôlement des opérateurs de l'Aadhaar Enabled Payment System, rail d'inclusion rurale devenu un vecteur de fraude documenté.

• La gouvernance des modèles se contrôle autant que leur performance : qui valide un seuil, sur quelles données, avec quelle revue indépendante.
• Le réglage se justifie par écrit. Relever un seuil pour réduire le volume d'alertes sans analyse documentée est le grief le plus fréquent en inspection.
• La couverture des typologies se démontre : chaque risque identifié dans la cartographie doit correspondre à au moins un scénario actif.
• L'exhaustivité des données prime sur la sophistication du moteur. Un canal non raccordé au moteur est un angle mort intégral.
• Le criblage des noms exige un traitement de la translittération et des alphabets non latins, sans quoi le taux de détection réel s'effondre précisément sur les corridors où les noms de clients ne s'écrivent pas en alphabet latin.

Ce que le dispositif coûte, et ce qui se sanctionne

La sanction LCB-FT est la mesure prononcée contre un établissement par un superviseur ou par une autorité judiciaire, au titre des manquements constatés à ses obligations de vigilance, de surveillance et de déclaration. Son ordre de grandeur est sans équivalent parmi les amendes du paiement. Les montants se comptent en milliards, la décision s'accompagne parfois d'un plaider coupable, et certaines mesures plafonnent la croissance de l'établissement pendant des années. Le tableau ci-dessous ne recense que des décisions publiques. Le grief y porte rarement sur un blanchiment prouvé et vise le plus souvent la défaillance du dispositif de contrôle lui-même.

Le coût courant du dispositif ne tient pas à ces sanctions. Il se répartit entre trois postes, les fonctions nommément désignées, les logiciels tiers et la production d'une piste d'audit. Le responsable LCB-FT engage sa responsabilité personnelle dans la plupart des régimes, et la décision de déclarer y reste nominative. Les outils de criblage et de surveillance se facturent au client actif ou à la transaction, et leur réglage mobilise davantage de temps que leur installation. L'audit externe conditionne le maintien de la relation bancaire autant que l'agrément.

• Cartographie des risques documentée par activité, canal, produit, clientèle et zone géographique, et révisée à chaque changement de périmètre.
• Politiques et procédures approuvées par l'organe de direction, avec des seuils chiffrés et des délais de traitement opposables.
• Dispositif de vigilance proportionné, incluant un régime simplifié pour les comptes de bas montant. Le Daviplata colombien, dépôt de bas montant lancé en 2011, a servi de gabarit réglementaire à toute la zone andine.
• Criblage et surveillance raccordés à l'intégralité des canaux, avec un inventaire des scénarios actifs et de leur justification.
• Déclaration et conservation : circuit interne d'escalade, formulation neutre pour le client, archivage de cinq ans au minimum.
• Formation et contrôle indépendant : plan annuel par population exposée, et audit périodique dont les conclusions remontent au conseil.

Une voie d'évolution est explorée du côté de l'infrastructure de paiement. Project Mandala a testé l'encodage des contrôles réglementaires dans le protocole de paiement lui-même, de sorte que la vérification s'exécute avant le transfert. Le pôle d'innovation de la Banque des règlements internationaux l'a mené avec la Reserve Bank of Australia, la Bank of Korea, Bank Negara Malaysia et la Monetary Authority of Singapore. L'expérience part du constat que le frein du paiement transfrontalier tient à la conformité et non à la technologie de transfert.