Dans cette chronique juridique, Valentine Baudouin, Partner Compliance & Regulatory au sein de Regvantage, analyse la proposition de “loi pour la sécurisation juridique des structures économiques face aux risques de blanchiment”.

Déposée au Sénat le 19 août 2025, la proposition de « loi pour la sécurisation juridique des structures économiques face aux risques de blanchiment » entend développer une « nouvelle doctrine » anti-blanchiment. Elle fait suite aux riches travaux de la commission d'enquête du Sénat, rendus publics en juin 2025, lesquels indiquent notamment que « l’émergence des entreprises de FinTech, et plus particulièrement des néo-banques, présente également un risque important en matière de LCB-FT ».

D’autres publications estivales, telles que l’avis de l’ABE sur les risques liés au blanchiment de capitaux et au financement du terrorisme affectant le secteur financier de l'UE, ou encore le rapport de l’ACPR sur la prévention des comptes rebonds pour le blanchiment d’escroqueries et autres fraudes, pointent également les risques spécifiques du secteur financier numérique.  Pour autant, la proposition de loi soulève de légitimes interrogations.

Un risque important

Le rapport d’enquête sénatorial établit que les flux criminels recyclés dans l’économie française s’élèvent entre 38 et 58 milliards d’euros par an, pour un taux de récupération publique limité à 2 %. Adopté à l’unanimité par la commission, il insiste sur le rôle joué par les nouvelles formes d’intermédiation financière. L’essor des entreprises dites « FinTech », et tout particulièrement des néo-banques, constitue, selon le rapport, un risque important pour la lutte contre le blanchiment. Ces dernières se caractérisent, selon les sénateurs, par une activité centrée sur des applications mobiles, l’absence de guichets physiques et une implantation multi-États — autant de facteurs qui fragilisent les contrôles traditionnels.

L’Autorité de contrôle prudentiel et de résolution, dans son rapport du 17 juillet 2025, corrobore ce diagnostic en analysant le phénomène des « comptes rebonds ». Ces comptes sont utilisés comme des véhicules transitoires pour recevoir des fonds, puis les transférer rapidement, sans justification économique apparente. Ils ne sont pas tous ouverts en ligne, mais leur vulnérabilité est accentuée lorsque l’entrée en relation est dématérialisée et très rapide, sans contact physique — ce qui facilite l’usurpation d’identité et l’usage de « mules » financières, selon l’ACPR. En 2023, ladite autorité a ainsi recensé 661 millions d’euros de virements suspects (+45 % par rapport à 2022), 70 % de ces comptes ayant moins d’un an d’existence, et 60 % des flux sortants étant dirigés vers l’étranger.

L’Autorité bancaire européenne, dans son Opinion du 28 juillet 2025, confirme la vulnérabilité accrue du secteur financier numérique. Elle relève que 69 % des autorités nationales estiment les risques FinTech « élevés ou très élevés », que 277 défaillances ont été recensées en 2023–2024 du fait d’une mauvaise utilisation des solutions RegTech, et que le nombre de prestataires de services sur actifs numériques a été multiplié par 2,5 en deux ans. L’EBA alerte également sur l’explosion des fraudes facilitées par l’intelligence artificielle, qu’il s’agisse de faux documents ou de deepfakes utilisés pour contourner les procédures de KYC.

De ces constats nationaux et européens, une conclusion se dégage : le secteur financier numérique fait face à des défis importants en matière de lutte contre le blanchiment d’argent et le financement du terrorisme.

Composée de cinq titres et de neuf articles, plusieurs d’entre eux attirent l’attention, tant dans leur application pratique que dans leur apport théorique, ou encore par leur incohérence ou redondance avec des dispositifs existants.

Un changement de paradigme pour règlementer les FinTechs ?

