Conformité des paiements stablecoin transfrontaliers

À qui cette carte de conformité est-elle réellement destinée

Il s’agit d’un document de travail pour les responsables de la conformité, les responsables de trésorerie et les ingénieurs produit chez les fintechs, les sociétés de remittance et les néobanques qui lancent ou développent un corridor de remittance en stablecoin. L’exemple traité est un transfert des États-Unis vers le Mexique en USDC, mais la même logique s’applique à la plupart des corridors vers l’Amérique latine, l’Europe et l’Asie du Sud-Est, avec les substitutions appropriées.

Deux hypothèses avant d’aller plus loin. Premièrement, vous savez déjà ce qu’est un stablecoin. C’est un token sur une blockchain publique dont la valeur est indexée sur une devise fiduciaire, généralement 1 USD par token. Deuxièmement, vous comprenez la différence entre les wallets custodial et non-custodial. Un wallet custodial est géré par une entité agréée qui détient les clés privées pour vous, tandis qu’un wallet non-custodial laisse l’utilisateur contrôler ses propres clés. Les deux créent des obligations de conformité distinctes, et les deux sont abordées ci-dessous.

Si vous construisez un produit custodial où votre société détient des fonds clients en stablecoins à un moment quelconque du flux, vous êtes une money services business et vous êtes soumis à l’ensemble complet décrit ici. Si vous construisez un wallet non-custodial et ne prenez jamais la garde des fonds, vos obligations sont plus limitées mais pas nulles, et elles évoluent rapidement dès que les volumes de transactions augmentent.

Le paysage des risques avant d’écrire la moindre politique

Les corridors en stablecoin paraissent simples sur un tableau blanc et deviennent vite chaotiques en production. Les modes de défaillance se rangent dans un petit nombre de catégories, et les auditeurs les voient en permanence.

Fractionnement sous le seuil. Les criminels comme les utilisateurs ordinaires divisent les paiements en montants inférieurs à 1 000 USD pour éviter de déclencher la Travel Rule. Le US PATRIOT Act, la sixième directive AML de l’UE et la recommandation 16 du FATF imposent tous, dans de nombreux cas, des obligations de conservation des données bien en dessous de ce seuil, et FinCEN a historiquement attendu une surveillance des schémas sous le seuil dans le cadre d’un programme fondé sur les risques. Le seuil de la Travel Rule est un plancher de partage des données, pas un plafond de surveillance.

Fuite pair à pair. Une fois qu’un client détient de l’USDC dans un wallet en auto-garde, aucun VASP ne peut l’empêcher de l’envoyer à une adresse que vous n’avez jamais contrôlée. Les corridors qui ignorent cette fuite et ne contrôlent qu’à l’entrée et à la sortie finissent avec l’essentiel de leur risque concentré dans les flux qui passent par des exchanges, des bureaux OTC et des acquéreurs marchands à haut risque du côté destinataire.

Arbitrage juridictionnel. Un client domicilié aux États-Unis qui envoie des fonds à un destinataire domicilié dans l’UE peut passer par un CASP basé dans n’importe quel État membre, mais l’entreprise américaine reste tenue aux obligations américaines. Inversement, un destinataire mexicain peut convertir ses fonds via un agent local non agréé qui les fera ensuite sortir par un autre exchange, et la banque de l’émetteur américain voudra savoir que la chaîne d’intermédiaires a respecté le droit mexicain local.

Angles morts liés aux sanctions. Les mesures restrictives de l’OFAC, le régime de sanctions de l’UE et les listes de sanctions mexicaines évoluent indépendamment. Une entreprise américaine qui ne filtre que contre l’OFAC manque les désignations européennes et mexicaines. Une entreprise qui ne filtre qu’au niveau du wallet manque le fait que le bénéficiaire effectif d’une adresse de dépôt sur exchange a pu changer de mains.

