L’ESMA lance son premier grand contrôle MiCA : l’agrément n’est qu’un début

L’agrément MiCA n’est plus un aboutissement pour les entreprises crypto. L’Autorité européenne des marchés financiers (ESMA) a annoncé une action de supervision conjointe visant à passer au crible une sélection d’acteurs agréés. L’examen portera en priorité sur les entreprises qui conservent des actifs numériques pour le compte de leurs clients.

Le calendrier n’est pas anodin. Ce contrôle intervient peu après l’expiration des derniers régimes transitoires de MiCA. Alors que tous les prestataires de services sur crypto-actifs souhaitant poursuivre leurs activités dans l’Union européenne doivent désormais disposer d’un agrément, l’attention se déplace vers leur capacité à respecter concrètement les exigences imposées.

L’ESMA regarde au-delà du simple agrément

Dans le cadre de cette action de supervision, l’ESMA examinera notamment la manière dont les entreprises conservent les actifs numériques, gèrent les clés cryptographiques, contrôlent les transactions et traitent les incidents de sécurité. L’autorité s’intéressera également au degré de dépendance des prestataires à l’égard de fournisseurs technologiques externes.

Le régulateur ne cherche pas seulement à vérifier la conformité réglementaire des entreprises. Il veut aussi s’assurer qu’elles peuvent maintenir leurs services en cas de cyberattaque ou d’autres perturbations.

Pour Sébastien Dessimoz, cofondateur de la société d’infrastructure Taurus, cette initiative montre qu’un agrément ne constitue qu’un point de départ.

Pour les dépositaires, l’agrément est un point de départ, pas une ligne d’arrivée.

Selon lui, les régulateurs attendent de plus en plus des entreprises qu’elles soient en mesure de démontrer que leur sécurité, leurs procédures et leur gestion des risques sont effectivement maîtrisées.

Les investisseurs deviennent eux aussi plus exigeants

Les régulateurs ne sont pas les seuls à examiner plus attentivement les dépositaires crypto. Selon Jody Mettler, de BitGo, les investisseurs institutionnels veulent de plus en plus comprendre comment les prestataires protègent les avoirs des clients, sécurisent l’accès aux portefeuilles et gèrent les incidents de sécurité.

L’attention se détourne ainsi progressivement de la simple détention d’un agrément pour se concentrer sur la qualité du fonctionnement opérationnel au quotidien.

MiCA et DORA renforcent la supervision

Selon l’avocat Yuriy Brisov, du cabinet Digital & Analogue Partners, cette action de supervision s’inscrit à la croisée de deux cadres réglementaires européens. MiCA impose des exigences aux prestataires de services sur crypto-actifs, tandis que le règlement sur la résilience opérationnelle numérique (DORA) oblige les entreprises à assurer leur robustesse numérique.

Yuriy Brisov souligne que de nombreuses entreprises crypto s’appuient sur les mêmes partenaires technologiques. Un problème chez un fournisseur peut donc toucher simultanément plusieurs acteurs du marché. Les régulateurs ne regardent donc pas seulement les entreprises individuellement, mais aussi les risques au sein de l’ensemble de la chaîne d’approvisionnement.

Les résultats de cette action de supervision pourraient en outre peser sur l’avenir de la surveillance du secteur crypto en Europe. Pour l’heure, les autorités nationales sont chargées du contrôle des entreprises agréées au titre de MiCA, mais l’Union européenne débat depuis quelque temps déjà d’un rôle accru pour l’ESMA.