Le 28 novembre 2022, l’Office of Foreign Assets Control (« OFAC ») du Département du Trésor des États-Unis a annoncé un règlement d’environ 362 158 $ avec Payward, Inc. d/b/a Kraken (« Kraken »), une bourse de crypto-monnaie constituée aux États-Unis. .[1] L’OFAC a noté que, dans le cadre du règlement, Kraken avait également accepté d’investir 100 000 $ supplémentaires dans ses contrôles de conformité aux sanctions. Selon l’OFAC, ce règlement résout 826 transactions qui ont été traitées par Kraken au nom d’individus qui semblent avoir été situés en Iran au moment des transactions, en violation apparente des sanctions américaines. L’OFAC a déterminé que malgré le fait que Kraken maintenait un programme de conformité à la lutte contre le blanchiment d’argent et aux sanctions, qui comprenait le filtrage des adresses IP des clients au moment de l’intégration pour empêcher les utilisateurs dans des juridictions sanctionnées de manière exhaustive d’ouvrir des comptes, les clients existants de Kraken étaient néanmoins en mesure de effectuer des transactions via Kraken alors qu’ils se trouvaient en Iran.
Le règlement Kraken et les mesures correctives mises en évidence par l’OFAC dans cette action ont mis en lumière les attentes de l’OFAC en ce qui concerne le respect des sanctions dans le contexte de l’espace blockchain et crypto-monnaie.[2] Cette mesure d’application souligne également l’importance d’un filtrage efficace des sanctions non seulement pour les personnes désignées (y compris les personnes figurant sur la liste SDN), mais également pour les personnes situées dans des juridictions sanctionnées de manière globale – ce qui est important, non seulement pendant le processus d’intégration, mais régulièrement par la suite pendant le cycle de vie complet de la relation commerciale avec les contreparties. Cette mesure d’application est encore une autre dans un certain nombre d’actions d’application récentes de l’OFAC dans lesquelles l’OFAC a blâmé les entreprises dans l’espace de la crypto-monnaie[3]un processeur de paiement[4]et un distributeur de récompenses électroniques[5] pour des lacunes similaires dans leurs procédures de filtrage des sanctions et de blocage de la propriété intellectuelle.
Les infractions apparentes
L’OFAC a déterminé que pendant la période pertinente où les violations apparentes se sont produites, Kraken a maintenu un programme de conformité à la lutte contre le blanchiment d’argent et aux sanctions, qui comprenait la sélection des clients lors de l’intégration et quotidiennement par la suite par rapport aux listes de personnes sanctionnées par les États-Unis, ainsi qu’un examen des informations d’adresse IP générées. au moment de l’intégration d’un client, qui a été conçu pour empêcher les utilisateurs situés dans des juridictions sanctionnées de manière exhaustive d’ouvrir des comptes auprès de Kraken. Cependant, malgré ces contrôles, l’OFAC a déterminé qu’entre le 14 octobre 2015 et le 29 juin 2019 environ, Kraken a traité 826 transactions totalisant environ 1 680 577 $ au nom de personnes qui semblaient se trouver en Iran au moment des transactions.
L’OFAC a noté que bien que Kraken ait maintenu des contrôles destinés à empêcher les utilisateurs situés dans des juridictions largement sanctionnées d’ouvrir un compte, au moment où les violations apparentes se sont produites, Kraken n’a pas maintenu le blocage des adresses IP sur l’activité transactionnelle sur sa plate-forme. Selon l’OFAC, cette lacune dans les procédures de conformité aux sanctions de Kraken a conduit certains clients qui avaient établi des comptes à l’extérieur de l’Iran à s’engager dans des activités transactionnelles via ces comptes alors qu’ils se trouvaient apparemment en Iran, malgré les données d’adresse IP de ces clients au moment de la transactions disponibles pour Kraken.
Facteurs affectant la détermination des sanctions par l’OFAC
L’OFAC a déterminé que Kraken avait volontairement révélé les violations apparentes et que les violations apparentes constituaient un cas non flagrant. Selon l’OFAC, le montant maximum légal de l’amende civile pour les violations apparentes était d’environ 272 228 964 $ et le montant de l’amende de base était d’environ 840 288 $.
