Déclaration de soupçon (SAR) : comment fonctionne le dépôt

Une déclaration de soupçon, appelée suspicious activity report (SAR) aux États-Unis, est un signalement confidentiel qu'une banque, une plateforme d'échange crypto ou une autre entreprise régulée adresse aux autorités lorsqu'elle sait ou soupçonne qu'une transaction est liée au blanchiment d'argent, au financement du terrorisme ou à une autre infraction. Aux États-Unis, une plateforme crypto enregistrée comme money services business doit déposer un SAR pour toute transaction suspecte de 2 000 USD ou plus dans un délai de 30 jours calendaires à compter de la première détection des faits, en vertu du 31 CFR 1022.320.

Hors des États-Unis, on parle généralement de déclaration de transaction suspecte (suspicious transaction report, STR), transmise à la cellule de renseignement financier (CRF) nationale. Ce guide présente les règles aux États-Unis, dans l'UE et au Royaume-Uni, la manière dont une équipe conformité prépare un SAR, les raisons pour lesquelles le client n'est jamais informé, et ce que cela signifie si votre propre compte est concerné.

SAR, STR : ce que recouvrent ces termes

La norme mondiale est la Recommandation 20 du GAFI : si une institution financière « suspecte, ou a des motifs raisonnables de suspecter, que des fonds sont le produit d'une activité criminelle ou ont un rapport avec le financement du terrorisme », la loi doit l'obliger à déclarer rapidement ses soupçons à la CRF. La note interprétative précise que toutes les transactions suspectes, y compris les tentatives, doivent être déclarées « quel que soit le montant de la transaction ». Le GAFI applique la même obligation aux prestataires de services sur actifs virtuels ; voir qu'est-ce qu'un VASP.

Les pays emploient des termes différents. Les États-Unis et le Royaume-Uni parlent de suspicious activity report ; l'UE et le GAFI parlent de déclaration de transaction suspecte ou de « déclaration de soupçons ». Le principe est identique : une entreprise régulée transmet son soupçon, faits à l'appui, à une autorité capable d'enquêter.

Un SAR n'est ni une accusation ni une inculpation. C'est du renseignement. La plupart n'entraînent jamais aucune mesure contre le client.

Règles américaines sur les SAR pour les entreprises crypto

Les lignes directrices de 2019 du FinCEN traitent les plateformes d'échange crypto et les fournisseurs de wallets hébergés comme des money transmitters, une catégorie de money services business (MSB). Ils relèvent donc de la règle SAR applicable aux MSB, le 31 CFR 1022.320. Une transaction doit être déclarée si elle est effectuée ou tentée par l'intermédiaire du MSB, porte sur au moins 2 000 USD (seule ou cumulée) et que le MSB sait, soupçonne ou a des raisons de soupçonner qu'elle :

• implique des fonds issus d'une activité illégale, ou vise à cacher ou déguiser de tels fonds ;
• est conçue, par fractionnement ou par d'autres moyens, pour contourner les exigences du Bank Secrecy Act ;
• n'a aucune finalité commerciale ou licite apparente, sans explication raisonnable après examen des faits ; ou
• implique l'utilisation du MSB pour faciliter une activité criminelle.

Délais et obligations clés :

• 30 jours calendaires à compter de la détection initiale des faits pour déposer la déclaration.
• Appel téléphonique immédiat aux forces de l'ordre, en plus du SAR, pour les infractions nécessitant une attention urgente, comme un schéma de blanchiment en cours.
• Cinq ans de conservation du SAR et de ses pièces justificatives.
• Déclaration volontaire autorisée sous le seuil ou lorsque la déclaration n'est pas obligatoire.

Les banques suivent une règle parallèle, le 31 CFR 1020.320, avec un seuil de 5 000 USD. Une banque qui n'a pas identifié de suspect peut disposer de 30 jours supplémentaires, mais ne doit jamais déclarer plus de 60 jours après la détection initiale.

Règles de l'UE et du Royaume-Uni

Union européenne. Aujourd'hui, l'obligation figure à l'article 33 de la directive anti-blanchiment (UE) 2015/849, telle que transposée dans chaque État membre. À partir du 10 juillet 2027, elle passe dans le règlement AML (UE) 2024/1624, directement applicable, qui range les prestataires de services sur crypto-actifs parmi les entités assujetties. Son article 69 impose aux entreprises de déclarer rapidement à la CRF, « quel que soit le montant concerné », y compris les tentatives de transaction et les soupçons nés de l'impossibilité de mener à bien la vigilance à l'égard de la clientèle. Les entreprises doivent répondre aux demandes complémentaires de la CRF sous 5 jours ouvrables, délai que la CRF peut raccourcir en cas d'urgence, jusqu'à moins de 24 heures si nécessaire. L'article 71 impose de suspendre une transaction suspecte jusqu'à sa déclaration ; l'entreprise peut ensuite l'exécuter, après évaluation du risque, si la CRF ne donne pas d'instruction contraire dans un délai de 3 jours ouvrables.

