Réglementation crypto au Mali : les contrôles d’un service PSAV

L’ordonnance du 30 août 2024 et sa ratification de décembre donnent un socle documenté concernant les prestataires de services d’actifs virtuels. Ce guide propose une méthode de préparation et de contrôle, sans délivrer d’avis juridique individuel ni prétendre qu’un dossier commercial remplace une autorisation administrative.

En bref

• L’exercice professionnel d’une activité de PSAV nécessite une autorisation ou un agrément préalable selon l’article 58.
• Le parcours doit identifier séparément vendeur, prestataire de paiement, conservateur et bénéficiaire des fonds.
• Les contrôles clients, la gestion des données et les incidents doivent suivre des procédures documentées, adaptées aux obligations applicables.

Partir du texte, puis qualifier les activités réelles

Un projet malien gagne à distinguer son cadre national des mécanismes régionaux. Le dossier sur les règles crypto de l’UEMOA et de la BCEAO apporte cette lecture d’ensemble. Il ne dispense pas de vérifier le statut exact du service envisagé au Mali et les décisions des autorités compétentes.

L’ordonnance n°2024-011/PT-RM, publiée dans le Journal officiel du 2 septembre 2024, comporte un chapitre consacré aux PSAV. Son article 58 impose un agrément ou une autorisation préalable pour l’exercice professionnel. L’article 59 rattache ces acteurs aux dispositions pertinentes de lutte contre le blanchiment, le financement du terrorisme et de la prolifération.

La loi n°2024-022 du 11 décembre 2024 modifie et ratifie cette ordonnance. Son intervention sur l’article 205 concerne notamment les textes d’application et les lignes directrices nécessaires, ainsi que le maintien de certaines mesures antérieures non contraires jusqu’à leur abrogation. Il faut donc regarder au-delà du seul titre de la loi pour constituer un dossier opérationnel.

Commencez par décrire chaque service en termes simples. Quelle société reçoit les francs CFA ? Identifiez ensuite le fournisseur des jetons et la personne capable de déplacer les fonds après leur réception. Précisez également qui détient une clé ou valide un retrait. Une même interface peut agréger plusieurs sociétés, mais l’utilisateur doit pouvoir comprendre avec laquelle il contracte et pour quelle fonction.

Notre recherche ne constitue pas un inventaire exhaustif des décisions d’agrément et des textes d’application en vigueur. Aucun prestataire particulier ne reçoit ici une certification. Avant toute ouverture commerciale, une confirmation adaptée au projet doit venir des autorités compétentes et de professionnels connaissant les règles nationales, régionales et les éventuels flux internationaux.

Cartographier les flux avant de rédiger les conditions clients

Prenons un service fictif qui accepte un paiement mobile en XOF puis livre un stablecoin. Le schéma comporte au moins le client, le vendeur, l’opérateur de paiement et le réseau utilisé pour le transfert. Une plateforme de conservation ou un fournisseur de liquidité peut ajouter d’autres intermédiaires. Les responsabilités ne disparaissent pas parce qu’un partenaire exécute une partie du travail.

La liste BCEAO des établissements de monnaie électronique permet de vérifier certaines identités et certains partenariats au Mali. Elle mentionne notamment Orange Finances Mobiles Mali, SAMA Money et le partenariat BDM avec SOTELMA-MALITEL pour Moov Money. Ces inscriptions ne constituent pas une autorisation crypto accordée à tout marchand qui accepte leurs paiements.

Un contrat de partenariat doit donc préciser les usages admis, les contrôles attendus et la gestion des suspensions. Ne supposez pas que des transferts techniquement possibles prouvent l’accord du prestataire pour le modèle économique. Une restriction découverte après la collecte de fonds clients peut bloquer toute la chaîne et créer des réclamations simultanées.

Documentez aussi les chemins de remboursement. Si le client paie mais que le réseau choisi ne permet pas la livraison, qui décide de restituer l’argent et sous quelle forme ? Une entreprise devrait pouvoir répondre avant la première commande. La réponse doit rester compatible avec les règles applicables et les possibilités techniques, plutôt que promettre une annulation automatique de toute transaction.

Les coûts complets d’un achat crypto fournissent un second outil de cartographie. Marge de conversion, frais de paiement, frais de réseau et frais de sortie doivent apparaître à leur bonne place. Cette ventilation aide autant la transparence commerciale que le rapprochement comptable ; elle ne permet pas de masquer une commission dans un volume de jetons moins élevé.

Concevoir des contrôles cohérents sans collecter aveuglément

Un contrôle client efficace ne consiste pas à réclamer le maximum de documents à tout le monde. Il faut déterminer les informations nécessaires, les circonstances qui déclenchent un examen supplémentaire et les personnes habilitées à décider. Les exigences précises dépendent des textes, du service et des risques identifiés ; ce guide n’invente pas de seuil légal unique.

