Le nouveau paquet anti-blanchiment de l'UE (AMLR + AMLA + AMLD6) : ce que les sociétés chypriotes et les entités assujetties doivent faire avant le 10 July 2027

Qu'est-ce que le nouveau paquet AML de l'UE et pourquoi est-il important pour Chypre ?

Le nouveau paquet AML de l'UE est un ensemble de trois instruments juridiques adoptés en 2024 qui harmonisent les règles de lutte contre le blanchiment de capitaux et le financement du terrorisme dans tous les États membres de l'UE, y compris Chypre. Il est important parce que, pour la première fois, les obligations fondamentales qu'une entité assujettie chypriote doit respecter découleront directement d'un règlement de l'UE plutôt que du droit chypriote, supprimant les variations nationales sur lesquelles les entreprises opérant à l'échelle transfrontalière s'appuient depuis des années.

Pour Chypre, juridiction dotée d'une importante base de services financiers réglementés et de services aux sociétés, ce changement est considérable. Les règles appliquées par les Cyprus Investment Firms, les Electronic Money Institutions, les prestataires de services administratifs, les trustees, les comptables et les avocats seront normalisées, et le pouvoir d'appréciation que Chypre exerçait historiquement lors de la transposition des directives de l'UE disparaîtra en grande partie.

Les trois instruments : AMLR, AMLD6 et le règlement AMLA

Le paquet repose sur trois instruments, chacun ayant une fonction juridique distincte. L'AMLR constitue le corpus réglementaire de fond, l'AMLD6 régit le cadre institutionnel, et le règlement AMLA crée la nouvelle autorité de surveillance.

L'enseignement pour un responsable conformité chypriote est que l'AMLR est désormais le siège des obligations quotidiennes, tandis que l'AMLD6 redéfinit qui vous supervise et selon quelles modalités.

Règlement contre directive : pourquoi le corpus réglementaire unique est directement applicable à Chypre

Un règlement est directement applicable, ce qui signifie que l'AMLR devient une loi contraignante à Chypre le 10 July 2027 sans qu'aucune loi chypriote n'ait besoin de le reproduire. Une directive, en revanche, fixe un résultat que chaque État membre doit atteindre par sa propre législation nationale, raison pour laquelle l'AMLD6 nécessite une loi chypriote de transposition.

Cette distinction est la caractéristique déterminante de la réforme. Parce que l'AMLR est entré en vigueur le 9 July 2024 et s'applique à partir du 10 July 2027 en tant que corpus réglementaire unique directement applicable, une entité assujettie chypriote ne peut plus attendre qu'une loi locale lui indique quelle vigilance à l'égard de la clientèle exercer. L'obligation découle directement du texte de l'UE, et les juridictions et autorités de surveillance chypriotes l'appliqueront telle qu'elle est rédigée.

Comment le paquet remplace la loi chypriote 188(I)/2007 et le cadre AMLD4/5

Le paquet remplace les obligations AML de fond actuellement énoncées dans la loi chypriote sur la prévention et la répression des activités de blanchiment de capitaux 188(I)/2007, qui a transposé les Quatrième et Cinquième directives anti-blanchiment. Lorsque l'AMLD6 sera transposée, les Quatrième et Cinquième directives seront abrogées, et la loi 188(I)/2007 devra faire l'objet d'une modification approfondie afin que seules ses dispositions institutionnelles et de surveillance subsistent aux côtés de l'AMLR directement applicable.

En pratique, les entreprises chypriotes devraient cesser de considérer la loi 188(I)/2007 comme la source première de leurs obligations à compter du 10 July 2027 et traiter l'AMLR comme le texte de référence, la loi chypriote modifiée comblant les lacunes institutionnelles que l'AMLD6 laisse aux États membres. La répartition de la surveillance établie au titre de la loi 188(I)/2007 devrait perdurer : la CySEC supervise les Cyprus Investment Firms, les prestataires de services sur crypto-actifs et les fonds, la Central Bank of Cyprus supervise les banques ainsi que les établissements de paiement et de monnaie électronique, l'ICPAC supervise les comptables et les auditeurs, le Cyprus Bar Association supervise les avocats, et MOKAS demeure la cellule de renseignement financier. La loi chypriote transposant l'AMLD6 et modifiant la loi 188(I)/2007 confirmera chaque autorité compétente, et la cartographie finale exacte dépendra de cette législation.

Quelles sont les dates clés et l'échéance du 10 July 2027 ?