Contagion du décrochage du stablecoin. SVB, en mars 2023, a montré que même l’USDC, alors deuxième plus grand stablecoin adossé au dollar, pouvait s’échanger brièvement à 0,87 USD si la pile bancaire de l’émetteur vacillait. Les corridors FX qui promettent aux bénéficiaires un montant exact en pesos créent un risque de change dans les comptes de quelqu’un, et ce quelqu’un est généralement l’expéditeur ou le fournisseur de liquidité. Les auditeurs demandent qui supporte le risque de décrochage pour chaque règlement.

Effondrements historiques. Le décrochage de l’USDC en 2022 pendant la tension sur SVB, l’effondrement de TerraUSD en mai 2022, qui a fait disparaître des milliards de dollars de valeur en quelques jours, et les problèmes de Tether en 2018 ne sont pas des cas limites. C’est précisément pour cela que le GENIUS Act exige une couverture des réserves à 1:1 avec des attestations mensuelles et des bons du Trésor à court terme.

Le cadre juridique sur lequel repose un corridor USDC entre les États-Unis et le Mexique

Un donneur d’ordre basé aux États-Unis qui envoie des USDC à un bénéficiaire mexicain relève d’au moins cinq régimes qui se chevauchent. Définissez-les clairement avant de dessiner un organigramme de flux.

1. Les licences américaines de transmetteur de fonds. Si vous transmettez des USDC pour le compte de clients dans le cadre d’une activité de remittances, vous êtes un transmetteur de fonds au sens du Bank Secrecy Act et de la plupart des lois des États sur les transmetteurs de fonds. En pratique, cela signifie des licences MTL dans chaque État où vous opérez, plus un enregistrement auprès du FinCEN en tant que MSB. Plusieurs États, dont New York et le Texas, considèrent la conservation et la transmission de stablecoins comme de la transmission de fonds, même si aucune monnaie fiat ne touche jamais votre bilan.

2. Le GENIUS Act (2025). Le Guiding and Establishing National Innovation for US Stablecoins Act crée un cadre fédéral pour les stablecoins de paiement émis par des personnes américaines. Pour les flux transfrontaliers, les deux clauses importantes sont les restrictions applicables aux émetteurs étrangers et la priorité en cas d’insolvabilité. Les émetteurs non américains de stablecoins de paiement ne peuvent pas servir des clients américains sauf s’ils détiennent une charte de trust de l’OCC ou opèrent par l’intermédiaire d’une filiale constituée aux États-Unis qui respecte les mêmes normes, réserves 1:1, attestations mensuelles, remboursement au pair. C’est pourquoi le USDC de Circle et le RLUSD de Ripple ont remanié leur documentation de distribution aux États-Unis, et pourquoi des stablecoins étrangers comme Tether se sont largement retirés de la vente directe au détail aux États-Unis. Les corridors transfrontaliers qui dépendaient d’émetteurs offshore ont dû migrer vers des émetteurs agréés entre le milieu et la fin de 2025.

3. L’enregistrement CASP au titre de MiCA. Le règlement européen Markets in Crypto-Assets est pleinement entré en application en 2024. Toute entreprise qui émet ou distribue des tokens référencés sur des actifs ou des tokens de monnaie électronique, y compris USDC et EURC, à des clients de l’UE doit s’enregistrer en tant que Crypto-Asset Service Provider. Pour gérer à la fois les côtés américain et européen d’un corridor, vous obtenez soit une autorisation CASP dans un État membre et utilisez le passeport dans tout le bloc, soit vous vous associez à un CASP existant qui sert le client de l’UE pendant que vous servez le client américain. Les auditeurs s’attendent à un accord de distribution écrit couvrant la ségrégation des clients, le traitement des réclamations et la responsabilité en marque blanche.

