Dejan Jasnic · Cofondateur et responsable de la conformité, Trusty · Plus de 20 ans d’expérience en lutte antifraude et conformité · Membre du conseil d’administration de l’ACFE Swiss Chapter

Tout ce qu’il faut savoir sur la conformité MiCA cette année.

Le règlement sur les marchés de crypto-actifs (MiCA) est en vigueur depuis le 30 décembre 2024. Le règlement sur la résilience opérationnelle numérique (DORA) s’applique aux prestataires de services sur crypto-actifs (CASP) depuis le 17 janvier 2025. Les règles de l’ESMA en matière de connaissances et de compétences au titre de l’article 81, paragraphe 7, de MiCA s’appliquent à partir du 28 juillet 2026. D’ici la fin de l’année 2026, chaque prestataire de services sur crypto-actifs (CASP) agréé dans l’Union européenne aura été évalué par rapport à trois piliers de conformité opérationnelle : un ensemble complet de politiques propres à MiCA, la preuve que le personnel a été formé au niveau requis, et un canal de signalement opérationnel répondant à trois régimes européens qui se chevauchent. Voici ce que cela signifie concrètement.

Si vous avez besoin d’un canal conforme rapidement, le logiciel de signalement de Trusty est opérationnel en quelques minutes, à partir de 49 € par mois.

Pourquoi la conformité opérationnelle est désormais le goulot d’étranglement

La majeure partie du débat public sur MiCA a porté sur l’agrément : qui a été agréé, où et à quelle vitesse. La discussion plus discrète, qui importe davantage pour l’année à venir, concerne ce qui se passe après l’obtention de la licence. Les dossiers d’agrément incluent le cadre organisationnel de l’entreprise, mais ce cadre est ensuite testé quotidiennement par les clients, les contreparties et les autorités de surveillance. Les autorités nationales compétentes ont commencé des examens thématiques. L’ESMA a publié ses premières orientations, questions-réponses et déclarations. Les premiers signaux en matière d’application pointent dans une seule direction : les entreprises qui ont mis en place une structure de conformité MiCA propre, documentée et multilingue dès le premier jour conserveront leur licence ; celles qui ont simplement adapté des politiques à partir d’un modèle MiFID se retrouveront en phase de remédiation.

Trois piliers opérationnels définissent désormais ce qu’est un CASP crédible :

  1. Un ensemble complet de politiques propres à MiCA couvrant chaque article applicable.
  2. Une formation du personnel conforme aux normes de connaissances et de compétences de l’ESMA, avec des preuves documentées pour chaque individu.
  3. Un canal de signalement qui satisfait simultanément à la directive européenne sur les lanceurs d’alerte, à l’article 116 de MiCA et au corpus réglementaire LCB-FT.

La suite de cet article est un guide pratique pour ces trois piliers.

Premier pilier : la structure de politiques de conformité MiCA dont chaque CASP a besoin

Le socle de la gouvernance

L’article 68 de MiCA constitue la colonne vertébrale du cadre de conformité. Tout CASP agréé doit disposer de dispositifs de gouvernance robustes comprenant des lignes de responsabilité claires, cohérentes et bien documentées, des procédures efficaces de détection, de gestion, de suivi et de déclaration des risques, des mécanismes de contrôle interne adéquats et un système solide de conservation des données. L’article 68, paragraphe 8, exige explicitement un plan de cessation d’activité ordonné. L’article 68, paragraphe 9, impose la conservation des enregistrements sur un support durable pendant au moins cinq ans, durée pouvant être portée à sept ans à la demande de l’autorité compétente. Les normes techniques de réglementation de l’ESMA adoptées au titre de l’article 68, paragraphe 10, précisent le reste.

Les briques réglementaires, article par article

Autour de l’article 68, MiCA prescrit un ensemble de domaines de politiques spécifiques :

  • Les articles 7 et 66 régissent les communications marketing et les communications avec les clients : elles doivent être honnêtes, claires et non trompeuses, identifiables en tant que telles, et comporter les avertissements sur les risques prescrits.
  • L’article 70 régit la protection des crypto-actifs et des fonds des clients, y compris la ségrégation, les accords de sous-conservation et les informations aux clients.
  • L’article 71 définit le régime de traitement des réclamations, complété par les RTS de l’ESMA adoptés au titre de l’article 71, paragraphe 5.
  • L’article 72 régit les conflits d’intérêts, avec un examen annuel obligatoire, une publication sur le site web et une attention explicite portée aux décisions d’admission de jetons et aux transactions pour compte propre sur les plateformes exploitées.
  • L’article 73 fixe les règles relatives à l’externalisation, complétées par les orientations de l’EBA sur l’externalisation appliquées par analogie et, pour les services TIC, par les articles 28 à 30 de DORA.
  • Le titre VI (articles 86 à 92) instaure un régime contre les abus de marché pour les crypto-actifs et oblige les entreprises à détecter et à signaler les ordres et transactions suspects (STOR) en vertu de l’article 92.
  • L’article 66, paragraphe 5, exige la publication sur le site web des principales incidences négatives sur l’environnement du mécanisme de consensus pour chaque crypto-actif pour lequel le CASP fournit des services, selon la méthodologie définie par les RTS adoptés au titre de l’article 6, paragraphe 11.

