Aperçu et format de l'examen
À qui s’adresse ce guide ?
Le Certified Cryptoasset AFC Specialist (CCAS) d’ACAMS s’adresse aux professionnels de la lutte contre la criminalité financière, de la conformité, de l’analyse blockchain, de la réglementation et de la gestion des risques liés aux actifs numériques. Ce guide indépendant en français met l’accent sur le raisonnement : comprendre le mouvement de valeur, situer l’obligation applicable et choisir une réponse proportionnée aux éléments disponibles.
Format et version du programme
Pour le programme actuellement établi, ACAMS indique un examen de 100 questions en 175 minutes et une disponibilité en anglais uniquement. Vérifiez directement auprès d’ACAMS les modalités de réservation, les frais et les conditions en vigueur. La langue française de ce support ne signifie pas que l’examen officiel est proposé en français.
Au 11 octobre 2026, ACAMS annonce une refonte des supports, des cours et de l’examen à compter du 19 novembre 2026. Le programme établi couvre la blockchain et les cryptoactifs, les fondamentaux AML et les programmes de gestion des risques. Les nouveaux cours annoncés couvrent les cryptoactifs et la blockchain, les risques de criminalité financière et les cadres réglementaires, les programmes de conformité AFC et des cas pratiques. Les pondérations et le format de la version refondue ne sont pas établis ici : consultez les informations ACAMS correspondant à votre session.
Les priorités du tableau sont des repères éditoriaux de révision, non des pondérations officielles. Les recommandations du GAFI/FATF ne deviennent pas automatiquement du droit national : les obligations précises dépendent notamment du rôle de l’entité et de la juridiction applicable.
Repères de révision par domaine
| Domaine | Périmètre étudié | Priorité de préparation indicative |
|---|---|---|
| Cryptoactifs et blockchain | Transactions, portefeuilles, adresses, plateformes, stablecoins, DeFi, NFT, contrats intelligents, garde et circulation des actifs. | Priorité élevée : maîtriser d’abord les mécanismes et le trajet de la valeur. |
| Fondamentaux AML appliqués aux cryptoactifs et à la blockchain | Normes du GAFI/FATF, statut VASP, Travel Rule, sanctions, infractions sous-jacentes et différences entre juridictions. | Priorité élevée : relier chaque attente au rôle de l’entité et au droit applicable. |
| Programmes de gestion des risques pour les cryptoactifs et la blockchain | Évaluation des risques, onboarding, filtrage, analyse blockchain, surveillance, enquêtes, déclarations, gouvernance, dossiers et tests. | Priorité élevée : pratiquer l’analyse des éléments et le choix d’une mesure proportionnée. |
60 concepts à maîtriser 1–10
1. Registre distribué et blockchain
Cryptoactifs et blockchain
Une blockchain est un registre partagé dont les participants valident et ordonnent les transactions selon les règles du réseau. Les blocs relient des données de façon à rendre les modifications ultérieures détectables, mais le fonctionnement exact dépend du protocole. Un registre public rend souvent les mouvements consultables; il ne révèle pas nécessairement l’identité civile des utilisateurs.
Exemple pratique: Un analyste consulte les transactions publiques d’un jeton et constate un transfert entre deux adresses, sans pouvoir attribuer automatiquement ces adresses à des personnes.
Erreur fréquente: La transparence du registre ne signifie pas que chaque utilisateur est identifié. Une adresse visible fournit une donnée technique; l’attribution à une personne demande des éléments supplémentaires.
2. Transactions et modèles de comptabilisation
Cryptoactifs et blockchain
Dans le modèle UTXO, une transaction consomme des sorties de transactions antérieures non encore dépensées et crée de nouvelles sorties. Sur Bitcoin, la différence entre le total des entrées et celui des sorties correspond aux frais de transaction. Dans un modèle à comptes, les opérations modifient notamment des soldes et, selon le réseau, l’état de contrats. Ces modèles exigent des méthodes de lecture différentes. Dans une transaction UTXO, identifier une sortie comme monnaie rendue à l’expéditeur peut nécessiter des éléments supplémentaires.
Exemple pratique: Sur Bitcoin, une transaction consomme une sortie de 1 BTC et crée deux sorties de 0,2 BTC et de 0,7999 BTC. Les frais sont donc de 0,0001 BTC. Le client indique que la seconde sortie correspond à sa monnaie rendue; l’analyste corrobore cette attribution avant de retenir 0,2 BTC comme paiement à un tiers.
Erreur fréquente: Le total des sorties n’est pas nécessairement le montant payé à un bénéficiaire externe. La sortie la plus importante n’est pas automatiquement la monnaie rendue : cette attribution doit être étayée, et la lecture d’un modèle UTXO ne doit pas être transposée sans adaptation à un modèle à comptes.
3. Validation, confirmations et finalité
Cryptoactifs et blockchain
Une transaction peut être diffusée sans être encore incluse dans un bloc. Sur une chaîne comme Bitcoin, son inclusion constitue une première confirmation; les blocs construits ensuite augmentent le nombre de confirmations. Elle n’est donc pas réinscrite dans chacun de ces blocs. La finalité dépend du protocole : certains réseaux offrent une finalité probabiliste, tandis que d’autres prévoient une finalité explicite sous certaines conditions. Le processus métier doit distinguer transaction en attente, inclusion et niveau de stabilité requis.
Exemple pratique: Une plateforme constate qu’un dépôt sur Bitcoin vient d’être inclus dans un bloc. Elle attend des confirmations supplémentaires avant de rendre les fonds disponibles, selon sa politique de risque. Elle ne transpose pas automatiquement cette règle à un autre réseau dont le mécanisme de finalité diffère.
Erreur fréquente: Une transaction affichée dans un explorateur n’est pas nécessairement irréversible à cet instant. Le nombre de confirmations requis n’est pas universel; il dépend du réseau et du contrôle considéré.
4. Clés privées et contrôle des actifs
Cryptoactifs et blockchain
Pour de nombreux types de comptes, une clé privée permet de produire une signature cryptographique autorisant une opération selon les règles du réseau. La vérification de cette signature établit sa validité technique, mais ne révèle pas à elle seule l’identité de la personne qui l’a produite. Le contrôle d’une clé peut être partagé, délégué ou compromis. Il faut donc distinguer capacité de signature, identité de l’utilisateur, propriété juridique des actifs et origine des fonds.
Exemple pratique: Dans le cadre d’une procédure approuvée, un client signe un message de vérification clairement délimité, sans autorisation d’opération, depuis une adresse à clé unique. L’analyste traite cette signature comme un indice de contrôle au moment de la vérification, non comme une preuve de propriété juridique ou d’origine licite des fonds.
Erreur fréquente: Connaître une adresse publique ne démontre pas le contrôle de sa clé, et une signature valide n’identifie pas à elle seule son auteur. Une clé privée ou une phrase de récupération ne doit pas être demandée comme justificatif client.
5. Portefeuilles hébergés et auto-hébergés
Cryptoactifs et blockchain
Un portefeuille hébergé repose sur un prestataire qui exerce la garde des actifs ou contrôle les moyens permettant de les transférer pour le client. Avec un portefeuille auto-hébergé, l’utilisateur gère ces moyens sans confier cette garde à un prestataire. Le portefeuille ne contient pas nécessairement les actifs eux-mêmes : il permet d’interagir avec les avoirs enregistrés sur la chaîne. La distinction porte sur le contrôle effectif et la relation de garde, non sur la seule application utilisée; ses conséquences juridiques dépendent du cadre applicable.
