Filtrage LCB-FT pour les plateformes d’échange crypto

Le filtrage de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) vérifie les clients d’un établissement et leurs paiements au regard des listes qui désignent les parties sanctionnées et à haut risque. Un établissement agréé le met en œuvre pour tenir l’argent de ces parties à l’écart de ses comptes, et pour prouver qu’il l’a fait.

Pour une plateforme d’échange crypto ou un courtier, le prouver constitue la moitié coûteuse : le travail commence dès qu’un nom correspond à une liste. Lorsque la Financial Conduct Authority (FCA) a examiné les contrôles de sanctions de plus de 150 établissements, seuls 44 % clôturaient une alerte de filtrage de noms en un jour ouvré , et plus d’un quart avaient besoin de trois à cinq jours, soit assez longtemps pour qu’un client nouvellement désigné puisse effectuer un retrait.

Ce guide traite des quatre contrôles, des superviseurs qui les évaluent et de trois façons de les organiser, dont le back-office intégré de B2BROKER.

Qu’est-ce que le filtrage LCB-FT ?

Le filtrage LCB-FT rapproche chaque client, chaque contrepartie et chaque paiement traité par un établissement régulé des données de sanctions, de personnes politiquement exposées (PPE) et de médias négatifs, afin d’y détecter un risque de blanchiment de capitaux ou de financement du terrorisme.

Le filtrage se répète tant que le compte reste ouvert. Une liste de sanctions peut ajouter un nom du jour au lendemain, et un trader particulier à faible risque peut devenir le partenaire d’affaires d’une PPE un an après l’entrée en relation.

Dans l’Union européenne, le règlement anti-blanchiment (AMLR) s’applique directement dans les 27 États membres à compter du 10 juillet 2027 , en remplacement des transpositions nationales qui permettaient qu’un même client soit soumis à des contrôles différents selon les pays.

Les contrôles essentiels du filtrage LCB-FT

Chacun des quatre contrôles d’un dispositif de filtrage complet couvre un risque que les trois autres ont tendance à manquer.

Filtrage des sanctions

Le filtrage des sanctions compare le nom de chaque client et de chaque contrepartie à des listes officielles, telles que la liste SDN de l’Office of Foreign Assets Control (OFAC) et la liste des sanctions du Royaume-Uni, à l’entrée en relation puis à chaque modification d’une liste.

Seulement environ deux tiers des établissements examinés par la FCA chargent une mise à jour de liste dans un délai d’un jour. Lors des tests menés par le régulateur lui-même, les systèmes de filtrage ont détecté la partie sanctionnée dans 90 % des alertes lorsque le nom correspondait exactement, mais dans 75 % d’entre elles lorsque l’orthographe variait .

Filtrage des PPE

Le filtrage des PPE identifie les clients qui exercent ou ont récemment exercé une fonction publique importante, ainsi que les membres de leur famille et les personnes qui leur sont étroitement associées, et oriente le compte vers des mesures de vigilance renforcée (EDD).

Une correspondance PPE appelle une vigilance proportionnée : une origine des fonds et une origine du patrimoine documentées, un cycle de revue plus court, et l’approbation d’un dirigeant avant que le compte ne soit autorisé à négocier. Le refus n’est pas exigé. Sur ces dossiers, la FCA constate le plus souvent une vigilance exercée mais jamais consignée, qui ne laisse rien à présenter lors de la revue suivante.

Contrôles des médias négatifs et des bénéficiaires effectifs

Le filtrage des médias négatifs signale un client cité dans des informations crédibles portant sur une fraude, une corruption ou un contournement de sanctions. La vérification des bénéficiaires effectifs identifie, derrière les sociétés holding, la personne qui contrôle un compte de société. Les deux détectent le risque avant qu’une liste officielle ne le fasse.

C’est sur la propriété que la FCA a vu les établissements peiner le plus. Ils ne parvenaient pas à remonter aux propriétaires en amont à travers des structures à plusieurs niveaux, ni à relier une contrepartie à une personne désignée lorsque le lien passait par un intermédiaire. Pour un client personne morale, le contrôle doit atteindre les bénéficiaires effectifs derrière l’entité.

Le paysage réglementaire LCB-FT aujourd’hui

Les données d’alertes sont désormais la preuve sur laquelle un superviseur s’appuie. Depuis février 2022, la FCA teste elle-même le calibrage du filtrage des établissements, au regard de leurs propres déclarations de criminalité financière, et publie les défaillances, jusque dans les titres de civilité qui faisaient passer une correspondance sous le seuil d’alerte.

