Nouvelles sanctions contre la Russie: ce que les équipes de conformité doivent savoir

Le 8 octobre 2026, le Royaume-Uni a ajouté 38 personnes et entités à sa liste de sanctions contre la Russie. Cinq d'entre elles opèrent dans la crypto et les paiements. Le Foreign, Commonwealth and Development Office (FCDO) du Royaume-Uni a désigné trois plateformes d'échange crypto et deux plateformes de paiement qu'il soupçonne la Russie d'utiliser pour contourner les sanctions financières. Trois des cinq plateformes sont liées au Kirghizstan. Le dirigeant de l'une d'elles a également été sanctionné. Le même paquet a aussi visé deux compagnies pétrolières russes, 12 pétroliers dits de la flotte fantôme et 17 fournisseurs de biens pour l'armée russe. L'Office of Financial Sanctions Implementation (OFSI) a également publié une licence générale permettant aux entreprises de mettre fin progressivement à leurs relations commerciales avec l'une des compagnies pétrolières jusqu'au 21 novembre 2026.

Qu'a annoncé le Royaume-Uni le 8 octobre 2026, et qu'est-ce que cela signifie pour les entreprises crypto?

Le 8 octobre 2026, le FCDO a ajouté 38 entrées à la liste des sanctions du Royaume-Uni en vertu du Russia (Sanctions) (EU Exit) Regulations 2019, adopté après la sortie du Royaume-Uni de l'UE, et a modifié les conditions des restrictions appliquées à deux personnes ou entités déjà inscrites sur la liste. L'annonce officielle du gouvernement répartit les nouvelles mesures en quatre catégories: les compagnies pétrolières russes, 12 pétroliers supplémentaires de la flotte fantôme, les fournisseurs de biens pour l'armée russe et les services financiers. Cette dernière catégorie affecte directement la conformité aux sanctions dans l'industrie crypto. Le Royaume-Uni indique qu'il impose des restrictions à trois plateformes d'échange crypto et deux plateformes de paiement que la Russie utiliserait, selon lui, pour contourner les sanctions financières. Selon les autorités britanniques, deux de ces plateformes ont traité et facilité des transactions pour le réseau A7. Ce réseau de paiement soutenu par le Kremlin affirme que plus de 90 milliards de dollars y ont transité l'année dernière.

Les noms des entités figurent dans l'avis officiel de sanctions. Quatre entrées couvrent les cinq plateformes, une couvre le dirigeant de l'une d'elles, et deux autres couvrent une banque russe et une société russe de services financiers.

Les sanctions britanniques prennent effet dès leur publication. À partir de ce moment, les personnes relevant de la juridiction du Royaume-Uni doivent geler tous les fonds et ressources économiques qu'elles détiennent pour le compte des entités désignées et cesser toute relation avec elles. Il est interdit aux établissements de crédit et institutions financières britanniques de maintenir ou d'établir des relations de correspondant bancaire avec elles et de traiter des paiements à destination, en provenance ou par l'intermédiaire de celles-ci. Des restrictions similaires s'appliquent aux institutions que ces entités possèdent ou contrôlent. Pour cinq des sept entrées, des sanctions visant les services internet s'appliquent également: les plateformes de réseaux sociaux, les fournisseurs d'accès internet et les magasins d'applications doivent prendre des mesures raisonnables pour empêcher les utilisateurs au Royaume-Uni d'accéder au contenu, aux sites web et aux applications concernés.

Le lien kirghize n'est pas nouveau.

En mai 2026, 18 cibles supplémentaires ont été sanctionnées, dont des personnes liées à A7 et une importante plateforme d'échange internationale que Bloomberg a identifiée comme étant HTX. Le Royaume-Uni soupçonne cette plateforme d'avoir contribué à acheminer plus de 1.5 milliards de dollars vers le Kremlin. Les sanctions d'octobre ajoutent de nouveaux canaux de paiement à un schéma déjà familier: TokenSpot et Tsunami Paymen

En quoi l'approche du Royaume-Uni diffère-t-elle des paquets de sanctions de l'UE?

L'UE et le Royaume-Uni cherchent à fermer les mêmes canaux financiers utilisés par la Russie, mais ils utilisent des outils différents et agissent à un rythme différent. L'UE impose des sanctions sous forme de paquets numérotés regroupant des centaines de nouvelles entrées et des restrictions systémiques. Son 20e paquet a introduit une interdiction sectorielle visant les plateformes crypto enregistrées en Russie et a interdit le stablecoin A7A5. Le 21e paquet a ajouté 14 plateformes supplémentaires issues de six juridictions et a prévu la possibilité d'interdire les services d'actifs numériques d'un pays tiers dans son ensemble. Chaque paquet est un événement de grande ampleur mais relativement peu fréquent, qu'une équipe de conformité peut anticiper.