Exemple pratique: Lors d’un retrait, un client déclare que l’adresse destinataire appartient à son portefeuille personnel. Si cette classification est nécessaire au contrôle, l’équipe examine les renseignements disponibles sur le mode de garde plutôt que de conclure à partir du seul nom de l’application.
Erreur fréquente: Un portefeuille auto-hébergé n’est pas synonyme d’activité illicite. Inversement, l’utilisation d’une application présentée comme un portefeuille personnel ne suffit pas à établir qui contrôle effectivement les moyens de transfert.
6. Adresses et pseudonymat
Cryptoactifs et blockchain
Une adresse sert généralement d’identifiant technique pour recevoir ou envoyer un actif sur un réseau. Elle peut être consultable publiquement sans être associée directement à un nom. Les utilisateurs peuvent en contrôler plusieurs et les données peuvent être réutilisées ou générées selon des pratiques différentes; l’analyse doit donc séparer observation d’adresse et identification de personne.
Exemple pratique: Une adresse reçoit plusieurs dépôts, mais l’analyste attend des données de plateforme avant de relier les opérations à un client précis.
Erreur fréquente: Une adresse n’est pas une identité civile. Lier une adresse à un individu exige une base factuelle, par exemple des registres de service, des déclarations vérifiables ou une autre source fiable.
7. Explorateurs de blocs et limites des données
Cryptoactifs et blockchain
Un explorateur permet de consulter des éléments publics tels que des transactions, des blocs, des adresses et parfois des contrats. Il facilite la vérification d’une opération, mais son interface sélectionne et présente les données selon ses propres conventions. Il ne remplace ni la compréhension du protocole, ni une source indépendante, ni les informations hors chaîne nécessaires à une enquête.
Exemple pratique: Avant de conclure qu’un paiement a échoué, l’analyste compare l’affichage de l’explorateur au statut et aux journaux du service concerné.
Erreur fréquente: Une étiquette affichée par un explorateur n’est pas, à elle seule, une attribution vérifiée. Contrôlez la source, la date et la signification de chaque champ.
8. Frais de réseau et frais de service
Cryptoactifs et blockchain
Les frais peuvent rémunérer le traitement d’une transaction par le réseau ou un service fourni par un intermédiaire. Ils ne sont pas nécessairement prélevés de la même manière ni visibles dans le même champ. Leur interprétation aide à rapprocher les montants et à identifier les coûts d’une opération sans les confondre avec la valeur destinée au bénéficiaire.
Exemple pratique: Une équipe réconcilie un dépôt inférieur au montant envoyé et vérifie séparément les frais du réseau et ceux de la plateforme.
Erreur fréquente: Un écart entre montant envoyé et montant reçu ne prouve pas une diversion. Vérifiez le fonctionnement de la chaîne, les frais et les règles du prestataire.
9. Jetons, cryptoactifs natifs et contrats
Cryptoactifs et blockchain
L’actif natif sert notamment au fonctionnement économique ou technique de son réseau, tandis qu’un jeton est souvent créé selon un contrat déployé sur une chaîne existante. Les deux peuvent circuler dans des transactions visibles, mais leurs règles d’émission, de transfert et de contrôle diffèrent. Cette distinction aide à identifier les données et parties pertinentes.
Exemple pratique: Une équipe vérifie si un dépôt concerne l’actif natif ou un jeton utilisant le même réseau avant de rapprocher les comptes.
Erreur fréquente: Un nom ou un symbole similaire ne garantit ni le même actif ni le même contrat. Confirmez l’adresse du contrat et le réseau concernés.
10. Stablecoins et mécanismes de valeur
Cryptoactifs et blockchain
Un stablecoin vise généralement à maintenir une valeur liée à une référence, mais sa stabilité dépend de son mécanisme, de ses réserves, de ses droits de rachat ou de ses algorithmes. Les modalités varient selon l’émetteur et le produit. Pour l’analyse AFC, comprenez le modèle et les points de contrôle sans supposer que tous les stablecoins sont équivalents.
Exemple pratique: Une enquête sur des transferts importants identifie le stablecoin utilisé et vérifie si l’émetteur ou un intermédiaire dispose de renseignements pertinents.
Erreur fréquente: Le terme « stable » ne garantit ni stabilité réelle ni rachat universel. Examinez les conditions, les réserves déclarées et la structure propre à l’actif.
60 concepts à maîtriser 11–20
11. Échanges centralisés et intermédiation
Cryptoactifs et blockchain
Une plateforme d’échange peut mettre en relation des clients, gérer des comptes, conserver des actifs ou fournir d’autres services. Sa visibilité sur l’identité et les opérations dépend de son rôle et de son architecture. Pour une enquête, distinguez les mouvements internes entre comptes de ceux inscrits sur la chaîne et identifiez quelles données le prestataire peut réellement fournir.
Exemple pratique: Des transferts entre clients d’une même plateforme ne créent pas nécessairement une transaction publique distincte; l’enquête sollicite les registres internes pertinents.
Erreur fréquente: Tout mouvement impliquant une plateforme n’est pas nécessairement public sur la blockchain. Ne concluez pas à l’absence d’activité parce qu’aucune transaction externe visible n’apparaît.
12. Finance décentralisée et protocoles
Cryptoactifs et blockchain
La DeFi regroupe des services reposant souvent sur des contrats intelligents et des interactions directes avec des applications. L’étiquette « décentralisé » ne répond pas à elle seule aux questions de contrôle, de gouvernance, d’accès ou d’intermédiation. L’analyse consiste à suivre les fonctions réellement exercées et les parties qui peuvent modifier, administrer ou faciliter le service.
Exemple pratique: Une plateforme analyse un transfert vers un protocole en identifiant les contrats appelés, les actifs engagés et les administrateurs connus.
Erreur fréquente: Ne présumez ni qu’un protocole n’a aucun acteur pertinent, ni qu’une interface détermine à elle seule son statut juridique. Examinez les fonctions et la juridiction.
13. Contrats intelligents
Cryptoactifs et blockchain
Un contrat intelligent est un programme exécuté selon les règles d’une blockchain. Il peut automatiser des transferts ou des conditions, mais son exécution dépend du code, de ses autorisations et de son environnement. Pour une enquête, distinguez l’appel d’une fonction du résultat économique final et identifiez les pouvoirs d’administration qui peuvent modifier le comportement du contrat.
Exemple pratique: Un transfert semble atypique; l’analyste examine la fonction déclenchée et découvre qu’elle correspond à un dépôt dans un contrat, non à un paiement direct.
Erreur fréquente: L’automatisation ne rend pas une opération neutre ni entièrement autonome. Des administrateurs, interfaces ou règles de gouvernance peuvent influencer un contrat.
14. NFT et actifs numériques uniques
Cryptoactifs et blockchain
Un NFT représente généralement un jeton distinct, associé à des métadonnées ou à un objet numérique; les droits attachés dépendent des conditions applicables. Son prix et sa transférabilité peuvent être difficiles à comparer avec ceux d’actifs fongibles. Pour l’analyse, examinez la chaîne de propriété, les contreparties, la valorisation et la finalité économique des opérations.