L’OFAC a noté comme facteur aggravant que Kraken « n’a pas fait preuve de prudence ou de respect de ses obligations de conformité aux sanctions lorsque, sachant qu’il avait des clients dans le monde entier, il n’a appliqué ses contrôles de géolocalisation qu’au moment de l’intégration et non en ce qui concerne l’activité transactionnelle ultérieure, malgré ayant des raisons de savoir, sur la base des informations d’adresse IP disponibles », que ces clients semblaient être situés en Iran.
L’OFAC a noté plusieurs facteurs atténuants, notamment le fait que Kraken n’avait pas reçu d’avis de sanction ou de constat d’infraction de l’OFAC au cours des cinq dernières années et que Kraken avait volontairement révélé les violations apparentes et coopéré à l’enquête de l’OFAC. L’OFAC a également félicité Kraken pour avoir pris un certain nombre de mesures correctives, notamment :
- Ajout du blocage de la géolocalisation pour empêcher les clients situés dans des juridictions sanctionnées de manière exhaustive d’accéder à leurs comptes sur le site Web de Kraken ;
- Mettre en œuvre « plusieurs outils d’analyse de blockchain » pour aider à la surveillance des sanctions ;
- Investir dans une formation supplémentaire liée à la conformité pour son personnel, y compris dans l’analyse de la blockchain ;
- Embauche d’un responsable dédié à la conformité aux sanctions pour diriger le programme de conformité aux sanctions de Kraken, en plus d’embaucher d’autres nouveaux membres du personnel de conformité aux sanctions ;
- Étendre son contrat avec son fournisseur de filtrage des sanctions existant pour ajouter des capacités de filtrage supplémentaires afin de garantir le respect de la règle des 50 % de l’OFAC, y compris des rapports détaillés sur la propriété effective ;
- Contrat avec un fournisseur qui aide à l’identification et à la vérification de la nationalité en utilisant des outils d’intelligence artificielle pour détecter les problèmes potentiels avec les justificatifs d’identité fournis par les utilisateurs ; et
- Mise en place d’un contrôle automatisé pour bloquer les comptes en utilisant les villes et les codes postaux associés à la région de Crimée et dans les soi-disant républiques populaires de Donetsk et Lougansk.
Conséquences
L’accord de règlement de Kraken est encore un autre dans une série d’actions d’application de la loi de l’OFAC impliquant le filtrage des sanctions et les lacunes de blocage de la propriété intellectuelle ces dernières années. Ces récentes mesures d’exécution ont clairement indiqué que l’OFAC s’attend à ce que les entreprises qui font des affaires en ligne filtrent les informations d’adresse IP (à la fois pendant le processus d’intégration ainsi que tout au long du cycle de vie de la relation avec la contrepartie) ainsi que d’autres informations qu’elles peuvent recevoir pendant le processus normal. cours des affaires (y compris, par exempleadresse physique, suffixe d’adresse e-mail (par exemple, « .ir » pour l’Iran et « .cu » pour Cuba), et le préfixe du numéro de téléphone) pour identifier les indices potentiels de l’implication de personnes situées dans des juridictions sanctionnées de manière globale. Le règlement de Kraken est quelque peu inhabituel, cependant, en ce qu’il comprend également une note explicite de l’accord de Kraken d’investir 100 000 $ supplémentaires dans ses contrôles de conformité aux sanctions, ce qui témoigne à nouveau de l’accent mis par l’OFAC sur l’importance de ressources suffisantes consacrées à ces contrôles.
L’accord de règlement de Kraken est également l’une des nombreuses mesures d’exécution récentes où l’OFAC a félicité les entreprises pour avoir inclus des noms de lieux associés à des juridictions sanctionnées de manière globale (tels que les noms de villes, de régions, de ports et d’orthographe alternative commune) dans un filtre de sanctions. comme un moyen utile de détecter plus avant l’implication potentielle d’une juridiction sanctionnée de manière globale.[6] Comme l’OFAC l’a noté dans le Kraken et d’autres mesures d’exécution, l’inclusion de tels noms de lieux dans un filtre de sanctions peut être particulièrement utile pour identifier les transactions impliquant potentiellement les soi-disant républiques populaires de Donetsk et Lougansk en Ukraine ainsi que la région de Crimée. De plus, ces accords récents montrent l’importance non seulement de mettre en œuvre des procédures de filtrage des sanctions et de blocage de la propriété intellectuelle, mais aussi de tester et d’auditer la mise en œuvre de ces procédures pour s’assurer qu’elles fonctionnent dans la pratique pour identifier les transactions potentiellement problématiques.