La date la plus importante est le 10 July 2027, lorsque l'AMLR devient directement applicable et que l'AMLD6 doit être transposée. Autour de ce point d'ancrage s'articule un calendrier échelonné : l'AMLA est devenue opérationnelle le 1 July 2025, sa surveillance directe débute le 1 January 2028, et un petit nombre de dispositions sont assorties de dates antérieures ou postérieures.

Les entités assujetties chypriotes devraient planifier à rebours à partir du 10 July 2027, car un programme de remédiation crédible prend douze mois ou plus et la fonction de conformité ne peut être reconstruite au cours du dernier trimestre.

AMLR : en vigueur le 9 July 2024, applicable à partir du 10 July 2027

L'AMLR est entré en vigueur le 9 July 2024 mais s'applique à partir du 10 July 2027, offrant aux entités assujetties une période de transition de trois ans. L'écart entre l'entrée en vigueur et l'application constitue la fenêtre de conformité, et non un délai de grâce, et cette fenêtre se referme.

Au 10 July 2027, chaque entité assujettie chypriote doit déjà fonctionner selon l'AMLR : le seuil de bénéficiaire effectif, le plafond en espèces, la vigilance à l'égard de la clientèle harmonisée et les exigences en matière de contrôles internes prennent tous effet à cette date unique plutôt que de s'appliquer progressivement.

Échéance de transposition de l'AMLD6 et dispositions antérieures relatives au registre des bénéficiaires effectifs

L'AMLD6 doit être transposée par Chypre en droit national au plus tard le 10 July 2027, soit la même date d'application de l'AMLR, date à laquelle les Quatrième et Cinquième directives sont abrogées. Certaines dispositions relatives au registre des bénéficiaires effectifs et à l'accès de la cellule de renseignement financier seraient assorties d'échéances antérieures, de sorte que des parties du cadre institutionnel pourraient s'imposer à Chypre avant la date principale.

La Directive (EU) 2024/1640 confirme un calendrier échelonné. Les dispositions relatives à l'accès au registre des bénéficiaires effectifs figurant à l'Article 74 étaient assorties d'une échéance de transposition antérieure fixée au 10 July 2025, et les Articles 11 à 13 et 15, qui régissent les registres des bénéficiaires effectifs eux-mêmes, doivent être transposés au plus tard le 10 July 2026, soit une année entière avant la date principale. Les entreprises dotées de structures de détention complexes ne devraient pas supposer que les modifications relatives au registre attendent 2027.

AMLA opérationnelle depuis le 1 July 2025 et surveillance directe à partir du 1 January 2028

L'AMLA, l'Autorité européenne de lutte contre le blanchiment de capitaux, a son siège à Francfort et est opérationnelle depuis le 1 July 2025. Sa surveillance directe des entités assujetties sélectionnées débute à compter du 1 January 2028, après un processus de sélection qui commence le 1 July 2027 et dure six mois.

Pour la plupart des entités chypriotes, l'effet pratique de l'AMLA avant 2028 est indirect : elle rédige les normes techniques, les orientations et les modèles que les autorités de surveillance et les entreprises chypriotes appliqueront, de sorte que le corpus réglementaire de l'AMLA façonne la remédiation bien avant qu'une entreprise chypriote ne soit directement supervisée.

Le calendrier différé pour les clubs et agents de football professionnel (2029)

Les clubs de football professionnel et les agents de football bénéficient d'une date d'application différée au 10 July 2029, soit deux ans après la date générale. Le secteur du football est la seule catégorie que l'AMLR intègre avec un délai plus long, reflétant le temps nécessaire à la mise en place de la conformité dans un secteur nouvellement réglementé.

Cette exception est étroite. Toute autre catégorie nouvellement incluse dans le périmètre, y compris les prestataires de services sur crypto-actifs et les négociants en biens de grande valeur, doit se conformer à compter du 10 July 2027.

Que change l'AMLR (Regulation 2024/1624) pour les entités assujetties ?

L'AMLR modifie la substance de ce que chaque entité assujettie doit faire, en normalisant la vigilance à l'égard de la clientèle, les contrôles internes, la conservation des documents et le signalement au sein d'un texte unique directement applicable. Les changements opérationnels les plus importants sont un seuil de déclenchement des transactions occasionnelles abaissé à EUR 10,000, une norme harmonisée de bénéficiaire effectif et une structure obligatoire de fonction de conformité.

Parce que ces règles émanent désormais d'un règlement, une entreprise chypriote ne peut se prévaloir d'une interprétation nationale plus souple. L'AMLR constitue à la fois le plancher et le plafond.