4. La Travel Rule du FATF. La recommandation 16 exige que les donneurs d’ordre et les bénéficiaires partagent les informations complètes sur le payeur et le payé pour les transferts dépassant un seuil national, généralement 1 000 USD/EUR mais plus bas dans de nombreuses juridictions. La contrepartie d’origine doit collecter le nom, l’adresse, le numéro de compte et un identifiant national du donneur d’ordre, ainsi que le nom et le numéro de compte du bénéficiaire. En pratique, cela signifie que votre infrastructure de wallets parle un protocole Travel Rule, les principales options ouvertes étant TRISA pour le côté américain et Codefi Notabene et d’autres pour le côté européen, et que vos partenaires le font aussi.

5. Les règles mexicaines et celles des émetteurs locaux. Le Mexique n’a pas encore de loi crypto unifiée équivalente à MiCA, mais la Ley Fintech de 2018 couvre les établissements de paiement électronique, et les orientations de la CNBV soumettent les prestataires de services sur actifs virtuels à un examen de plus en plus attentif. Les partenaires de cash-out doivent être agréés en vertu du droit mexicain pour que la branche en pesos soit défendable auprès de votre banque américaine.

Concevoir le corridor : là où la conformité se fragilise réellement

Prenez une entreprise américaine, agréée dans chaque État pertinent, enregistrée auprès du FinCEN, disposant d’une autorisation CASP par sollicitation inversée ou via un partenaire européen, qui prévoit d’envoyer des USDC de clients américains à des bénéficiaires mexicains qui retirent en pesos auprès d’agents locaux. L’ossature paraît solide. Le vrai travail se situe aux jonctions.

Onboarding. Vous devez identifier le client du côté du donneur d’ordre au seuil BSA applicable au niveau de produit concerné, généralement CIP à l’ouverture du compte quelle que soit la taille. Vous avez également besoin d’une base contractuelle pour partager ces données avec la contrepartie Travel Rule du côté réception. Les bénéficiaires au Mexique sont généralement identifiés par le partenaire de cash-out avant le paiement. Les bénéficiaires en self-custody doivent être identifiés au moment où ils effectuent leur on-ramp, une étape que de nombreux corridors ignorent.

Le transfert. Envoyez 5 000 USDC à travers le corridor. Étape 1, votre système transmet les données du donneur d’ordre et du bénéficiaire au partenaire récepteur via un canal de messagerie Travel Rule. Étape 2, vous filtrez les deux adresses et leurs bénéficiaires effectifs par rapport aux listes OFAC, UE et mexicaines. Étape 3, vous envoyez les USDC sur Ethereum, ou, moins cher, sur une layer 2 comme Base. Étape 4, le partenaire récepteur valide les données par rapport à votre message, crédite le bénéficiaire et paie en pesos. Les points sensibles d’audit à cette étape sont l’absence de due diligence de contrepartie sur le VASP récepteur, une messagerie Travel Rule lente qui laisse les transactions arriver avant les données, et l’absence de filtrage automatisé des sanctions sur les adresses de layer 2.

Là où les choses se cassent. Les transferts inférieurs à 1 000 qui devraient malgré tout être surveillés, les passages peer-to-peer qui contournent la remise réglementée, l’arbitrage juridictionnel lorsqu’un client passe par un ami dans un État plus permissif, et les moments de décrochage d’un stablecoin qui transforment un règlement de routine en déficit dans les livres d’une partie. Les deux sous-sections suivantes couvrent chacun de ces points.

Le problème des transferts inférieurs à 1 000 et la Travel Rule, en pratique

La recommandation 16 du FATF fixe un seuil national d’environ 1 000 USD/EUR. Aux États-Unis, les orientations 2020 du FinCEN et le Bank Secrecy Act lui-même imposent depuis longtemps la collecte et la conservation des informations sur le donneur d’ordre pour les fonds transmis au-dessus de 3 000 USD, mais l’attente alignée sur le FATF, et celle que le Treasury attend de vous dans le cadre d’un programme fondé sur les risques, couvre tout transfert qu’une personne raisonnable signalerait comme suspect. Les auditeurs testent de plus en plus deux éléments.