Royaume-Uni. Les SAR sont adressés à la UK Financial Intelligence Unit (UKFIU), rattachée à la National Crime Agency, qui indique recevoir plus de 850 000 SAR par an. Les entreprises régulées qui omettent de déclarer lorsqu'elles y sont tenues peuvent être poursuivies en vertu des sections 330 à 331 du Proceeds of Crime Act 2002, avec des peines sur acte d'accusation pouvant aller jusqu'à cinq ans d'emprisonnement, une amende, ou les deux. Les entreprises britanniques peuvent aussi demander une « defence against money laundering » (DAML) avant de réaliser une transaction suspecte, ce qui ouvre un délai de préavis de 7 jours ouvrables.

Comment un SAR est déposé, étape par étape

Au sein d'une plateforme d'échange crypto, un SAR est généralement l'aboutissement d'un processus :

1. Alerte. Une règle de surveillance des transactions, un résultat d'analyse on-chain, une correspondance sanctions ou médias défavorables, ou un signalement d'un collaborateur fait remonter une activité.
2. Enquête. Un analyste examine le profil du client, ses revenus déclarés, son historique et ses contreparties, et peut lui demander des documents. Aux États-Unis, le délai de 30 jours court à partir du moment où l'entreprise détecte des faits susceptibles de justifier un SAR, et non au déclenchement de l'alerte.
3. Décision. L'analyste ou un responsable décide si le soupçon est levé ou doit être déclaré, et consigne son raisonnement dans les deux cas.
4. Exposé des faits. La déclaration explique qui, quoi, quand, où et pourquoi l'activité est suspecte, avec les adresses de wallet et les hashs de transaction pour la crypto.
5. Dépôt. Le SAR est transmis au FinCEN via son système de déclaration dédié, au SAR Portal de l'UKFIU ou au système de la CRF nationale.
6. Suivi. L'entreprise décide de restreindre la relation, de poursuivre la surveillance ou d'y mettre fin, et répond aux demandes des autorités.

Une grande partie de ce travail passe désormais par des outils de gestion des dossiers. Le logiciel de surveillance des transactions d'iDenfy, par exemple, combine règles de vélocité et filtrage sanctions, PEP et médias défavorables avec un workflow d'investigation des alertes à plusieurs niveaux qui aboutit à un export de SAR. Pour une comparaison des fournisseurs, consultez les meilleurs logiciels de surveillance des transactions crypto en 2026.

Confidentialité, interdiction d'avertir le client et protection juridique

Tous les régimes rendent les SAR secrets :

• États-Unis. Un SAR, ainsi que toute information qui révélerait son existence, est confidentiel en vertu du 31 CFR 1022.320(d). Un MSB qui reçoit une injonction de produire un SAR doit refuser et en informer le FinCEN.
• UE. L'article 73 de l'AMLR interdit d'informer le client ou des tiers que des transactions sont en cours d'évaluation, qu'une déclaration a été ou sera faite, ou qu'une analyse est en cours.
• Royaume-Uni. La NCA rappelle aux déclarants les infractions de tipping-off et d'entrave à une enquête prévues aux sections 333A et 342 du Proceeds of Crime Act.

En contrepartie, les entreprises qui déclarent de bonne foi sont protégées. La Recommandation 21 du GAFI prévoit une exonération de responsabilité pénale et civile pour les déclarations faites de bonne foi, « même s'ils ne savaient pas précisément quelle était l'activité criminelle sous-jacente ». La version américaine est la safe harbour du 31 U.S.C. 5318(g)(3), citée au 1022.320(e) ; celle de l'UE est l'article 72 de l'AMLR.

À quoi ressemblent les SAR dans la crypto

Le rapport du GAFI sur les indicateurs d'alerte liés aux actifs virtuels (septembre 2020) s'appuie sur des cas réels, dont plusieurs ont commencé par une déclaration :

• Une plateforme crypto sud-africaine a déposé des STR après avoir remarqué que de nombreuses personnes, dont certaines partageaient la même adresse et la même adresse IP, achetaient d'importants montants de crypto et les envoyaient immédiatement vers des plateformes étrangères. Le schéma impliquait plus de 150 personnes et environ 108 millions USD.
• Une banque a déposé une STR concernant un compte personnel qui recevait des paiements et les transférait immédiatement, en montants fractionnés, à une société qui les convertissait en Bitcoin. Le titulaire du compte semblait être une mule financière recrutée sur les réseaux sociaux. La banque a également suspendu les virements, ce qui a rendu possible une saisie ultérieure.

