IBAN virtuels: l’ACPR et TRACFIN alertent sur certaines pratiques à risque
L’autorité de contrôle prudentiel et de résolution (ACPR) vient de publier un rapport consacré aux risques présentés par les identifiants bancaires virtuels (ou IBAN virtuels) et à plusieurs cas d’utilisation risquée de ce type de produit. Un document enrichi de quelques cas d’études réalisés par la cellule de renseignement financier TRACFIN. Ce rapport s’adresse aux établissements assujettis, et non aux utilisateurs d’IBAN virtuels.
D’après l’Autorité, environ 1,7 million d’IBAN virtuels seraient utilisés en France par 400.000 clients. 4 milliards d’euros y transiteraient chaque mois - tous ces chiffres connaissant une dynamique de croissance. Le mécanisme repose sur une architecture simple : plusieurs IBAN virtuels sont rattachés à un même compte de paiement, dit « compte maître ». Lorsqu’un virement est effectué vers un IBAN virtuel, les fonds sont automatiquement redirigés vers ce compte maître. À partir de ce fonctionnement, le rapport distingue des usages opérationnels classiques et plusieurs schémas présentant des vulnérabilités spécifiques en matière de LCB-FT.
Trois cas d’usage à risque faible
L’IBAN virtuel comme outil de réconciliation automatique des paiements
Le premier usage correspond à un cas très standard. Un IBAN virtuel est communiqué par le client de l’organisme financier à chacun de ses débiteurs. Le rapprochement entre flux financiers et facturation n’est donc plus subordonnée à la mention par les contreparties d’un libellé de virement ou à la vérification du nom du donneur d’ordre.
L’IBAN virtuel comme outil de gestion analytique des flux bancaires
Dans ce schéma, un IBAN virtuel est attribué à une sous-catégorie d’opérations effectuées par le client agissant pour son propre compte. Cela permet de rattacher les transferts à différentes catégories librement définies par le client. A titre d’exemple, les IBAN virtuels peuvent être utilisés pour distinguer une partie de l’activité, une catégorie de dépense ou un type de clientèle.
L’IBAN virtuel dans les dispositifs de centralisation de trésorerie
Le troisième cas d’usage à risque faible identifié par le rapport concerne les dispositifs de centralisation de trésorerie au sein notamment de groupes de sociétés. Dans ce schéma, des IBAN virtuels sont attribués à différentes entités d’un même groupe afin de permettre la réception des paiements sur des identifiants distincts, avant centralisation des flux sur un compte de paiement unique. Le rapport décrit ce mécanisme comme un outil de centralisation des flux au niveau d’une entité unique du groupe.
Les schémas d’utilisation présentant des risques spécifiques de BC-FT
Réattribution en cascade des IBAN virtuels
Dans ce schéma, les IBAN virtuels attribués par l’établissement à son client sont ensuite utilisés par ce client pour être attribués à ses propres utilisateurs, avec une possibilité de réattributions successives. Le risque identifié tient à l’absence d’information sur l’utilisateur final de l’IBAN par l’établissement émetteur de l’IBAN. Dans cette configuration, l’établissement financier émetteur ne collecte en effet que des éléments relatifs à son propre client et ne dispose pas d’informations relatives à l’utilisateur final des IBAN virtuels.
Fourniture d’IBAN virtuels dont le code pays diffère du pays de tenue du compte de paiement
Le rapport identifie un schéma dans lequel des IBAN virtuels sont fournis avec un code pays différent de celui du compte de paiement auquel ils sont rattachés. Les IBAN virtuels peuvent être émis soit grâce à un partenariat avec un établissement partenaire local, soit grâce à une succursale locale du même établissement. Si les cas d’usage sont limités à un nombre très restreint d’établissements, le rapport indique que ces IBAN reçoivent environ 20% de la valeur des virements frauduleux en France.
Ce schéma peut conduire à des flux traités comme domestiques alors que le compte de paiement est situé dans une autre juridiction (et vice-versa), ce qui crée un risque de BC-FT relatif à l’évaluation du risque géographique et des incertitudes qui compliquent la mise en œuvre de différentes réglementations, notamment en matière de sanctions financières.
Les mesures d’atténuation des risques préconisées par l’ACPR
Le rapport présente enfin des mesures d’atténuation des risques liés à l’utilisation des IBAN virtuels. L’ACPR et TRACFIN préconisent ainsi la mise en œuvre de procédures préalables à la distribution d’IBAN virtuels, prévoyant notamment la vérification que l’émission d’un IBAN virtuel réponde à un besoin économique clairement identifié, et l’obtention d’éléments documentant l’utilisation prévue de l’IBAN virtuel.
Le rapport précise enfin le cadre législatif actuel et à venir, notamment au regard du paquet AML européen qui pourrait limiter ces risques. La nouvelle version de la directive antiblanchiment, qui doit être transposée en droit national d’ici 2027, instaure ainsi l’obligation de référencer les IBAN virtuels au registre des compte bancaires. Elle donne aussi la possibilité aux États membres d’exiger que d’autres informations jugées essentielles aux CRF soient accessibles et puissent faire l’objet de recherches, tel que l’identité de l’utilisateur de l’IBAN virtuel, en plus de celle du titulaire du compte.
Un format standardisé pour les IBAN virtuels faciliterait par ailleurs la détection des IBAN virtuels par les différents intervenants dans les circuits financiers.
