Agrément MiCA et préparation technologique

L’agrément MiCA est désormais la condition de base pour proposer des services sur crypto-actifs dans l’Union européenne. Depuis que le règlement est pleinement applicable et que sa fenêtre transitoire s’est refermée, une entreprise qui fournit de tels services à des clients de l’UE doit être agréée en tant que prestataire de services sur crypto-actifs—un CASP—, agrément délivré par une autorité nationale compétente d’un État membre. Un agrément n’est pas un document que l’on obtient puis que l’on classe; c’est une description de la manière dont l’entreprise fonctionnera, et une large part de cette description porte sur la technologie.

Ce que l’on oublie facilement, c’est qu’une grande partie d’un agrément MiCA est un exposé des systèmes et des contrôles. Une autorité compétente qui examine une demande veut comprendre comment le demandeur conserve les actifs des clients, contrôle les clients, surveille les transactions, tient ses registres, protège ses systèmes et rétablit son activité après une perturbation. Ce sont des questions techniques et opérationnelles avant d’être juridiques, et la qualité des réponses tient à la façon dont la plateforme a été construite, non à la façon dont les politiques ont été rédigées.

Cet article aborde l’agrément MiCA sous l’angle de la préparation technologique : ce qu’une autorité compétente attend des systèmes d’un demandeur, pourquoi ces attentes se satisfont mieux par la conception que par l’ajout ultérieur, et comment elles se relient aux exigences de résilience opérationnelle et de lutte contre le blanchiment qui s’appliquent aux côtés de MiCA. Il reste au niveau de l’architecture et de l’évaluation. Il décrit ce qu’un CASP agréé doit pouvoir démontrer, non la manière de construire tel ou tel composant.

Ce que signifie aujourd’hui l’agrément MiCA

Sous MiCA, fournir des services sur crypto-actifs dans l’Union européenne—exploiter une plateforme de négociation, échanger des crypto-actifs, exécuter ou transmettre des ordres, ou conserver des actifs, entre autres—exige un agrément de CASP. Cet agrément est délivré par l’autorité nationale compétente de l’État membre dans lequel l’entreprise est établie, après examen de la gouvernance, des contrôles et des systèmes du demandeur. L’Autorité européenne des marchés financiers n’agrée pas les prestataires individuellement; elle tient les registres à l’échelle de l’Union qui consignent qui a été agréé, à partir des informations fournies par les autorités compétentes. Une entreprise dépose donc sa demande auprès d’un régulateur national, mais opère dans un cadre européen commun.

Le calendrier compte. La transition MiCA est terminée. Les nouveaux projets de crypto-actifs dans l’UE doivent être conçus dès le départ pour un modèle d’exploitation de CASP agréé. Il n’existe plus de période de grâce durant laquelle un prestataire pourrait opérer pendant que son agrément se prépare; le modèle agréé est le point de départ, non un jalon ultérieur. Pour une nouvelle plateforme, cela signifie que les systèmes, les contrôles et les registres sur lesquels repose l’agrément doivent faire partie de la conception initiale. Pour un prestataire existant, cela signifie que les mêmes capacités doivent être présentes de façon démontrable plutôt que planifiées.

Il vaut aussi la peine d’être précis sur ce qu’un agrément n’est pas. Ce n’est pas une certification d’un logiciel particulier, et aucune plateforme ne peut être qualifiée de certifiée MiCA. Il ne garantit pas qu’une entreprise puisse faire passporter ses services dans l’Union sans remplir les conditions qui s’y rattachent. Et le choix de l’État membre où demander l’agrément est une question de substance et de modèle d’exploitation, non la recherche de l’ordre juridique le plus permissif. Ce qu’une autorité compétente apprécie en définitive, c’est de savoir si l’entreprise—ses personnes, ses processus et sa technologie ensemble—peut fournir les services visés de manière contrôlée et supervisable.