Le terme est cité à plusieurs reprises, tant dans l’exposé des motifs (qui évoque à la fois les « néobanques non agréées » et les « néobanques ») que dans deux articles du texte (article 1 et article 7). Grande nouveauté : une définition est proposée dans les termes suivants : « tout établissement de crédit ou prestataire de services de paiement agréé dont l’activité est exercée exclusivement en ligne, sans point de contact physique, et dont les procédures d’entrée en relation sont entièrement automatisées ».

Si l’on peine à identifier précisément les acteurs visés par ces critères cumulatifs, cette tentative de catégorisation heurte la position exprimée par l’ACPR dans sa publication d’avril 2021 sur l’usage du terme « néobanque » ainsi que de l’article L. 511-8 du Code monétaire et financier, qui précise qu’« il est interdit à toute entreprise autre qu’un établissement de crédit ou une société de financement d’utiliser une dénomination, une raison sociale, une publicité ou, d’une façon générale, des expressions faisant croire qu’elle est agréée respectivement en tant qu’établissement de crédit ou société de financement, ou de créer une confusion en cette matière ».

On comprend d’autant moins comment « l’usage […..] d’une néobanque, telle que définie à l’article L. 561-32-1 [c’est-à-dire le nouvel article proposé], ne disposant pas d’agrément européen » pourrait être retenu comme critère d’identification d’une entreprise éphémère. Si les « néobanques » sont bien des établissements de crédit ou des prestataires de services de paiement, ces derniers (y compris digitaux) sont nécessairement agréés, avec la possibilité d’exercer en vertu du passeport européen. Par ailleurs, l’article 1 vise les déclarations de soupçon qui devraient être effectuées par les greffiers, notamment à l’occasion de l’immatriculation d’une entreprise suspectée d’être éphémère. Rappelons à ce titre que le dépôt de capital lors d’une immatriculation ne peut s’effectuer que chez un établissement de crédit, un notaire ou la Caisse des dépôts — et non auprès d’un établissement de paiement. S’agit-il d’une ouverture ou d’une incohérence ?

Plus largement, la définition proposée s’écarte du mode de règlementation français des entreprises digitales du monde financier, qui repose sur le principe du « level playing field » — expression anglaise faisant référence à « un terrain de jeu parfaitement plat, qui ne favorise ni ne défavorise l'une des équipes en présence », et qui implique l’application des mêmes règles à tous les acteurs, quel que soit leur profil. Dans la sphère financière, ce principe désigne un environnement dans lequel toutes les entreprises d’un même marché sont traitées de manière identique, qu’elles soient digitales ou non. Ce traitement équitable repose notamment sur l’homogénéité des contraintes légales : soumettre les acteurs aux mêmes règles, c’est leur permettre de conserver une capacité de compétition équivalente. À ce titre, les « néobanques » devraient pourtant faire l’objet « d’un audit externe annuel, réalisé par un tiers indépendant, portant sur la conformité de leurs dispositifs opérationnels, techniques et organisationnels aux exigences du présent titre ». Ne s’agit-il pas, tout simplement, du contrôle périodique ?

L’encadrement des comptes rebonds

Les articles 5 et 6 portent sur les comptes rebonds. L’article 5 introduit une définition de ce type de comptes et impose une vigilance renforcée. L’article 6 crée un registre national des comptes rebonds, géré par la direction générale des finances publiques, et impose que « tout nouveau compte bancaire ou de paiement ouvert par une personne physique ou morale [fasse] l’objet d’un délai d’activation de soixante-douze heures avant autorisation de tout virement sortant » et que « les établissements mettent en œuvre une surveillance renforcée pendant les trente premiers jours suivant l’activation du compte».