Vigilance à l'égard de la clientèle harmonisée et seuil de déclenchement de EUR 10,000 pour les transactions occasionnelles

L'AMLR abaisse le seuil général de déclenchement de la vigilance à l'égard de la clientèle pour les transactions occasionnelles de EUR 15,000 à EUR 10,000, de sorte que la vigilance intervient à une valeur inférieure. La vigilance à l'égard de la clientèle elle-même est harmonisée, ce qui signifie que l'identification, la vérification et les contrôles relatifs aux bénéficiaires effectifs suivent une norme unique de l'UE plutôt que des règles nationales divergentes.

Pour une entité assujettie chypriote, cela implique de recalibrer les seuils de surveillance des transactions et la logique d'entrée en relation sur le chiffre de EUR 10,000, et de veiller à ce que les données d'identification collectées respectent la norme de l'AMLR plutôt que l'ancienne approche de la loi 188(I)/2007.

Vigilance renforcée, pays tiers à haut risque et clients fortunés

La vigilance renforcée reste obligatoire dans les situations à risque plus élevé, notamment pour les clients liés à des pays tiers à haut risque et les personnes fortunées, avec un examen supplémentaire de l'origine du patrimoine et de l'origine des fonds. L'AMLR normalise les situations déclenchant les mesures renforcées et le contenu de ces dernières.

L'AMLR fixe un seuil spécifique pour les personnes fortunées : les établissements financiers et de crédit doivent appliquer une vigilance renforcée lorsqu'ils détiennent en dépôt au moins EUR 5 million d'actifs pour un client dont le patrimoine total s'élève à au moins EUR 50 million, l'AMLA devant publier des orientations d'ici le 10 July 2027 sur la manière de déterminer si un client franchit ce seuil de EUR 50 million. Les entreprises servant une clientèle internationale, y compris celles recourant à un montage de structuration de société holding chypriote ou conseillées sur la mise en place d'une substance économique dans une société chypriote, doivent s'attendre à des dossiers d'origine du patrimoine plus approfondis.

Contrôles internes, fonction de conformité et responsable conformité

L'AMLR exige de chaque entité assujettie qu'elle maintienne des politiques, contrôles et procédures internes proportionnés à sa taille et à son risque, et qu'elle désigne une fonction de conformité dotée d'un responsable conformité désigné au niveau de la direction. Le responsable conformité est chargé de mettre en oeuvre le dispositif AML, et un cadre dirigeant distinct est responsable au niveau du conseil d'administration.

Les entreprises chypriotes appliquent déjà un modèle de MLRO au titre du droit existant, mais l'AMLR formalise la structure à deux niveaux, la documentation de la fonction de conformité et les politiques à l'échelle du groupe, de sorte que les désignations et les manuels existants devraient être réexaminés à l'aune du nouveau texte plutôt que présumés conformes.

Conservation des documents pendant cinq ans et signalement des transactions suspectes

L'AMLR impose aux entités assujetties de conserver les documents de vigilance à l'égard de la clientèle et les données de transaction pendant cinq ans, et de signaler les transactions suspectes à la cellule de renseignement financier nationale. À Chypre, MOKAS, l'Unité de lutte contre le blanchiment de capitaux, est la cellule de renseignement financier et le destinataire obligatoire des signalements de transactions suspectes et fondés sur des seuils.

Au titre de l'Article 77 de l'AMLR, les entités assujetties doivent conserver les documents de vigilance à l'égard de la clientèle et les données de transaction pendant cinq ans après la fin de la relation d'affaires ou la date d'une transaction occasionnelle, et le droit national peut exiger ou permettre une conservation pouvant aller jusqu'à cinq années supplémentaires lorsque cela est nécessaire et proportionné pour prévenir, détecter ou enquêter sur le blanchiment de capitaux. Les processus de signalement des transactions suspectes devraient être acheminés vers MOKAS et testés avant la date de 2027.

Comment le seuil de bénéficiaire effectif passe-t-il à 25% ou plus ?

Le seuil de bénéficiaire effectif passe de plus de 25% à 25% ou plus des actions, des droits de vote ou des intérêts patrimoniaux, de sorte qu'une personne détenant exactement 25% est désormais qualifiée de bénéficiaire effectif. Cela comble la faille qui laissait auparavant un détenteur d'exactement 25% en dehors de la définition, et le seuil peut être ramené à 15% pour les structures présentant un risque plus élevé.