Pourquoi l’agrément est une question technologique

Une demande d’agrément de CASP est, pour une large part, une description structurée du fonctionnement des systèmes de l’entreprise. Le demandeur doit expliquer comment les actifs des clients sont détenus et ségrégués, comment les clients sont identifiés et contrôlés, comment les ordres sont traités, comment les registres sont tenus et conservés, comment l’information est protégée et comment le service continue de fonctionner pendant une perturbation. Chacune de ces questions trouve sa réponse dans l’architecture de la plateforme. Une description que ne soutiennent pas des systèmes capables de faire ce qu’elle affirme est difficile à tenir, car la supervision éprouve de plus en plus la capacité plutôt que l’affirmation.

C’est pourquoi la préparation gagne à être intégrée dès l’origine plutôt qu’ajoutée après coup. Une plateforme conçue dès le départ pour ségréguer les actifs des clients, produire des registres rapprochables, contrôler les clients et journaliser l’activité peut décrire ces capacités avec exactitude et les étayer sur demande. Une plateforme qui a traité cela comme des fonctions à ajouter plus tard peut souvent être mise en conformité, mais généralement à un coût plus élevé et avec des preuves plus faibles. La distinction se durcit une fois l’entreprise agréée, car un CASP agréé est censé fonctionner de manière résiliente et maîtrisée dès son premier jour d’activité, sans délai distinct pour laisser mûrir ses systèmes.

Les dimensions de la préparation technologique

La préparation technologique à l’agrément MiCA peut s’organiser en un petit nombre de dimensions. Aucune n’est un produit à acheter isolément; chacune est une capacité que la plateforme doit posséder et entretenir. Les présenter ainsi aide une entreprise à évaluer si une plateforme—développée en interne, sous licence ou livrée comme système sur mesure—peut réellement porter les contrôles qu’exigent l’agrément et la supervision continue.

Ces dimensions sont interdépendantes. Les registres de conservation ne sont fiables que si le rapprochement et la tenue des registres sont solides; le filtrage n’est efficace que si le système d’intégration l’impose; la résilience et la sécurité soutiennent toutes les autres. Une plateforme forte dans une dimension et faible dans une autre n’est pas partiellement prête; une autorité apprécie l’ensemble. Traiter la préparation comme une propriété cohérente de la plateforme, et non comme une liste d’outils séparés, est ce qui rend un agrément crédible et durable.

Conservation, ségrégation et registres des actifs des clients

C’est dans la conservation que les attentes de MiCA sont les plus concrètes pour de nombreux CASP. Un prestataire qui détient des crypto-actifs de clients doit les garder séparés des siens et tenir des registres qui indiquent à tout moment ce qui appartient à chaque client. Ce n’est pas seulement une affaire de wallets distincts; c’est une discipline de tenue de registres. La plateforme doit relier les soldes visibles par le client, son ledger interne et les avoirs on-chain ou conservés qui les couvrent, et pouvoir démontrer qu’ils concordent. Un prestataire qui ségrègue des actifs mais ne peut pas prouver en continu cette ségrégation a un problème de registres, non un simple problème opérationnel.

La même discipline relie la conservation au reste de la plateforme. Qu’une entreprise exploite sa propre plateforme d’échange et de conservation crypto ou intègre une conservation externe, l’exigence de tenir des registres d’actifs des clients complets, identifiables et rapprochables demeure constante. Le rapprochement des registres de conservation—la comparaison du registre interne avec ce qui est réellement détenu—transforme la ségrégation d’une affirmation en un contrôle démontrable, et c’est l’une des capacités qu’une autorité compétente attend d’un demandeur comme conçue plutôt qu’improvisée.

