L’ACPR et Tracfin alertent sur
certaines pratiques d’utilisation d’IBAN virtuels présentant des risques élevés
en matière de blanchiment de capitaux.
Les services d’IBAN
virtuels (ou « vIBAN ») consistent généralement à générer plusieurs IBAN
secondaires utilisés pour acheminer les paiements vers un compte de paiement
unique (parfois appelé compte maître), ce qui fait qu’un compte unique peut
avoir plusieurs IBAN.
Si une majorité des
offres d’établissements français examinés par l’ACPR relèvent d’usages
légitimes pour faciliter (i) la réconciliation des paiements, (ii) la
comptabilité analytique ou encore (iii) la gestion de trésorerie, ce rapport
met en lumière la récente apparition de cas d’usage plus risqués des IBAN
virtuels qui peuvent être détournés par des réseaux criminels. Le niveau de
risque de ce type de produit dépend de leur utilisation et doit être accompagné
d’une vigilance adéquate.
L’utilisation de
plusieurs vIBAN pour un même compte paraît acceptable à condition que ces
derniers présentent des caractéristiques homogènes et relèvent en pratique de
comptes fusionnés (IBAN virtuels fournis par le même établissement, sous le
même code pays et utilisés par le client qui détient le compte bancaire ou de
paiement qui enregistre les transactions).
En revanche, certaines
formes de vIBAN correspondent à de véritables comptes de paiement distincts du
compte maître, en particulier lorsqu’ils relèvent d’un pays différent. Or, un
même compte ne peut juridiquement être ouvert dans plusieurs pays à la fois. Ce
type d’utilisation permet d’opérer des flux transfrontaliers en donnant
l’apparence de flux domestiques. Ainsi, les contrôles de l’ACPR et les travaux
de Tracfin montrent que ces services ne sont pas seulement utilisés pour lutter
contre la discrimination à l’IBAN, mais aussi de manière significative pour
faciliter le blanchiment des capitaux, en compliquant la traçabilité des fonds
et l’action des cellules de renseignement financier et des autorités
répressives (allongement des délais d’enquête et de saisies). Ils sont
notamment employés par des escrocs pour tromper leurs victimes sur la
destination réelle des fonds. Dans ces conditions, il est nécessaire que les
établissements qui fournissent des services de vIBAN offrant une redirection
automatique entre deux comptes de paiement fassent preuve d’une vigilance
extrême sur leur utilisation et se donnent les moyens d’avoir une vue
d’ensemble du fonctionnement des comptes concernés. Il est également
indispensable qu’ils fassent preuve de réactivité et de transparence vis-à-vis
des autorités de supervision tout comme des cellules de renseignement
financiers et des autorités répressives.
Des réformes réglementaires européennes entreront en vigueur en juillet 2027 et contribueront à réduire les risques associés aux vIBAN, notamment en améliorant leur enregistrement dans les registres de comptes bancaires comme le fichier des comptes bancaires et assimilés (Ficoba). L’ACPR et Tracfin appellent cependant l’organisation internationale de normalisation ISO à améliorer aussi la norme
ISO 13616-1 pour distinguer les IBAN des vIBAN, en particulier en cas de redirection d’un pays à un autre. Dans l’attente de ces réformes, le rapport rappelle le droit applicable aujourd’hui et présente de bonnes pratiques de gestion du risque. À titre d’exemple, le rapport conclut que les vIBAN retenant un code pays « France » doivent être, en l’état actuel du droit, considérés comme des comptes de paiement détenus en France, avec les diligences réglementaires qui s’imposent, quand bien même le compte
sous-jacent n’est pas
tenu en France.
Ce rapport s’appuie sur
un questionnaire conduit par l’ACPR en 2023, complété par plusieurs contrôles
sur place de l’ACPR, ainsi que d’études de cas par le service Tracfin.
Chiffres clés : fin 2022, environ 1,7 millions de vIBAN actifs en France étaient utilisés par
400 000 clients, pour environ 4 milliards d’euros de flux par mois (y compris les flux légitimes).