Les services d’IBAN virtuels (ou « vIBAN ») consistent généralement à générer plusieurs IBAN secondaires utilisés pour acheminer les paiements vers un compte de paiement unique (parfois appelé compte maître), ce qui fait qu’un compte unique peut avoir plusieurs IBAN.
Si une majorité des offres d’établissements français examinés par l’ACPR
relèvent d’usages légitimes pour faciliter
- la réconciliation des paiements,
- la comptabilité analytique ou encore
- la gestion de trésorerie,
ce rapport met en lumière la récente apparition de cas d’usage plus
risqués des IBAN virtuels qui peuvent être détournés par des réseaux criminels.
Le niveau de risque de ce type de produit dépend de leur utilisation et doit
être accompagné d’une vigilance adéquate.
L’utilisation de plusieurs vIBAN pour un même compte paraît acceptable à
condition que ces derniers présentent des caractéristiques homogènes et
relèvent en pratique de comptes fusionnés (IBAN virtuels fournis par le même
établissement, sous le même code pays et utilisés par le client qui détient le
compte bancaire ou de paiement qui enregistre les transactions).
En revanche, certaines formes de vIBAN correspondent à de véritables comptes de paiement distincts du compte maître, en particulier lorsqu’ils relèvent d’un pays différent. Or, un même compte ne peut juridiquement être ouvert dans plusieurs pays à la fois. Ce type d’utilisation permet d’opérer des flux transfrontaliers en donnant l’apparence de flux domestiques. Ainsi, les contrôles de l’ACPR et les travaux de Tracfin montrent que ces services ne sont pas seulement utilisés pour lutter contre la discrimination à l’IBAN, mais aussi de manière significative pour faciliter le blanchiment des capitaux, en compliquant la traçabilité des fonds et l’action des cellules de renseignement financier et des autorités répressives (allongement des délais d’enquête et de saisies).
Ils sont notamment employés par des escrocs pour tromper leurs
victimes sur la destination réelle des fonds. Dans ces conditions, il est
nécessaire que les établissements qui fournissent des services de vIBAN offrant
une redirection automatique entre deux comptes de paiement fassent preuve d’une
vigilance extrême sur leur utilisation et se donnent les moyens d’avoir une vue
d’ensemble du fonctionnement des comptes concernés. Il est également
indispensable qu’ils fassent preuve de réactivité et de transparence vis-à-vis
des autorités de supervision tout comme des cellules de renseignement
financiers et des autorités répressives.
Des réformes réglementaires européennes entreront en vigueur en juillet 2027 et contribueront à réduire les risques associés aux vIBAN, notamment en améliorant leur enregistrement dans les registres de comptes bancaires comme le fichier des comptes bancaires et assimilés (Ficoba). L’ACPR et Tracfin appellent cependant l’organisation internationale de normalisation ISO à améliorer aussi la norme ISO 13616-1 pour distinguer les IBAN des vIBAN, en particulier en cas de redirection d’un pays à un autre.
Dans l’attente de ces réformes, le rapport rappelle le droit applicable aujourd’hui et présente de bonnes pratiques de gestion du risque. À titre d’exemple, le rapport conclut que les vIBAN retenant un code pays « France » doivent être, en l’état actuel du droit, considérés comme des comptes de paiement détenus en France, avec les diligences réglementaires qui s’imposent, quand bien même le compte sous-jacent n’est pas tenu en France.