Exemple pratique: Deux portefeuilles liés échangent un NFT à un prix inhabituel; l’enquête vérifie les paiements connexes et les relations entre les parties.
Erreur fréquente: Un NFT n’est pas automatiquement une preuve de propriété sur tous les droits liés à l’œuvre. Le jeton, les métadonnées et les droits juridiques peuvent différer.
15. Ponts et transferts interchaînes
Cryptoactifs et blockchain
Un pont facilite un transfert de valeur entre des environnements blockchain distincts. Selon son mécanisme, il peut verrouiller un actif sur une chaîne et émettre une représentation sur une autre, détruire des unités avant d’en émettre ailleurs, ou utiliser des réserves de liquidité pour verser un actif sur la chaîne de destination. Le même transfert économique peut donc produire plusieurs opérations techniques, sans déplacement d’un actif identique d’une chaîne à l’autre.
Exemple pratique: Pour un pont fonctionnant par verrouillage et émission, l’analyste relève le dépôt sur la chaîne source, puis recherche l’émission correspondante sur la chaîne de destination à l’aide des données de correspondance du pont. Des montants similaires et des horaires proches ne suffisent pas, à eux seuls, à établir le lien.
Erreur fréquente: Ne supposez ni que tous les ponts émettent un nouveau jeton, ni que l’actif a disparu lorsque son suivi s’arrête sur la chaîne source. Il faut comprendre le mécanisme du pont et vérifier les opérations pertinentes sur chaque réseau.
16. Services de mélange et confidentialité
Cryptoactifs et blockchain
Certains services ou outils réduisent la lisibilité directe des liens entre entrées et sorties, selon des mécanismes différents. Une interaction avec eux peut accroître l’incertitude sur l’origine ou la destination des fonds et constituer un signal à examiner. Elle ne démontre pas, sans éléments supplémentaires, une infraction ou l’intention de dissimuler des produits criminels.
Exemple pratique: Une alerte indique une exposition à un service de mélange; l’analyste vérifie la proximité, le calendrier et les opérations ultérieures avant d’escalader.
Erreur fréquente: Utiliser un outil de confidentialité n’établit pas la culpabilité. Traitez le signal selon sa fiabilité et le contexte, puis recherchez les éléments qui le confirment ou l’infirment.
17. Chaînes de transactions et fractionnement
Cryptoactifs et blockchain
Dans un modèle UTXO, un schéma de type « peel chain » peut prendre la forme de transactions successives où une fraction de la valeur est envoyée vers une destination tandis qu’une sortie résiduelle est dépensée dans la transaction suivante. Le suivi repose notamment sur l’identification de cette sortie de continuation, qui ne doit pas être attribuée automatiquement au même acteur. Ce motif peut aussi résulter de paiements ordinaires ou de la gestion d’un portefeuille; il ne démontre pas une intention de dissimulation.
Exemple pratique: Sur Bitcoin, l’analyste observe plusieurs transactions à deux sorties dont une sortie résiduelle alimente régulièrement la transaction suivante. Il examine les éléments d’attribution et les registres du client pour déterminer si le schéma correspond à des paiements récurrents déclarés ou à une activité inexpliquée.
Erreur fréquente: Des montants décroissants ou des transferts multiples ne suffisent pas à prouver un fractionnement illicite. Il faut distinguer le motif technique observé, l’attribution des sorties et les éléments permettant éventuellement d’établir une volonté de contourner une obligation applicable.
18. Flux entre adresses et sauts d’analyse
Cryptoactifs et blockchain
Le nombre de transactions ou de sauts séparant une adresse d’une autre peut aider à décrire une relation on-chain, mais ne mesure pas à lui seul l’exposition réelle. Des intermédiaires, services collectifs ou mécanismes de transfert peuvent modifier la signification du lien. Documentez le chemin observé et évitez de traiter chaque saut comme une preuve d’identité ou de contrôle.
Exemple pratique: Un outil signale un lien indirect avec une adresse à risque; l’analyste examine les transactions intermédiaires et leur contexte avant toute décision.
Erreur fréquente: La proximité graphique n’équivaut pas à une relation directe. Un lien plus éloigné ou passant par un service partagé peut avoir une signification très différente.
19. Garde et modèles de contrôle des clés
Cryptoactifs et blockchain
L’architecture de garde détermine comment les opérations peuvent être signées et quelles parties doivent intervenir. Une multisignature exige plusieurs signatures selon une règle prévue par le protocole ou un contrat. Le calcul multipartite, ou MPC, peut permettre à plusieurs parties de produire conjointement une signature sans réunir une clé privée complète en un seul endroit. Ces mécanismes techniques doivent être distingués des approbations internes, qui ne sont pas nécessairement imposées par le réseau. L’enquête examine aussi les possibilités de récupération ou de contournement et les traces disponibles.
Exemple pratique: Après un retrait contesté, l’équipe constate que la procédure du dépositaire exige deux approbations internes, mais que l’opération présente une seule signature sur la chaîne. Elle vérifie si la signature a été produite par un dispositif MPC ou par un signataire unique soumis à des contrôles applicatifs, puis rapproche les journaux de signature et d’approbation.
Erreur fréquente: Deux approbateurs ne démontrent pas l’existence d’une multisignature. À l’inverse, une seule signature visible ne prouve pas qu’une seule personne pouvait autoriser le mouvement : il faut vérifier l’architecture technique et son fonctionnement effectif.
20. Regroupement d’adresses et heuristiques d’attribution
Cryptoactifs et blockchain
Les outils d’analyse peuvent regrouper des adresses en ensembles, ou clusters, à partir d’heuristiques et d’informations externes. Le regroupement technique doit être distingué de l’attribution de cet ensemble à une personne ou à un service. Sur Bitcoin, l’heuristique des entrées communes repose sur l’hypothèse que les entrées d’une même transaction sont contrôlées par un même acteur. Des transactions collaboratives, notamment CoinJoin, peuvent mettre cette hypothèse en défaut en réunissant les entrées de plusieurs participants.
Exemple pratique: Un outil regroupe plusieurs adresses parce qu’elles ont fourni des entrées à une même transaction Bitcoin. L’analyste relève des indices compatibles avec une transaction collaborative; il ne retient donc pas ce seul regroupement comme preuve d’un contrôle commun et recherche des éléments supplémentaires.
Erreur fréquente: Un cluster ne constitue pas automatiquement une identité vérifiée, et une étiquette de service ne garantit pas la fiabilité du regroupement sous-jacent. Documentez la méthode, les exceptions possibles, la provenance de l’attribution et le niveau de confiance avant une décision importante.
60 concepts à maîtriser 21–30
21. Normes du GAFI/FATF et droit local
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Le GAFI/FATF établit des normes internationales contre le blanchiment de capitaux et le financement du terrorisme. Elles orientent les juridictions, mais ne sont pas automatiquement des obligations nationales directement applicables à chaque entreprise. Pour répondre à une question réglementaire, distinguez la recommandation internationale, sa mise en œuvre locale et les règles qui s’appliquent à l’entité concernée.
Exemple pratique: Un prestataire identifie une attente du GAFI/FATF, puis consulte les règles locales applicables avant de modifier sa procédure de transfert.
