Affichés comme une priorité pour l’année 2024 par l’ensemble des régulateurs (Autorité de contrôle prudentiel et de résolution, Autorité des Marchés Financiers, Cour des comptes et Tracfin), les contrôles des prestataires de services sur actifs numériques (PSAN) se multiplient.

Selon la Cour des comptes, « un peu plus de 20 % des PSAN relevant du contrôle de l’ACPR ont fait l’objet d’une visite ou d’un contrôle sur place » en 2023. 

Ce contexte est nourrit par deux phénomènes : 

• la France accueille un nombre important de PSAN au niveau européen, avec plus d’une centaine d’acteurs autorisés ; 
• et le secteur présente des risques importants de blanchiment et d’atteintes aux intérêts des investisseurs, comme l’illustre les récents scandales FTX ou Celsius. 

Ces signaux de la part des régulateurs sont l’occasion de revenir sur les procédures de contrôle, leurs champs d’application, les étapes à suivre, les réflexes à adopter, la typologie des sanctions et les voies de recours à la disposition des acteurs.

Quelles sont les autorités de contrôle et que contrôlent-elles ?

Les PSAN peuvent l’objet de contrôles de la part de l’AMF et de l’ACPR: 

• l’AMF vérifie les obligations financières et cyber des PSAN, à savoir : 
  • la conformité du dispositif de sécurité et de contrôle interne adéquat, 
  • la prévention des conflits d’intérêts, 
  • la résilience et la sécurité du système informatique (via des audits), 
  • le respect des obligations en matière commerciale (cadre contractuel) ainsi qu’en matière de communication.

Pour les prestataires de service de conservation pour le compte de tiers, l’AMF contrôle également les obligations spécifiques (sous-conservation, sécurité, ségrégation). Enfin, l’AMF contrôle le respect des obligations de lutte contre le blanchiment et le financement du terrorisme (LCB-FT), des prestataires agréés.

• l’ACPR contrôle quant à elle le respect des obligations de LCB-FT et de gel des avoirs des prestataires enregistrés. Elle s’assure notamment de la tenue des fichiers clients incluant les examens renforcés et les éventuelles déclarations de soupçons attachées, de la cartographie des risques intégrant des seuils adaptés à la clientèle et de la conformité des contrats d’externalisation.

Comment anticiper les contrôles ?

Les PSAN sont invités à mettre en place des outils de contrôle interne renforcés afin de s’assurer que les procédures soient en conformité permanente avec la réglementation. Le contrôle interne se décompose en trois niveaux :

Afin de préparer au mieux un contrôle des régulateurs, il revient à l’entité contrôlée de s’organiser de manière à faciliter les contrôles, en fournissant un organigramme de l’entité aux contrôleurs, en veillant à ce que les contrôleurs disposent de conditions d’installation (i.e., salle de réunion, y compris en coworking le cas échéant) ainsi que de moyens matériels et informatiques appropriés et en désignant un interlocuteur privilégié dont le rôle consiste à coordonner le déroulement de la mission de contrôle.

Par ailleurs, il est recommandé de prendre les précautions suivantes :

• consulter régulièrement les instructions et positions de l’AMF, les publications de l’ACPR et les rapports annuels de Tracfin ;
• préparer et mettre à jour une présentation de la société, de ses services et de l’ensemble des informations pertinentes pour permettre aux contrôleurs d’appréhender l’activité et l’environnement réglementaire du prestataire.

Quelles sont les étapes d’un contrôle ? 

Dans le cadre de leur fonction, les régulateurs procèdent à des contrôles sur pièces et/ou sur place ayant pour objectif de s’assurer que les PSAN qu’ils régulent respectent leurs obligations réglementaires. Bien qu’aucun cadre temporel ne soit imposé pour les contrôles, les contrôleurs de l’AMF s’efforcent de limiter à 6 mois le délai moyen du contrôle pour éviter de perturber outre mesure les activités du prestataire.

Ces contrôles se déroulent en plusieurs étapes :