Le 21e paquet de sanctions de l'UE: 14 plateformes crypto, le réseau A7 et une interdiction visant des pays entiers27 juil. 2026En savoir plus

Le Royaume-Uni agit entité par entité. Le FCDO impose des sanctions lorsque les renseignements recueillis le justifient et met à jour la liste des sanctions du Royaume-Uni le jour même. Les entreprises n'ont pas besoin d'attendre le prochain paquet numéroté: il n'existe pas de calendrier fixe. Des sanctions liées à la crypto ont été imposées en août 2025, mai 2026 et octobre 2026. Le Royaume-Uni n'a introduit ni interdiction sectorielle visant les plateformes crypto, ni pouvoir semblable à celui de l'UE permettant d'interdire les services crypto d'un pays tiers dans son ensemble. Son principal outil est la désignation d'une entité spécifique sur la liste des sanctions, avec l'ensemble des restrictions financières associées. C'est ainsi que, dans le cadre d'une même campagne, une société de paiement enregistrée au Canada et trois plateformes du Kirghizstan ont été sanctionnées sans interdiction sectorielle générale.

Le champ d'application des règles diffère également. Les mesures britanniques s'imposent aux personnes relevant de la juridiction du Royaume-Uni et aux transactions liées au Royaume-Uni, quel que soit le lieu où se trouve la contrepartie. Les mesures de l'UE s'appliquent aux personnes de l'UE et aux entités liées à l'UE. Une société agréée dans un État membre de l'UE mais travaillant avec des clients britanniques, utilisant des canaux de paiement en livres sterling ou desservie par une banque correspondante britannique peut être soumise aux deux régimes à la fois. Se conformer à l'un ne signifie pas automatiquement se conformer à l'autre.

Qu'exige l'OFSI du programme de conformité aux sanctions d'une entreprise crypto?

L'OFSI fait partie du HM Treasury et est chargé de faire appliquer les sanctions financières. Pour une entreprise crypto, cela signifie un régulateur supplémentaire aux côtés de la Financial Conduct Authority (FCA). La FCA supervise l'enregistrement, les promotions financières et les mesures de lutte contre le blanchiment d'argent, tandis que l'OFSI est responsable du respect des obligations liées aux personnes et entités désignées. Une entreprise n'a pas besoin d'une autorisation de la FCA pour relever des exigences de l'OFSI. Si elle est une personne soumise à la juridiction britannique, les obligations concernées s'appliquent à elle.

Le point de départ est la liste des sanctions elle-même.

Les entités ajoutées à la liste après cette date reçoivent un Unique ID, mais pas de OFSI Group ID. Par exemple, Xeltox Enterprises porte le numéro RUS3755. Un système de filtrage qui utilise encore l'ancienne liste ou recherche des correspondances avec l'ancien ID ne détectera aucune des entrées ajoutées le 8 octobre.

Deux obligations comptent le plus. La première consiste à geler les fonds et à cesser toute transaction: identifier les fonds et ressources économiques que l'entreprise détient pour le compte d'une personne ou entité désignée, les geler et arrêter les transactions concernées à partir de la date de désignation. La seconde obligation consiste à signaler les circonstances suspectes. Les fournisseurs de services d'échange de cryptoactifs et les fournisseurs de portefeuilles dépositaires figurent parmi les catégories d'entreprises soumises aux exigences concernées. Une telle entreprise doit notifier l'OFSI dès que possible si elle sait ou a des motifs raisonnables de soupçonner qu'une personne est désignée, a enfreint une interdiction ou n'a pas respecté une obligation en vertu des règlements, et que cette information est parvenue à sa connaissance dans le cadre de son activité. Si la personne désignée est cliente de l'entreprise, le rapport doit également inclure la nature et le montant des fonds ou ressources économiques que l'entreprise détenait pour le compte de ce client au moment où elle a eu connaissance ou soupçonné pour la première fois le manquement. Si des transactions historiques sont passées par Cryptomus ou TokenSpot, un avocat doit évaluer cela au regard des critères de déclaration. C'est l'avocat qui détermine quelles informations doivent être transmises au régulateur.