Erreur fréquente: Ne présentez pas une recommandation internationale comme une loi universelle. Les exigences concrètes, les seuils et les délais dépendent de la juridiction et du contexte.
22. Actif virtuel et cryptoactif
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Au sens du GAFI/FATF, un actif virtuel est une représentation numérique de valeur qui peut être échangée ou transférée numériquement et utilisée à des fins de paiement ou d’investissement. Cette définition exclut les représentations numériques de monnaies fiduciaires, de titres et d’autres actifs financiers déjà couverts ailleurs par ses recommandations. Les termes « cryptoactif » et « actif numérique » peuvent avoir une portée différente selon les textes. Il faut donc examiner les fonctions, les droits attachés au produit et la définition juridique applicable, sans supposer que tout actif inscrit sur une blockchain relève du même régime.
Exemple pratique: Un jeton représente des droits sur une action de société. L’équipe examine ces droits et les définitions locales pour déterminer s’il relève du cadre des titres financiers plutôt que de celui des actifs virtuels. Sa présence sur une blockchain ne suffit pas à trancher.
Erreur fréquente: Ne confondez pas support technique et qualification juridique. L’exclusion d’un produit de la définition des actifs virtuels du GAFI/FATF ne signifie pas qu’il échappe aux obligations de lutte contre le blanchiment applicables aux autres actifs financiers.
23. Évaluer le statut d’un VASP
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Dans le cadre du GAFI/FATF, un VASP est une personne physique ou morale qui exerce à titre professionnel, pour le compte d’autrui, certaines activités portant sur des actifs virtuels. Ces activités comprennent notamment les échanges entre actifs virtuels et monnaies fiduciaires, les échanges entre actifs virtuels, les transferts, la garde ou l’administration d’actifs ou d’instruments permettant leur contrôle, ainsi que certains services financiers liés à l’offre ou à la vente d’actifs virtuels par un émetteur. Cette qualification internationale doit ensuite être rapprochée des catégories et obligations du droit local. Le nom commercial ou l’étiquette « décentralisé » ne remplace pas l’analyse des fonctions réellement exercées.
Exemple pratique: Une entreprise se présente comme un éditeur de logiciel. L’examen montre qu’elle conserve les moyens d’autoriser les opérations et exécute, à titre professionnel, des transferts d’actifs virtuels pour ses clients. L’équipe analyse ces fonctions au regard de la définition du GAFI/FATF, puis du régime local, au lieu de retenir uniquement la présentation commerciale.
Erreur fréquente: Ne qualifiez pas automatiquement tout développeur de logiciel de VASP, mais n’excluez pas non plus un prestataire sur la seule base de son discours technologique. Vérifiez l’activité, le rôle effectif et la prestation pour le compte d’autrui.
24. Travel Rule : objectif et transmission
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
La Travel Rule vise la collecte et la transmission d’informations requises sur le donneur d’ordre et le bénéficiaire lors des transferts entrant dans son champ d’application. Les responsabilités de collecte, de vérification, de conservation et de transmission dépendent du rôle du prestataire et du cadre juridique applicable. Les adresses blockchain et l’identifiant de transaction ne remplacent pas nécessairement ces informations. Leur échange peut utiliser un canal sécurisé distinct de la blockchain publique. Les situations couvertes, les seuils éventuels et les modalités doivent être vérifiés dans la juridiction concernée.
Exemple pratique: Pour un transfert entre deux prestataires soumis à une règle locale exigeant cet échange, le prestataire émetteur constate que le dossier ne contient que les adresses blockchain. Il recueille les informations requises sur les parties et les transmet au prestataire destinataire par le canal sécurisé prévu, conformément aux exigences applicables.
Erreur fréquente: Ne confondez pas traçabilité technique et respect de la Travel Rule. La règle n’impose pas, par principe, de publier les données personnelles des parties sur une blockchain publique, ni d’appliquer partout les mêmes seuils ou modalités.
25. Transferts vers des portefeuilles auto-hébergés
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Un transfert vers un portefeuille auto-hébergé peut réduire les renseignements disponibles auprès d’un autre prestataire, mais ne crée pas automatiquement une interdiction. Les contrôles attendus dépendent du droit local, du rôle du prestataire et des circonstances. L’approche consiste à appliquer les mesures pertinentes et proportionnées, sans assimiler l’absence d’intermédiaire à une preuve de risque illicite.
Exemple pratique: Une plateforme examine un retrait vers un portefeuille personnel selon ses procédures locales et les informations pertinentes disponibles sur le client et l’opération.
Erreur fréquente: Il n’existe pas de règle universelle imposant de refuser tous les transferts vers des portefeuilles auto-hébergés. Vérifiez le cadre local et les faits.
26. Juridiction et activité transfrontalière
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Une activité crypto peut concerner plusieurs juridictions par l’emplacement des clients, des entités, des prestataires ou des opérations. L’analyse doit établir quels liens territoriaux sont pertinents et quelles règles s’appliquent à chaque partie. Évitez d’additionner mécaniquement des exigences différentes; identifiez les obligations réellement applicables et les conflits à faire examiner.
Exemple pratique: Un prestataire sert un client à l’étranger et consulte ses équipes juridiques pour déterminer quels régimes s’appliquent à son service et à son entité.
Erreur fréquente: Le caractère transfrontalier ne signifie pas automatiquement que toutes les lois possibles s’appliquent de la même façon. Documentez l’analyse des liens et du rôle de l’entité.
27. Approche fondée sur le risque
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
L’approche fondée sur le risque consiste à identifier, comprendre et évaluer les risques pertinents, puis à calibrer les contrôles en conséquence. Elle ne signifie ni appliquer le niveau maximal à tous, ni réduire les mesures sans justification. Les décisions doivent tenir compte du client, du produit, du canal, des transactions et des exigences légales applicables.
Exemple pratique: Une équipe renforce l’examen d’une relation dont le profil et les mouvements s’écartent nettement de l’activité attendue, tout en documentant le motif.
Erreur fréquente: « Fondé sur le risque » n’est pas une permission d’ignorer une obligation légale. Les contrôles peuvent être proportionnés, mais doivent respecter le cadre applicable.
28. Vigilance simplifiée et renforcée
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
La vigilance simplifiée adapte certaines modalités ou l’intensité des contrôles à un risque plus faible établi, lorsque le cadre applicable le permet. Elle ne supprime pas toute connaissance du client ni le suivi de la relation. Dans l’approche du GAFI/FATF, elle ne convient pas en présence d’un soupçon de blanchiment ou de financement du terrorisme. La vigilance renforcée ajoute des vérifications ou un suivi adaptés à un risque plus élevé, par exemple pour mieux comprendre une activité ou corroborer l’origine des fonds. Les mesures expressément exigées par le droit applicable ne peuvent pas être écartées au seul motif d’une appréciation interne du risque.
Exemple pratique: Une plateforme avait classé une relation comme peu risquée. Après un changement d’activité, les explications contradictoires du client et des mouvements incompatibles avec son activité déclarée font naître un soupçon lors de l’analyse. L’équipe ne maintient pas mécaniquement la vigilance simplifiée : elle réévalue la relation et applique la procédure d’examen et d’escalade pertinente.
Erreur fréquente: Une ancienne classification à faible risque ne justifie pas de conserver des contrôles allégés malgré un soupçon nouveau. À l’inverse, la vigilance renforcée n’est pas une déclaration de culpabilité : ses mesures doivent répondre au risque et aux obligations applicables.
