La due diligence d'un PSAN crypto n'a plus rien d'optionnel : entre l'enregistrement obligatoire auprès de l'AMF, l'entrée en application du règlement européen MiCA et le nouveau statut CASP, vérifier qu'un prestataire de services sur crypto-actifs est réellement habilité — et qu'il respecte ses obligations LCB-FT — est devenu un réflexe de conformité incontournable. Que vous soyez DAF d'une PME qui encaisse des paiements en stablecoins, fintech qui s'interface avec une plateforme d'échange, ou compliance officer chargé d'onboarder un partenaire, ce guide détaille la réglementation 2026 et les contrôles concrets à mener.
PSAN, CASP, MiCA : de quoi parle-t-on en 2026 ?
Le vocabulaire crypto-réglementaire a beaucoup évolué en quelques années. Il faut distinguer trois notions qui se superposent.
- PSAN (Prestataire de Services sur Actifs Numériques) : c'est le régime français issu de la loi PACTE de 2019. Tout acteur qui fournit certains services sur actifs numériques (conservation pour compte de tiers, achat/vente contre monnaie ayant cours légal, exploitation d'une plateforme de négociation) doit au minimum être enregistré auprès de l'AMF, après avis conforme de l'ACPR sur le volet LCB-FT. Un agrément optionnel, plus exigeant, existait également.
- MiCA (Markets in Crypto-Assets) : le règlement européen 2023/1114, qui harmonise pour la première fois le cadre des crypto-actifs à l'échelle de l'Union. MiCA s'applique de manière progressive, ses dispositions relatives aux prestataires étant entrées en application fin 2024.
- CASP (Crypto-Asset Service Provider) : le statut européen créé par MiCA. Là où le PSAN était une notion nationale, le CASP est agréé dans un État membre et bénéficie d'un passeport européen lui permettant d'opérer dans toute l'UE.
Le point clé pour 2026 : MiCA remplace progressivement le régime PSAN. Une période transitoire permet aux PSAN déjà enregistrés ou agréés de poursuivre leur activité le temps d'obtenir leur agrément CASP, mais cette fenêtre se referme. En due diligence, cela signifie qu'un prestataire peut être, selon sa situation, encore PSAN, déjà CASP, ou en cours de bascule. Votre vérification doit donc déterminer quel statut exact il détient et auprès de quelle autorité.
Première vérification : le prestataire est-il réellement enregistré ?
Le risque le plus courant n'est pas un partenaire malhonnête, mais un prestataire qui opère sans habilitation valide — ou qui se prévaut d'un statut qu'il n'a pas. L'AMF tient des listes publiques que vous devez consulter directement.
- La liste blanche des PSAN enregistrés et agréés, et la liste des CASP agréés sous MiCA, publiées par l'AMF. Vérifiez que la dénomination sociale et le numéro d'enregistrement correspondent exactement à l'entité avec laquelle vous contractez.
- Les listes noires de l'AMF : sites et acteurs non autorisés signalés aux investisseurs. Un prestataire figurant sur ces listes doit être écarté sans discussion.
- Le registre de l'ESMA (Autorité européenne des marchés financiers), qui centralise les CASP agréés dans l'ensemble de l'UE. Indispensable si votre prestataire est agréé dans un autre État membre et opère en France via le passeport.
Attention à un piège fréquent : un prestataire enregistré pour certains services ne l'est pas forcément pour tous. Un acteur enregistré pour la conservation d'actifs numériques n'est pas automatiquement habilité à exploiter une plateforme de négociation. Croisez systématiquement le périmètre de services autorisés avec ce que le prestataire vous propose réellement.
Cette logique de vérification de l'habilitation rejoint celle que l'on applique à tout tiers réglementé. Notre guide complet du processus de vérification d'un tiers détaille la trame générique à dérouler avant tout engagement.
Les obligations LCB-FT propres aux crypto-actifs
Les PSAN et CASP sont des entités assujetties à la lutte contre le blanchiment et le financement du terrorisme (LCB-FT), au même titre que les banques. C'est un point central de votre due diligence : un prestataire crypto sérieux doit pouvoir démontrer un dispositif LCB-FT robuste. Si vous-même êtes une entreprise réglementée, l'absence de ce dispositif chez votre prestataire vous expose par ricochet.