Premièrement, avez-vous une politique écrite indiquant que les transferts sous le seuil sont quand même filtrés par rapport aux listes de sanctions et surveillés pour détecter le fractionnement ? Une politique qui ne le dit pas échoue dès la première fois qu’un client effectue 10 transferts de 800 USD en un seul après-midi. Deuxièmement, votre intégration technique Travel Rule transporte-t-elle réellement les données du bénéficiaire et du donneur d’ordre sur ces transferts sous le seuil, ou seulement sur les transferts au-dessus du seuil ? Les praticiens appellent cet écart « silent sub-threshold », et c’est un point fréquent nécessitant une attention dans les rapports SOC 1.

Sur le plan opérationnel, vous avez trois choix. Vous appliquez la messagerie Travel Rule complète à chaque transfert, quelle que soit sa taille, ce qui est la posture la plus robuste mais ajoute des coûts. Vous appliquez le filtrage sanctions et AML à chaque transfert, quelle que soit sa taille, tout en ne transportant la charge utile Travel Rule complète qu’au-dessus du seuil, ce qui est acceptable si votre politique est claire. Vous ne transportez les données Travel Rule qu’au-dessus du seuil, ce qui est l’option la plus faible et résiste rarement à un audit externe.

Les passages peer-to-peer et ce que les auditeurs veulent que vous fassiez à leur sujet

Chaque corridor perd une partie de ses flux vers le peer-to-peer. Un client en Californie envoie des USDC de son compte de conservation vers son propre wallet non custodial, puis de ce wallet vers l’adresse de dépôt sur exchange d’un bénéficiaire au Mexique. Votre entreprise n’a jamais traité le deuxième saut. Les auditeurs demandent quand même ce que vous avez fait.

La réponse prudente consiste à surveiller strictement votre propre on-ramp et off-ramp, à traiter l’écart au milieu comme une réalité, et à le documenter. La réponse plus solide consiste à appliquer une surveillance fondée sur les risques aux bénéficiaires dès le premier saut, y compris l’analyse de clusters et la notation comportementale, afin de pouvoir identifier les cas où un client américain envoie régulièrement vers des adresses associées à des services de cash-out à destination du Mexique. Une petite partie des équipes de conformité utilise des outils d’analyse blockchain de sociétés telles que Chainalysis, TRM Labs ou Elliptic au niveau du wallet afin d’attribuer des scores de risque aux adresses bénéficiaires, même lorsque ces adresses ne sont pas custodial.

Une clause peer-to-peer dans vos conditions de service interdisant l’utilisation sanctionnée ou illégale de votre plateforme est nécessaire mais insuffisante. Les auditeurs recherchent aussi une stratégie de sortie : comment radiez-vous un client pour lequel vous avez des preuves qu’il utilise votre plateforme pour canaliser des fonds vers des adresses sanctionnées, et comment déposez-vous un SAR dans le délai de 30 jours autorisé par le Bank Secrecy Act ?

Ce que les auditeurs exigent réellement dès le premier jour

Les présentations pratiques de ce qui apparaît lors d’un audit SOC 1 Type 2 ou d’un examen étatique d’émetteur de monnaie suivent généralement une liste de contrôle commune.