29. Personnes politiquement exposées
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Dans le cadre du GAFI/FATF, une personne politiquement exposée, ou PEP en anglais, exerce ou a exercé des fonctions publiques importantes; des catégories concernent aussi les fonctions importantes au sein d’organisations internationales. Un simple emploi public ne suffit donc pas, à lui seul, à cette qualification. Les règles locales précisent les catégories, les mesures applicables aux membres de la famille et aux proches associés, ainsi que le traitement après la cessation des fonctions. Le statut appelle les contrôles requis, notamment pour comprendre l’origine des fonds ou du patrimoine lorsque cela est exigé, mais ne prouve aucune infraction.
Exemple pratique: Une cliente déjà connue d’une plateforme vient d’être nommée ministre. La responsable de conformité actualise son statut, vérifie les mesures et les approbations requises par le cadre applicable et examine les informations pertinentes sur les fonds et le patrimoine. Elle ne considère pas cette nomination comme une preuve d’activité illicite.
Erreur fréquente: Ne classez pas indistinctement tous les agents publics comme PEP et ne refusez pas automatiquement une relation sur ce seul statut. Une appréciation proportionnée ne permet toutefois pas d’omettre une mesure expressément requise.
30. Sanctions et filtrage des adresses
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Le filtrage des sanctions examine les personnes, entités, adresses et opérations pertinentes pour le régime applicable. Il faut distinguer une correspondance directe avec une adresse publiée d’une exposition indirecte repérée dans un graphe de transactions. L’analyse vérifie notamment le réseau, l’identifiant exact, la source, la date et la fiabilité de l’attribution. Une personne désignée peut utiliser des adresses non publiées : le filtrage des seules adresses ne suffit donc pas à établir la conformité. Une alerte doit être qualifiée, mais lorsqu’une obligation de gel ou de blocage est établie, son application n’est pas un simple choix fondé sur le risque.
Exemple pratique: Avant l’exécution d’un retrait, une plateforme reçoit une alerte indiquant que l’adresse destinataire est séparée par deux transactions d’une adresse associée à une personne désignée. L’analyste vérifie le trajet, le réseau et l’attribution, puis soumet le dossier au responsable des sanctions selon la procédure applicable. Il ne présente pas ce lien indirect comme une correspondance directe avec la liste.
Erreur fréquente: Ne traitez pas toute proximité dans un graphe comme un motif juridique automatique de blocage. Inversement, l’absence d’une adresse sur une liste ne suffit pas à autoriser une opération avec une personne ou une entité soumise aux restrictions applicables.
60 concepts à maîtriser 31–40
31. Propriété et contrôle en matière de sanctions
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Selon la règle de propriété de l’OFAC, une entité détenue directement ou indirectement à hauteur de 50 % ou plus, au total, par une ou plusieurs personnes bloquées est elle-même considérée comme bloquée, même si elle n’est pas nommément inscrite sur une liste. Les participations pertinentes doivent donc être examinées et cumulées. Le contrôle seul, sans atteindre ce niveau de propriété, ne déclenche pas automatiquement cette règle, mais peut justifier un examen d’autres restrictions ou risques. Les critères de propriété et de contrôle de l’Union européenne ou du Royaume-Uni doivent être analysés séparément : la règle OFAC n’est pas universelle.
Exemple pratique: Une plateforme américaine conserve des cryptoactifs pour une société détenue directement à 30 % par une personne bloquée par l’OFAC et à 25 % par une autre personne distincte également bloquée. Le cumul atteint 55 %. La plateforme traite la société comme bloquée selon cette règle et applique les obligations correspondantes aux actifs qu’elle détient, même si le nom de la société n’apparaît pas sur la liste.
Erreur fréquente: Ne vérifiez pas chaque participation isolément et ne limitez pas l’analyse aux noms figurant sur une liste. Ne transposez pas non plus le seuil OFAC aux régimes européens ou britanniques, ni le critère de propriété à toute situation de contrôle.
32. Infractions sous-jacentes
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Le blanchiment implique des produits liés à une activité criminelle sous-jacente, qui peut prendre des formes diverses. L’analyste n’a pas toujours à prouver lui-même cette infraction pour repérer une activité suspecte, mais doit comprendre les faits qui soulèvent un doute et suivre les procédures applicables. Un indicateur ne suffit pas, à lui seul, à établir le crime.
Exemple pratique: Des paiements reçus après une attaque informatique sont rapprochés des données client et des informations disponibles avant une décision de signalement.
Erreur fréquente: Une typologie compatible avec une infraction n’en prouve pas la commission. Distinguez hypothèse de risque, faits observés et conclusion établie par les autorités compétentes.
33. Typologies de criminalité financière
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Une typologie décrit un schéma de criminalité financière observé, avec une articulation entre les acteurs, les mouvements de valeur et l’objectif recherché. Par exemple, des produits d’escroquerie peuvent passer par plusieurs conversions et réseaux avant d’être déposés chez un prestataire permettant une sortie en monnaie fiduciaire. Chaque mécanisme peut aussi avoir un usage légitime : la typologie sert donc à formuler une hypothèse et à rechercher les éléments qui la soutiennent ou la contredisent. Elle doit être distinguée d’un simple indicateur, comme la rapidité d’un transfert, et actualisée lorsque les pratiques évoluent.
Exemple pratique: Une victime fournit l’identifiant d’un paiement qu’elle décrit comme une rançon. Un outil suggère que des valeurs issues de l’adresse de réception ont ensuite traversé un pont avant d’atteindre un compte client d’une plateforme. L’analyste vérifie le signalement, les limites du suivi interchaînes et les informations du compte avant de retenir une hypothèse de déplacement de produits criminels et de décider de l’escalade.
Erreur fréquente: Ne transformez pas un mécanisme courant, comme une conversion ou un transfert rapide, en typologie criminelle à lui seul. Recherchez les faits qui relient le schéma à un risque concret et examinez aussi les explications alternatives.
34. Pays sous surveillance accrue du GAFI/FATF
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Une inscription sur la liste du GAFI/FATF des juridictions sous surveillance accrue indique des lacunes stratégiques que la juridiction doit traiter. Elle constitue un facteur de contexte dans l’évaluation des risques, mais ne commande pas automatiquement une vigilance renforcée pour chaque client ni une rupture de relations. Il faut examiner l’exposition réelle et les règles applicables.
Exemple pratique: Un client opère dans un pays sous surveillance accrue; la plateforme examine ses activités et ses liens plutôt que de le refuser sur la seule base du pays.
Erreur fréquente: La liste du GAFI/FATF ne constitue pas une interdiction générale de traiter avec une juridiction ou ses ressortissants. Évaluez les circonstances et les exigences locales.
35. AML/CFT et sanctions : objectifs distincts
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Les contrôles AML/CFT visent notamment à repérer et traiter les risques de blanchiment et de financement du terrorisme. Les sanctions appliquent des restrictions propres à des régimes et personnes désignés. Ces domaines peuvent se recouper dans une transaction, mais leurs bases, obligations et décisions ne sont pas interchangeables; une équipe doit appliquer le processus pertinent pour chaque constat.
Exemple pratique: Une transaction soulève à la fois une alerte de sanctions et un soupçon de blanchiment; l’équipe traite chaque aspect selon sa procédure et ses règles.