Concrètement, un PSAN/CASP doit notamment :
- identifier et vérifier l'identité de ses clients (procédures KYC) et de leurs bénéficiaires effectifs ;
- appliquer une approche par les risques avec une vigilance renforcée sur les situations sensibles ;
- filtrer ses relations d'affaires contre les listes de sanctions et de gel des avoirs ;
- détecter les opérations atypiques et déclarer les soupçons à la cellule de renseignement financier compétente — en France, Tracfin.
Pour cadrer vos attentes, appuyez-vous sur les fondamentaux du KYC et de la due diligence pour PME et sur la cartographie des obligations AML en matière de blanchiment. Lors de l'onboarding d'un prestataire crypto, demandez son procédure KYC écrite, le nom de son responsable conformité et la preuve que son dispositif a bien été validé par l'autorité dans le cadre de l'enregistrement.
Le screening des dirigeants et bénéficiaires effectifs
L'enregistrement PSAN suppose un contrôle d'honorabilité et de compétence des dirigeants et des bénéficiaires effectifs. Votre due diligence doit reproduire cette logique : qui détient réellement le prestataire ? Y a-t-il une personne politiquement exposée dans l'actionnariat ou la direction ? Reportez-vous à notre définition de la personne politiquement exposée (PEP) pour calibrer la vigilance, et à la méthode d'identification du bénéficiaire effectif (UBO). Les structures crypto recourent fréquemment à des holdings internationales : remontez la chaîne de détention jusqu'aux personnes physiques.
La travel rule : la pierre angulaire 2026 du suivi des flux crypto
La travel rule est sans doute l'obligation la plus structurante du cadre crypto récent. Inspirée d'une recommandation du GAFI et transposée dans le droit de l'Union, elle impose aux prestataires de transmettre, à l'occasion d'un transfert de crypto-actifs, des informations sur l'émetteur (l'originateur) et le bénéficiaire de l'opération.
Autrement dit, un virement en crypto ne doit plus être un transfert anonyme de portefeuille à portefeuille entre deux prestataires : les données d'identification doivent « voyager » avec la transaction, à l'image de ce qui existe depuis longtemps pour les virements bancaires classiques. L'objectif est de rendre les flux traçables et d'éviter que les crypto-actifs ne servent de canal de contournement des contrôles.
En due diligence, posez les bonnes questions à votre prestataire :
- Dispose-t-il d'une solution technique conforme pour collecter et transmettre les informations émetteur/bénéficiaire ?
- Comment traite-t-il les transferts impliquant des portefeuilles auto-hébergés (self-hosted wallets), qui font l'objet de mesures de vigilance spécifiques ?
- Quelle est sa politique en cas de transfert reçu d'un prestataire non conforme ou non identifiable ?
Un prestataire incapable de répondre clairement sur la travel rule est un signal d'alerte majeur. La logique de traçabilité est la même que pour les flux fiat : voir nos repères sur la prévention de la fraude au virement bancaire.
Sanctions et gel des avoirs : un risque démultiplié dans la crypto
Les crypto-actifs sont devenus une cible prioritaire des autorités de sanctions, car ils peuvent servir à contourner les gels d'avoirs. Un prestataire crypto doit filtrer ses clients et ses contreparties contre les principales listes, et votre due diligence doit vérifier que ce filtrage existe et fonctionne.
Les référentiels incontournables :
- les listes de l'OFAC américain (dont la SDN List), qui désigne désormais aussi des adresses de portefeuilles crypto associées à des entités sanctionnées ;
- les listes de gel de l'Union européenne et celles de l'OFSI au Royaume-Uni ;
- les listes des Nations unies.
Pour structurer ce volet, consultez nos guides sur les sanctions internationales OFAC, ONU et OFSI et sur la vérification de la SDN List de l'OFAC. La particularité crypto est qu'au-delà des noms d'entités, ce sont aussi des adresses on-chain qui peuvent être désignées : un bon prestataire combine donc screening nominatif et analyse de la blockchain (chain analytics).
Cadrage corridor France-Maroc : crypto et flux transfrontaliers
Pour les entreprises du corridor France-Maroc, le sujet crypto appelle une vigilance supplémentaire. Le statut juridique des crypto-actifs diffère d'un pays à l'autre, et les opérations sur devises et paiements internationaux sont au Maroc encadrées par l'Office des Changes. Toute tentation d'utiliser des crypto-actifs pour « optimiser » des paiements transfrontaliers doit être analysée avec prudence au regard de la réglementation des changes.