Les cadres horizontaux superposés

En plus des obligations spécifiques à MiCA, chaque CASP est également :

  • Une entité assujettie au cadre européen de lutte contre le blanchiment de capitaux : règlement (UE) 2024/1624 (AMLR), directive (UE) 2024/1640 (AMLD6) et règlement (UE) 2024/1620 instituant l’AMLA.
  • Soumis au règlement (UE) 2023/1113 (la « Travel Rule »), en vigueur depuis le 30 décembre 2024, avec des règles de vérification pour les adresses auto-hébergées supérieures à 1 000 EUR.
  • Une entité financière au titre de DORA, avec des obligations complètes en matière de gestion des risques liés aux TIC, de notification des incidents liés aux TIC, de tests de résilience opérationnelle numérique et de risques liés aux tiers prestataires de services TIC en vertu des articles 28 à 30.

Un ensemble de politiques MiCA défendable

Un ensemble de politiques crédible pour un CASP couvre donc, au minimum : la protection des actifs, la gouvernance et le contrôle interne, les abus de marché et STOR, la gestion des risques TIC et la résilience opérationnelle DORA, les communications marketing, la cessation d’activité, les conflits d’intérêts, le traitement des réclamations, la LCB-FT et la Travel Rule, l’externalisation, la continuité des activités, la conservation des données, la publication d’informations sur la durabilité au titre de l’article 66, paragraphe 5, ainsi qu’un petit groupe de politiques de « deuxième vague » que les autorités nationales recherchent de plus en plus, notamment l’onboarding des clients et la classification des risques, les transactions personnelles et l’admission de jetons.

Deux règles d’or opérationnelles s’appliquent. Premièrement, rédigez des politiques basées sur MiCA, et non sur un modèle générique de services financiers : les références aux articles et les obligations spécifiques comptent et les superviseurs les vérifient. Deuxièmement, traduisez-les dans les langues des États membres où vous opérez, car l’article 66 exige des communications honnêtes, claires et non trompeuses dans une langue que le client comprend.

Deuxième pilier : que requiert l'échéance de formation du 28 juillet 2026 ?

Ce que l’article 81, paragraphe 7, de MiCA exige réellement

La formation n’est plus une considération secondaire en matière de conformité. L’article 81, paragraphe 7, de MiCA, complété par le rapport final de l’ESMA sur les orientations relatives à certains aspects des exigences d’adéquation et au format du relevé périodique pour les activités de gestion de portefeuille sous MiCA (publié le 22 mai 2025, applicable à partir du 28 juillet 2026), exige que les CASP fournissant des conseils sur les crypto-actifs ou de la gestion de portefeuille s’assurent, et soient en mesure de démontrer à l’autorité compétente sur demande, que les personnes physiques fournissant des conseils ou des informations sur les crypto-actifs ou les services sur crypto-actifs possèdent les connaissances et les compétences nécessaires.

Les deux niveaux que l’ESMA attend de vous

Les orientations de l’ESMA divisent le personnel en deux niveaux :

  • Le niveau Information concerne le personnel qui donne aux clients des informations sur les crypto-actifs, les services sur crypto-actifs, les coûts ou les risques, mais qui ne fournit pas de recommandations personnalisées. Cela inclut les équipes d’onboarding, le support client, les ventes, la gestion de compte, les rédacteurs marketing, les analystes KYC, les gestionnaires de réclamations et le support au trading.
  • Le niveau Conseil concerne le personnel qui donne des recommandations personnalisées ou qui gère des portefeuilles. Le niveau d’exigence en matière de connaissances et de compétences est plus élevé et les obligations de documentation plus strictes.

Pour les deux niveaux, l’entreprise doit démontrer que chaque personne concernée possède les connaissances et compétences requises. En pratique, cela signifie une évaluation initiale à l’embauche, un module de formation complété, une évaluation documentée avec une note de passage, une formation de rappel au moins annuelle, une supervision continue lors des premiers mois d’un nouveau poste et des dossiers individuels couvrant l’ensemble du parcours. À partir du 28 juillet 2026, les superviseurs s’attendront à voir ces dossiers sur demande.

