Créer une entreprise crypto à Maurice : sandbox ou licence FSC ?

Le bon ordre de travail consiste à décrire le service, cartographier les flux de fonds et de données, identifier l’autorité compétente, puis demander une orientation avant de développer une offre au public. La page FSC « Your innovation journey in and from Mauritius » propose précisément une démarche allant de la qualification du modèle à la sandbox, puis à la demande de licence selon le régime applicable.

En bref

• La sandbox FSC sert à tester une innovation sous une autorisation et des limites définies.
• Les services crypto couverts par VAITOS demandent une analyse de l’activité et de la classe de licence.
• Un test en sandbox n’autorise pas automatiquement une exploitation commerciale générale.

Commencer par l’activité, pas par le mot « blockchain »

La technologie ne détermine pas à elle seule le statut réglementaire. Une entreprise peut utiliser une blockchain pour enregistrer des reçus, opérer un portefeuille de clients, organiser un marché, conserver des clés, conseiller sur des investissements ou transférer des paiements. Ces fonctions peuvent relever de règles et d’autorités différentes. Présenter un produit comme « Web3 » ou « tokenisé » ne remplace pas une analyse juridique de ce qu’il fait réellement. Pour approfondir le contexte local, consultez aussi le guide pilier de BrefCrypto sur la crypto à Maurice.

La première question porte sur les clients et les fonds. L’entreprise reçoit-elle des roupies ? Peut-elle contrôler ou déplacer des actifs ? Met-elle en relation acheteurs et vendeurs ? Exécute-t-elle un ordre au nom d’un client ? Garde-t-elle une clé privée ou fournit-elle seulement un logiciel non custodial ? Offre-t-elle un conseil personnalisé ? Émet-elle un jeton ou facilite-t-elle une vente ? Les réponses déterminent les activités à présenter au régulateur.

La FSC décrit le cadre VAITOS comme couvrant des fournisseurs de services d’actifs virtuels et des émetteurs d’offres initiales de jetons opérant « in or from Mauritius ». Les catégories comprennent notamment courtage, wallet, conservation, conseil et marché. La page FinTech et actifs virtuels de la FSC indique que la loi est entrée en vigueur le 7 février 2022. L’entreprise doit vérifier le texte, les règles et les critères en vigueur, pas s’appuyer uniquement sur un article de blog.

Les paiements domestiques peuvent relever d’un autre périmètre. La FSC distingue ses activités non bancaires du rôle de la Bank of Mauritius (BoM) dans les paiements locaux. Sa page d’innovation indique que les services de paiement et les flux domestiques doivent être discutés avec l’autorité compétente, notamment la BoM lorsqu’il s’agit de paiements domestiques ou de réception de dépôts. Une fintech qui combine crypto, monnaie électronique et transfert local peut donc devoir présenter plus d’un volet réglementaire.

Sandbox : un test supervisé, limité et assorti de conditions

La FSC décrit la Regulatory Sandbox comme un espace où une entreprise peut expérimenter un modèle, simulé ou réel, sous supervision, pendant une durée définie et avec des conditions spécifiques. Selon la page officielle, une entité admise peut bénéficier d’une exemption à certaines exigences pendant le test, puis demander une licence complète après une sortie réussie. Ces éléments ne signifient pas que toute activité est automatiquement dispensée de toutes les lois applicables.

La sandbox s’adresse aux modèles innovants qui ne cadrent pas clairement dans un régime existant ou qui ont besoin d’être testés dans un périmètre encadré. Il faut expliquer pourquoi le test est nécessaire, quels clients ou volumes seront concernés, quelles limites protègent les participants et quelles mesures arrêteront le pilote si un incident survient. Un prototype visible au public sans autorisation de sandbox n’équivaut pas à une expérimentation réglementée.

La portée d’une RSA doit être lue dans son document : activité couverte, période, population, montants, géographie, exigences de reporting et conditions de sortie. Un fondateur ne devrait pas présenter une autorisation expérimentale comme une licence commerciale permanente. Il devrait également éviter d’utiliser le logo d’une autorité ou de suggérer que la FSC garantit le produit ou rembourse les clients.

La sandbox ne constitue pas non plus une subvention ou un financement. La FSC précise qu’elle supervise et autorise les activités de son périmètre, mais ne fournit pas le capital de la startup. Les fondateurs doivent prévoir leurs propres dépenses juridiques, techniques, de conformité, de sécurité et de fonds propres lorsqu’ils construisent leur trajectoire.