Les déclencheurs typiques sont ceux recensés dans notre guide des signaux d'alerte AML dans la crypto : fractionnement, dépôts très supérieurs au profil du client, fonds provenant de mixers ou d'adresses sanctionnées, et cycles de dépôt-retrait sans aucune activité de trading.

Ce qu'un SAR signifie pour vous en tant qu'utilisateur

Vous ne saurez presque jamais si un SAR a été déposé à votre sujet, car l'entreprise a l'interdiction légale de le dire. Ce que vous pouvez constater, c'est un blocage de retrait, une demande de justificatifs sur l'origine des fonds ou une clôture de compte avec peu d'explications. Des réponses évasives du support signifient souvent que les équipes ne peuvent légalement pas en dire plus, et non qu'elles cachent une erreur.

Dans ce cas, répondez intégralement aux demandes de documents par les canaux officiels, conservez la trace de l'origine de vos fonds et n'ouvrez pas de second compte pour contourner une restriction. Ignorez toute personne qui propose de « lever » un signalement contre rémunération ; voir les arnaques à la récupération de crypto. Les applications DeFi de JewelSwap sont non custodiales : elles ne détiennent pas de comptes clients et ne réalisent pas elles-mêmes de KYC ; voir le KYC dans la DeFi expliqué.

Questions fréquentes

Qu'est-ce qu'une déclaration de soupçon (SAR) ?

C'est un signalement confidentiel qu'une entreprise régulée, comme une banque ou une plateforme d'échange crypto, adresse aux autorités lorsqu'elle sait ou soupçonne qu'une transaction est liée au blanchiment d'argent, au financement du terrorisme ou à une autre infraction.

Quel est le seuil de SAR pour les plateformes crypto aux États-Unis ?

Les plateformes crypto enregistrées comme money services businesses doivent déposer un SAR pour les transactions suspectes portant sur au moins 2 000 USD, seules ou cumulées. Pour les banques, le seuil est de 5 000 USD. Les entreprises peuvent aussi déclarer volontairement en dessous de ces montants.

De combien de temps une entreprise dispose-t-elle pour déposer un SAR ?

Aux États-Unis, 30 jours calendaires à compter de la première détection des faits. Les banques qui n'ont pas identifié de suspect peuvent disposer de 30 jours supplémentaires au plus, soit 60 au maximum. Les règles de l'UE imposent une déclaration rapide, sans montant minimum.

Serai-je informé si un SAR est déposé à mon sujet ?

Non. Les droits américain, européen et britannique interdisent tous à l'entreprise de révéler qu'une déclaration a été ou sera faite. C'est en raison de cette interdiction d'avertir le client que les plateformes donnent souvent peu d'explications lors d'un examen de compte.

Un SAR signifie-t-il que je fais l'objet d'une enquête ?

Pas nécessairement. Un SAR est un renseignement destiné aux autorités, pas une inculpation. Beaucoup sont conservés et analysés sans aucune mesure contre le client, même si certains donnent lieu à des enquêtes ou à des demandes d'informations complémentaires.

Quelle est la différence entre un SAR et une STR ?

Il s'agit du même type de déclaration sous des noms différents. Les États-Unis et le Royaume-Uni parlent de suspicious activity report ; le GAFI et l'UE parlent généralement de déclaration de transaction suspecte ou de déclaration de soupçons.

À lire aussi

• Signaux d'alerte AML dans la crypto
• Surveillance des transactions AML dans la crypto
• Les trois étapes du blanchiment d'argent
• Le smurfing et le fractionnement expliqués
• Guide de conformité AML crypto pour les plateformes et les VASP

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Les références américaines renvoient au 31 CFR 1022.320, au 31 CFR 1020.320 et aux lignes directrices FinCEN FIN-2019-G001 ; les références européennes à la directive (UE) 2015/849 et au règlement (UE) 2024/1624 ; les chiffres britanniques proviennent de la page SARs de la National Crime Agency ; les références au GAFI renvoient aux Recommandations 20 et 21 et au rapport de septembre 2020 sur les indicateurs d'alerte. Toutes ces sources ont été vérifiées le 9 octobre 2026.