Évaluation des risques LCB-FT crypto : guide pratique

L'évaluation des risques LCB-FT (AML risk assessment) est une analyse documentée de la manière dont une entreprise pourrait être utilisée à des fins de blanchiment d'argent, de financement du terrorisme ou de contournement des sanctions, de la probabilité et de la gravité de chaque risque, et de l'efficacité avec laquelle ses contrôles les réduisent. Pour une plateforme d'échange crypto ou toute autre entreprise d'actifs virtuels, c'est le socle de l'ensemble du programme de conformité LCB-FT : elle détermine où appliquer la vigilance renforcée, quelles règles de suivi des transactions mettre en place et où affecter le budget de conformité.

Ce guide traite de l'évaluation des risques à l'échelle de l'entreprise (classification des risques globale) pour les entreprises crypto : les facteurs de risque à couvrir, un exemple de matrice de notation, les « cinq piliers » américains d'un programme BSA/AML et ce qu'attend le règlement européen relatif à la lutte contre le blanchiment de capitaux. Il se termine par une courte note destinée aux utilisateurs sur les raisons pour lesquelles les notations de risque influent sur leurs comptes.

Deux niveaux d'évaluation des risques

Une approche fondée sur les risques fonctionne à deux niveaux, qu'il est utile de bien distinguer :

• L'évaluation des risques à l'échelle de l'entreprise. Elle examine l'entreprise dans son ensemble : sa clientèle, ses produits, ses pays et ses canaux. Elle fixe la politique, par exemple quels clients nécessitent des contrôles renforcés et quels produits exigent des contrôles supplémentaires.
• L'évaluation des risques client. Elle note chaque client individuellement à l'aide du cadre établi par l'évaluation globale. Elle détermine le niveau de vigilance appliqué à ce client. Notre guide CDD ou EDD traite de ce niveau.

Si l'évaluation à l'échelle de l'entreprise est faible, tous les contrôles en aval sont calibrés au mauvais niveau, c'est pourquoi les superviseurs la demandent généralement en premier.

Ce qu'attend l'AMLR européen

Le règlement européen relatif à la lutte contre le blanchiment de capitaux, le règlement (UE) 2024/1624 (AMLR), s'applique à partir du 10 juillet 2027. Les prestataires de services sur crypto-actifs (PSCA, ou CASP) entrent dans sa définition des établissements financiers et sont donc des entités assujetties. L'article 10 encadre l'évaluation des risques à l'échelle de l'entreprise. Les entreprises doivent identifier et évaluer leurs risques de blanchiment de capitaux et de financement du terrorisme, ainsi que le risque de non-application ou de contournement des sanctions financières ciblées, en tenant compte au minimum :

• des variables de risque de l'annexe I et des facteurs de risque plus faible et plus élevé des annexes II et III ;
• de l'évaluation des risques au niveau de l'UE réalisée par la Commission européenne et des évaluations nationales des risques des États membres ;
• des publications pertinentes des organismes internationaux de normalisation, de la Commission ou de la nouvelle Autorité de lutte contre le blanchiment de capitaux (AMLA) ;
• des informations sur les risques communiquées par les autorités compétentes ; et
• des informations sur la propre clientèle de l'entreprise.

L'article 10 impose aussi une nouvelle évaluation avant le lancement de nouveaux produits, services, canaux de distribution ou technologies, ou avant l'entrée sur un nouveau segment de clientèle ou dans un nouveau pays. L'évaluation doit être documentée, tenue à jour et réexaminée régulièrement, établie par le responsable de la conformité, approuvée par l'organe de direction et mise à la disposition des superviseurs sur demande. L'article 10, paragraphe 4, imposait à l'AMLA de publier, au plus tard le 10 juillet 2026, des orientations sur son contenu minimal.

Pour les entreprises crypto, le considérant 30 précise que l'évaluation doit prendre en compte les transactions avec des adresses auto-hébergées, et l'article 79 interdit aux CASP de tenir des comptes de crypto-actifs anonymes ou des comptes permettant l'anonymisation ou l'opacification accrue des transactions, y compris au moyen de jetons renforçant l'anonymat. L'agrément au titre de MiCA relève d'un régime distinct ; voir notre guide sur la licence CASP au titre de MiCA.

Ce qu'attendent les règles américaines : les cinq piliers

Aux États-Unis, les entreprises qui échangent ou transmettent de la monnaie virtuelle convertible sont en général des money services businesses (MSB), comme l'a indiqué le FinCEN dans ses orientations FIN-2019-G001 de 2019. Notre guide sur la licence de money transmitter traite de l'enregistrement. Les MSB doivent mettre en œuvre un programme LCB-FT en vertu du 31 CFR 1022.210, qui doit être écrit et « proportionné aux risques » de l'activité, et comprendre au minimum :

1. Des politiques, procédures et contrôles internes couvrant l'identification des clients, les déclarations, la conservation des documents et les demandes des forces de l'ordre ;
2. Un responsable de la conformité désigné, chargé de la conformité au quotidien ;
3. La formation du personnel concerné, notamment à la détection des transactions suspectes ; et
4. Un examen indépendant, proportionné au risque, réalisé par une personne autre que le responsable de la conformité.

