{"id":23184,"date":"2025-11-25T23:29:20","date_gmt":"2025-11-25T22:29:20","guid":{"rendered":"https:\/\/www.in-diem.com\/erreurs-courantes-dans-les-requetes-casp-et-comment-les-eviter\/"},"modified":"2026-08-20T20:20:42","modified_gmt":"2026-08-20T18:20:42","slug":"erreurs-courantes-dans-les-requetes-casp-et-comment-les-eviter","status":"publish","type":"post","link":"https:\/\/www.in-diem.com\/fr\/erreurs-courantes-dans-les-requetes-casp-et-comment-les-eviter\/","title":{"rendered":"Erreurs courantes dans les requ\u00eates CASP et comment les \u00e9viter"},"content":{"rendered":"
\n

IMPORTANT :<\/strong> Cet article a \u00e9t\u00e9 r\u00e9dig\u00e9 conform\u00e9ment au cadre r\u00e9glementaire et de supervision en vigueur au moment de sa publication, en particulier le R\u00e8glement (UE) 2023\/1114 (MiCA) et les crit\u00e8res applicables aux prestataires de services d\u2019actifs cryptographiques devant la CNMV. Puisque les exigences d\u2019autorisation CASP, les manuels de demande, les crit\u00e8res techniques, la gouvernance, les exigences AML\/CFT, la cybers\u00e9curit\u00e9 et la revue documentaire peuvent \u00eatre mis \u00e0 jour par la CNMV, l\u2019ESMA ou d\u2019autres autorit\u00e9s comp\u00e9tentes, chaque dossier doit \u00eatre examin\u00e9 conform\u00e9ment \u00e0 la r\u00e9glementation en vigueur et au v\u00e9ritable mod\u00e8le \u00e9conomique du demandeur. <\/em><\/p>\n\n

L\u2019entr\u00e9e en vigueur de MiCA <\/a>a ouvert une toute nouvelle \u00e9tape pour les fournisseurs de services d\u2019actifs cryptographiques (CASP) dans l\u2019Union europ\u00e9enne. En Espagne, la CNMV est devenue la porte d\u2019entr\u00e9e obligatoire pour tout projet<\/strong> souhaitant fonctionner avec certitude juridique, attirer des investissements institutionnels ou \u00e9tendre ses op\u00e9rations sans incertitude r\u00e9glementaire. <\/p>\n\n

Le probl\u00e8me que nous observons dans certains projets qui nous sont pr\u00e9sent\u00e9s est que cette augmentation des applications n\u2019est pas accompagn\u00e9e du m\u00eame niveau de qualit\u00e9 dans les fichiers. En pratique, on observe un sch\u00e9ma tr\u00e8s clair : la plupart des refus et des demandes de rem\u00e9diation proviennent d\u2019erreurs totalement \u00e9vitables.<\/strong> <\/p>\n\n

Cet article est un guide pratique \u2013 sans d\u00e9tails techniques inutiles \u2013 pour comprendre o\u00f9 nous constatons les \u00e9checs des fichiers CASP, comment les \u00e9viter et ce que le CNMV attend r\u00e9ellement de chaque projet.<\/p>\n\n

IN DIEM Abogados<\/strong> propose l\u2019approche juridique-r\u00e9glementaire et Cryptoveritas 360<\/strong> <\/a>l\u2019expertise technique, en cybers\u00e9curit\u00e9 et en audit blockchain.<\/p>\n\n

Pourquoi est-il si facile de faire des erreurs dans les applications CASP ?<\/strong><\/h2>\n\n

Ceux qui abordent MiCA pour la premi\u00e8re fois pensent g\u00e9n\u00e9ralement qu\u2019il s\u2019agit d\u2019un r\u00e8glement visant uniquement la partie l\u00e9gale. Mais en r\u00e9alit\u00e9, c\u2019est un mod\u00e8le juridique + technique + op\u00e9rationnel<\/strong>. <\/p>\n\n

Les documents doivent s\u2019assembler comme un puzzle : manuels AML, gouvernance, architectures technologiques, flux op\u00e9rationnels, politiques de garde, etc. Toute incoh\u00e9rence est rapidement d\u00e9tect\u00e9e par le CNMV.<\/strong><\/p>\n\n