Sur le plan LCB-FT, le Maroc dispose de son propre dispositif, dont l'autorité sanctions de référence est la CNASNU (qui relaie les sanctions des Nations unies et tient une liste locale de gel des avoirs). Si votre due diligence porte sur un partenaire marocain proposant ou acceptant des crypto-actifs, croisez les listes européennes avec le screening CNASNU. Nos ressources CNASNU et gel des avoirs au Maroc et conformité LCB-FT au Maroc en 2026 détaillent ce cadre. Pour les flux d'import-export adossés à des paiements, voir aussi notre guide sur l'Office des Changes du Maroc.
Checklist : due diligence d'un prestataire crypto en 8 points
Voici une trame opérationnelle à dérouler avant de contractualiser avec un PSAN ou un CASP.
- Statut et habilitation : l'entité figure-t-elle sur la liste blanche AMF (PSAN/CASP) ou au registre ESMA, pour le périmètre de services concerné ?
- Absence d'alerte : ne figure-t-elle sur aucune liste noire AMF ni alerte d'autorité ?
- Identité juridique : dénomination, immatriculation, siège et représentants légaux sont-ils cohérents avec les registres officiels ?
- Bénéficiaires effectifs : la chaîne de détention est-elle remontée jusqu'aux personnes physiques, sans PEP ni structure opaque non justifiée ?
- Dispositif LCB-FT : procédures KYC, responsable conformité, filtrage sanctions et déclaration de soupçon sont-ils en place et documentés ?
- Travel rule : le prestataire applique-t-il la transmission des informations émetteur/bénéficiaire et traite-t-il les wallets auto-hébergés ?
- Screening sanctions : filtre-t-il noms et adresses on-chain contre OFAC, UE, OFSI, ONU (et CNASNU côté Maroc) ?
- Monitoring continu : votre vérification est-elle reconduite dans le temps, le statut crypto évoluant vite ?
Sur ce dernier point, ne traitez pas la vérification comme un événement ponctuel. Le passage de PSAN à CASP, une perte d'agrément ou une nouvelle désignation de sanctions peuvent intervenir à tout moment : adoptez une logique de monitoring continu des tiers plutôt que de vérification ponctuelle.
Questions fréquentes
Quelle est la différence entre PSAN et CASP ?
Le PSAN est le statut français issu de la loi PACTE de 2019, encadré par l'AMF avec avis de l'ACPR sur le volet LCB-FT. Le CASP (Crypto-Asset Service Provider) est le statut européen créé par le règlement MiCA, agréé dans un État membre et valable dans toute l'Union grâce à un passeport. En 2026, le régime CASP de MiCA remplace progressivement le régime PSAN, avec une période transitoire pour les acteurs déjà enregistrés.
Comment vérifier qu'un prestataire crypto est bien autorisé ?
Consultez directement les listes publiques de l'AMF (PSAN enregistrés/agréés, CASP agréés, et listes noires) ainsi que le registre de l'ESMA pour les CASP agréés dans un autre État membre de l'UE. Vérifiez la correspondance exacte de la dénomination, du numéro d'enregistrement et surtout du périmètre de services autorisés, car une entité habilitée pour un service ne l'est pas automatiquement pour les autres.
Qu'est-ce que la travel rule en crypto ?
La travel rule impose aux prestataires de crypto-actifs de transmettre, lors d'un transfert, les informations d'identification de l'émetteur et du bénéficiaire de l'opération. Inspirée d'une recommandation du GAFI et transposée en droit de l'Union, elle vise à rendre les flux crypto traçables, comme le sont les virements bancaires classiques, et fait l'objet d'une attention particulière pour les portefeuilles auto-hébergés.
Un PSAN doit-il respecter les obligations LCB-FT ?
Oui. Les PSAN et les CASP sont des entités assujetties à la LCB-FT. Ils doivent appliquer des procédures KYC, identifier les bénéficiaires effectifs, filtrer leurs relations contre les listes de sanctions, détecter les opérations atypiques et déclarer les soupçons à la cellule de renseignement financier compétente (Tracfin en France). Un prestataire incapable de documenter ce dispositif présente un risque de conformité élevé.