Pour Chypre, où les structures sociétaires et fiduciaires répartissent souvent les participations par quarts égaux, ce changement n'est pas cosmétique : un grand nombre de détenteurs d'exactement 25% entrent dans le périmètre du jour au lendemain et doivent être identifiés, vérifiés et enregistrés.

De plus de 25% à 25% ou plus : qui devient un UBO

Au titre de l'AMLR, un bénéficiaire effectif est toute personne physique qui détient 25% ou plus des actions, des droits de vote ou des intérêts patrimoniaux, directement ou indirectement, dans l'entité. Le critère précédent ne visait que les participations strictement supérieures à 25%, de sorte qu'une répartition égale à quatre de 25% chacune ne produisait aucun bénéficiaire effectif selon l'ancienne règle et en produit quatre selon la nouvelle.

Les entreprises chypriotes devraient réexaminer chaque structure de clients et interne à l'aune du critère des 25% ou plus et mettre à jour leurs déclarations au registre UBO de Chypre et conformité relative aux bénéficiaires effectifs lorsque de nouveaux détenteurs sont désormais qualifiés.

Seuils réduits de 15% pour les structures à risque plus élevé

Pour les catégories d'entités présentant un risque plus élevé, le seuil de bénéficiaire effectif peut être abaissé jusqu'à 15%, de sorte qu'une participation plus faible déclenche l'identification. Le seuil réduit vise les secteurs et structures que l'AMLR considère comme intrinsèquement plus risqués.

La conséquence pratique pour Chypre est une analyse à deux niveaux : le critère par défaut des 25% ou plus pour les entités ordinaires, et un critère de 15% pour celles à risque plus élevé, que les équipes de conformité doivent cartographier au regard de leur portefeuille de clients plutôt que d'appliquer un chiffre unique de manière uniforme.

Incidence sur le registre UBO de Chypre et le signalement des divergences

Le seuil abaissé élargit le nombre de personnes devant figurer sur le registre chypriote des bénéficiaires effectifs tenu par le Registrar of Companies, et il renforce les obligations de signalement des divergences lorsque les propres constatations d'une entité assujettie diffèrent du registre. Les entités assujetties qui identifient une incohérence doivent la signaler, et le registre doit refléter la norme des 25% ou plus.

Parce que les données du registre et la norme de l'AMLR doivent concorder, les entreprises chypriotes devraient traiter la remédiation du registre et la remédiation interne des dossiers UBO comme un seul projet, et non comme deux.

Scénarios de prête-noms, de trusts et de détention multi-niveaux

Les montages de prête-noms, les trusts et les chaînes de détention multi-niveaux exigent de l'entité assujettie qu'elle remonte jusqu'aux personnes physiques qui, en dernier ressort, détiennent ou contrôlent 25% ou plus, et qu'elle consigne les relations de prête-nom. Les structures fiduciaires, y compris un véhicule de trusts internationaux chypriotes et protection du patrimoine, doivent identifier le constituant, le trustee, le protector, les bénéficiaires et toute autre personne exerçant un contrôle ultime.

Ces scénarios de remontée sont ceux où les prestataires de services aux sociétés chypriotes supportent le plus de travail de remédiation, car des structures en cascade qui ne produisaient auparavant aucun UBO à 25% peuvent désormais en faire apparaître plusieurs.

Qu'est-ce que la nouvelle limite de paiement en espèces de EUR 10,000 à l'échelle de l'UE ?

L'AMLR instaure une limite harmonisée de EUR 10,000 sur les paiements en espèces pour les biens et services dans toute l'UE, y compris à Chypre, dès le 10 July 2027. Les États membres peuvent fixer une limite nationale inférieure, et une vérification d'identité est requise pour les transactions occasionnelles en espèces comprises entre EUR 3,000 et EUR 10,000.

Pour une économie qui utilise beaucoup les espèces, il s'agit d'une règle opérationnelle stricte : tout négociant en biens ou services doit refuser les espèces au-delà de EUR 10,000 pour un achat unique, quelle que soit la manière dont il est structuré pour ressembler à des paiements distincts.

Le plafond harmonisé en espèces et le pouvoir des États membres d'aller plus bas

Le plafond en espèces de EUR 10,000 est un plafond à l'échelle de l'UE, et les États membres conservent le pouvoir d'imposer un seuil national inférieur. Chypre n'a pas encore arrêté son chiffre national définitif, de sorte que les entreprises devraient planifier sur la base de EUR 10,000 tout en surveillant l'éventualité d'une limite chypriote inférieure.

Le plafond s'applique à une opération unique ou à des opérations liées, de sorte que le fractionnement d'un paiement important en tranches inférieures à EUR 10,000 n'y échappe pas.