Ce sont les « quatre piliers » classiques. Les banques et autres établissements financiers concernés en ont un cinquième : la vigilance à l'égard de la clientèle fondée sur les risques, qui, selon le 31 CFR 1020.210, consiste à comprendre la nature et l'objet des relations d'affaires afin d'établir un profil de risque client, ainsi qu'à exercer une surveillance continue. Les entreprises crypto dotées d'un agrément bancaire ou de partenaires bancaires seront souvent soumises aux cinq piliers.

Les règles actuelles n'exigent pas explicitement une évaluation des risques écrite. Le manuel d'examen BSA/AML du FFIEC indique que, même si ce n'est « pas une obligation légale spécifique », une évaluation des risques bien conçue aide une banque à identifier ses risques et à concevoir ses contrôles, et il décrit une méthode en deux étapes : identifier les catégories de risques (produits, services, clients, géographie), puis analyser les données de chacune. Cela pourrait changer. Le 10 avril 2026, le FinCEN a proposé une règle réformant les exigences relatives aux programmes LCB-FT, selon laquelle les politiques, procédures et contrôles internes incluraient des processus d'évaluation des risques. La période de commentaires s'est achevée le 9 juin 2026, et la règle en était toujours au stade de proposition lorsque nous avons consulté le Federal Register le 9 octobre 2026.

Les facteurs de risque à couvrir dans une entreprise crypto

Les deux régimes organisent les risques de la même manière. L'annexe I de l'AMLR regroupe les variables de risque en risques liés aux clients, aux produits/services/transactions et aux canaux de distribution, et l'annexe III y ajoute la géographie à haut risque. Pour une entreprise crypto, cela se traduit ainsi :

• Clients : particuliers ou institutionnels, entreprises clientes à la structure de propriété complexe, personnes politiquement exposées, utilisateurs fortunés, clients exerçant des professions à haut risque, et part des clients ayant déjà fait l'objet d'alertes.
• Produits et services : trading au comptant, desk OTC, passerelles d'entrée et de sortie fiat, conservation, staking, cartes crypto, listings de jetons, et tout produit favorisant l'anonymat.
• Transactions : volumes, tailles des opérations, vitesse des entrées et sorties, transferts vers et depuis des portefeuilles auto-hébergés, exposition aux mixeurs, bridges et services à haut risque détectés grâce à l'analyse blockchain.
• Géographie : lieu de résidence des clients, lieu de connexion et exposition aux pays figurant sur les listes de surveillance du GAFI ou soumis à des sanctions. Voir notre guide sur la liste des sanctions de l'OFAC.
• Canaux de distribution : entrée en relation entièrement à distance, apporteurs d'affaires et affiliés, partenaires API et en marque blanche, et autres plateformes d'échange avec lesquelles vous traitez.

Exemple de matrice de notation des risques

Il n'existe pas de format imposé. Le manuel du FFIEC indique que les examinateurs n'ont « aucune attente quant à une méthode ou un format particulier ». Une approche courante consiste à noter le risque inhérent, à évaluer l'efficacité des contrôles et à en déduire le risque résiduel. Le tableau ci-dessous est un exemple illustratif, et non un modèle réglementaire ; vos propres pondérations doivent découler de vos données.

Le risque inhérent est souvent noté comme le produit de la probabilité et de l'impact, à l'aide d'indicateurs mesurables comme les volumes, le nombre de clients et les taux d'alerte. La solidité des contrôles doit reposer sur des preuves, comme des résultats de tests et des constats d'audit, et non sur la simple existence d'une politique. Lorsque le risque résiduel dépasse l'appétence au risque de l'entreprise, l'évaluation doit déboucher sur un plan d'action daté, avec des responsables désignés.

Mener l'évaluation étape par étape

1. Collecter les données : données clients et transactionnelles, rapports d'exposition on-chain, statistiques d'alertes et d'activités suspectes, constats d'audit, et évaluations des risques nationales et européennes pertinentes.
2. Identifier les risques dans chacune des catégories ci-dessus, y compris pour les nouveaux produits en préparation.
3. Noter le risque inhérent selon une méthode écrite et reproductible.
4. Évaluer les contrôles : entrée en relation, filtrage, suivi des transactions, Travel Rule et déclarations.
5. Déduire le risque résiduel et le comparer à l'appétence au risque.
6. Agir : ajuster les règles de suivi, modifier les seuils d'entrée en relation, ajouter des déclencheurs de vigilance renforcée, se retirer de produits ou de marchés si nécessaire.
7. Approuver et réexaminer : validation par la direction, puis réexamen au moins annuel et à chaque changement important, comme un nouveau produit, un nouveau pays ou une typologie majeure.