L'OFSI délivre également des licences générales, des autorisations pour certaines actions qui seraient autrement interdites par les sanctions. La licence publiée parallèlement à la campagne d'octobre montre comment fonctionne ce mécanisme. La licence générale INT/2026/11080040 permet à toute personne de liquider ou de mettre fin aux transactions avec Zarubezhneft JSC ou une entreprise qu'elle possède ou contrôle, y compris la clôture des positions ouvertes. Les institutions financières britanniques sont autorisées à prendre les mesures raisonnablement nécessaires pour mener à bien de telles transactions. La licence est entrée en vigueur le 8 octobre 2026 et expire à 23:59 le 21 novembre 2026. Les exigences de tenue de registres sont énoncées dans son texte.

L'exposition indirecte à des entités sanctionnées est le domaine où un simple appariement de noms ne suffit plus. Une contrepartie peut ne pas figurer sur la liste des sanctions mais tout de même acheminer des fonds via Cryptomus, un portefeuille lié à A7 ou une plateforme sanctionnée lors d'une des campagnes précédentes. La question de savoir si une telle exposition répond aux critères d'un signalement à l'OFSI doit être évaluée par un avocat. Cela nécessite de retracer le flux de fonds au niveau des adresses et entités de la blockchain, en étayant le lien par des preuves plutôt qu'en le supposant. L'exemple d'une plateforme qui a dissimulé ses services aux spécialistes de la conformité en matière de sanctions montre l'autre facette du problème: certaines plateformes répartissent leurs services sur différents canaux et restreignent l'accès selon l'identité de l'utilisateur. Par conséquent, un spécialiste du filtrage peut voir une interface différente de celle utilisée par les clients.

Pourquoi le réseau A7 reste-t-il une source de risque même après les sanctions?

Le réseau A7 a été créé pour faire circuler l'argent dans l'intérêt de la Russie après la fermeture des canaux financiers traditionnels. Il a été fondé par Ilan Shor, un oligarque moldave qui a obtenu la citoyenneté russe, et 49% du réseau appartient à la banque de défense publique russe Promsvyazbank. Le stablecoin A7A5 du réseau, indexé sur le rouble, peut être échangé contre des stablecoins largement utilisés sans vérification de l'identité de l'utilisateur. Le Royaume-Uni a progressivement sanctionné différentes parties de ce réseau: en août 2025, l'infrastructure A7A5 et la plateforme d'échange Grinex; en mai 2026, des personnes liées à A7; et en octobre, deux plateformes qui, selon les autorités britanniques, traitaient des transactions A7. L'UE a interdit A7A5 dans son 20e paquet de sanctions et a ajouté quatre cibles supplémentaires liées à A7 dans le 21e paquet, y compris des entités liées aux activités du réseau en Afrique.

Les portefeuilles qui détenaient des A7A5 avant les sanctions continuent d'exister, la liquidité continue de circuler, et les opérateurs du réseau ont toujours intérêt à créer de nouvelles adresses, à utiliser des tokens enveloppés dans d'autres tokens et à acheminer des fonds via des plateformes avec des contrôles plus faibles. Une analyse des mouvements d'A7A5 après les sanctions contre Grinex a identifié un seul portefeuille détenant 94.5% de l'offre totale du token. Cela indique une restructuration du réseau plutôt qu'une fin de son activité. La campagne d'octobre suit le même schéma: le Royaume-Uni a nommé de nouveaux canaux de paiement, mais le réseau qu'ils servaient est resté le même.

La liste des sanctions elle-même identifie des entités juridiques. Pour les plateformes figurant sur la liste, l'avis d'octobre 8 fournit les noms officiels, les noms alternatifs, les sites web, les numéros d'enregistrement, les numéros de téléphone et les adresses postales, mais pas les adresses blockchain de l'une d'entre elles. Une entreprise qui souhaite bloquer les transactions on-chain liées à Xeltox Enterprises ou TokenSpot doit déterminer elle-même quelles adresses appartiennent à l'entité concernée. Chaque entreprise qui filtre les mêmes noms effectue ce travail séparément et s'appuie sur ses propres sources de données. Les autorités de sanctions devraient publier les identifiants blockchain au moment de la désignation et les mettre à jour à mesure qu'une entité migre vers de nouvelles adresses. Une liste qui inclut à la fois l'entité juridique et ses portefeuilles associés, avec des adresses mises à jour en temps utile, permet à un système de filtrage d'appliquer des restrictions dès le jour de la publication.

Pour un programme de conformité aux sanctions, la conclusion pratique est la suivante: la simple présence du mot «A7» sur une liste est la forme la moins utile d'identification du risque. L'exposition réelle au réseau se manifeste dans des liens au niveau des adresses blockchain, et ces liens évoluent dans le temps.

Ce sont exactement les données et les preuves qu'un superviseur attend de voir de la part d'une entreprise lorsqu'il demande: «Comment savez-vous que cette adresse est liée à l'entité désignée?».