La formation au-delà de l’article 81, paragraphe 7

La même discipline de formation soutient le cadre MiCA plus large :

  • Les dispositifs de gouvernance de l’article 68 exigent que le personnel ait une connaissance suffisante de l’entreprise.
  • Le titre VI sur les abus de marché exige que le personnel occupant des fonctions de trading, de surveillance et de produit sache reconnaître les signaux d’alerte et les faire remonter sous forme de STOR.
  • L’article 13, paragraphe 6, de DORA exige des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique pour tout le personnel.
  • L’article 12 de l’AMLR et le corpus réglementaire LCB-FT exigent une formation LCB-FT adaptée à chaque rôle, y compris les règles opérationnelles de la Travel Rule, informations sur le donneur d’ordre et le bénéficiaire, le seuil de 1 000 EUR et la vérification des adresses auto-hébergées.

Un catalogue de formation pratique pour les CASP

Un catalogue de formation pratique pour les CASP comprend donc au moins : les fondamentaux de MiCA comme base pour tout le personnel ; les niveaux Connaissances et compétences de l’ESMA (Information) et Conseil pour les entreprises qui conseillent ou gèrent des portefeuilles ; un module sur les abus de marché des crypto-actifs et STOR ; DORA et la résilience opérationnelle des TIC ; la protection des crypto-actifs des clients ; et une formation sur la LCB-FT, les sanctions et la Travel Rule.

Troisième pilier : le signalement sous trois régimes simultanés

Pourquoi un canal unique ne suffit plus

Le signalement est un domaine où de nombreux CASP sous-estiment l’exigence réglementaire. Un canal unique doit satisfaire à trois régimes européens qui se chevauchent.

Le premier est la directive (UE) 2019/1937, la directive européenne sur les lanceurs d’alerte, transposée par chaque État membre. Elle s’applique horizontalement aux entités juridiques du secteur privé comptant 50 travailleurs ou plus, avec un seuil inférieur pour les entités de services financiers. Elle exige un canal de signalement interne permettant des signalements confidentiels (et, dans de nombreuses transpositions, anonymes), accuse réception dans les sept jours, fournit un retour d’information dans les trois mois, protège les auteurs de signalement contre les représailles et propose un canal externe via l’autorité compétente. Les CASP sont pleinement concernés.

Le deuxième est l’article 116 de MiCA (« Signalement des violations et protection des personnes signalant des violations »). Il exige que les États membres veillent à ce que les autorités compétentes établissent des mécanismes efficaces pour permettre et encourager le signalement des violations réelles ou potentielles de MiCA, et il exige que les CASP agréés et les autres entités juridiques concernées disposent de procédures internes appropriées pour que leurs employés et les personnes dans une position comparable puissent signaler les violations par un canal spécifique, indépendant et autonome. Les protections incluent la stricte confidentialité de l’identité, la protection contre la discrimination ou les traitements injustes et l’interdiction des clauses contractuelles qui empêcheraient le signalement.

Le troisième est le corpus réglementaire LCB-FT. En vertu de l’AMLD6 (directive (UE) 2024/1640), les entités assujetties doivent établir des procédures internes pour le signalement des violations des obligations LCB-FT par un canal spécifique, indépendant et anonyme. L’AMLA, établie par le règlement (UE) 2024/1620, coordonnera de plus en plus ces canaux de signalement au niveau européen.

Ce qu’un canal prêt pour les CASP doit faire

Un canal unique pour CASP répondant aux trois régimes doit :

  • Accepter les signalements de violations de MiCA, de violations LCB-FT et de violations juridiques générales.
  • Permettre les signalements par écrit et oralement, avec option d’anonymat.
  • Acheminer les signalements vers une personne ou une fonction impartiale désignée ayant le pouvoir d’enquêter.
  • Accuser réception dans les sept jours et fournir un retour d’information à l’auteur du signalement dans les trois mois.
  • Protéger l’identité de l’auteur du signalement avec des contrôles d’accès stricts et des barrières à l’information.
  • Interdire les représailles sous toutes leurs formes et prévoir une voie d’escalade vers l’autorité compétente et, le cas échéant, vers la cellule de renseignement financier.
  • Conserver les enregistrements pendant la période requise par le droit national applicable.
  • Être exploité selon des procédures documentées par des gestionnaires formés, car le superviseur demandera à voir comment un cas spécifique a été traité.

Le moyen le plus simple d’échouer est de conserver une ligne d’éthique générique mise en place au titre de la directive sur les lanceurs d’alerte en 2022 et jamais réévaluée par rapport à l’article 116 de MiCA ou à l’AMLD6. La prochaine entreprise agréée sera celle capable de démontrer, sur une seule page, comment son canal correspond à chacun des trois régimes.

