Autorisation CASP de Malte : Pourquoi la connaissance du client (KYC) peut faire ou défaire votre licence

L’Unité d’analyse du renseignement financier de Malte (FIAU) a reçu 1 751 déclarations d’opérations suspectes du secteur des actifs financiers virtuels en 2024, contre 1 476 l’année précédente (Rapport annuel 2024 de la FIAU). Cela représente une augmentation de 18.6 % sur un an de l’attention réglementaire, concentrée sur le même petit groupe d’entreprises qui renouvellent actuellement leurs licences dans le cadre de la loi maltaise sur les services financiers (MiCA).

Un fournisseur de services de crypto-actifs (CASP) est toute entreprise offrant des services liés aux crypto-actifs au sein de l'Union européenne conformément à la réglementation européenne. Marchés de la réglementation des crypto-actifs (MiCA), le cadre réglementaire unifié du bloc en matière de crypto-actifs. À Malte, les titulaires actuels de licences d'actifs financiers virtuels (VFA) bénéficient d'une période transitoire jusqu'au 1er juillet 2026, après quoi la licence CASP délivrée par l'Autorité des services financiers de Malte (MFSA) deviendra le seul fondement juridique pour la fourniture de ces services.

L'échéance du 1er juillet 2026 pour la mise en conformité avec le système CASP est souvent présentée comme une période de transition. Cette formulation masque le véritable risque. L'autorisation CASP par la MFSA ne constitue pas une simple formalité administrative, mais une étape cruciale pour l'infrastructure KYC. Les entreprises qui franchissent le cap de la MiCA en conservant leur licence et leurs accès bancaires sont celles dont le processus d'intégration peut résister à l'examen simultané de trois organismes.

Pourquoi l'échéance CASP de juillet 2026 est-elle considérée comme un événement d'infrastructure KYC et non comme un dépôt légal ?

La loi maltaise sur les services de renseignement (MiCA) définit le cadre d'octroi de licences. Elle ne définit pas l'obligation de connaissance du client (KYC). Cette obligation découle de la réglementation maltaise relative à la prévention du blanchiment d'argent et du financement du terrorisme (PMLFTR) et des directives européennes en matière de lutte contre le blanchiment d'argent, qui s'appliquent indépendamment de l'architecture d'octroi de licences de la MiCA. Cette distinction est importante car elle détermine les critères d'évaluation des examinateurs de la MFSA lors de l'examen d'une demande CASP.

Une demande auprès de la MFSA vérifie si votre infrastructure d'intégration est conforme à la réglementation en matière de lutte contre le blanchiment d'argent (LCB), aux exigences en matière de risques opérationnels et aux normes de gouvernance que la MFSA applique à toutes les entreprises réglementées. Un dossier juridique peut être établi en quelques jours. Ce n'est pas le cas pour une infrastructure KYC. Si votre système actuel a été conçu selon le régime VFA, vous utilisez des contrôles adaptés à un cadre national dont la portée était plus restreinte que celui que la MFSA évalue désormais au regard des exigences de l'ère MiCA.

Pour les responsables de la conformité, la conséquence pratique est que l'examen CASP se déroule en deux temps. La MFSA examine la structure juridique, l'évaluation de l'honorabilité des administrateurs et le modèle économique. Les évaluateurs vérifient ensuite si le programme de lutte contre le blanchiment d'argent (LCB), les procédures de connaissance du client (KYC) et de vigilance renforcée (EDD), etc. les sanctions et Dépistage de la PPE La couverture et la piste d'audit répondent aux normes requises dans le système d'intégration réel, et non sur papier.

Pourquoi la FIAU surveille-t-elle de près le secteur des cryptomonnaies, et qu'est-ce que cela signifie pour les candidats au programme CASP ?