Les outils de suivi doivent refléter le résultat. De nombreux fournisseurs permettent aux entreprises d'ajuster les règles et les scores de risque à leur propre évaluation. Le logiciel de suivi des transactions d'iDenfy, par exemple, permet aux équipes conformité de rédiger des règles personnalisées produisant des scores de risque configurables. Notre comparatif des logiciels de suivi des transactions crypto présente d'autres options, et le guide de conformité LCB-FT crypto couvre le programme dans son ensemble.

Erreurs fréquentes

• Les évaluations copiées-collées qui décrivent des risques crypto génériques plutôt que les données propres à l'entreprise.
• L'absence de lien avec les contrôles : l'évaluation classe un produit à haut risque, mais les règles de suivi ne changent jamais.
• Des politiques notées comme des contrôles sans avoir été testées.
• Des documents obsolètes antérieurs à de nouveaux produits, blockchains ou marchés.
• L'oubli du contournement des sanctions, que l'AMLR cite désormais explicitement aux côtés du blanchiment de capitaux et du financement du terrorisme.

Pour les utilisateurs : pourquoi les notations de risque influent sur votre compte

L'évaluation des risques de votre plateforme d'échange détermine quels clients font l'objet de contrôles supplémentaires. Si vous utilisez un produit à risque plus élevé, transférez des fonds depuis un portefeuille signalé, ou résidez ou vous connectez depuis un pays à risque plus élevé, des documents supplémentaires peuvent vous être demandés même si vous n'avez rien fait de mal. Notre guide sur les signaux d'alerte LCB-FT dans la crypto recense les schémas qui déclenchent généralement des examens. Les applications DeFi de JewelSwap sont non dépositaires et n'effectuent pas elles-mêmes ces contrôles ; voir le KYC dans la DeFi expliqué.

Questions fréquentes

Qu'est-ce qu'une évaluation des risques LCB-FT ?

Une évaluation des risques LCB-FT est une analyse documentée de la manière dont une entreprise pourrait être utilisée à des fins de blanchiment d'argent, de financement du terrorisme ou de contournement des sanctions, de la probabilité et de la gravité de chaque risque, et de l'efficacité avec laquelle les contrôles existants les réduisent. Elle oriente les décisions en matière de vigilance, de suivi et de ressources.

Quelle est la différence entre une évaluation des risques à l'échelle de l'entreprise et une évaluation des risques client ?

L'évaluation à l'échelle de l'entreprise porte sur l'ensemble de l'entreprise : clients, produits, transactions, pays et canaux. L'évaluation des risques client note chaque client individuellement à l'aide de ce cadre et détermine le niveau de vigilance qui lui est appliqué.

Quels sont les cinq piliers d'un programme de conformité LCB-FT ?

Aux États-Unis, il s'agit des politiques, procédures et contrôles internes ; d'un responsable de la conformité désigné ; de la formation continue du personnel ; de tests indépendants ; et de la vigilance à l'égard de la clientèle fondée sur les risques. Les MSB, catégorie qui inclut la plupart des plateformes d'échange crypto américaines, sont tenues de disposer des quatre premiers en vertu du 31 CFR 1022.210.

Une évaluation des risques LCB-FT écrite est-elle obligatoire ?

Dans l'UE, oui : l'article 10 de l'AMLR, applicable à partir du 10 juillet 2027, impose une évaluation des risques à l'échelle de l'entreprise documentée et approuvée par l'organe de direction. Aux États-Unis, les règles actuelles ne l'exigent pas explicitement, mais les examinateurs s'y attendent, et une proposition du FinCEN d'avril 2026 intégrerait les processus d'évaluation des risques aux exigences relatives aux programmes.

À quelle fréquence une évaluation des risques LCB-FT doit-elle être mise à jour ?

L'AMLR européen exige qu'elle soit tenue à jour et réexaminée régulièrement, et réévaluée avant le lancement de nouveaux produits, canaux, technologies ou marchés. De nombreuses entreprises la réexaminent au moins une fois par an et après tout changement important.

Quels facteurs de risque comptent le plus pour les entreprises crypto ?

Le type de client, les produits comme l'OTC et les passerelles fiat, les transactions avec des portefeuilles auto-hébergés et l'exposition aux mixeurs ou à d'autres services à haut risque, la géographie, y compris les pays sanctionnés et à haut risque, et les canaux de distribution à distance ou passant par des partenaires.

Pour aller plus loin

• Guide de conformité LCB-FT crypto pour les plateformes d'échange et les PSAV
• Vigilance standard ou vigilance renforcée
• Le filtrage des informations négatives expliqué
• Qu'est-ce qu'un PSAV (VASP) ?
• Les solutions de gestion des risques crypto en 2026

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Les références juridiques renvoient au règlement (UE) 2024/1624 (l'AMLR, applicable à partir du 10 juillet 2027), aux 31 CFR 1022.210 et 1020.210, aux orientations FIN-2019-G001 du FinCEN, au manuel d'examen BSA/AML du FFIEC et à la proposition de règle du FinCEN publiée le 10 avril 2026, tous vérifiés le 9 octobre 2026. La matrice de notation est un exemple illustratif, et non un modèle réglementaire. Les règles évoluent ; vérifiez les versions en vigueur avant de vous y fier.