Externalisation et risque lié aux tiers
La plupart des titulaires de licences DPT externalisent des éléments essentiels de leur dispositif de conformité : vérification d’identité, filtrage des sanctions, surveillance des transactions, analyse blockchain et messagerie travel rule sont généralement fournis par des prestataires. Les Guidelines on Outsourcing de la MAS (Monetary Authority of Singapore, l’autorité monétaire et de surveillance financière), publiées pour la première fois en 2016 et révisées en 2018, s’appliquent aux prestataires de services de paiement. Elles exigent un registre des accords d’externalisation et des vérifications préalables sur le prestataire avant son engagement, puis périodiquement. Les contrats écrits doivent conférer des droits d’audit et d’accès à l’établissement et à la MAS. Des dispositifs de continuité d’activité sont requis, de même qu’une notification à la MAS pour toute externalisation significative.1 Les guidelines traitent également des services cloud et de l’externalisation à l’étranger, qui importent pour un groupe dont les systèmes de conformité peuvent être hébergés en Suisse ou ailleurs.
La responsabilité de la fonction externalisée reste au titulaire. Lors des inspections, la MAS demande à l’établissement de montrer qu’il comprend le fonctionnement du filtrage ou de la surveillance du prestataire et qu’il a testé les résultats de celui-ci. L’établissement doit montrer qu’il a adapté les règles du prestataire à sa propre évaluation des risques et qu’il détecterait une défaillance du prestataire. Un établissement incapable d’expliquer pourquoi son fournisseur d’analyse attribue une adresse à un cluster sanctionné, ou comment ses règles de surveillance ont été fixées, a externalisé son jugement en plus de ses traitements. La MAS ne l’admet pas.
Choisir et encadrer un fournisseur d’analyse blockchain
Le choix de prestataire qui pèse le plus sur les résultats LBC d’un titulaire de licence DPT est celui du fournisseur d’analyse blockchain. Chainalysis, Elliptic, TRM Labs et quelques autres dominent le marché, et leurs attributions divergent. Une même adresse peut être jugée à haut risque par l’un et ne recevoir aucune notation chez un autre. L’attribution dépend des méthodes propriétaires de clustering et de renseignement de chaque fournisseur. La MAS n’a recommandé aucun fournisseur et n’en impose aucun en particulier. Elle attend en revanche de l’établissement qu’il ait évalué la couverture par le fournisseur des chaînes qu’il prend en charge, ainsi que la méthodologie d’attribution et les taux d’erreur du fournisseur. Le délai des mises à jour, les dispositions en matière de protection des données et la conformité du fournisseur lui-même aux sanctions relèvent de la même évaluation.2 Les grands établissements utilisent deux fournisseurs en parallèle et examinent les divergences, ce qui constitue une bonne pratique mais coûte cher. Les plus petits devraient au moins documenter les raisons du choix de leur fournisseur et tester un échantillon d’attributions par rapport à des sources publiques. Leurs seuils de risque devraient être fixés en connaissance du comportement du fournisseur en matière de faux positifs et de faux négatifs.
Liste de contrôle
Un dispositif d’analyse blockchain capable de résister à une inspection de la MAS devrait comprendre les éléments suivants. - Une évaluation écrite de la couverture des chaînes par le fournisseur au regard des actifs pris en charge par l’établissement, mise à jour lors de l’admission de tout nouvel actif. - Des seuils de notation des risques documentés pour l’exposition directe et indirecte, par catégorie (sanctions, darknet, mixeur, escroquerie, piratage, jeux d’argent), avec la justification métier de chacun. - La preuve de tests périodiques des attributions du fournisseur sur un échantillon d’adresses connues. - Une procédure de traitement des attributions contestées par l’établissement, comprenant la remontée au fournisseur et la documentation de l’issue. - Des éléments d’intégration montrant que chaque transfert entrant et sortant est filtré avant crédit ou diffusion, les journaux étant conservés pendant cinq ans. - Un accord de traitement des données conforme aux règles de limitation des transferts du PDPA si le fournisseur traite des données hors de Singapour. - La confirmation que le fournisseur lui-même ne fait pas l’objet de sanctions et n’a pas été mis en cause dans des mesures d’exécution.
Notes
- MAS, Guidelines on Outsourcing, 27 juillet 2016, révisées le 5 octobre 2018, applicables à tous les établissements financiers réglementés par la MAS ; la MAS a mené des consultations sur des instruments ultérieurs relatifs à la gestion du risque lié aux tiers pour certains secteurs et les a publiés. ↩
- Guidelines to Notice PSN02, section sur l’utilisation de la technologie et d’outils tiers dans la CDD et la surveillance des transactions ; MAS Information Paper sur les contrôles LBC/FT des prestataires de services DPT, observations sur la gouvernance de l’analyse blockchain. ↩
À titre d’information générale uniquement. Cet article ne constitue pas un conseil juridique ou fiscal, ne remplace pas un conseil adapté à votre situation et ne crée aucune relation avocat-client. Il reflète l’état du droit en octobre 2026.