De nombreux projets proviennent de l\u2019environnement startup, o\u00f9 la rapidit\u00e9 l\u2019emporte sur la documentation. Cela entre en conflit avec le niveau de d\u00e9tail exig\u00e9 par MiCA. <\/p>\n\n

Exigences MiCA Espagne : le point z\u00e9ro o\u00f9 commencent de nombreuses erreurs<\/strong><\/h2>\n\n

Solvabilit\u00e9 et capital<\/strong><\/h3>\n\n

La MiCA exige une vraie solvabilit\u00e9, pas une solvabilit\u00e9 d\u00e9clarative. Un service de garde avec des millions de personnes sous gestion ne peut justifier un capital modeste sans une analyse des risques solide. L\u2019une des erreurs les plus graves : les manuels g\u00e9n\u00e9riques ou copi\u00e9s. La CNMV les d\u00e9tecte actuellement car ils manquent de la sp\u00e9cificit\u00e9 n\u00e9cessaire. Un manuel AML doit \u00eatre vivant, refl\u00e9tant les risques r\u00e9els pour votre mod\u00e8le \u00e9conomique, vos clients et les blockchains avec lesquelles vous op\u00e9rez. <\/p>\n\n

Manuels AML\/CFT<\/strong><\/h3>\n\n

L\u2019une des erreurs les plus graves : les manuels g\u00e9n\u00e9riques ou copi\u00e9s. La CNMV les d\u00e9tecte actuellement car ils manquent de la sp\u00e9cificit\u00e9 n\u00e9cessaire. Un manuel AML doit \u00eatre vivant, refl\u00e9tant les risques r\u00e9els pour votre mod\u00e8le \u00e9conomique, vos clients et les blockchains avec lesquelles vous op\u00e9rez. <\/p>\n\n

Gouvernance<\/strong><\/h3>\n\n

R\u00f4les clairs, tra\u00e7abilit\u00e9 et processus d\u00e9finis. De nombreux projets \u00e9chouent \u00e0 cause de structures organisationnelles \u00ab belles mais vides \u00bb, o\u00f9 des responsabilit\u00e9s concr\u00e8tes ne sont pas attribu\u00e9es ou o\u00f9 une cha\u00eene de commandement efficace pour la prise de d\u00e9cision critique n\u2019est pas d\u00e9montr\u00e9e. <\/p>\n\n

Syst\u00e8mes technologiques<\/strong><\/h3>\n\n

L\u2019une des exigences les plus exigeantes. La partie technique est souvent d\u00e9crite de mani\u00e8re superficielle, g\u00e9n\u00e9rant des doutes pertinents sur la s\u00e9curit\u00e9, la r\u00e9silience et la capacit\u00e9 r\u00e9elle de l\u2019infrastructure. Le CNMV doit comprendre non seulement ce que<\/em> vous faites, mais aussi comment<\/em> le faire en toute s\u00e9curit\u00e9. <\/p>\n\n

IN DIEM + Cryptoveritas 360<\/strong> contrastent chaque document avec les autres pour \u00e9viter les incoh\u00e9rences, l\u2019erreur la plus fr\u00e9quente.<\/p>\n\n

Top 10 des erreurs les plus courantes dans les requ\u00eates CASP<\/strong><\/h2>\n\n

1. Mod\u00e8les \u00e9conomiques vagues ou incoh\u00e9rents.<\/h3>\n\n
    \n
  • L\u2019erreur :<\/strong> D\u00e9crivez le service de mani\u00e8re g\u00e9n\u00e9rique (\u00ab nous sommes un \u00e9change \u00bb) sans d\u00e9tailler des flux de travail sp\u00e9cifiques, des clients cibles, des sources de revenus ou une \u00e9valuation r\u00e9aliste des risques op\u00e9rationnels.<\/li>\n\n\n\n
  • Exemple de CNMV :<\/strong> Un projet est pr\u00e9sent\u00e9 comme une place de march\u00e9 NFT, mais sa documentation AML ne fait pas la distinction entre un artiste qui frappe une \u0153uvre et un collectionneur qui \u00e9change en gros volumes. La CNMV per\u00e7oit un manque de compr\u00e9hension de ses propres activit\u00e9s. <\/li>\n\n\n\n
  • La solution :<\/strong> Le mod\u00e8le \u00e9conomique doit \u00eatre un r\u00e9cit op\u00e9rationnel complet. Il inclut des diagrammes de flux utilisateur (onboarding, trading, retraits), d\u00e9finit vos personas clients (buyer personas) et pr\u00e9sente une analyse SWOT qui justifie vos d\u00e9cisions strat\u00e9giques et de risque. <\/li>\n<\/ul>\n\n