• Un programme AML écrit. Responsable de la conformité désigné, politiques écrites, tests indépendants, formation continue et évaluation des risques mise à jour au moins une fois par an. Le Department of the Treasury s’attend à ce que ces éléments soient en place avant le traitement de votre premier transfert.
• Mise en œuvre technique de la Travel Rule. Pas une présentation. Une intégration opérationnelle avec une contrepartie sur un protocole de messagerie Travel Rule, avec des preuves contresignées dans vos journaux montrant que les données ont été échangées pour les transactions concernées.
• Filtrage des sanctions sur Ethereum et les layer 2s. Le filtrage OFAC sur Ethereum mainnet est un prérequis de base. Les auditeurs s’attendent aussi à voir que vous filtrez les adresses sur Base, Arbitrum et Optimism, et que vous disposez d’une politique écrite sur la fréquence de mise à jour des adresses par rapport aux listes SDN actualisées.
• Diligence raisonnable sur les émetteurs de stablecoins. Pour les corridors utilisant USDC, EURC ou RLUSD, une attestation de réserves à jour, un rapport SOC récent de l’émetteur et une analyse écrite des mécanismes de rachat et du risque de depeg. L’adossement 1:1 et les attestations mensuelles prévus par le GENIUS Act rendent cela plus simple qu’en 2022, mais les examinateurs le demandent toujours.
• Diligence raisonnable sur les VASP contreparties. Pour chaque exchange, desk OTC, fournisseur de liquidité et agent de conversion en espèces, une évaluation écrite des risques incluant le statut de licence, le régulateur, la juridiction, les bénéficiaires effectifs lorsqu’ils sont identifiables, ainsi que les contrôles sur lesquels vous vous appuyez pour les segments du flux qu’ils gèrent.
• Procédures SAR et de réponse aux incidents. Procédures déposées et déposées dans les délais pour la structuration, les alertes de sanctions, les événements de depeg et les échecs de messagerie Travel Rule. Les auditeurs les testent en demandant le scénario fictif le plus récent.

Aucun de ces éléments n’a rien d’exotique. C’est ce qu’un examinateur en est venu à attendre de toute entreprise de paiement, et c’est ce que le responsable BSA de votre banque partenaire demandera lors de votre prochaine revue trimestrielle.

Implications pratiques pour votre équipe

Trois enseignements pour les équipes conformité et trésorerie qui doivent réellement mettre cela en production. Premièrement, construisez le corridor en gardant à l’esprit l’émetteur agréé. Si vous partez du principe que votre corridor utilisera USDC via Circle, concevez le contrat et l’intégration opérationnelle autour d’un parcours à charte de trust OCC capable de survivre aux règles du GENIUS Act sur les émetteurs étrangers. Si vous partez du principe qu’EURC apparaîtra côté UE dans un futur corridor, concevez votre dispositif pour que des CASP MiCA puissent vous proposer en marque blanche. Modifier ces décisions après coup est le mode d’échec le plus coûteux dans ce domaine.

Deuxièmement, traitez la Travel Rule comme une fonctionnalité produit, et non comme une case de conformité de back-office. Les clients s’attendront de plus en plus à voir quelles données sont partagées et pourquoi, et une notice de confidentialité claire qui nomme le VASP destinataire est une fonctionnalité que vous pouvez mettre en avant. Masquer les mécanismes de la Travel Rule jusqu’à ce qu’un régulateur pose la question crée des frictions évitables.

Troisièmement, préparez le prochain changement de régime. Le GENIUS Act est une loi de 2025; l’UE dispose de MiCA; le Mexique finalise son propre cadre. Partez du principe que la carte des licences que vous dessinez aujourd’hui devra être actualisée dans 18 mois. Construisez les politiques, les contrats fournisseurs et les accords avec les contreparties de manière à pouvoir absorber une nouvelle règle sans changer de plateforme.

Suivre les paiements en stablecoins et leur réglementation

Les corridors de stablecoins et les règles qui les entourent évoluent rapidement, tout comme l’actualité. Suivre manuellement les orientations du GENIUS Act, les avis MiCA CASP, les mises à jour du FATF et les mesures d’application prises contre les banques est une bataille perdue d’avance. Zippfeed fait remonter les gros titres sur les stablecoins et la réglementation des paiements avec un score de sentiment (bullish, neutral ou bearish) et une note d’importance, afin que vous voyiez ce qui compte avant votre prochaine revue trimestrielle.