1. Habilitation des contrôleurs : les contrôles de l’ACPR interviennent soit dans le cadre de leur mission de contrôle permanent, soit dans le cadre d’une lettre de mission du Secrétaire Général de l’ACPR. Les contrôles de l’AMF sont ouverts par le Secrétaire Général de l’AMF qui délivre un ordre de mission aux contrôleurs, précisant l’objet et les personnes en charge du contrôle.
2. Réunion de présentation : il est d’usage que les contrôleurs de l’AMF organisent une réunion de présentation auprès des représentants légaux de la société afin que les personnes contrôlées puissent préparer le contrôle. Dans le cadre d’un contrôle ACPR, une telle réunion n’est pas prévue, néanmoins les personnes contrôlées sont informées du début de la mission et de son objet.
3. Investigations et entretiens : des entretiens sur place ou des demandes de renseignements peuvent avoir lieu. Les contrôleurs de l’AMF et de l’ACPR peuvent exiger tout document et ordonner la conservation de toute information ainsi qu’avoir accès aux locaux professionnels de la personne contrôlée. 
4. Auditions : les contrôleurs de l’AMF peuvent convoquer et auditionner à distance, dans les locaux de l’AMF ou dans ceux de la personne contrôlée, toute personne susceptible de leur fournir des informations, y compris tout employé de l’entité contrôlée ainsi que tout tiers. Aux fins de la tenue d’une audition, une convocation est envoyée huit jours calendaires au moins avant la date de convocation.
5. Restitution des constats : une réunion regroupant les représentants de la personne contrôlée et les contrôleurs de l’AMF ou de l’ACPR se tient dans le but de porter à la connaissance des représentants de la personne contrôlée les principaux éléments recueillis par les contrôleurs à l’issue du contrôle et de recueillir leurs observations sur ces constats.
6. Rapport de contrôle : à l’issue du contrôle, un rapport de contrôle est établi par les contrôleurs au sein duquel le régulateur présente ses conclusions et, le cas échéant, les éventuelles recommandations ou sanctions.

Quels réflexes adopter pendant le contrôle ? 

Dans le cadre du contrôle, l’entité régulée doit montrer la maîtrise de ses politiques internes. Concrètement, celles-ci doivent être adaptées à la réalité de son activité et de sa clientèle.

S’agissant des réflexes et de l’attitude à adopter, les entités contrôlées doivent apporter leur concours avec diligence et loyauté en respectant les principes de bonne conduite. Des poursuites pour délit d’entrave pourraient être enclenchées s’il est prouvé que le but poursuivi était de faire obstacle à la mission de contrôle du régulateur ou de lui communiquer des informations inexactes.

Dans le même sens, le droit au silence est applicable sans justifier un défaut de coopération avec les contrôleurs. Par ailleurs, les acteurs contrôlés ne peuvent opposer le secret professionnel à l’exception du secret professionnel des auxiliaires de justice (avocats, huissiers de justice, mandataires de justice). En ce sens, l’implication d’un avocat avant ou pendant le contrôle peut permettre de protéger les éléments confidentiels comme les échanges relatifs à l’élaboration d’une stratégie de contrôle, encore une fois sans faire obstacle à la communication des documents dans le champ du contrôle.

Par ailleurs, face aux interrogations des contrôleurs, il est toujours préférable de demander aux contrôleurs un délai de réponse en cas de doute sur l’information requise, afin d’éviter le risque de réponses erronées.

Quelles sont les sanctions encourues ? 

A la suite d’un contrôle, les autorités peuvent procéder au classement sans suite ou envoyer une lettre de suites exposant les mesures que l’entité doit mettre en œuvre afin de remédier aux faits constatés. En outre, le régulateur peut envoyer une notification de griefs au mis en cause qui sera assortie d’une proposition d’entrer en voie de composition administrative ou à laquelle sera jointe l’ouverture d’une procédure de sanction devant la commission des sanctions.

Les sanctions administrative sont de diverses natures :

• sanctions pécuniaires allant jusqu’à 100 millions d’euros ou le décuple du montant de l’avantage retiré du manquement (si la sanction est prononcée par l’AMF) ou 10% de son chiffre d’affaires net (si celle-ci est prononcée par l’ACPR).
• sanctions disciplinaires telles que l’avertissement, le blâme, ou encore l’interdiction temporaire ou définitive d’exercer de toute ou partie des services fournis. En outre, l’AMF peut, sur avis conforme de l’ACPR, à l’initiative de l’ACPR ou à sa propre initiative, procéder à la radiation du PSAN. L’AMF a par exemple procédé à la radiation de la plateforme Bykep en septembre 2022 pour défaillances sérieuses du dispositif de LCB-FT.

Que faire en cas de sanction prononcée par l’autorité de régulation ? 

Depuis le 1er janvier 2024, la loi est venue clarifier les voies de recours à disposition des PSANs : ils  peuvent contester les décisions de la commission des sanctions de l’AMF devant le Conseil d’Etat dans le cadre d’un recours de pleine juridiction et dans un délai de deux mois. Ainsi, le juge administratif peut confirmer, annuler ou modifier le contenu de la décision. 

A noter que la juridiction compétente et la procédure ne sont pas nécessairement identiques pour les décisions du régulateur hors sanction. Pour en savoir plus, n’hésitez pas à consulter notre article sur la contestation d’une décision du régulateur.

Les décisions prononcées par la commission des sanctions de l’ACPR peuvent également faire l’objet d’un recours de pleine juridiction devant le Conseil d’Etat dans un délai de deux mois suivant leur notification.

ORWL est en mesure de vous accompagner sur l’ensemble des aspects d’un contrôle. Pour entrer en contact avec le cabinet, vous pouvez utiliser ce formulaire.