La Banca d'Italia exige des contrôles sur chaque transfert cryptographique

La Banca d'Italia a demandé le 7 septembre aux fournisseurs italiens de services de crypto-actifs de vérifier que chaque transfert passe par le contrôle des sanctions, quelle que soit sa valeur.

La banque centrale a spécifiquement mis en garde les entreprises contre la fixation d'un seuil minimum de transaction dans leurs systèmes de contrôle. Un tel seuil pourrait permettre à de petits transferts cryptographiques d’éviter les contrôles automatisés.

La communication n'établit pas de nouvelle règle de sanctions. Il renforce les exigences déjà contenues dans les lignes directrices de l'Autorité bancaire européenne appliquées en Italie depuis le 30 décembre 2025.

Ce rappel fait suite à une expansion des mesures restrictives de l'Union européenne et à une attention réglementaire croissante sur la question de savoir si les institutions financières peuvent appliquer efficacement les sanctions dans leurs opérations quotidiennes.

La Banca d'Italia exige des contrôles sur chaque transfert cryptographique

La Banca d'Italia a demandé aux fournisseurs de services de crypto-actifs, appelés CASP, de filtrer les informations sur l'expéditeur et le destinataire avant d'exécuter un transfert de crypto-monnaie. Cette exigence s'applique à des transactions individuelles et ne dépend pas de leur valeur.

Selon un rapport publié par le service Radiocor de la Borsa Italiana, la banque centrale a demandé aux opérateurs de garantir que leurs systèmes ne contiennent aucun seuil minimum limitant les transactions soumises à un contrôle.

Cette politique signifie qu'un transfert ne peut pas contourner les contrôles de sanctions simplement parce qu'il vaut 1 € ou un autre petit montant. Cela ne signifie pas que les employés chargés de la conformité doivent approuver manuellement chaque micro-transfert.

Les CASP peuvent utiliser des systèmes automatisés qui comparent les informations sur les clients et les transactions avec les listes de sanctions applicables. Une éventuelle correspondance peut alors nécessiter un examen plus approfondi avant que le prestataire exécute ou rejette le transfert.

La suppression des seuils minimaux répond également aux risques structurants. Une personne sanctionnée pourrait autrement diviser un transfert plus important en plusieurs transactions plus petites conçues pour rester en dessous de la limite de contrôle d'un opérateur.

La règle est antérieure à l’avertissement de septembre

Les obligations sous-jacentes ont été définies dans les lignes directrices de l'ABE couvrant les politiques, procédures et contrôles internes pour la mise en œuvre des mesures restrictives européennes et nationales.

La Banca d'Italia a officiellement intégré les directives par le biais de la note n° 52 du 19 mai 2025. Le document indique que les directives sont devenues applicables le 30 décembre 2025.

Les règles couvrent les banques, les entreprises d’investissement, les établissements de paiement, les établissements de monnaie électronique et les prestataires de services agréés sur crypto-actifs. Ils exigent que ces entreprises maintiennent des dispositifs de gouvernance et des contrôles capables d'identifier les personnes et entités désignées.

La communication de septembre constitue donc un rappel prudentiel plutôt que l'introduction d'un nouveau seuil légal. La Banca d'Italia demande aux entreprises de confirmer que leurs systèmes existants sont correctement configurés et calibrés.

Le respect des sanctions est également distinct de l’autorisation en vertu du règlement sur les marchés de crypto-actifs. La MiCA établit des exigences en matière d'autorisation, de gouvernance et de conduite, mais l'obtention d'une autorisation ne supprime pas les obligations découlant des règles de l'UE en matière de mesures restrictives.

Cette distinction est importante à l'heure où les régulateurs nationaux achèvent la transition de l'Europe vers MiCA. Comme l'a rapporté crypto.news, plus de 1 000 sociétés de cryptographie de l'EEE sont restées sans autorisation MiCA après une date limite de transition majeure.

Les exceptions au paiement instantané ne couvrent pas les CASP

Les règles européennes prévoient une approche de contrôle différente pour certains virements instantanés traités par les prestataires de services de paiement. Leur rapidité rend difficile le contrôle transaction par transaction sans pour autant porter atteinte à l’objectif du règlement instantané.

Les prestataires de paiement éligibles peuvent plutôt contrôler l’ensemble de leur clientèle au moins une fois par jour et chaque fois que de nouvelles mesures restrictives entrent en vigueur. La Banca d'Italia autorise également cette approche pour certains transferts nationaux à faible risque sous la responsabilité du prestataire.

Cependant, la note de 2025 de la banque centrale indique expressément que l'exception ne couvre pas les transferts cryptographiques traités par les CASP. Les fournisseurs de cryptomonnaies doivent respecter les dispositions pertinentes de l’ABE régissant les transferts individuels de cryptoactifs.

Cette distinction signifie que les entreprises ne devraient pas appliquer une configuration de paiement instantané aux services de cryptographie simplement parce qu'une transaction blockchain est réglée rapidement. Les CASP doivent toujours filtrer les informations requises avant l’exécution.

Les fournisseurs doivent également suivre les directives distinctes sur les règles de voyage de l'EBA. Ces règles concernent les informations manquantes ou incomplètes sur l’initiateur et le bénéficiaire accompagnant les transferts de fonds et de cryptographie.

Les sociétés de cryptographie doivent désormais tester leurs contrôles de filtrage

Le rappel de la Banca d'Italia exerce une pression opérationnelle immédiate sur les CASP pour qu'ils revoient leurs contrôles de sanctions. Les entreprises doivent confirmer que la valeur des transactions ne détermine pas si un contrôle est effectué.

Ils doivent également examiner la fréquence à laquelle leurs systèmes reçoivent des listes de sanctions mises à jour. D'autres contrôles peuvent inclure la correspondance des pseudonymes, le traitement des noms translittérés, l'enquête sur les alertes et l'enregistrement des décisions pour examen par la supervision.

Les adresses blockchain liées aux parties sanctionnées présentent un autre défi. La vérification nominative à elle seule peut ne pas identifier l’exposition lorsqu’un transfert implique une adresse associée à une entité désignée, un intermédiaire ou un service sanctionné.

Les opérateurs peuvent donc combiner la sélection des clients avec l’analyse de la blockchain. Toutefois, les alertes analytiques nécessitent une évaluation minutieuse, car l’attribution de l’adresse peut changer et les transactions peuvent impliquer une exposition indirecte plutôt qu’une partie désignée.

La banque centrale n'a pas annoncé de nouveau délai de mise en conformité dans sa communication de septembre. Les exigences applicables de l'ABE sont déjà en vigueur, ce qui signifie que les entreprises doivent considérer l'examen comme une responsabilité existante.

La Banca d'Italia n'a pas non plus identifié les CASP spécifiques faisant l'objet d'une enquête ni annoncé de sanctions. Toute mesure coercitive nécessiterait une décision réglementaire distincte fondée sur les contrôles et la conduite de l'exploitant.

Ce rappel intervient alors que l’UE continue d’utiliser des restrictions financières contre les entités accusées de soutenir le contournement des sanctions. Dans le même ordre d’idées, les sanctions de l’UE ont ciblé 14 plateformes de cryptographie et 94 institutions financières, augmentant ainsi le nombre de contreparties que les systèmes de conformité pourraient devoir identifier.

Pour les opérateurs de cryptographie italiens, la prochaine étape est un examen documenté des paramètres du système, de la couverture de la liste des sanctions et des procédures d'escalade. Une autorisation MiCA à elle seule ne démontrera pas que ces contrôles fonctionnent à chaque transfert.