Une checklist pratique de conformité MiCA pour 2026

Avant le 28 juillet 2026, un CASP crédible peut démontrer :

  • Un ensemble complet de politiques propres à MiCA couvrant au moins les treize domaines fondamentaux ci-dessus, plus les politiques de deuxième vague pertinentes pour ses services, traduites dans les langues des États membres où il opère.
  • Un programme de formation conforme à la norme de connaissances et de compétences de l’ESMA au niveau Information, et au niveau Conseil le cas échéant, avec des dossiers individuels d’évaluation, de réussite et de rappel.
  • Une formation pour tout le personnel sur les fondamentaux de MiCA, les abus de marché, DORA, la protection des actifs et le volet LCB-FT/Travel Rule.
  • Un canal de signalement aligné sur la directive européenne sur les lanceurs d’alerte, l’article 116 de MiCA et l’AMLD6, avec des procédures documentées, des gestionnaires formés et des journaux d’audit.
  • Une piste de preuves (accusés de réception, validations, certifications, dossiers, historique des versions) pouvant être produite sur demande pour l’autorité compétente.

C’est un minimum, pas un objectif ambitieux.

Comment le MiCA Booster Pack de Trusty peut-il vous aider ?

Si vous préférez ne pas tout construire à partir de zéro, le Trusty MiCA Booster Pack est conçu pour faire l’essentiel du travail à votre place. Il fournit 17 politiques spécifiques à MiCA et 11 documents de formation prêts à l’emploi, tous disponibles en six langues (anglais, allemand, italien, espagnol, français et portugais), rédigés par des experts en conformité au regard de MiCA, de la Travel Rule, de l’AMLR, de l’AMLD6, de DORA et des orientations de l’ESMA. Il fonctionne sur la plateforme Trusty Compliance, avec une piste d’audit intégrée des accusés de réception des politiques et des validations de formation, un workflow de traitement des réclamations aligné sur l’article 71 et un canal de signalement aligné sur la directive européenne sur la protection des lanceurs d’alerte, l’article 116 de MiCA et l’AMLD6.

Le prix est de 1 900 € par an, soit plus de 40 % de moins que le prix public des composants. Les CASP adoptant le pack ont tendance à être prêts pour l’agrément en quelques jours plutôt qu’en quelques mois.

Pour voir comment il s’intégrerait à votre structure, visitez trusty.report ou écrivez à sales@trusty.report.

Avertissement : cet article est publié pour information générale et ne constitue pas un conseil juridique. Lorsque MiCA, la Travel Rule, l’AMLR, l’AMLD6, DORA ou les orientations de l’ESMA s’appliquent à votre situation spécifique, consultez un conseiller qualifié dans les États membres où vous opérez.

Questions fréquentes

L'article 68 sur la gouvernance constitue l'épine dorsale, l'article 68, paragraphe 8, exigeant un plan de cessation d'activité et l'article 68, paragraphe 9, une conservation des registres pendant cinq ans. S'y ajoutent les articles 7 et 66 sur les communications, l'article 70 sur la protection des actifs des clients, l'article 71 sur le traitement des réclamations, l'article 72 sur les conflits d'intérêts, l'article 73 sur l'externalisation et le titre VI (articles 86 à 92) sur les abus de marché.

À partir de cette date, les CASP fournissant des conseils ou une gestion de portefeuille doivent être en mesure de démontrer que le personnel donnant des informations ou des conseils sur les crypto-actifs possède les connaissances et compétences requises par l'article 81, paragraphe 7, et les orientations de l'ESMA, avec des dossiers individuels d'évaluation, de formation, de notes obtenues et de mises à jour au moins annuelles.

Trois à la fois : la directive (UE) 2019/1937, l'article 116 de MiCA et le corpus réglementaire LCB-FT au titre de l'AMLD6, qui exige un canal spécifique, indépendant et anonyme pour les violations LCB-FT.

Le cadre européen de lutte contre le blanchiment de capitaux (AMLR, AMLD6 et le règlement AMLA), la Travel Rule au titre du règlement (UE) 2023/1113, et DORA, qui s'applique aux CASP depuis le 17 janvier 2025.

Lectures complémentaires : ce que signifie la fin de la période de transition MiCA, comparaison des exigences de MiCA et de l’AMLD, et le filtrage PPE expliqué.

MICA BOOSTER PACK
PRÊT POUR L'AGRÉMENT

MiCA Booster Pack : 17 politiques prêtes à déployer, 11 formations du personnel, un canal de signalement et un filtrage LCB-FT intégré, déjà alignés sur MiCA, DORA et la Travel Rule.

Découvrir le MiCA Booster Pack →