Le parcours doit notamment permettre de repérer une différence inexpliquée entre titulaire du compte et payeur. Une entreprise qui accepte automatiquement les paiements de tiers sans justification fragilise sa compréhension des flux. À l’inverse, un examen documenté doit éviter les accusations improvisées : un nom différent appelle une vérification, pas une conclusion pénale tirée par un agent de support.

Notre guide du KYC crypto et de la protection des données rappelle l’importance du canal de collecte. Une messagerie personnelle d’employé ne devrait pas devenir une archive parallèle de cartes d’identité. Le projet doit définir les accès, les transferts aux partenaires, la sécurité et les règles de conservation réellement applicables.

La prévention du blanchiment comprend également des exigences de confidentialité. Une entreprise ne doit pas promettre au client qu’elle révélera toute déclaration ou tout échange confidentiel avec les autorités. Il faut distinguer l’explication commerciale d’une suspension, les droits de la personne et les informations dont la divulgation peut faire l’objet de restrictions légales.

Prévoyez une procédure de correction lorsqu’une pièce apparaît illisible ou lorsqu’une information saisie contient une erreur. Une succession de demandes contradictoires peut enfermer un client de bonne foi dans un blocage interminable. La qualité du contrôle se mesure aussi à sa cohérence, à la traçabilité des décisions et à la possibilité d’escalader un dossier sans contourner les obligations.

Garde, cybersécurité et comptabilité : éviter les angles morts

Le projet doit annoncer clairement si le client conserve ses propres clés ou si un opérateur contrôle les actifs pour son compte. La seconde situation crée une dépendance envers les processus du conservateur. La première transfère certaines responsabilités techniques à l’utilisateur. Le guide sur le fonctionnement des portefeuilles crypto aide à expliquer cette différence sans slogan trompeur.

Une promesse de sécurité doit correspondre à des pratiques démontrables : droits d’accès limités, validation des opérations sensibles, sauvegardes et traitement des départs d’employés. Il faut aussi prévoir la perte d’un appareil ou l’indisponibilité d’un responsable. Aucune procédure sérieuse ne devrait dépendre exclusivement d’un téléphone personnel et d’une mémoire individuelle.

Séparez les flux de fonctionnement de ceux qui correspondent aux clients, selon les obligations et l’organisation applicables. Un solde global dans une application ne suffit pas à montrer qui possède quoi. Le rapprochement doit relier commande, paiement, livraison et éventuel remboursement, avec une gestion explicite des écarts et des opérations encore en attente.

Pour un actif disponible sur plusieurs blockchains, identifiez le réseau et le contrat lorsqu’il s’applique. Le même symbole commercial peut désigner des objets différents ou des copies frauduleuses. Le support doit pouvoir distinguer un dépôt sur un réseau non pris en charge d’une absence de paiement, sans garantir une récupération que l’équipe technique ne peut pas réaliser.

La dépendance envers un fournisseur externe mérite également un scénario de continuité. Si ses retraits s’arrêtent, peut-on suspendre immédiatement les nouvelles commandes concernées ? Qui informe les clients ? Continuer à encaisser pour préserver le chiffre d’affaires aggraverait potentiellement la situation. Le plan doit privilégier la maîtrise des engagements plutôt qu’une croissance devenue impossible à servir.

Préparer les incidents et réexaminer le service régulièrement

Une réclamation exploitable commence par une chronologie vérifiable : heure du devis, durée de validité, paiement, référence de commande et état de livraison. Les équipes doivent disposer d’un format commun. Des captures isolées n’expliquent pas nécessairement si le paiement précède l’expiration du devis ou si le client a choisi un autre réseau après validation.

Le dispositif doit distinguer incident technique, désaccord commercial et soupçon nécessitant une procédure spécifique. Mélanger ces situations produit des réponses opaques et des décisions difficiles à contrôler. L’utilisateur doit recevoir les informations communicables sur son dossier, sans que le service divulgue des données d’autres clients ou des éléments légalement confidentiels.

Pour sélectionner un fournisseur, la méthode de comparaison des plateformes et de leurs statuts reste utile : identité, périmètre d’activité, garde, retraits et recours. Un partenaire connu mondialement ne remplace pas l’analyse du contrat réellement proposé à une société malienne. Il faut conserver la version des conditions utilisée pour prendre la décision.

Organisez enfin une revue lors d’un changement de banque, d’opérateur mobile, de prestataire de garde ou de réseau. Une modification apparemment technique peut changer les données collectées, le pays d’exécution ou le chemin de remboursement. Le responsable doit vérifier les impacts avant d’activer l’option pour tous les clients, pas après le premier litige.

La réglementation crypto au Mali ne se résume donc ni à une page de conditions générales ni à un contrôle d’identité affiché dans une application. Le point de départ documenté concerne l’autorisation préalable de l’activité professionnelle de PSAV. Le travail opérationnel consiste ensuite à relier cette exigence aux flux réels, aux partenaires et aux preuves, avec des confirmations juridiques adaptées avant toute mise en service.

À lire aussi : Plateforme crypto au Mali : une méthode pour comparer les offres

À lire aussi : Binance au Mali : accès, paiement et retraits à vérifier