L’Union européenne centralise la même exigence auprès d’un seul superviseur. Le premier document de programmation de l’Autorité de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA), publié en février 2026, engage la nouvelle autorité sur un corpus unique de règles LCB-FT et une supervision convergente entre les États membres d’ici 2028. Pour y parvenir, l’autorité fait passer ses effectifs de 120 à 432 agents.

Qui a besoin du filtrage LCB-FT, et pourquoi

Qu’il s’agisse d’un courtier forex, d’une plateforme d’échange crypto, d’un prime broker ou d’une fintech, l’établissement agréé qui détient ou fait transiter l’argent de ses clients est une entité assujettie au titre de la législation LCB-FT du pays qui l’a agréé. À partir de là, les établissements divergent sur les contrôles LCB-FT qu’ils appliquent, sur les relations concernées et sur le régulateur qui en évalue le résultat.

La fermeté de ce régulateur suit le cycle du Groupe d’action financière (GAFI) propre au pays. Ce cycle en est à son cinquième tour, qui évalue l’efficacité dans les faits. Un pays qui attend sa visite sur place, comme le Royaume-Uni pour juin 2027, tend à se montrer plus exigeant envers ses établissements dans la période qui précède.

Courtiers forex et exposition MiFID

Un courtier forex agréé au titre de MiFID filtre ses clients à l’entrée en relation en application de la législation LCB-FT. Le règlement relatif aux abus de marché (MAR) lui impose ensuite de surveiller la façon dont ils négocient et de déclarer les ordres et les transactions suspects. La catégorisation des clients au titre de MiFID II alimente cette surveillance : une contrepartie éligible qui se couvre pour des montants importants et un client de détail qui négocie quelques lots laissent des empreintes différentes.

L’empilage (layering) se présente comme une négociation ordinaire sur un dossier KYC par ailleurs sain. Il n’apparaît que là où la surveillance et le filtrage lisent le même dossier client.

Plateformes d’échange crypto et obligations des VASP

Une plateforme d’échange crypto est un prestataire de services sur actifs virtuels (VASP) au sens de la recommandation 15 du GAFI. Outre les contrôles qu’effectue un courtier forex, elle filtre les adresses de portefeuille et, au titre de la règle de voyage (Travel Rule), échange avec le VASP de la contrepartie les informations sur le donneur d’ordre et le bénéficiaire. Dans l’UE, ces données accompagnent chaque transfert, quel qu’en soit le montant.

La législation a progressé plus vite que la supervision. La mise à jour de juillet 2026 du GAFI dénombre 91 des 109 juridictions interrogées où la législation sur la Travel Rule est en vigueur , contre 73 % des répondants un an plus tôt, tandis que 60 % de ces 91 n’ont encore pris aucune mesure de supervision au titre de ce texte.

Le régime de licence fait de ces contrôles une condition d’accès au marché. Depuis le 1er août 2025, Hong Kong exige une licence pour émettre des stablecoins référencés sur une monnaie fiduciaire, assortie d’une ligne directrice LCB-FT. Peu d’établissements l’obtiennent. En avril 2026, le régulateur a délivré deux licences sur 36 demandes .

Prime brokers et desks institutionnels

L’exposition d’un prime broker passe par chaque établissement de sa chaîne de règlement. Contreparties, dépositaires et fournisseurs de liquidité restent donc soumis au filtrage pendant toute la durée de chaque relation.

Ici, le contrôle décisif consiste à établir qui possède et qui contrôle la contrepartie. Dans les cas étudiés par la FCA, un lien situé à l’intérieur d’un groupe de sociétés a suffi à masquer si une contrepartie était détenue par une personne désignée. Les établissements qui s’en sont bien sortis lors de la même revue comparaient l’activité de chaque contrepartie au modèle d’activité déclaré à l’entrée en relation.

Comment fonctionne le filtrage LCB-FT

Le filtrage se déroule en trois étapes reliées : l’entrée en relation, la surveillance continue et la remontée des alertes. Les superviseurs indiquent que la plupart des défaillances se produisent au passage de relais entre elles. Lorsque les trois étapes tiennent des dossiers séparés, un système de paiement approuve le retrait que la surveillance a déjà signalé.

Entrée en relation et vigilance à l’égard de la clientèle

Le filtrage à l’entrée en relation vérifie l’identité selon les règles de connaissance du client (KYC), rapproche le nom des listes de sanctions et de la base de données des PPE, et attribue un score de risque avant que le compte ne soit autorisé à négocier.

L’approche fondée sur les risques détermine ensuite le niveau d’approfondissement du dossier. Un client de détail d’un pays à faible risque fait l’objet de mesures de vigilance standard (CDD), tandis qu’un compte de personne morale rattaché à un pays de la liste grise du GAFI exige une origine des fonds documentée et l’approbation d’un cadre supérieur avant son ouverture.