    2. Des plans g\u00e9n\u00e9riques AML\/CFT copi\u00e9s de tiers.<\/h3>\n\n
      \n
    • L\u2019erreur :<\/strong> Utiliser des mod\u00e8les d\u2019internet ou des documents d\u2019autres entreprises sans les adapter \u00e0 la r\u00e9alit\u00e9 technologique et op\u00e9rationnelle du projet. La CNMV cherche le \u00ab copier-coller \u00bb et le p\u00e9nalise. <\/li>\n\n\n\n
    • Exemple de CNMV :<\/strong> Le manuel AML mentionne la supervision des \u00ab transactions en esp\u00e8ces \u00bb ou des risques g\u00e9ographiques des juridictions o\u00f9 vous n\u2019op\u00e9rez pas, lorsque votre plateforme est 100 % num\u00e9rique et op\u00e8re dans l\u2019UE. Cela trahit le manque de personnalisation. <\/li>\n\n\n\n
    • La solution :<\/strong> Personnalisation absolue. Votre manuel AML doit refl\u00e9ter votre \u00e9valuation r\u00e9elle des risques, mentionner les outils KYT sp\u00e9cifiques que vous utilisez (comme Chainalysis ou Elliptic), les protocoles blockchain que vous supportez, ainsi que les seuils d\u2019alerte d\u00e9finis en fonction de votre activit\u00e9. <\/li>\n<\/ul>\n\n

      3. Gouvernance mal d\u00e9finie ou sans responsabilit\u00e9s claires.<\/h3>\n\n
        \n
      • L\u2019erreur :<\/strong> Organigrammes \u00ab ornementaux \u00bb o\u00f9 il n\u2019est pas clair qui d\u00e9tient l\u2019autorit\u00e9 ultime pour prendre des d\u00e9cisions dans des domaines critiques tels que la LBC, la technologie ou la gestion des risques.<\/li>\n\n\n\n
      • Exemple de CNMV :<\/strong> La figure du \u00ab responsable conformit\u00e9 \u00bb appara\u00eet dans l\u2019organigramme, mais ses fonctions d\u00e9crites dans un autre document sont ambigu\u00ebs et il ne dispose pas de droit de veto sur le lancement de nouveaux produits \u00e0 haut risque. C\u2019est per\u00e7u comme un post de t\u00e9moignage. <\/li>\n\n\n\n
      • La solution :<\/strong> Attribuez un pr\u00e9nom et un nom de famille \u00e0 chaque r\u00f4le requis par MiCA. Cr\u00e9ez des matrices de responsabilit\u00e9 (RACI) et joignez les proc\u00e8s-verbaux des premi\u00e8res r\u00e9unions du comit\u00e9 des risques pour d\u00e9montrer que la gouvernance est active et non seulement th\u00e9orique. <\/li>\n<\/ul>\n\n

        4. D\u00e9calage entre documents techniques et juridiques.<\/h3>\n\n
          \n
        • L\u2019erreur :<\/strong> La description technique des syst\u00e8mes (par exemple, le ratio entre portefeuilles chaud et froid) ne correspond pas aux d\u00e9lais d\u2019ex\u00e9cution ni aux politiques de reprise apr\u00e8s sinistre d\u00e9crites dans les manuels op\u00e9rationnels et juridiques.<\/li>\n\n\n\n
        • Exemple de CNMV :<\/strong> Le document juridique promet une disponibilit\u00e9 du service (SLA) de 99,99 %, mais l\u2019architecture technique d\u00e9crit des fen\u00eatres de maintenance sans proc\u00e9dures de communication avec les clients ni r\u00e9elle redondance. L\u2019incoh\u00e9rence est flagrante. <\/li>\n\n\n\n
        • La solution :<\/strong> V\u00e9rification crois\u00e9e et revue constante. Un avocat doit comprendre les fondamentaux de la technologie d\u00e9crite, et un technicien doit comprendre les exigences l\u00e9gales auxquelles l\u2019architecture doit r\u00e9pondre. Chaque \u00e9nonc\u00e9 dans un document doit avoir son reflet coh\u00e9rent dans toutes les autres. <\/li>\n<\/ul>\n\n