Licence VAITOS : relier la classe au service proposé

Lorsqu’une entreprise sait déjà qu’elle va exploiter une activité visée, le chemin peut passer directement par une demande de licence. La loi et les règles FSC distinguent plusieurs catégories, car un broker-dealer, un opérateur de wallet, un dépositaire, un conseiller et un exploitant de marché ne contrôlent pas les mêmes risques.

La FSC publie les critères et catégories de licence dans sa liste codifiée. Les classes apparaissent avec leurs références de loi, conditions et frais administratifs. La liste ne remplace pas l’analyse du modèle, et les montants peuvent être modifiés. Vérifiez la version datée la plus récente avant de bâtir le budget ou d’afficher une somme sur le site de l’entreprise.

Un projet d’exchange peut être tenté de choisir la classe au nom qui ressemble le plus à son interface. La qualification doit plutôt suivre les fonctions : qui reçoit l’ordre, qui détient les actifs, qui fixe le prix, qui met en relation les utilisateurs et qui exécute la transaction. Si plusieurs fonctions sont réunies, l’entreprise doit demander si plusieurs autorisations ou activités accessoires s’appliquent.

Les règles opérationnelles ne se limitent pas au capital. La FSC publie des instruments portant sur la conservation des actifs des clients, la cybersécurité, la gestion des risques, les déclarations statutaires, les divulgations au client, la publicité et les transferts. Un business plan crédible doit expliquer comment l’entreprise protège les actifs, répond aux incidents, sépare les fonds et informe les utilisateurs sur les risques.

Préparer un dossier qui décrit le produit réel

Une bonne note de cadrage peut commencer par une page de parcours utilisateur. Décrivez qui ouvre le compte, qui envoie les fonds, quel prestataire reçoit la monnaie, où le crypto-actif est détenu, qui signe les transactions et ce qui arrive en cas de perte de clé ou de litige. Ajoutez un schéma des sociétés du groupe et des fournisseurs externes. Un diagramme clair révèle souvent un rôle réglementé qui n’était pas évident dans le pitch commercial.

Préparez ensuite une matrice des risques : blanchiment et financement illicite, fraude, cybersécurité, garde des actifs, erreurs de transaction, conflits d’intérêts, défaillance de prestataire, dépendance cloud, continuité d’activité et plainte client. Pour chaque risque, identifiez la personne responsable, les contrôles, les preuves produites et le plan de réponse. Une formule générique telle que « les fonds sont protégés par la blockchain » ne répond pas à ces questions.

Le dossier doit documenter les partenaires, les banques, les prestataires KYC, les opérateurs de wallets, les fournisseurs de liquidité et les services cloud. Expliquez ce qu’ils font, où ils opèrent et ce que l’entreprise peut faire si l’un d’eux cesse son service. La conformité ne peut pas être externalisée au point que la startup ignore qui contrôle une étape critique.

Définissez aussi les limites du pilote : nombre de clients, montant maximum par utilisateur, montant total sous garde, actifs proposés, durée, canaux de recrutement, territoire, heures de support et critères d’arrêt. Ces limites permettent au régulateur et à la direction d’évaluer le risque dans une expérience mesurable. Les résultats du test devraient être préparés sous forme d’indicateurs, pas de témoignages promotionnels seulement.

Séparer la FSC et la Banque de Maurice selon le flux

Un projet peut toucher à plusieurs régimes. La FSC supervise le secteur financier non bancaire et son cadre VAITOS. La BoM est la banque centrale et intervient notamment dans les systèmes de paiement domestiques et les prestataires concernés. Une activité qui combine un service de wallet crypto, une rampe en roupies, une carte et des transferts entre utilisateurs ne peut pas présumer qu’un seul contact réglementaire couvre tous les éléments.

La page FSC explique que sa fonction Innovation Office aide à identifier le régime approprié et propose un point de contact, notamment l’adresse finnovate@fscmauritius.org. Elle distingue les services de paiement, les actifs virtuels et les autres innovations. Présentez une demande d’orientation avec des faits concrets : diagramme des fonds, entités, clients visés, fonctions et scénario de test. Une question précise donne davantage de chances d’obtenir une réponse utile qu’un courriel général demandant « comment lancer une crypto ».

Si le modèle implique un service de paiement domestique ou l’émission de monnaie électronique, demandez également à la BoM si le modèle entre dans son périmètre. N’interprétez pas la présence d’un partenaire bancaire comme l’approbation réglementaire du produit crypto. Chaque participant demeure responsable de ses propres obligations et contrats.

