9 mises à jour européennes récentes que tout professionnel de la conformité doit connaître (T3 2025)
La réglementation européenne évolue rapidement et impacte directement les équipes de conformité. Cette synthèse réunit 9 évolutions clés de juin à septembre 2025, avec contexte et sources fiables.
1. AMLA et MiCA : supervision centrale des risques liés à la crypto et au blanchiment
Depuis juillet 2025, l’Autorité européenne de lutte contre le blanchiment (AMLA) est opérationnelle comme nouveau superviseur européen. Elle coordonne le cadre LBC/FT de l’UE et travaille en étroite collaboration avec les autorités nationales. L’une de ses premières priorités : la supervision des prestataires de services sur crypto-actifs (CASP).
Avec le nouveau règlement MiCA, les CASP doivent désormais obtenir une licence et respecter des règles strictes de KYC et de surveillance des transactions.
Pourquoi c’est important : les transactions crypto sont rapides, transfrontalières et partiellement anonymes. L’AMLA veut éviter que ce canal soit utilisé pour le blanchiment d’argent ou le financement du terrorisme.
Source: Commission européenne, AMLA
2. SupTech & RegTech : la technologie, opportunité et risque
En août 2025, l’Autorité bancaire européenne (ABE) a publié un rapport sur la SupTech — technologies de supervision telles que l’IA, l’analyse de données et les tableaux de bord, qui aident les régulateurs à mieux suivre les institutions. Le rapport souligne des défis : conformité RGPD, manque de compétences, qualité insuffisante des données.
En parallèle, l’ABE a alerté sur une mauvaise utilisation ou sous-utilisation des solutions RegTech par de nombreuses institutions financières, créant une fausse sécurité et de nouvelles vulnérabilités.
Pourquoi c’est important : bien mise en œuvre, la technologie renforce la conformité et la supervision. Mal implémentée, elle augmente les risques au lieu de les réduire.
Source: Enquête SupTech ABE 2025 ; Analyse des risques ABE 2025
3. Gouvernance renforcée : nouvelles lignes directrices de l’ABE
En août 2025, l’ABE a publié des lignes directrices actualisées sur la gouvernance interne. Les institutions doivent désormais intégrer explicitement les risques LBC/FT dans leur cadre de gouvernance, sous la supervision du conseil d’administration et de la direction générale. Les obligations s’étendent aussi aux filiales hors UE. Nouvelles priorités : risques ESG, cybersécurité et diversité.
Pourquoi c’est important : la conformité n’est plus une fonction isolée : elle est reconnue comme un pilier central de la gouvernance et de la gestion des risques.
Source: Lignes directrices ABE sur la gouvernance interne (mise à jour août 2025)
4. Nouvelle liste européenne des pays à haut risque (juillet 2025)
La Commission européenne a mis à jour la liste des juridictions présentant des carences stratégiques en matière de LBC/FT. Pays nouvellement ajoutés :
- Algérie
- Angola
- Côte d’Ivoire
- Kenya
- Laos
- Liban
- Monaco
- Namibie
- Népal
- Venezuela
Les institutions financières doivent appliquer des mesures de vigilance renforcée (EDD) pour les relations avec des clients ou entités issus de ces pays.
Pourquoi c’est important : impact direct sur l’onboarding, les paiements et la notation des risques. Le non-respect des obligations EDD expose à de lourdes sanctions.
Source: Règlement délégué (UE) 2025
5. DORA en vigueur : la résilience numérique devient une priorité de conformité
Le règlement DORA est entré en vigueur début 2025. Il impose la gestion des risques TIC, le reporting d’incidents, la supervision des contrats tiers et des tests TLPT réguliers.
Le 15 juillet 2025, les autorités européennes de supervision ont publié des lignes directrices pour le suivi des prestataires TIC critiques, tandis que la BCE a finalisé son guide sur l’externalisation cloud.
Pourquoi c’est important : les incidents cyber (pannes ou attaques) peuvent causer des pertes financières et nuire à la réputation. DORA fait de la résilience numérique une obligation de conformité centrale.
6. Directive NIS2 : règles de cybersécurité renforcées pour les entités financières
La directive NIS2 étend les exigences européennes en cybersécurité. Les institutions financières sont classées comme entités essentielles et doivent respecter des normes élevées en matière de sécurité, de gestion des risques et de reporting d’incidents. Les organes de direction sont directement responsables.
Pourquoi c’est important : les menaces cyber se multiplient. NIS2 impose des obligations plus strictes et harmonisées aux organisations considérées comme infrastructures critiques de l’UE.
Source: ENISA & EUR-Lex – NIS2 Directive
7. PSD3 & PSR en trilogue : fraude et authentification au cœur des discussions
Cet été, le Parlement européen et le Conseil ont entamé les négociations en trilogue sur la nouvelle directive sur les services de paiement (PSD3) et le règlement sur les services de paiement (PSR). Les priorités : règles renforcées sur la lutte contre la fraude, le partage de données et l’authentification des clients.
Pourquoi c’est important : c’est le bon moment pour réaliser un rapide gap assessment :
- revoir votre dispositif d’authentification forte (SCA) et vos flux de reporting d’incidents,
- cartographier où les données clients sont stockées et partagées (les nouvelles obligations exigeront une meilleure gouvernance et traçabilité),
- anticiper des exigences supplémentaires de surveillance de la fraude pour les PSP et banques.
Source: Parlement européen
8. Crypto Travel Rule : la période transitoire est terminée
Depuis le 31 juillet 2025, la « Travel Rule » européenne (Règlement 2023/1113) s’applique pleinement. Les prestataires de services sur crypto-actifs (CASP) ne peuvent plus utiliser de solutions temporaires : toutes les transactions crypto doivent inclure les informations complètes de l’émetteur et du bénéficiaire — sans seuil.
Pourquoi c’est important : les régulateurs vont examiner de près la capacité des CASP à détecter et traiter les exceptions en temps réel. Vérifiez que vos systèmes IT et de messagerie peuvent transmettre les champs requis pour chaque transfert et mettez en place des procédures de vigilance vis-à-vis des VASP partenaires.
Source: EUR-lex
9. SFDR : nouvelles Q&A et clarifications pour la conformité ESG
En août 2025, les autorités européennes de supervision (ABE, ESMA, EIOPA) ont publié de nouvelles Q&A sur le règlement SFDR. Elles précisent comment les produits financiers peuvent être qualifiés de durables et quelles données doivent être publiées.
Pourquoi c’est important : face au risque de greenwashing, ces clarifications définissent ce qui peut, et ne peut pas, être présenté comme durable.
Source: Commission européenne