Erreur fréquente: Une alerte AML n’est pas automatiquement une violation de sanctions, et l’inverse est également vrai. Ne substituez pas une analyse à l’autre.
36. Identification, vérification et bénéficiaire effectif
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
La connaissance du client distingue l’identification, qui établit les informations d’identité, de la vérification, qui les confronte à des éléments fiables selon les exigences applicables. Pour une personne morale, l’analyse recherche les personnes physiques qui la détiennent ou la contrôlent en dernier ressort selon les critères pertinents. Elle peut également devoir identifier la personne physique pour le compte de laquelle une opération est effectuée. Comprendre la structure de propriété et de contrôle ne revient pas simplement à relever les dirigeants ou le signataire du compte. Les critères, les seuils éventuels et les mesures de vérification dépendent du cadre applicable.
Exemple pratique: Une société cliente est détenue par deux sociétés intermédiaires et son compte est ouvert par un mandataire. L’équipe vérifie l’identité de la cliente et les pouvoirs du mandataire, puis recoupe les documents de propriété et de contrôle pour identifier les personnes physiques pertinentes en dernier ressort. Elle distingue ces recherches de la seule identification du signataire.
Erreur fréquente: Le représentant, le dirigeant et le bénéficiaire effectif ne sont pas nécessairement la même personne. Une déclaration d’identité ne remplace pas les vérifications prévues, et une première société actionnaire ne marque pas forcément la fin de l’analyse.
37. Origine des fonds et origine du patrimoine
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
L’origine des fonds explique la provenance économique des actifs utilisés dans une opération ou une relation, ainsi que leur acheminement pertinent. L’origine du patrimoine explique plus largement comment la richesse d’une personne a été constituée. Une adresse d’envoi, un compte bancaire ou une plateforme précédente décrit une étape du trajet, mais ne suffit pas nécessairement à expliquer l’origine économique. Les deux examens répondent à des questions distinctes; les informations et justificatifs demandés doivent être adaptés au risque et aux exigences applicables.
Exemple pratique: Une cliente dépose des stablecoins achetés avec le produit récent d’une vente immobilière. L’équipe rapproche la vente, le crédit bancaire et l’achat des cryptoactifs pour examiner l’origine des fonds. Si l’examen du patrimoine est requis, elle recherche séparément comment la cliente a constitué son portefeuille immobilier et ses autres actifs.
Erreur fréquente: Ne répondez pas à la question de l’origine des fonds par la seule mention « depuis ce portefeuille ». Un trajet technique identifié ou une vente récente ne démontre pas, à lui seul, comment l’ensemble du patrimoine a été constitué.
38. Déclarations d’opérations suspectes
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Les obligations de déclaration dépendent des lois et procédures applicables à l’entité et à la juridiction. Une déclaration de soupçon rapporte des faits pertinents; elle ne constitue pas un verdict de culpabilité. Les équipes doivent suivre les règles internes et locales concernant l’analyse, l’escalade, la décision de déclarer et la confidentialité de la démarche.
Exemple pratique: Après examen d’opérations inexpliquées, le responsable compétent applique la procédure locale et documente la décision de déclaration ou de non-déclaration.
Erreur fréquente: Il n’existe pas un délai ou un seuil de déclaration universel à appliquer sans contexte. Vérifiez la juridiction et l’obligation concernées.
39. Conservation des documents et données
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Les dossiers de conformité peuvent inclure les informations client, l’historique de transaction, les alertes, les analyses et les décisions. Les délais, formats, accès et obligations de conservation varient selon le cadre applicable. Une bonne tenue des dossiers permet de reconstituer le raisonnement et de répondre à une demande autorisée, dans le respect des règles de confidentialité et de protection des données.
Exemple pratique: Un réviseur reprend un dossier ancien et retrouve la source des données, les vérifications effectuées et le motif de la décision.
Erreur fréquente: Conserver toutes les données indéfiniment n’est pas une règle universelle. Respectez les exigences légales de conservation, de sécurité et de limitation d’accès.
40. Coopération et demandes d’information
Fondamentaux AML appliqués aux cryptoactifs et à la blockchain
Une enquête impliquant plusieurs prestataires ou pays peut nécessiter une coopération entre équipes, autorités ou intermédiaires. Les demandes d’information doivent être traitées par les voies autorisées et selon les règles de confidentialité, de compétence et de conservation applicables. Une transaction visible publiquement ne donne pas automatiquement accès aux données personnelles détenues par un prestataire.
Exemple pratique: Une équipe documente une demande officielle portant sur des transactions et transmet les éléments disponibles par la procédure approuvée.
Erreur fréquente: Les données publiques de la chaîne ne remplacent pas les demandes légales de données client. Ne divulguez pas d’informations privées sans base ni autorisation appropriée.
60 concepts à maîtriser 41–50
41. Évaluation des risques à l’échelle du programme
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Une évaluation des risques de programme recense les menaces et vulnérabilités liées aux clients, produits, chaînes, zones géographiques et canaux. Elle doit guider les priorités et les contrôles, puis être réexaminée lorsque les activités ou les risques changent. Elle ne se réduit pas à un score : les facteurs, limites et décisions doivent pouvoir être expliqués.
Exemple pratique: Une entreprise lance un nouveau service de garde; elle évalue les nouveaux risques avant de déterminer les contrôles et ressources nécessaires.
Erreur fréquente: Un score global ne remplace pas l’analyse des composantes. Un résultat moyen peut masquer une exposition importante sur un produit ou un canal particulier.
42. Risque inhérent et risque résiduel
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Le risque inhérent correspond à l’exposition avant prise en compte des mesures d’atténuation. Le risque résiduel désigne ce qui subsiste après l’application des contrôles. Cette distinction aide à voir si les mesures réduisent effectivement l’exposition et si le niveau restant est acceptable au regard de l’appétit au risque et des obligations applicables.
Exemple pratique: Une plateforme propose des retraits immédiats vers des adresses externes. Avant prise en compte des contrôles, elle évalue le risque de sortie rapide de fonds issus d’une fraude. Après la mise en place et le test de vérifications préalables aux retraits et d’une surveillance adaptée, elle constate une réduction de ce risque. Une exposition subsiste toutefois lorsque les outils d’analyse ne disposent pas encore d’informations fiables sur certaines adresses.
Erreur fréquente: La présence d’un contrôle ne fait pas disparaître le risque. Il faut vérifier son efficacité et apprécier le risque résiduel plutôt que le supposer nul.
43. Facteurs de risque client
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Le profil client se construit à partir d’informations pertinentes sur son identité, son activité, ses objectifs, ses contreparties et son comportement attendu. Le risque ne devrait pas être déterminé par une seule caractéristique isolée. Une évaluation utile relie ces facteurs au produit utilisé et prévoit une mise à jour si les faits ou les activités changent.
Exemple pratique: Une entreprise cliente déclare un volume limité, mais ses mouvements augmentent fortement; l’équipe compare ce changement à son activité connue.
Erreur fréquente: Une catégorie de client ne détermine pas à elle seule le risque. Évaluez les opérations et les circonstances concrètes avant d’adapter les contrôles.
