Ce qu’une licence crypto oblige vraiment une plateforme à faire

“Régulé” apparaît sur la page d’accueil de presque toutes les plateformes crypto. Ce n’est pas un mensonge, et ce n’est pas non plus informatif, car ce terme recouvre des situations allant d’une simple inscription sur une liste publique à des obligations de capital, de garde et de déclaration. Le mot est identique ; le contenu ne l’est pas.

L’enregistrement, à l’extrémité la plus légère

Le dispositif le plus léger et le plus courant est l’enregistrement à des fins de lutte contre le blanchiment d’argent. Une entreprise démontre qu’elle dispose de procédures d’identification, désigne une personne responsable de la conformité, et figure sur un registre.

Il s’agit d’une véritable obligation qui répond à un véritable problème. Elle ne dit en revanche rien sur la façon dont les actifs des clients sont détenus, sur le fait que l’entreprise détienne ou non du capital face aux pertes, sur la ségrégation des fonds des clients, ni sur ce qui se passe en cas d’insolvabilité. Une entreprise peut détenir cet enregistrement, se présenter comme régulée, et n’avoir absolument aucune obligation concernant votre solde.

La licence, à l’autre extrémité

À l’autre bout du spectre, une autorisation d’exercer une activité financière régulée s’accompagne généralement d’une liste sensiblement plus longue : capital minimum, règles sur la détention des actifs des clients, obligation de les ségréguer des actifs propres de l’entreprise, déclarations périodiques, contrôles sur l’externalisation, exigences d’honorabilité pour les dirigeants, et procédures de traitement des réclamations.

Les entreprises soumises à ce type de régime font aussi généralement l’objet d’une surveillance continue plutôt que d’un simple enregistrement ponctuel — inspections, remontées de données, et possibilité d’intervention.

La distinction qui compte le plus pour un client se trouve là-dedans : les règles sur les actifs des clients. Le fait que les actifs doivent être ségrégués, et qu’ils se trouvent ou non hors du patrimoine de l’entreprise en cas de défaillance, dépend du régime sous lequel l’entreprise opère, et non d’un choix que l’entreprise ferait elle-même.

Les questions qui font la différence

Quatre questions permettent de distinguer une autorisation substantielle d’une simple inscription, et les réponses aux quatre sont publiées :

• Le régime exige-t-il que les actifs des clients soient ségrégués de ceux de l’entreprise ?
• Impose-t-il des exigences de capital proportionnées à l’activité ?
• Comprend-il un dispositif de compensation ou de protection, et ce dispositif couvre-t-il les avoirs en crypto ou seulement les liquidités ?
• L’entreprise est-elle supervisée en continu, ou n’a-t-elle été évaluée qu’une seule fois à son entrée ?

Répondre à ces questions prend quelques minutes sur le registre du régulateur lui-même, et c’est toute la différence entre lire une affirmation et la vérifier.

Quelle entité détient l’autorisation

Une subtilité qui cause de réels dégâts. Les grandes plateformes sont des groupes de sociétés. Une licence détenue par une entité ne s’étend pas à une autre, et l’entité qui vous sert n’est pas forcément celle qui est licenciée.

La vérification consiste à trouver l’entité nommée dans les conditions que vous avez acceptées, puis à rechercher ce nom précis sur le registre du régulateur — pas la marque. Lorsqu’ils diffèrent, l’autorisation appartient à l’entité inscrite sur le registre, et votre relation contractuelle est avec l’entité mentionnée dans le contrat.

Ce que couvrent généralement les dispositifs de compensation

Lorsqu’un dispositif de protection existe, son périmètre est plus étroit que ce que le marketing laisse entendre. Ces dispositifs couvrent généralement l’argent détenu par une entreprise régulée défaillante dans le cadre d’une activité protégée. Le fait que les actifs crypto soient couverts ou non dépend de la question de savoir si leur détention constitue elle-même une activité protégée dans cette juridiction, et bien souvent ce n’est pas le cas.

Une plateforme peut donc être membre d’un dispositif de compensation, le déclarer avec exactitude, et avoir des soldes crypto entièrement hors de son périmètre. La documentation du dispositif lui-même indique ce qu’il couvre, et la lire est plus fiable que de lire un badge.

Ce que rien de tout cela ne garantit

Il vaut la peine de le dire clairement : l’autorisation réduit certains risques et n’en élimine aucun. Des entreprises régulées font faillite. Des règles peuvent être enfreintes et ne sont parfois découvertes qu’après coup. La supervision est périodique plutôt que continue.

Ce que l’autorisation apporte réellement, c’est un ensemble d’obligations qui existent indépendamment de la bonne volonté de l’entreprise, et un organisme ayant le pouvoir d’agir. C’est nettement mieux que rien, mais ce n’est pas la même chose qu’une garantie — une distinction que le mot “régulé”, employé seul, est conçu pour brouiller. Notre article sur ce qui arrive quand une plateforme fait faillite traite du volet insolvabilité.

Bien vérifier un registre

Les régulateurs publient des registres consultables, et leur utilisation prend deux minutes. Trois éléments méritent d’être extraits.

Les autorisations accordées, généralement détaillées poste par poste. Une entreprise peut être autorisée pour une activité et pas pour une autre, et proposer un produit en dehors de ses autorisations pose un problème de conformité, quelle que soit la façon dont il est commercialisé. Le statut et les dates, car les enregistrements expirent, sont modifiés, ou portent des conditions imposées après l’entrée en vigueur. Et toute restriction, qui est consignée sur le registre et rarement mentionnée ailleurs.

Le registre est aussi l’endroit où l’on confirme que le nom de l’entité correspond à celui des conditions d’utilisation — la vérification qui permet de détecter le problème de structure de groupe.

Le passeport réglementaire et ses limites

Dans certaines régions, une autorisation obtenue dans un État membre permet d’opérer dans l’ensemble du bloc. Là où ce mécanisme s’applique, il réduit véritablement les frictions, et il est fréquemment invoqué de façon approximative par des entreprises extérieures à ces dispositifs.

La limite à connaître est que ce passeport fonctionne dans un cadre juridique défini et ne s’étend pas au-delà. Une licence délivrée par une juridiction extérieure au bloc ne confère aucun droit à l’intérieur de celui-ci, aussi réputé que soit le régulateur émetteur. Les affirmations selon lesquelles une entreprise serait “licenciée en Europe” sur la seule base d’une autorisation obtenue dans un État non membre constituent une forme d’exagération précise et récurrente.

Que faire de tout cela

La démarche pratique est courte. Trouvez le nom de l’entité dans les conditions d’utilisation. Recherchez-le sur le registre du régulateur nommé. Lisez les autorisations et les éventuelles conditions. Vérifiez si les règles sur les actifs des clients s’appliquent à cette autorisation, et vérifiez ce que couvre réellement un éventuel dispositif de compensation.

Cela prend peut-être dix minutes et cela remplace un badge par un fait. Cela ne vous dira pas si une plateforme est bien gérée — rien de ce qui est accessible à un client ne le pourra — mais cela établit quelles obligations existent indépendamment des intentions de l’entreprise, ce qui reste vrai même quand les intentions changent.