La FIAU est l'autorité maltaise de lutte contre le blanchiment d'argent et de renseignement financier. Elle examine chaque secteur réglementé afin de vérifier la qualité des déclarations d'opérations suspectes et les contrôles LCB-FT mis en place. En 2024, la FIAU a reçu 9 430 déclarations d'opérations suspectes tous secteurs confondus, le secteur des actifs financiers virtuels affichant la part de ce volume ayant connu la croissance la plus rapide. Toute demande d'accès à un système de protection contre le blanchiment d'argent (CASP) est traitée par un analyste qui connaît déjà la surface d'attaque de votre entreprise.

Le rapport annuel 2024 de la FIAU recense 187 interventions de surveillance et 70 mesures d'exécution supplémentaires à l'encontre des personnes concernées (Record FIAU 2024Le jeu en ligne demeure le principal secteur déclarant, mais celui des actifs financiers virtuels est celui qui connaît la croissance la plus rapide. Les entreprises spécialisées dans les cryptomonnaies ont déposé 1 751 déclarations d’opérations suspectes (DOS) en 2024, contre 1 476 en 2023, soit un taux de croissance supérieur à celui de toutes les autres catégories réglementées, en pourcentage.

Pour un candidat CASP, ces chiffres se traduisent par une exigence précise. La FIAU, et par son intermédiaire la MFSA, attend des CASP qu'ils maintiennent un programme de lutte contre le blanchiment d'argent (LCB) d'un niveau équivalent à celui d'un établissement de monnaie électronique ou d'une banque agréée. Les pistes d'audit doivent résister à un examen thématique. Les clients signalés doivent être accompagnés d'une justification documentée. Les alertes clôturées doivent comporter un analyste identifié, un horodatage et un compte rendu de décision permettant à la FIAU de les réexaminer deux ans plus tard sans avoir à les reconstituer.

Le test pratique consiste à vérifier si votre système peut répondre, sur demande, à la question posée par un superviseur de la FIAU.

Que vérifie concrètement la MFSA lors d'un examen d'autorisation CASP ?

La procédure d'autorisation CASP de la MFSA est publique et conforme aux exigences du règlement européen MiCA. En apparence, le dossier de demande ressemble à une simple liste de formalités administratives. En réalité, l'analyse approfondie porte sur cinq domaines clés où la MFSA a, par le passé, renvoyé des demandes pour une nouvelle soumission. Chacun de ces domaines évalue la capacité opérationnelle, et non uniquement l'éligibilité juridique.

L’examen de la MFSA s’articule autour de cinq axes prioritaires :

Les cinq éléments constitutifs d'une pile KYC compatible CASP

Un système KYC conforme à la norme CASP repose sur cinq capacités coordonnées alimentant une piste d'audit unique. Chacune doit satisfaire à un examen de la MFSA, à un examen thématique de la FIAU et au questionnaire de diligence raisonnable de la banque correspondante. La plupart des systèmes hérités de l'ère VFA couvrent correctement une ou deux de ces capacités et laissent les autres à un examen manuel, ce qui explique principalement pourquoi un programme apparemment conforme échoue à l'examen CASP. Les entreprises qui obtiennent l'autorisation du premier coup ont entièrement reconstruit ces cinq capacités.

1. Due Diligence client (CDD) Le système vérifie l'identité, le lieu de résidence et le niveau de risque de chaque nouveau client. Les documents refusés sont signalés par un code de motif plutôt que par une mention générique. La MFSA exige un historique complet des vérifications effectuées et des raisons de chaque décision.
2. Due Diligence renforcée (EDD) Cela concerne les clients à haut risque, les personnes politiquement exposées et les schémas de transactions dépassant les seuils de risque. C'est au niveau de la vérification approfondie que les solutions VFA sont le moins performantes, car les seuils de déclenchement sont souvent trop élevés.
3. Origine des fonds La vérification de la provenance des fonds repose sur des procédures structurées, étayées par des preuves documentaires que la FIAU peut reconstituer deux ans après les faits. Il s'agit du principal point d'échec des demandes auprès de la MFSA.
4. Sanctions, PEP et dépistage des médias défavorables Désormais, une obligation de surveillance continue s'applique, et non plus un contrôle ponctuel. La MFSA et la FIAU exigent toutes deux qu'un client devienne une entité sanctionnée ou fasse l'objet d'une couverture médiatique négative soit signalé en temps quasi réel.
5. Le journal d'audit conforme aux exigences de la FIAU enregistre chaque décision d'intégration, chaque alerte et chaque dossier client, avec un horodatage, le nom de l'analyste et la justification de la décision. Cet enregistrement doit être reconstituable à la demande et non pas assemblé lors de l'audit.