44. Risque lié au produit et au réseau
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Les produits et réseaux diffèrent par leur degré de traçabilité, leurs mécanismes de transfert, les possibilités de garde et les informations accessibles. Ces caractéristiques influencent les contrôles réalisables, mais ne suffisent pas à conclure qu’un actif ou une chaîne est intrinsèquement illicite. Évaluez le produit réel, ses usages et les mesures disponibles.
Exemple pratique: Avant d’ajouter un nouveau réseau, une plateforme examine les capacités d’analyse, les prestataires impliqués et les risques liés à ses fonctionnalités.
Erreur fréquente: Une chaîne publique n’est pas automatiquement sans risque, et une chaîne offrant moins de visibilité n’est pas automatiquement criminelle. La décision doit reposer sur une évaluation documentée.
45. Canaux d’acquisition et onboarding
Programmes de gestion des risques pour les cryptoactifs et la blockchain
L’onboarding doit recueillir des informations suffisantes pour comprendre le client, la relation et les usages prévus, selon les règles applicables. Le canal — à distance, par partenaire ou directement — influe sur les risques de vérification et sur les contrôles à prévoir. Les informations recueillies servent de base à une surveillance cohérente avec le profil déclaré.
Exemple pratique: Un client rejoint la plateforme par l’intermédiaire d’un partenaire; l’équipe identifie quelles vérifications sont réalisées par chaque partie et leurs responsabilités.
Erreur fréquente: Une vérification initiale ne garantit pas que les activités futures resteront conformes au profil. L’onboarding doit alimenter une relation suivie et réévaluable.
46. Filtrage des portefeuilles
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Le filtrage des portefeuilles compare des adresses ou des expositions à des données de risque, comme des attributions ou des indicateurs sélectionnés. Sa qualité dépend de la couverture des chaînes, de l’actualité des données, des règles d’alerte et du traitement des résultats. Un filtrage efficace accompagne l’analyse; il ne remplace pas la compréhension du client et de la transaction.
Exemple pratique: Un dépôt déclenche une alerte d’exposition; l’analyste vérifie la source, le type de lien et la période avant de déterminer la suite.
Erreur fréquente: Un résultat d’outil n’est pas une décision finale. Vérifiez la méthode, les données et le contexte avant de bloquer, d’escalader ou de clore une alerte.
47. Analyse blockchain et corroboration
Programmes de gestion des risques pour les cryptoactifs et la blockchain
L’analyse blockchain aide à suivre des mouvements, repérer des relations possibles et formuler des hypothèses. Les résultats dépendent des données et méthodes utilisées, et leur force peut diminuer lorsque l’analyse s’éloigne de faits directement observés. Il faut conserver les éléments utiles, expliciter les limites et chercher une corroboration hors chaîne pour les conclusions importantes.
Exemple pratique: Un lien on-chain vers un service est rapproché des registres de dépôt et des informations client avant d’être intégré à l’analyse du dossier.
Erreur fréquente: Un score élevé ou une visualisation convaincante ne constitue pas automatiquement une preuve. Expliquez la méthode et distinguez les faits des inférences.
48. Surveillance des transactions
Programmes de gestion des risques pour les cryptoactifs et la blockchain
La surveillance recherche des opérations qui s’écartent du profil attendu ou répondent à des scénarios de risque définis. Elle peut combiner montants, vitesse, contreparties, produits et éléments on-chain ou hors chaîne. Les règles doivent correspondre aux risques de l’activité et être réexaminées; trop d’alertes inutiles peuvent nuire à l’examen des signaux pertinents.
Exemple pratique: Une règle signale des transferts inhabituels par rapport au profil du client; l’équipe examine les opérations liées et leur justification.
Erreur fréquente: Une alerte est un point de départ, pas une conclusion. Un comportement atypique peut avoir une explication légitime qu’il faut examiner et documenter.
49. Triage et hiérarchisation des alertes
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Le triage organise les alertes selon des critères pertinents, par exemple le risque potentiel, la fiabilité du signal, l’urgence et les obligations applicables. Il aide à affecter les ressources et à orienter les dossiers vers le bon niveau de revue. Les règles de priorité doivent être cohérentes, compréhensibles et contrôlées pour repérer les retards ou biais.
Exemple pratique: Une alerte liée à une exposition directe et récente est adressée plus rapidement qu’un lien ancien et indirect, selon les critères documentés de l’équipe.
Erreur fréquente: Prioriser ne signifie pas ignorer les alertes moins urgentes. Elles doivent être suivies selon des délais internes et des obligations applicables.
50. Investigation et formulation d’hypothèses
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Une enquête efficace formule une hypothèse à partir des faits, puis recherche les éléments qui la soutiennent ou la contredisent. Elle reconstitue la chronologie, les parties, les actifs et le contexte économique, en séparant observation et interprétation. Cette méthode limite les conclusions hâtives et permet d’expliquer pourquoi un dossier est clos, poursuivi ou escaladé.
Exemple pratique: Face à des transferts rapides, l’analyste vérifie s’ils correspondent à l’activité attendue du client et consigne aussi les éléments qui soutiennent une explication légitime.
Erreur fréquente: Ne cherchez pas uniquement à confirmer votre première intuition. Une investigation rigoureuse examine aussi les éléments contradictoires et explicite les incertitudes.
60 concepts à maîtriser 51–60
51. Rapprocher les données en chaîne et hors chaîne
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Le rapprochement consiste à relier une transaction en chaîne à une écriture interne, à un compte client ou à une information économique. Il repose sur des références fiables, comme le réseau, l’actif, l’identifiant de transaction, l’horodatage et la référence interne. Il faut tenir compte des frais, des conversions et des opérations regroupées, puis expliquer les concordances et les écarts. Une adresse contrôlée par une plateforme peut servir plusieurs clients : elle ne révèle pas à elle seule l’identité de l’utilisateur concerné.
Exemple pratique: Un retrait apparaît en chaîne depuis un portefeuille mutualisé d’une plateforme. L’analyste rapproche l’identifiant de transaction, l’actif et le montant du registre interne des retraits. Il identifie ainsi le compte ayant demandé l’opération, mais ne déduit pas du seul flux l’identité réelle du destinataire ni la justification économique du paiement.
Erreur fréquente: Ne confondez pas l’adresse technique, le compte auquel l’opération est rattachée et la personne qui contrôle effectivement les fonds. Documentez le lien entre les sources et les éléments qui restent à vérifier.
52. Escalade et décisions proportionnées
Programmes de gestion des risques pour les cryptoactifs et la blockchain
L’escalade transmet un dossier au niveau de responsabilité approprié lorsque les faits, les incertitudes ou les obligations le justifient. La mesure choisie doit correspondre à ce qui est établi et aux règles applicables : examen complémentaire, restriction autorisée, déclaration ou autre action. Le processus doit éviter aussi bien l’inaction que les mesures automatiques non justifiées.
Exemple pratique: Une exposition indirecte soulève des questions sans établir de lien direct; l’analyste documente les limites et demande une revue spécialisée avant de décider.
Erreur fréquente: Un signal de risque n’impose pas toujours une clôture de compte. Évaluez le contexte, les obligations et les options proportionnées avant de décider.
53. Gouvernance et responsabilités
Programmes de gestion des risques pour les cryptoactifs et la blockchain
La gouvernance attribue les responsabilités de définition, d’approbation, d’exécution et de supervision des contrôles. Une répartition claire facilite les décisions complexes et la remontée des problèmes. Les dirigeants doivent recevoir une information utile sur les risques et les lacunes, tandis que les équipes opérationnelles doivent connaître leurs pouvoirs et leurs voies d’escalade.