Vérification d'identité pour les transactions occasionnelles en espèces au-delà de EUR 3,000

Pour les transactions occasionnelles en espèces comprises entre EUR 3,000 et EUR 10,000, l'AMLR exige une vérification d'identité même si le paiement est inférieur au plafond. Cela crée une tranche intermédiaire où la transaction est licite mais où le client doit être identifié.

Les négociants chypriotes devraient mettre en place un processus à deux tranches : identifier et vérifier entre EUR 3,000 et EUR 10,000, et refuser les espèces au-delà de EUR 10,000.

Ce que les négociants chypriotes en biens de grande valeur doivent faire

Les négociants en biens de grande valeur, tels que les négociants en métaux précieux, en bijoux, en oeuvres d'art ou en véhicules automobiles, doivent appliquer le plafond en espèces et, lorsqu'ils sont des entités assujetties, l'intégralité du régime de vigilance à l'égard de la clientèle. L'AMLR fixe des seuils monétaires échelonnés : les négociants deviennent des entités assujetties lorsqu'ils négocient des métaux et pierres précieux, ou des bijoux, montres et biens similaires au-dessus de EUR 10,000, des véhicules automobiles de luxe au-dessus de EUR 250,000, ou des aéronefs et bateaux au-dessus de EUR 750,000.

Les négociants en biens de grande valeur devraient confirmer à la fois s'ils sont des entités assujetties et quel seuil monétaire s'applique avant de concevoir leurs contrôles.

Qui est désormais une entité assujettie au titre de l'AMLR à Chypre ?

L'AMLR conserve la base existante des entités assujetties et ajoute de nouvelles catégories, de sorte qu'un plus grand nombre d'entreprises chypriotes relèvent du droit AML qu'auparavant. L'élargissement intègre les prestataires de services sur crypto-actifs, les plateformes et intermédiaires de financement participatif, les intermédiaires de crédit à la consommation et de crédit hypothécaire, les opérateurs de migration par investissement et les négociants en biens de grande valeur.

Chaque entité assujettie, ancienne ou nouvelle, doit se conformer à compter du 10 July 2027, à l'exception des clubs et agents de football professionnel, dont les règles s'appliquent à partir du 10 July 2029.

Nouvellement incluses dans le périmètre : CASP, plateformes de financement participatif et intermédiaires de crédit

Les prestataires de services sur crypto-actifs deviennent des entités assujetties au titre de l'AMLR, alignant les règles AML sur le règlement sur les marchés de crypto-actifs (MiCA), aux côtés des plateformes de financement participatif et des intermédiaires de crédit à la consommation et de crédit hypothécaire. Ces catégories doivent désormais exercer l'intégralité de la vigilance à l'égard de la clientèle, des contrôles relatifs aux bénéficiaires effectifs et du signalement des transactions suspectes.

Les entreprises chypriotes agréées en tant que prestataires de services sur crypto-actifs de Chypre (CASP) devraient traiter l'AMLR comme un complément à leurs obligations MiCA, et celles qui conseillent en matière de fiscalité des cryptomonnaies à Chypre devraient signaler à leurs clients la surcouche AML.

Opérateurs de migration par investissement et négociants en biens de grande valeur

Les opérateurs de migration par investissement et les négociants en biens de grande valeur sont intégrés dans le périmètre, reflétant le risque AML inhérent aux services de résidence et de citoyenneté par investissement et aux échanges de grande valeur à forte intensité d'espèces. Les intermédiaires de migration par investissement doivent appliquer la vigilance à l'égard de la clientèle aux candidats et à l'origine de leurs fonds.

Pour Chypre, dotée d'un marché actif de la migration par investissement et du conseil immobilier, cela élargit la base des entités assujetties au-delà du secteur financier traditionnel, jusqu'à des prestataires de services qui se situaient auparavant hors du droit AML.

Base existante à Chypre : CIF, EMI, établissements de paiement, ASP, trustees, comptables et avocats

La base existante des entités assujetties chypriotes reste pleinement dans le périmètre : banques, Cyprus Investment Firms, Electronic Money Institutions, établissements de paiement, prestataires de services administratifs, trustees, comptables, auditeurs et avocats. Ces entités continuent de supporter la charge AML fondamentale et doivent faire migrer leurs dispositifs vers l'AMLR.

Les entreprises réglementées telles que celles opérant au titre du cadre d'agrément des Cyprus Investment Firms (CIF) devraient traiter la migration vers l'AMLR comme un projet critique pour leur agrément, car les manquements AML menacent l'autorisation.