          5. Manque de justification des exigences technologiques.<\/h3>\n\n
            \n
          • L\u2019erreur :<\/strong> Pr\u00e9tendant \u00eatre conforme aux normes de cybers\u00e9curit\u00e9 sans pr\u00e9ciser comment<\/em>. Des expressions vagues comme \u00ab nous utilisons le chiffrement \u00bb ou \u00ab nous avons un SOC \u00bb sont insuffisantes et g\u00e9n\u00e8rent des besoins imm\u00e9diats. <\/li>\n\n\n\n
          • Exemple de CNMV :<\/strong> \u00ab Nous avons un SOC (Centre des Op\u00e9rations de S\u00e9curit\u00e9). \u00bb La CNMV demandera : Est-ce interne ou externalis\u00e9 ? Quelles certifications poss\u00e8de l\u2019\u00e9quipe ? Quels sont les SLA de r\u00e9ponse ? Quels \u00e9v\u00e9nements sont sp\u00e9cifiquement surveill\u00e9s ? <\/li>\n\n\n\n
          • La solution :<\/strong> Sp\u00e9cificit\u00e9 technique. Au lieu de \u00ab chiffrement \u00bb, il pr\u00e9cise \u00ab nous utilisons AES-256 pour les donn\u00e9es au repos et TLS 1.3 pour les donn\u00e9es en transit. \u00bb Attachez les certifications des \u00e9quipes, des sch\u00e9mas d\u2019architecture d\u00e9taill\u00e9s et des politiques de s\u00e9curit\u00e9 document\u00e9es (correctifs, acc\u00e8s, etc.). <\/li>\n<\/ul>\n\n

            6. Sous-estimation du KYC et de la tra\u00e7abilit\u00e9.<\/h3>\n\n
              \n
            • L\u2019erreur :<\/strong> Mettre en place un processus KYC de base qui ne s\u2019\u00e9tend pas ou ne permet pas une tra\u00e7abilit\u00e9 compl\u00e8te des transactions d\u2019un client dans le temps, violant le principe de \u00ab conna\u00eetre votre client \u00bb de fa\u00e7on continue.<\/li>\n\n\n\n
            • Exemple de CNMV :<\/strong> Le syst\u00e8me permet l\u2019int\u00e9gration d\u2019un client, mais il ne peut pas automatiquement suivre et regrouper tous ses portefeuilles associ\u00e9s ni d\u00e9tecter des sch\u00e9mas de comportement suspect bas\u00e9s sur l\u2019historique transactionnel.<\/li>\n\n\n\n
            • La solution :<\/strong> Int\u00e9grez des outils d\u2019analyse on-chain et KYT par conception. D\u00e9montrez au CNMV que votre syst\u00e8me peut suivre la trace des fonds au-del\u00e0 d\u2019une simple transaction, en liant des adresses et en d\u00e9tectant des comportements anormaux. <\/li>\n<\/ul>\n\n