Exemple pratique: Après une modification de produit, les responsables produit, conformité et sécurité clarifient qui valide le lancement et qui suit les risques.
Erreur fréquente: Une politique approuvée ne prouve pas que les responsabilités sont comprises ni appliquées. Vérifiez les pratiques, les ressources et les voies de remontée.
54. Politiques et procédures opérationnelles
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Une politique énonce les principes et responsabilités; les procédures traduisent ces principes en étapes de travail. Pour être utiles, elles doivent correspondre aux produits, aux juridictions et aux rôles réellement exercés. Les équipes doivent pouvoir retrouver les versions en vigueur, savoir comment traiter les exceptions et remonter les situations que la procédure ne couvre pas.
Exemple pratique: Une procédure de traitement des alertes précise les informations à examiner et l’autorité d’escalade, puis est mise à jour après une évolution du produit.
Erreur fréquente: Un document générique ne garantit pas un contrôle effectif. Vérifiez que les instructions correspondent aux opérations et sont comprises par les personnes concernées.
55. Contrôles préventifs et détectifs
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Un contrôle préventif vise à réduire la probabilité qu’un événement indésirable se produise; un contrôle détectif cherche à repérer un événement ou une anomalie après ou pendant sa survenue. Les programmes ont souvent besoin des deux. Le choix dépend du risque, de la faisabilité opérationnelle, des exigences locales et des conséquences d’une défaillance.
Exemple pratique: Une plateforme limite certaines actions à des utilisateurs autorisés et surveille ensuite les transactions pour détecter des comportements inhabituels.
Erreur fréquente: La surveillance seule n’empêche pas nécessairement une opération, et un blocage préventif ne détecte pas tout. Évaluez ce que chaque contrôle permet réellement.
56. Conception et fonctionnement des contrôles
Programmes de gestion des risques pour les cryptoactifs et la blockchain
L’efficacité de conception concerne la capacité théorique d’un contrôle à traiter le risque visé. Son efficacité opérationnelle concerne son exécution réelle, sa couverture et le suivi des résultats. Cette distinction aide à identifier si le problème vient d’une règle inadaptée ou d’une application défaillante, et à choisir une remédiation qui traite la cause.
Exemple pratique: Une revue de conception confirme qu’une règle de surveillance peut détecter le scénario de retraits rapides visé sur les réseaux utilisés, avec des données et des critères adaptés. En production, les journaux révèlent qu’un flux de transactions prévu n’alimente plus le moteur de surveillance. Dans ce cas, la défaillance constatée concerne le fonctionnement du contrôle.
Erreur fréquente: L’existence d’une procédure ne démontre ni que le contrôle est bien conçu ni qu’il fonctionne. Évaluez séparément son adéquation au risque et les preuves d’exécution, les exceptions, les délais et les résultats.
57. Outils, fournisseurs et qualité des données
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Les outils et fournisseurs peuvent apporter des données d’adresses, des indicateurs de risque ou des capacités d’analyse. L’entité reste responsable de comprendre les limites de couverture, les méthodes, les mises à jour et les modalités de traitement des alertes. Une sélection et une supervision adaptées évitent de traiter un résultat externe comme exact ou complet par défaut.
Exemple pratique: Avant d’utiliser un nouvel outil, l’équipe teste sa couverture sur les chaînes réellement utilisées et définit comment traiter les divergences avec ses autres sources.
Erreur fréquente: Acheter un outil n’équivaut pas à disposer d’un programme efficace. Vérifiez la pertinence des données, l’intégration opérationnelle et le traitement des limites.
58. Tests indépendants et validation
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Les tests indépendants évaluent la conception et le fonctionnement des contrôles avec une indépendance suffisante par rapport aux personnes responsables des activités examinées et avec les compétences nécessaires. La validation examine la pertinence et les limites des méthodes, règles ou modèles, notamment les données utilisées et les résultats obtenus. Leur portée dépend des risques et des exigences applicables. Des travaux utiles définissent des critères, conservent les résultats, identifient les lacunes et suivent les corrections jusqu’à leur résolution.
Exemple pratique: Dans un environnement de test, une équipe indépendante de la configuration d’une règle de retraits rapides utilise un jeu de données de référence. Celui-ci comprend des opérations qui devraient déclencher une alerte et des opérations légitimes de comparaison. L’équipe examine les résultats, y compris les opérations non signalées, puis consigne les écarts et vérifie les corrections.
Erreur fréquente: Examiner uniquement les alertes produites ne permet pas de repérer tous les défauts de détection. Un test ponctuel réussi ne démontre pas non plus une efficacité durable : les contrôles doivent être réexaminés lorsque les produits, les menaces ou les données changent.
59. Indicateurs, seuils et ajustement
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Les indicateurs opérationnels, comme le volume d’alertes, les délais de traitement ou les dossiers en attente, aident à surveiller la performance. Les seuils et scénarios doivent être ajustés à partir de résultats documentés, sans sacrifier la couverture des risques. Les faux positifs et les défauts de détection révèlent des problèmes différents. Les faux négatifs ne sont pas tous directement observables : des tests de référence et des examens rétrospectifs d’opérations non signalées aident à en repérer certains, sans garantir leur détection exhaustive.
Exemple pratique: Face à de nombreuses alertes non pertinentes sur les retraits, l’équipe compare le réglage actuel et un réglage proposé sur des données historiques. Elle inclut des opérations déjà examinées et un échantillon d’opérations non signalées, puis vérifie les résultats attendus pour les scénarios de risque visés. Elle documente les effets et les limites du test avant d’autoriser le changement en production.
Erreur fréquente: Réduire le nombre d’alertes n’est pas une amélioration en soi. Vérifiez que l’ajustement préserve la couverture des scénarios pertinents et consignez sa justification ainsi que les limites de l’évaluation.
60. Gestion d’incident et amélioration continue
Programmes de gestion des risques pour les cryptoactifs et la blockchain
Un incident, comme une compromission de portefeuille ou une défaillance de contrôle, appelle une réponse structurée : contenir le problème, préserver les informations utiles, évaluer les conséquences et mobiliser les responsables compétents. Après l’urgence, l’organisation recherche les causes et adapte ses contrôles. Les notifications et délais éventuels dépendent des obligations applicables.
Exemple pratique: Après la découverte d’un accès non autorisé, l’équipe sécurise les systèmes, conserve les journaux, évalue les transactions et déclenche les procédures internes pertinentes.
Erreur fréquente: Réagir à l’incident ne suffit pas si sa cause reste inconnue. Évitez aussi d’affirmer un délai légal universel : vérifiez la juridiction et le type d’incident.
Plan de révision en six étapes
Source officielle et note de version
Source de référence : page de certification CCAS d’ACAMS, consultée pour ce guide le 11 octobre 2026 : https://www.acams.org/en/certifications/certified-cryptoasset-anti-financial-crime-specialist-certification-ccas. ACAMS annonce une refonte des cours et de l’examen à compter du 19 novembre 2026. Ce guide est un support indépendant, non un document officiel ACAMS; confirmez directement auprès du fournisseur le programme applicable à votre date d’examen.