Comment l'AMLA supervisera-t-elle les entités assujetties chypriotes ?

L'AMLA supervise par deux canaux : la surveillance directe d'un petit groupe des entités transfrontalières présentant le risque le plus élevé, et la surveillance indirecte des autorités nationales pour toutes les autres. La plupart des entités assujetties chypriotes restent supervisées à l'échelle nationale par la CySEC, l'ICPAC, la Central Bank of Cyprus et MOKAS, tandis que l'AMLA fixe les normes et surveille les autorités de surveillance elles-mêmes.

La réalité chypriote est que la surveillance directe de l'AMLA touchera très peu d'entités locales, mais l'influence indirecte de l'AMLA sur les autorités de surveillance chypriotes remodèlera la manière dont chaque entreprise est examinée.

Surveillance directe de 40 entités assujetties sélectionnées au maximum à partir de 2028

L'AMLA supervisera directement jusqu'à 40 entités assujetties sélectionnées à travers l'UE, le processus de sélection commençant le 1 July 2027, durant six mois, la surveillance directe étant transférée à l'AMLA à compter du 1 January 2028. La sélection est réexaminée tous les trois ans.

Compte tenu du faible nombre d'entités directement supervisées dans l'ensemble de l'UE, seuls les plus grands établissements financiers chypriotes transfrontaliers sont des candidats réalistes, et la plupart des entreprises chypriotes ne seront pas directement supervisées.

Les six États membres et les critères de sélection fondés sur le risque le plus élevé

La surveillance directe cible les entités assujetties qui opèrent dans au moins six États membres et présentent le risque résiduel le plus élevé, de sorte que l'empreinte transfrontalière conjuguée au risque détermine la sélection. Une entité active uniquement à Chypre, ou dans moins de six États membres, a peu de chances d'être sélectionnée.

Ce critère importe pour les groupes chypriotes disposant d'une présence véritablement paneuropéenne, qui devraient évaluer si leur empreinte et leur profil de risque pourraient les placer dans le vivier sélectionné.

Surveillance indirecte via la CySEC, l'ICPAC, la Central Bank of Cyprus et MOKAS

Pour les entités non directement supervisées, les autorités de surveillance nationales restent en première ligne : la CySEC pour les entreprises d'investissement et les CASP, l'ICPAC pour les comptables et auditeurs, la Central Bank of Cyprus pour les banques et les établissements de paiement et de monnaie électronique, et MOKAS comme cellule de renseignement financier. L'AMLA supervise ces autorités de surveillance afin de garantir la cohérence.

Cette répartition des tâches reflète la répartition de la surveillance déjà en vigueur au titre de la loi 188(I)/2007, que la législation chypriote transposant l'AMLD6 devrait préserver tout en confirmant l'autorité de surveillance compétente pour chaque type d'entité. Les entreprises devraient cartographier chacune de leurs activités réglementées au regard de l'autorité de surveillance correspondante une fois cette législation en place.

Pouvoirs de sanction de l'AMLA et rôle de la cellule de renseignement financier chypriote

L'AMLA détient des pouvoirs de sanction sur les entités qu'elle supervise directement, et MOKAS demeure le destinataire chypriote des signalements de transactions suspectes et fondés sur des seuils, ainsi que le pôle de la coopération en matière de renseignement financier. Les autorités de surveillance nationales conservent des pouvoirs de sanction sur les entités qu'elles supervisent.

La double structure signifie qu'une entreprise chypriote répond de manière ordinaire à son autorité de surveillance nationale et à MOKAS, l'AMLA restant en arrière-plan comme normalisatrice et, pour un petit nombre d'entités, comme organe de sanction direct.

Qu'est-ce que l'analyse d'écarts de conformité pour les CIF, EMI et trustees chypriotes ?

L'analyse d'écarts de conformité est une comparaison structurée du dispositif AML actuel d'une entreprise avec le corpus réglementaire unique de l'AMLR, aboutissant à un plan de remédiation. Pour les CIF, EMI et trustees chypriotes, elle se concentre sur quatre chantiers : la migration des politiques, la remédiation des données UBO, les politiques à l'échelle du groupe et les mises à niveau technologiques.

Engager l'analyse d'écarts tôt est déterminant, car la remédiation des données UBO et des systèmes de surveillance des transactions est lente et ne peut être compressée dans les semaines précédant le 10 July 2027.