Où se rejoignent les exigences MiCA, DORA et AML

L’agrément MiCA ne tient pas seul. Un CASP agréé est une entité financière au sens du cadre de résilience opérationnelle numérique de l’Union européenne, DORA, ce qui signifie que les systèmes qui délivrent les services sur crypto-actifs sont soumis à des attentes supervisées en matière de gestion du risque lié aux TIC, de traitement des incidents, de tests de résilience et de surveillance des fournisseurs technologiques critiques. Elles s’appliquent de manière proportionnée—un prestataire plus petit porte des attentes plus légères qu’une grande plateforme multi-actifs—mais aucun CASP agréé n’y échappe. Concevoir pour l’agrément revient donc à concevoir en même temps pour la résilience opérationnelle, car les deux s’apprécient sur les mêmes systèmes.

Les obligations de lutte contre le blanchiment courent aux côtés des deux. Un CASP est censé identifier et contrôler ses clients, surveiller l’activité et filtrer les transactions et les wallets de crypto-actifs; c’est pourquoi la vérification d’identité et le filtrage sont traités ici comme une dimension de la préparation et non comme un ajout tardif. Les entreprises qui bâtissent ces contrôles peuvent les aborder comme des systèmes reliés—vérification d’identité et filtrage AML alimentant le même flux d’intégration et de surveillance—plutôt que comme des outils isolés. Dans ces trois domaines, la limite de ce qu’un partenaire technologique peut faire doit être énoncée clairement. Nous ne fournissons pas d’avis juridiques et ne garantissons aucun agrément. Nous mettons en œuvre les exigences réglementaires et d’audit dans la technologie, l’infrastructure et l’exploitation. L’interprétation du cadre et la décision d’agrément demeurent, respectivement, l’affaire de conseils qualifiés et de l’autorité compétente.

À quoi ressemble une plateforme prête pour l’agrément

Une plateforme prête à soutenir un agrément MiCA présente un ensemble de caractéristiques reconnaissables. Elle ségrègue les actifs des clients et peut identifier et rapprocher les avoirs de chaque client à la demande. Elle intègre la vérification d’identité et le filtrage à l’intégration et à la surveillance continue. Elle tient des registres d’activité complets et conservables et peut les reproduire à titre de preuve. Elle est conçue pour fonctionner de manière résiliente et se rétablir après une perturbation, avec une sécurité et un contrôle des accès prévus dès l’origine plutôt qu’ajoutés en périphérie. Et elle porte les obligations envers les clients—information, gestion des conflits d’intérêts, traitement des réclamations—comme des systèmes qui fonctionnent, non comme des déclarations d’intention.

Rien de tout cela ne s’obtient par l’acquisition d’un seul composant. La préparation à l’agrément est une propriété de la manière dont la conservation, les registres, l’intégration, la résilience et la sécurité sont organisés et entretenus à mesure que la plateforme évolue. Les entreprises qui structurent ce travail peuvent consulter notre regard sur la préparation réglementaire dans l’UE; et lorsque la question est de savoir comment séquencer et concevoir l’architecture sous-jacente, notre conseil en architecture fintech expose comment ces capacités s’assemblent.

Résumé et prochaines étapes

Un agrément MiCA est, dans une large mesure, un exposé de technologie. Une autorité compétente le délivre, l’ESMA le consigne et l’entreprise le maintient—mais ce sur quoi tous trois reposent, c’est une plateforme capable de conserver les actifs des clients, de contrôler les clients, de tenir des registres, de se protéger et de continuer à fonctionner. Parce que la transition est terminée, ces capacités doivent être présentes dès le départ plutôt que promises pour plus tard; et parce que DORA et les obligations de lutte contre le blanchiment s’appliquent aux mêmes systèmes, mieux vaut traiter la préparation comme un objectif de conception unique et cohérent que comme une série de tâches de conformité distinctes.

Les entreprises qui planifient ou revoient une plateforme peuvent commencer par l’architecture et les preuves qu’elle peut produire, plutôt que par des outils isolés. Notre regard sur la préparation réglementaire expose comment la technologie, l’infrastructure et l’exploitation se conjuguent pour soutenir l’agrément et la supervision qui suit.