              7. Ne pas justifier l\u2019exp\u00e9rience de l\u2019\u00e9quipe de direction.<\/h3>\n\n
                \n
              • L\u2019erreur :<\/strong> Soumettre des CV<\/em> g\u00e9n\u00e9riques sans d\u00e9montrer en quoi l\u2019exp\u00e9rience sp\u00e9cifique de chaque manager est pertinente et appropri\u00e9e aux risques et \u00e0 la complexit\u00e9 d\u2019un CASP.<\/li>\n\n\n\n
              • Exemple de CNMV :<\/strong> Le directeur technique poss\u00e8de une vaste exp\u00e9rience en informatique traditionnelle, mais son CV ne refl\u00e8te pas une connaissance sp\u00e9cifique de la cybers\u00e9curit\u00e9 blockchain, de la gestion de cl\u00e9s priv\u00e9es ou des architectures d\u00e9centralis\u00e9es.<\/li>\n\n\n\n
              • La solution :<\/strong> Les CV doivent \u00eatre argumentatifs. Non seulement listez vos exp\u00e9riences, mais expliquez aussi comment chaque poste pr\u00e9c\u00e9dent a pr\u00e9par\u00e9 le manager \u00e0 g\u00e9rer les risques sp\u00e9cifiques de MiCA. Une formation sp\u00e9cifique en blockchain et r\u00e9gulation est un atout majeur. <\/li>\n<\/ul>\n\n

                8. Proc\u00e9dures de continuit\u00e9 inexistantes ou vagues.<\/h3>\n\n
                  \n
                • L\u2019erreur :<\/strong> Ne pas avoir de plan de continuit\u00e9 d\u2019activit\u00e9 (BCP) ou en avoir un qui n\u2019est qu\u2019une simple d\u00e9claration d\u2019intention, sans \u00e9tapes concr\u00e8tes, sans r\u00f4les assign\u00e9s ni plans de communication pour les incidents majeurs.<\/li>\n\n\n\n
                • Exemple de CNMV :<\/strong> Le plan BCP mentionne la \u00ab r\u00e9cup\u00e9ration sur un site secondaire \u00bb mais ne pr\u00e9cise pas les RTO (Recovery Time Objectives) ni RPO (Recovery Point Objectives), ni la mani\u00e8re dont la coh\u00e9rence des donn\u00e9es est assur\u00e9e en situation de crise.<\/li>\n\n\n\n
                • La solution :<\/strong> D\u00e9veloppez un contraceptif d\u00e9taill\u00e9 et r\u00e9aliste. Incluez des sc\u00e9narios de test, des plans de communication pour les clients et r\u00e9gulateurs, ainsi que des proc\u00e9dures techniques sp\u00e9cifiques pour la r\u00e9cup\u00e9ration des syst\u00e8mes et des donn\u00e9es. <\/li>\n<\/ul>\n\n

                  9. Politiques de garde superficielles ou incroyables.<\/h3>\n\n
                    \n
                  • L\u2019erreur :<\/strong> D\u00e9crire un syst\u00e8me d\u2019entiercement sans fournir de preuve technique de sa mise en \u0153uvre, tels que les sch\u00e9mas de signature multipartite, la s\u00e9gr\u00e9gation des actifs ou les protocoles de r\u00e9cup\u00e9ration de cl\u00e9s.<\/li>\n\n\n\n
                  • Exemple de CNMV :<\/strong> Une entreprise affirme utiliser \u00ab 98 % de portefeuilles froids \u00bb mais ne d\u00e9crit pas la proc\u00e9dure physique et logique pour y acc\u00e9der, ni comment le risque d\u2019un point de d\u00e9faillance unique dans ce processus est att\u00e9nu\u00e9.<\/li>\n\n\n\n
                  • La solution :<\/strong> Fournir une documentation technique d\u00e9taill\u00e9e sur la garde. Diagrammes d\u2019architecture des cl\u00e9s, description des modules de s\u00e9curit\u00e9 mat\u00e9rielle (HSM) et proc\u00e9dures audit\u00e9es pour la g\u00e9n\u00e9ration, le stockage et l\u2019utilisation des cl\u00e9s priv\u00e9es. <\/li>\n<\/ul>\n\n