Cartographier votre manuel AML actuel au regard du corpus réglementaire unique de l'AMLR

La première étape consiste à cartographier chaque disposition de votre manuel AML existant, fondé sur la loi 188(I)/2007, au regard de l'article correspondant de l'AMLR et à consigner chaque écart. Lorsque l'AMLR impose une obligation nouvelle ou plus stricte, le manuel doit être réécrit plutôt qu'annoté.

Cette cartographie produit l'arriéré de remédiation : chaque écart identifié devient une tâche assortie d'un responsable et d'une échéance dans la fenêtre de douze mois.

Remédiation des données UBO selon la norme des 25% ou plus

Les données UBO doivent être recollectées et revérifiées au regard de la norme des 25% ou plus, et de la norme de 15% pour les structures à risque plus élevé, afin que chaque détenteur nouvellement qualifié soit capté. Il s'agit de la tâche de remédiation la plus importante pour les prestataires de services aux sociétés et les trustees.

Les entreprises devraient donner la priorité aux structures comportant des participations d'exactement 25% et à la détention en cascade, et rapprocher leurs dossiers du registre chypriote des bénéficiaires effectifs pour résoudre les divergences.

Politiques à l'échelle du groupe et dispositifs d'externalisation

Les groupes doivent mettre en oeuvre des politiques AML à l'échelle du groupe, et les entreprises recourant à des dispositifs d'externalisation ou de tierce introduction doivent confirmer que ces dispositifs respectent la norme de l'AMLR. La fonction de conformité doit conserver la responsabilité même lorsque les activités sont externalisées.

Les entreprises chypriotes appartenant à des groupes internationaux devraient aligner leur dispositif local sur la politique du groupe et documenter la répartition des responsabilités, car l'AMLR tient l'entité assujettie pour responsable indépendamment de l'externalisation.

Mises à niveau technologiques, filtrage et surveillance des transactions

La technologie de filtrage des sanctions, de filtrage des médias défavorables et de surveillance des transactions doit être recalibrée sur les seuils de l'AMLR, y compris le seuil de déclenchement des transactions occasionnelles de EUR 10,000 et les règles de vérification par tranche en espèces. Les systèmes qui codent l'ancien seuil de EUR 15,000 ou le critère de plus de 25% doivent être reconfigurés.

Une liste de contrôle de remédiation par phases permet de maintenir le programme sur la bonne voie :

1. Réaliser l'analyse d'écarts AMLR et l'évaluation des risques à l'échelle de l'entreprise.
2. Reconstruire les politiques et procédures AML ainsi que la structure de la fonction de conformité.
3. Remédier à toutes les données UBO selon la norme des 25% ou plus (et de 15%).
4. Reconfigurer les seuils de filtrage et de surveillance des transactions.
5. Mettre à jour la conservation des documents et les processus de signalement à MOKAS.
6. Former le personnel et obtenir l'aval du conseil d'administration avant le 10 July 2027.

Quelles sont les sanctions et les conséquences prudentielles du non-respect ?

Le non-respect expose les entités assujetties à des sanctions pécuniaires administratives, à des mesures d'exécution nationales et à un risque pour l'agrément. L'AMLA peut imposer des sanctions aux entités directement supervisées, les autorités de surveillance nationales chypriotes agissent contre les entités qu'elles supervisent, et les manquements AML peuvent compromettre l'autorisation d'une entreprise.

Les établissements de services financiers qui dominent Chypre ont le plus à perdre, car une infraction AML n'est pas seulement une amende mais une menace pour l'agrément dont dépend l'activité.

Sanctions pécuniaires administratives de l'AMLA

L'AMLA peut imposer des sanctions pécuniaires administratives aux entités assujetties qu'elle supervise directement en cas de manquements graves, systématiques ou répétés. Au titre de l'Article 22 du règlement AMLA (Regulation (EU) 2024/1620), ces sanctions peuvent atteindre jusqu'à EUR 10 million ou 10% du chiffre d'affaires annuel total de l'entité, le montant le plus élevé étant retenu, calculé sur la base des derniers comptes consolidés audités disponibles de la société mère ultime. Ces plafonds coexistent avec les pouvoirs d'exécution que les autorités de surveillance nationales chypriotes conservent sur les entités qu'elles supervisent.

Exécution nationale par les autorités de surveillance chypriotes

Les autorités de surveillance chypriotes, notamment la CySEC, l'ICPAC et la Central Bank of Cyprus, conservent des pouvoirs d'exécution sur les entités qu'elles supervisent, allant des amendes aux injonctions et aux mesures relatives à l'agrément. L'exécution nationale est le canal auquel la plupart des entreprises chypriotes seront effectivement confrontées.

