Rappel : Les services d’IBAN virtuels consistent généralement à générer plusieurs IBAN utilisés pour acheminer les paiements vers un compte de paiement unique (parfois appelé compte maître ou compte principal), ce qui fait qu’un compte unique semble avoir plusieurs IBAN.
I. Usages à risque faible : réconciliation et gestion analytique (Cas 1 et 2)
Ces services visent principalement à faciliter la réconciliation des paiements (un vIBAN par débiteur) et la comptabilité analytique (un vIBAN par sous-catégorie d'opérations).
- Vulnérabilités de blanchiment : Bien que le risque soit faible, ces usages complexifient le suivi des transactions pour les tiers.
- Dissimulation des schémas : La détection des schémas « many-to-one » devient difficile, car plusieurs paiements semblent destinés à des comptes différents.
- Contournement des seuils : Un virement important peut être fractionné vers plusieurs vIBAN associés au même destinataire pour échapper aux alertes automatiques.
- Opacité des donneurs d'ordre : Les IBAN virtuels peuvent dissimuler la destination et l'utilisation effective des fonds.
Mesures d'atténuation :
- Ciblage : Limiter ces services aux entreprises justifiant d'un besoin clair et exclure les clients à haut risque de blanchiment.
- Transparence : Rendre obligatoire la mention de l'identifiant d'entité juridique (IEJ ou LEI) dans les transferts de fonds.
- Traçabilité : Déclarer obligatoirement les vIBAN aux registres de comptes bancaires nationaux, comme le prévoit la 6ème directive anti-blanchiment.
II. Usage à risque modéré : centrales de paiement (Cas 3)
Ce modèle permet à un groupe de sociétés de centraliser les opérations de ses filiales sur un seul compte maître, chaque filiale se voyant attribuer un vIBAN.
- Vulnérabilités de blanchiment : Le risque principal réside dans le masquage de la géographie et des utilisateurs réels.
- Masquage géographique : L'utilisation de vIBAN peut dissimuler le risque géographique si la centrale de paiement regroupe des sociétés sises dans plusieurs pays.
- Déficit de connaissance client (KYC) : L'établissement financier n'a souvent pas d'obligation de collecter des éléments de connaissance client à l'égard des filiales s'il n'y a pas de relation d'affaires directe.
Mesures d'atténuation :
- Vérification de la structure : Réserver ces services aux groupes dont les liens capitalistes et la réalité ont été vérifiés.
- Habilitation : S'assurer que la tête de la centrale de trésorerie est formellement autorisée à recevoir des fonds pour le compte de ses filiales.
- Surveillance : Collecter une forme de KYC sur les filiales et exercer une vigilance sur l'affectation des fonds.
III. Usages à risque très élevé : Réattribution et Discordance géographique (Cas 4 et 5)
C'est ici que l'opacité favorise le plus les réseaux criminels, en créant une déconnexion entre la banque et l'utilisateur final.
1. Réattribution en cascade (Cas 4) Un prestataire (PSP) titulaire du compte maître réattribue des vIBAN à ses propres clients (ex: commerçants d'une marketplace).
- Vulnérabilités de blanchiment : L'établissement émetteur ne dispose d'aucune information sur l'utilisateur réel du vIBAN.
- Comptes autonomes illégaux : Le vIBAN risque d'être utilisé comme un véritable compte de paiement par un tiers, échappant aux mesures de vigilance LCB-FT.
Mesures d'atténuation :
- Qualification stricte : Considérer les vIBAN comme des comptes de paiement à part entière et les soumettre aux mêmes obligations de vigilance.
- Restriction des flux : Limiter les paiements sortants aux seuls autres comptes de l'utilisateur du vIBAN, en excluant les paiements vers des tiers.
- Collaboration KYC : L'établissement teneur de compte doit s'assurer des procédures de vigilance appliquées par le PSP à l'égard de ses propres clients.
2. Fourniture d'IBAN avec code pays discordant (Cas 5) Les vIBAN présentent un code pays différent de celui du compte principal.
- Vulnérabilités de blanchiment : Ce mécanisme est exploité pour contourner les alertes et complexifier les circuits.
- Neutralisation des alertes : L'utilisation de codes pays erronés fausse l'évaluation du risque géographique par les contreparties.
- Contournement des sanctions : L'illusion d'un transfert purement domestique peut faire échouer le filtrage des sanctions financières ciblées.
- Paralysie des enquêtes : Les demandes des cellules de renseignement et des autorités répressives sont envoyées aux mauvais pays, allongeant considérablement les délais d'enquête.
Mesures d'atténuation :
- Requalification : Analyser les vIBAN étrangers associés à un compte français (Cas 5a) comme des comptes de paiement à part entière tenus par l'établissement étranger.
- Exigences strictes pour les IBAN "FR" (Cas 5b) : Si une succursale émet un vIBAN français pour un compte étranger, les avoirs doivent être enregistrés en France, saisissables par les autorités françaises, et soumis à la réglementation LCB-FT nationale.
Source