Les seuils qui déclenchent ces contrôles sont plus bas dans les crypto-actifs que dans tout autre secteur. Au titre de l’AMLR de l’UE, un prestataire de services sur crypto-actifs applique l’ensemble des mesures de vigilance à une transaction occasionnelle de 1 000 € et identifie tout de même le client en deçà de ce montant. Pour la plupart des autres établissements financiers, le premier seuil est de 10 000 €.

Surveillance continue des transactions

Chaque modification d’une liste de sanctions relance le filtrage de toute la clientèle. La surveillance en temps réel travaille dans l’autre sens : elle confronte chaque dépôt, chaque retrait et chaque négociation à l’activité que le client était censé présenter à l’entrée en relation.

Les rapports de manquements de la FCA montrent ce que cela détecte : des fonds sortis dans les jours suivant la désignation de leur titulaire, ou de l’argent acheminé via des portefeuilles crypto pour masquer un lien avec une personne désignée. Les deux n’apparaissent que dans des données de paiement complètes, rattachées au compte.

Dans B2CORE, les dépôts et les retraits de l’ensemble des prestataires de paiement passent par un seul service de systèmes de paiement (Payment System Service) , qui enregistre le montant reçu et les frais au moment du dépôt.

Des identifiants volés font d’un compte sain un canal pour l’argent d’autrui, ce qui met la sécurité du compte aux côtés de la surveillance. L’application iOS de B2CORE envoie une alerte en cas de connexion depuis un lieu non reconnu, de réinitialisation du mot de passe ou de changement de la 2FA .

Remontée des alertes et déclaration d’activité suspecte

La remontée transforme une alerte de surveillance en décision documentée, dans un délai fixe qui court à compter de la détection. Une plateforme d’échange crypto enregistrée aux États-Unis comme prestataire de services monétaires (money services business) dépose sa déclaration d’activité suspecte dans les 30 jours calendaires suivant la détection pour les transactions de 2 000 $ ou plus , avec 30 jours supplémentaires uniquement si elle ne peut pas identifier un suspect.

En vertu du Bank Secrecy Act, tel que modifié par le USA PATRIOT Act, cette même plateforme tient également un programme écrit de conformité LCB-FT, avec des contrôles internes, un responsable de la conformité nommément désigné et une formation continue du personnel.

C’est rarement la détection qui fait défaut. Une banque examinée par la FCA a vu ses alertes se déclencher sur une personne nouvellement désignée, puis ses paiements partir malgré tout, avant que quiconque n’applique de restrictions. Le régulateur désigne le passage de relais entre les équipes comme la cause. Les pratiques qu’il a jugées solides sont des pratiques ordinaires :

• un délai interne pour clôturer une alerte
• une justification écrite pour chaque alerte clôturée
• un second examinateur qui contrôle par échantillonnage la qualité de ces clôtures

Mettre en place des règles de surveillance robustes

Une règle de surveillance ne se justifie que si elle détecte un risque réel sans noyer les analystes sous les alertes. Les correspondances avérées sont assez rares pour que le calibrage pèse autant que la règle elle-même.

Dans les données de la FCA, 95 % des établissements qui pratiquent un filtrage récurrent de la clientèle n’avaient trouvé aucune correspondance avérée sur une liste de sanctions depuis 2022 . Chez ces établissements, chaque alerte qu’un analyste ouvrait était un faux positif.

Resserrer une règle déplace ce coût sans le supprimer. L’alerte se déclenche toujours, et le niveau de service propre à l’établissement décide si quelqu’un l’atteint avant que les fonds ne sortent. Lorsqu’un prestataire calibre les seuils par apprentissage automatique, il appartient toujours à l’établissement d’expliquer ces réglages. Les constats de la FCA qualifient de mauvaise pratique le fait de les laisser sans revue.

Seuils de transaction et signaux d’empilage

Les règles de seuil signalent une transaction unique supérieure à un montant fixé. Les règles d’empilage détectent le schéma conçu pour rester en dessous.

Partez de la règle de déclaration qui vous est applicable, par exemple le plancher de 2 000 $ à partir duquel un prestataire de services monétaires américain déclare une transaction suspecte, puis fixez les seuils de détection en dessous, afin qu’un schéma apparaisse avant l’obligation de déclarer. Trois schémas méritent chacun leur propre règle :

• plusieurs dépôts d’un montant juste inférieur au seuil de déclaration, au cours d’une même journée, ce à quoi ressemble le fractionnement
• une chaîne de virements entre des comptes ouverts la même semaine
• un dépôt retiré dans l’heure, sans négociation entre les deux

Indicateurs de juridictions à haut risque

Un indicateur de juridiction ajoute l’exposition pays du client au score de la règle, en prenant pour base les listes du GAFI des juridictions sous surveillance renforcée ou faisant l’objet d’un appel à l’action. L’exposition pays ne s’arrête pas au passeport : elle s’étend à la résidence et à la banque d’origine des fonds, chacune portant son propre score.