Parce que la surveillance demeure largement nationale, le risque d'exécution quotidien d'une entreprise chypriote relève de sa propre autorité de surveillance plutôt que de l'AMLA.

Risque réputationnel et risque pour l'agrément des entités réglementées

Au-delà des amendes, les manquements AML comportent des conséquences réputationnelles et pour l'agrément, car une entité réglementée qui ne peut démontrer sa conformité à l'AMLR risque des conditions imposées à son autorisation, voire la perte de celle-ci. Pour un CIF ou une EMI, l'agrément, c'est l'activité.

Le préjudice réputationnel aggrave le risque réglementaire, car les contreparties et les banques filtrent de plus en plus la solidité AML avant de nouer des relations d'affaires.

Comment une entité assujettie chypriote devrait-elle se préparer avant le 10 July 2027 ?

Une entité assujettie chypriote devrait mener un programme de remédiation par phases sur douze mois, attribuer la responsabilité au niveau du conseil d'administration et recourir à un accompagnement juridique spécialisé pour l'analyse d'écarts et la reconstruction des politiques. La préparation devrait débuter bien avant 2027, car la remédiation UBO et la reconfiguration des systèmes sont lentes.

Les entreprises qui commencent tôt convertissent une obligation de conformité en un signal concurrentiel de fiabilité ; celles qui attendent risquent une migration précipitée et incomplète.

Une feuille de route de remédiation par phases et un calendrier réaliste de 12 mois

Un programme de remédiation réaliste dure douze mois ou plus, passant de l'analyse d'écarts à la reconstruction des politiques et à la remédiation UBO, puis aux mises à niveau des systèmes, à la formation et à l'aval final. Chaque phase comporte des dépendances, de sorte que la séquence compte autant que l'échéance.

L'enseignement est qu'une entreprise engageant le programme en 2026 dispose d'un délai suffisant jusqu'au 10 July 2027, tandis qu'une entreprise le commençant en 2027 n'en dispose pas.

Responsabilités du conseil d'administration et de la direction générale

Le conseil d'administration et la direction générale sont responsables du dispositif AML, et l'AMLR attend qu'un cadre dirigeant nommément désigné assume la conformité AML aux côtés du responsable conformité. La responsabilité ne peut être déléguée à la seule fonction de conformité.

Les conseils d'administration devraient recevoir les conclusions de l'analyse d'écarts, approuver le budget de remédiation et suivre l'avancement au regard du plan de douze mois, en documentant leur supervision à l'intention de l'autorité de surveillance.

Là où un cabinet d'avocats chypriote apporte de la valeur dans l'analyse d'écarts et la remédiation

Un cabinet d'avocats chypriote apporte de la valeur en cartographiant l'AMLR au regard du type spécifique d'entité assujettie chypriote et de son autorité de surveillance réelle, en rédigeant des politiques conformes, et en conseillant sur les UBO, les trusts et les règles chypriotes relatives aux sociétés étrangères contrôlées (CFC) ainsi que sur les questions de structuration qui recoupent l'AML. L'apport juridique est déterminant lorsque l'analyse repose sur l'interprétation des textes et sur la loi chypriote de transposition à venir.

Les entreprises devraient également aligner la remédiation AML sur des obligations de conformité plus larges, notamment un aperçu des impôts à Chypre et les exigences de substance, afin que les structures demeurent à la fois conformes à l'AML et fiscalement efficientes.

Comment Philippou Law Firm peut vous aider

Philippou Law Firm conseille les entités assujetties chypriotes sur l'ensemble de la base des entités assujetties, des CIF, EMI et établissements de paiement aux prestataires de services administratifs, trustees, comptables et prestataires de services sur crypto-actifs, dans la préparation au nouveau paquet AML de l'UE. Notre équipe réalise des analyses d'écarts AMLR cartographiées au regard de votre autorité de surveillance spécifique (CySEC, ICPAC, la Central Bank of Cyprus ou MOKAS), reconstruit les politiques AML et la structure de la fonction de conformité, remédie aux données UBO selon la norme des 25% ou plus, et accompagne votre conseil d'administration à travers une feuille de route réaliste de douze mois jusqu'au 10 July 2027. Contactez-nous pour cadrer votre analyse d'écarts et votre programme de remédiation avant que l'échéance ne réduise vos options.

Le présent article constitue une information générale et non un conseil juridique. Pour un conseil adapté à votre situation particulière, contactez un avocat chypriote qualifié.