Pour les entreprises étrangères qui veulent servir des résidents mauriciens, examinez aussi la portée territoriale du droit. La VAITOS Act s’applique aux activités de VASP ou d’émetteur d’offres initiales menées dans ou depuis Maurice ; d’autres règles peuvent s’appliquer au lieu du client, à la commercialisation et aux flux. Un avis mauricien ne remplace pas les obligations d’autres juridictions où le produit est offert.

L’autorisation ne remplace pas la protection des clients

Un produit peut être légalement autorisé tout en présentant un risque financier important. Les documents destinés aux clients devraient expliquer les frais, les risques de perte, l’irréversibilité des transferts, les restrictions de retrait, la gestion des actifs et le traitement des plaintes. Une expérience de sandbox ne garantit pas le rendement ni l’absence de perte ; la communication doit le dire simplement.

Un projet de conservation doit prévoir des règles d’accès aux clés, de séparation des actifs et de reprise après incident. Les services d’échange doivent expliquer comment les prix sont formés, comment les conflits d’intérêts sont gérés et ce qui se passe lors d’une interruption. Un conseil automatisé doit informer l’utilisateur des limites du modèle, des hypothèses et des éventuelles incitations. Ces enjeux doivent être intégrés au produit avant l’ouverture aux utilisateurs.

La publicité est aussi un risque réglementaire. Une bannière qui promet « capital garanti », « rendement certain » ou « approuvé par la FSC » peut induire en erreur même si les petits caractères contiennent une réserve. Vérifiez les règles de publicité applicables aux VASP et faites valider les supports par les fonctions juridique et conformité. Les promotions d’influenceurs doivent indiquer clairement les liens commerciaux et ne pas présenter un token comme une recommandation sans fondement.

Les 30 premiers jours : préparer le bon parcours d’autorisation

Ce qu’un fondateur devrait faire dans les 30 premiers jours

Commencez par rédiger une description de produit sans slogans, puis cartographiez les fonds et données. Identifiez les entités, les rôles, le pays de chaque client et toutes les fonctions envisagées dans la première version. Mettez de côté les fonctionnalités facultatives qui brouillent le périmètre : dérivés, crédit, rendement et garde pour des tiers peuvent ajouter des obligations et risques distincts.

Demandez ensuite un avis juridique spécialisé et un entretien d’orientation auprès de l’Innovation Office. Réunissez le business plan, la politique de sécurité, le modèle de revenus, le parcours client, les procédures de plaintes et le scénario de sortie. Consultez les critères FSC à jour et déterminez si le modèle justifie une demande VAITOS directe ou une RSA avant la licence.

En parallèle, choisissez un environnement technique de test qui n’expose pas les fonds du public et définissez les données qui seront collectées. Si le pilote doit engager de vrais utilisateurs ou de vrais actifs, obtenez d’abord la confirmation écrite de l’autorisation nécessaire et respectez les limites fixées. Une démo sur testnet n’est pas la même chose qu’un service financier offert à des clients.

Sandbox ou licence : la décision dépend du stade et du risque

La sandbox convient à un modèle suffisamment innovant pour justifier un test supervisé et suffisamment défini pour fixer des garde-fous. Une licence complète convient à une activité qui correspond à un régime existant et que l’entreprise souhaite exploiter au-delà d’une expérience limitée. Certaines équipes peuvent passer par la sandbox avant une demande de licence ; d’autres doivent poursuivre directement un agrément ou une autorisation de service.

La décision n’est pas une astuce pour contourner le droit. Une application publique qui reçoit des fonds en attendant « d’être admise » peut déjà exercer une activité réglementée. La page FSC décrit le chemin comme une séquence d’orientation, de test si nécessaire, de demande de licence, puis d’autorisation et de supervision. Il faut suivre le périmètre établi par la Commission et ne pas commercialiser une possibilité future comme une autorisation acquise.

Maurice offre aux fondateurs une architecture de régulation et un point de contact pour les projets innovants, mais la crédibilité vient d’un périmètre clair, d’une gouvernance solide et de preuves de contrôle des risques. La préparation réglementaire fait partie du produit : elle protège les clients et aide l’entreprise à déterminer quelles fonctions peuvent réellement être lancées, quand et sous quelles conditions.

Avant de finaliser le périmètre, comparez les modèles d’exchange et les contrôles proposés pour les plateformes crypto en Afrique.

Pour concevoir ce volet, le guide BrefCrypto sur les contrôles KYC et la protection des données apporte un complément pratique.

À lire aussi : Fiscalité crypto au Zimbabwe : ce que l’on peut vérifier