Ces délais prescriptifs et systématiques semblent inutiles et peuvent s’avérer contre-productifs. Ils retarderont uniformément l’activation de l'ensemble des comptes légitimes de 72 heures, créant une distorsion de concurrence au niveau européen, tandis que les données fournies par l’ACPR démontrent que le véritable enjeu réside dans l'accélération du traitement des cas suspects, actuellement traités en 29 à 65 jours en moyenne. La mise en place d’une approche par les risques, avec l’intégration au sein des dispositifs opérationnels de conformité des points de vigilance ou des bonnes pratiques relevées par l’ACPR, ne permet-elle pas d’ores et déjà d’adresser les comptes rebonds ? Le rapport de l’ACPR détaille d’ailleurs des scénarios de détection efficaces : typologie « Many-to-One » (virements multiples vers un compte unique), retraits espèces rapides post-ouverture, discordances entre volumes transités et revenus déclarés, ou encore détection de « comptes de mules » via l'analyse des changements comportementaux et des modifications récentes d'appareils de connexion. L’ACPR préconise par ailleurs des mesures de vérification d'identité renforcées, ainsi qu’une connaissance fine des profils socio-économiques, pour détecter les opérations atypiques.

Ces recommandations techniques, en présence de schémas sophistiqués, contrastent avec la simplicité apparente du délai uniforme de 72 heures, révélant l'inadéquation de l'approche législative face aux typologies criminelles identifiées, telles que des sociétés éphémères utilisant l'IA générative et les « deep-fakes » pour contourner les vérifications d'identité, ou les réseaux de « mules » jeunes (moins de 25 ans) gérant jusqu'à 68 comptes multiples. Dans un environnement numérique, c’est pourtant la granularité des alertes comportementales (et non la temporalité uniforme) qui permet de discriminer entre activités frauduleuses et usages légitimes. 

Parallèlement, l’article 6 introduit discrètement une évolution (très) significative en inversant le régime de responsabilité civile établi par la DSP2 : le coût de la fraude bascule de l’établissement émetteur vers le teneur du compte récepteur. Cette inversion du régime de responsabilité pourrait exposer les établissements français à un risque juridique et concurrentiel majeur dans l’espace SEPA. Une telle modification mériterait, à minima, une évaluation d’impact (notamment en termes de fonds propres qui pourraient être demandés) coordonnée avec les autorités européennes de supervision.

Une intention louable, un texte à relire

D’autres dispositions sont également sujettes à amélioration. On pense au fichier ex post des identités fictives et des prête-noms, ou encore à l’obligation imposée aux rédacteurs d’actes de recevoir un justificatif sur l’origine des fonds lors de leur intervention dans tout acte constatant une cession amiable de fonds de commerce ou constatant la cession de parts sociales ou d’actions entraînant la prise de contrôle d’une entreprise au sens de l’article L. 233-3. Pourtant, ces « rédacteurs d’actes » devraient faire partie de la liste des personnes autorisées à rédiger des actes sous seing privé conformément à l’article 54 de la loi n° 71-1130 du 31 décembre 1971, et sont donc tous déjà assujettis aux dispositions relatives à la LCB-FT. S’agit-il encore d’une remise en cause de l’approche par les risques, avec une justification préalable et systématique, transformant chaque cession en exercice de due diligence anti-blanchiment ? Les réseaux criminels disposeront en outre de mécanismes de contournement assez évidents : fractionnement des acquisitions sous les seuils réglementaires, montages indirects évitant la qualification de prise de contrôle au sens de l'article L. 233-3…

Le rapport de la commission d’enquête ouvrait pourtant la voie à un texte à la hauteur des risques complexes identifiés. La présente proposition de loi, bien qu’animée d’une intention louable et partagée par l’ensemble du secteur, présente de nombreuses incohérences , des redondances réglementaires et un désalignement préoccupant avec les outils déjà disponibles. Faut-il désormais attendre une troisième tentative législative pour faire coïncider ambition politique, efficacité et cohérence juridique ? Il ne s’agit pas de contester la volonté politique de sécurisation des flux, mais de rappeler que l’efficacité d’un dispositif de conformité repose avant tout sur sa capacité à articuler la règlementation et la réalité opérationnelle.