Établissez vous-même les scores pays. Là où des établissements avaient acheté des notations de juridictions à un prestataire sans jamais les contester, la FCA a relevé une faiblesse, constatant dans certains cas que ces notations étaient incohérentes avec les évaluations du GAFI lui-même.

Un superviseur évalue la file d’attente derrière vos alertes, et la seule correspondance avérée attend dans la même file que les faux positifs.

Développer, acheter ou s’associer pour la conformité

Vous pouvez développer vos outils de filtrage LCB-FT en interne, acheter une solution ponctuelle autonome, ou retenir le filtrage au sein d’une plateforme intégrée. Chaque option place vos données de filtrage à un endroit différent et laisse une personne différente en mesure d’expliquer une alerte manquée.

Un développement en interne vous donne la pleine maîtrise des règles et du modèle de données. La facture revient chaque année, sous forme de flux de listes, de tests à refaire après chaque modification de liste, et de développeurs d’astreinte lorsqu’un régulateur déplace un seuil. Les tests de la FCA ont mis au jour des noms longs qui dépassaient la limite de caractères d’un système et échouaient en silence. L’établissement qui a construit son propre filtre découvre cette anomalie lui-même.

Une solution ponctuelle autonome se déploie en quelques jours et filtre bien, à partir d’un dossier qu’elle tient séparément du CRM et du système de paiement. L’alerte se déclenche dans un système, le compte se trouve dans un deuxième, et le retrait est exécuté dans un troisième.

Un partenaire intégré place le filtrage dans le système qui ouvre déjà le compte et traite le dépôt. La gouvernance reste la vôtre. Lorsque plusieurs établissements ont dû demander à leur prestataire pourquoi un nom n’avait pas déclenché d’alerte, la FCA a qualifié cette dépendance de mauvaise pratique. Vous gouvernez un seul dossier au lieu de trois.

Comparaison en un coup d’œil

Cinq critères décident du choix.

Un développement en interne convient à un établissement doté de ses propres ingénieurs, d’un seul produit et d’une seule juridiction. Il cesse de couvrir son coût dès que les dossiers se fragmentent au-delà de ce périmètre.

Le filtrage LCB-FT dans l’écosystème de B2BROKER

Dans l’écosystème de B2BROKER, le filtrage LCB-FT s’effectue dans B2CORE , le back-office qui ouvre le compte, conserve le dossier KYC et traite le dépôt. Les alertes de filtrage et les preuves sur lesquelles elles reposent restent dans ce même dossier client, à côté des documents KYC et de l’historique des paiements.

B2CORE est livré avec plus de 150 intégrations prêtes à l’emploi, dont des prestataires KYC et anti-fraude. Tout ce que ces prestataires renvoient reste dans le dossier client. Des groupes d’utilisateurs par rôle déterminent quel responsable de la conformité voit quels clients, et la piste d’audit enregistre qui a modifié quoi, et quand.

Le même dossier alimente le reste du dispositif. La liquidité multi-actifs fournit les cotations, B2TRADER alimente le dossier client en activité de négociation, et le partenaire de B2BROKER B2BINPAY , intégré à B2CORE, couvre le volet des paiements crypto, en maintenant les dépôts et les retraits dans le même dossier de conformité.

Le service est soumis à des limitations juridiques et juridictionnelles. Consultez les conditions ici .

CRM B2CORE et paiements intégrés

B2CORE tient le dossier de conformité à jour sans bloquer le client. Sa version v21 a ajouté la vérification dynamique de l’adresse afin de garder le dossier auditable lorsqu’un client déménage, sans interrompre sa négociation. La segmentation par juridiction issue de la même version active ou désactive des fonctionnalités selon le pays du client.

Côté paiements, le Payment System Service fournit aux règles de surveillance un enregistrement de paiement unique, là où chaque prestataire constituerait autrement le sien.

Ce back-office provient d’un opérateur régulé. B2BROKER construit des infrastructures de courtage depuis 2014 et détient en propre plus de 10 licences réglementaires, chacune plaçant l’une de ses entités sous les mêmes obligations LCB-FT que celles qui incombent à ses clients. Plus de 1 000 clients entreprises opèrent sur cette infrastructure.

Quel que soit le chemin retenu, partez du lieu où l’alerte, le dossier KYC et le paiement seront conservés lorsqu’un superviseur les demandera, et cartographiez-le au regard de vos verticales et de vos juridictions avec l’équipe de B2BROKER.