                    10. Incoh\u00e9rences entre annexes soumises au CNMV.<\/h3>\n\n
                      \n
                    • L\u2019erreur :<\/strong> Les faits, chiffres ou descriptions d\u2019une annexe ne correspondent pas \u00e0 ceux d\u2019une autre. Par exemple, le capital social d\u2019un document diff\u00e8re de celui d\u00e9clar\u00e9 dans un autre, ou la liste des protocoles soutenus dans le manuel technique ne co\u00efncide pas avec celle du manuel commercial. <\/li>\n\n\n\n
                    • Exemple de CNMV :<\/strong> L\u2019annexe financi\u00e8re pr\u00e9sente un capital de 150 000 \u20ac, tandis que le rapport descriptif parle de 125 000 \u20ac. Ou le manuel marketing vante le support d\u2019une blockchain qui n\u2019appara\u00eet pas dans l\u2019\u00e9valuation des risques technologiques. <\/li>\n\n\n\n
                    • La solution :<\/strong> Effectuez une \u00ab lecture horizontale \u00bb finale de l\u2019ensemble du fichier. V\u00e9rifiez que chaque information, nom, figure et description est coh\u00e9rent dans les plus de 20 documents g\u00e9n\u00e9ralement inclus dans une demande. C\u2019est l\u2019une des t\u00e2ches les plus cruciales avant de d\u00e9poser une d\u00e9claration. <\/li>\n<\/ul>\n\n

                      Comment \u00e9viter les erreurs avant de soumettre votre candidature ?<\/strong><\/h2>\n\n

                      La meilleure strat\u00e9gie est de r\u00e9aliser un pr\u00e9-audit juridique et technique<\/strong> qui examine l\u2019ensemble du dossier avec la m\u00eame approche que le CNMV, mais avec une mentalit\u00e9 constructive et d\u2019am\u00e9lioration.<\/p>\n\n

                      Liste de contr\u00f4le de base<\/strong><\/h3>\n\n
                        \n
                      • Mod\u00e8le \u00e9conomique op\u00e9rationnel et compr\u00e9hensible, avec des flux d\u00e9taill\u00e9s.<\/li>\n\n\n\n
                      • Risques identifi\u00e9s, \u00e9valu\u00e9s et justifi\u00e9s quantitativement.<\/li>\n\n\n\n
                      • Manuel AML 100 % adapt\u00e9 \u00e0 votre service, \u00e0 votre technologie et \u00e0 vos clients.<\/li>\n\n\n\n
                      • Une technologie d\u00e9crite avec pr\u00e9cision, sans flou.<\/li>\n\n\n\n
                      • De vraies mesures de cybers\u00e9curit\u00e9, document\u00e9es et justifi\u00e9es.<\/li>\n\n\n\n
                      • Gouvernance coh\u00e9rente, avec des managers et des processus d\u00e9finis.<\/li>\n\n\n\n
                      • Une \u00e9quipe de direction adapt\u00e9e et solide, dot\u00e9e d\u2019une exp\u00e9rience accr\u00e9dit\u00e9e pertinente.<\/li>\n\n\n\n
                      • Toutes les annexes align\u00e9es et sans contradictions internes.<\/li>\n<\/ul>\n\n

                        <\/p>\n\n

                        L\u2019importance de l\u2019alignement juridique-technique : le facteur d\u00e9cisif<\/strong><\/h2>\n\n

                        Si la partie juridique dit une chose et que la technique en d\u00e9crit une autre, la CNMV la d\u00e9tectera en quelques minutes. Cette d\u00e9connexion est la principale cause des exigences de correction et des retards. La r\u00e9gulation MiCA est, par nature, un cadre interdisciplinaire qui n\u00e9cessite une r\u00e9ponse \u00e9galement int\u00e9gr\u00e9e. <\/p>\n\n

                        Comment IN DIEM + Cryptoveritas 360 le r\u00e9parer<\/strong><\/h3>\n\n
                          \n
                        • Audit des contrats intelligents<\/strong> (le cas \u00e9ch\u00e9ant) et revue de l\u2019architecture blockchain.<\/li>\n\n\n\n
                        • \u00c9valuation compl\u00e8te de la cybers\u00e9curit\u00e9<\/strong> de l\u2019infrastructure.<\/li>\n\n\n\n
                        • Analyse des risques technologiques<\/strong> align\u00e9e sur les exigences de capital.<\/li>\n\n\n\n
                        • Revoir<\/strong> tous les manuels (AML, Gouvernance, Technologie) afin d\u2019assurer la coh\u00e9rence.<\/li>\n\n\n\n
                        • Une alignement total<\/strong> entre le mod\u00e8le \u00e9conomique, la technologie sous-jacente et les politiques AML\/CFT.<\/li>\n<\/ul>\n\n