Pourquoi les banques maltaises effectuent-elles leur propre vérification KYC avant d'ouvrir un compte ?

L'accès aux services bancaires est une condition essentielle, bien que tacite, à la survie de la transition CASP. Les banques maltaises sont tenues de procéder à une vérification préalable de leurs clients pour chaque relation d'affaires, et les banques correspondantes d'autres juridictions sont tenues de faire de même avec les banques maltaises. Un client CASP dont les contrôles d'intégration sont insuffisants engendre un risque cumulatif qui se répercute sur l'ensemble de la chaîne de correspondants, et ces derniers réagissent à ce risque en mettant fin à la relation.

Les banques recherchent trois choses chez un candidat CASP. Un dossier documenté Programme AML Le niveau de base correspond aux exigences de la MFSA. Les contrôles d'intégration en temps réel, appliqués à de véritables demandeurs et non à des dossiers préétablis, rehaussent le niveau de sécurité. La capacité à fournir un dossier client complet sur demande est ce qui permet à la banque de passer son propre examen, car c'est à cette vitesse que les banques correspondantes posent leurs questions.

Les entreprises qui ne peuvent pas réussir le KYC de la banque En pratique, le test entraînera la perte d'accès aux systèmes de paiement en euros. La licence à elle seule ne constitue pas une position commercialement viable une fois la relation bancaire rompue.

Comment Shufti aide-t-il les entreprises maltaises de cryptomonnaies à réussir l'examen de la MFSA et à conserver leur accès aux services bancaires ?

La plateforme Shufti intègre la vérification de la clientèle, le contrôle anti-blanchiment et le suivi continu dans un processus d'intégration unique, garantissant par défaut une piste d'audit irréprochable. À Malte, c'est crucial, car cette même piste d'audit doit satisfaire successivement trois organismes de contrôle différents : la MFSA lors de la demande d'agrément CASP, la FIAU lors de la supervision thématique et la banque correspondante lors de sa propre vérification préalable de la banque maltaise. Un seul dossier, une seule piste d'audit, trois publics.

Le Vérification KYC Cette couche gère les contrôles de documents, biométriques et de données pour un large éventail de types de documents et de juridictions, ce qui est important lorsqu'un CASP enregistré à Malte dessert une clientèle paneuropéenne. AML screening Le système effectue des vérifications de sanctions, de PPE et de couverture médiatique négative, et non seulement lors de l'intégration, et expose le raisonnement derrière chaque alerte afin que les analystes puissent clôturer les dossiers avec une justification documentée. Ces deux éléments s'intègrent à des flux de travail configurables et adaptés aux risques spécifiques aux cryptomonnaies, et non à un processus de filtrage générique.

Les entreprises qui obtiennent leur autorisation MFSA CASP dès la première tentative et qui conservent leurs relations bancaires maltaises pendant la transition sont celles dont le système d'intégration peut répondre sur demande à la question d'un examinateur.

Au cours des quinze prochains mois, toutes les entreprises de cryptomonnaies agréées à Malte seront évaluées selon les mêmes normes de la MFSA, de la FIAU et des banques correspondantes. La procédure d'intégration permettra soit de simplifier cette démarche, soit de provoquer une crise commerciale. L'approche de Shufti, basée sur une plateforme unique pour la gestion du KYC, la lutte contre le blanchiment d'argent et… surveillance continue Elle est conçue selon le type de piste d'audit attendu par ces trois examinateurs et résiste à un examen rigoureux sans ajouts superflus ni solutions de fortune de fournisseurs externes. Voyez comment Shufti soutient les entreprises réglementées de Malte sur sa page dédiée à Malte, ou demander une démo et commencez la vérification en quelques minutes.