L'enregistrement VASP au Portugal signifie aujourd'hui l'autorisation MiCA. Un prestataire de services sur actifs virtuels (VASP, virtual asset service provider) est une entreprise qui échange, conserve, transfère des crypto-actifs pour ses clients ou fournit des conseils à leur sujet. Au Portugal, la voie d'enregistrement nationale qui existait avant le règlement européen sur les marchés de crypto-actifs (MiCA) a été remplacée : pour servir légalement des clients portugais, une entreprise a besoin d'une autorisation en tant que prestataire de services sur crypto-actifs (CASP) délivrée par Banco de Portugal, la banque centrale et autorité de supervision des marchés du pays.
Voilà la réponse courte. La réponse longue compte si vous gérez des paiements au sein d'une entreprise crypto, car l'autorisation change les banques avec lesquelles vous pouvez travailler, ce que vous devez documenter et le soin avec lequel vous devez contrôler les comptes vers lesquels vous envoyez de l'argent.
Vérifiez les règles en vigueur avant de déposer votre dossier
MiCA s'applique dans toute l'UE, mais les dates d'application, les régimes transitoires et les documents exacts demandés par Banco de Portugal sont fixés au niveau national et peuvent évoluer. Confirmez les exigences actuelles auprès de Banco de Portugal ou de votre conseil juridique avant de bâtir un plan dessus.
Ce qui a changé : du registre national à l'autorisation MiCA
Avant MiCA, les entreprises crypto au Portugal s'enregistraient selon les règles nationales de lutte contre le blanchiment et figuraient sur une liste nationale. MiCA a remplacé cet assemblage par une autorisation unique à l'échelle de l'UE. Les conséquences pratiques sont les suivantes :
- Une seule autorisation, une portée européenne. Un CASP autorisé au Portugal peut passeporter ses services vers d'autres États membres au lieu de déposer une demande pays par pays.
- Un seul superviseur pour la licence. Banco de Portugal évalue la demande, la gouvernance et les contrôles.
- Une liste définie de services. MiCA nomme les services sur crypto-actifs qui exigent une autorisation : notamment la conservation, l'exploitation d'une plateforme de négociation, l'échange de crypto-actifs contre des fonds ou d'autres crypto-actifs, et les services de transfert pour le compte de clients.
- Des attentes plus élevées. Exigences prudentielles, gouvernance et tests d'honorabilité et de compétence des dirigeants, ségrégation des actifs des clients, et obligations détaillées en matière d'AML et de traitement des réclamations.
Les entreprises qui opéraient déjà sous les règles nationales ont disposé d'une fenêtre transitoire pour basculer. Si vous décidez encore où implanter une entreprise crypto, la réponse honnête est que le choix porte désormais moins sur le registre national le plus simple que sur le superviseur, les relations bancaires et les rails de paiement avec lesquels vous pouvez réellement travailler.
Pourquoi une licence crypto ne sécurise pas vos paiements
L'autorisation porte sur le droit de fournir le service. Elle ne dit rien sur le point de savoir si un paiement précis part vers le bon compte. Ce sont deux questions différentes, et c'est sur la seconde que l'argent se perd réellement.
Une entreprise crypto déplace de l'argent dans deux directions. Côté crypto, les transferts sont contrôlés par rapport aux adresses de portefeuilles et avec des outils de filtrage. Côté fiat, vous envoyez des virements en euros vers des comptes bancaires de clients, de fournisseurs de liquidité, de plateformes d'échange et de fournisseurs : ce sont des paiements SEPA ordinaires, avec les risques SEPA ordinaires. Un client qui demande un retrait vers « son » IBAN, un e-mail qui modifie les coordonnées bancaires d'une contrepartie, un fichier de paiements construit à partir d'un tableur : chacun de ces cas peut envoyer de l'argent réel au mauvais endroit, et aucune licence crypto ne l'empêche.
Où intervient la Verification of Payee
La Verification of Payee (VoP) est le contrôle du nom UE/SEPA. Avant l'envoi d'un virement en euros, votre prestataire de services de paiement (PSP) - votre banque ou votre établissement de paiement - transmet le nom du bénéficiaire et l'IBAN au PSP qui détient le compte de destination. Cette banque compare le nom au nom enregistré du titulaire du compte et renvoie l'un de quatre résultats standardisés :
- Correspondance (match) : le nom concorde avec celui du titulaire. Poursuivez avec la confiance habituelle.
- Correspondance approchante (close match) : les noms sont similaires mais pas identiques, par exemple un deuxième prénom manquant ou un nom commercial face à un nom enregistré. Le nom vérifié est renvoyé pour que vous puissiez le confirmer ou le corriger.
- Aucune correspondance (no match) : le nom ne correspond pas à ce compte. Arrêtez-vous et revérifiez par un canal de confiance.
- Non disponible (not available) : la banque du bénéficiaire n'a pas pu répondre à ce moment-là. Ni une bonne ni une mauvaise nouvelle ; traitez un bénéficiaire nouveau et non vérifiable avec une prudence particulière.
Le contrôle est indicatif : il vous avertit, il ne bloque pas le paiement. C'est volontaire, car la décision d'envoyer vous revient. Pour une entreprise crypto, le bon réflexe est de lancer le contrôle sur chaque paiement fiat avant l'envoi, et de le relancer dès qu'un client ou une contrepartie change de coordonnées bancaires - exactement le moment qu'exploite la fraude au détournement de factures.
Deux contrôles différents, tous deux nécessaires
Le filtrage des portefeuilles répond à la question « cette adresse est-elle risquée ? ». La VoP répond à la question « cet IBAN appartient-il à la partie que j'ai désignée ? ». Un processus de paiement a besoin des deux, car une adresse de portefeuille propre et un compte bancaire non concordant peuvent figurer dans la même demande de retrait.
Une checklist pratique pour un CASP portugais
- 1 Confirmez auprès de Banco de Portugal la voie d'autorisation et les documents en vigueur avant de planifier quoi que ce soit d'autre.
- 2 Cartographiez chaque flux fiat : retraits des clients, règlements avec les fournisseurs de liquidité et les plateformes d'échange, paiements aux fournisseurs et à la paie.
- 3 Vérifiez si votre banque propose déjà la VoP sur vos virements en euros - les PSP portugais doivent le faire depuis le 9 octobre 2025.
- 4 Si vous envoyez des paiements via plusieurs banques ou un prestataire de paiement, standardisez sur une seule intégration VoP pour que chaque flux renvoie les mêmes quatre résultats.
- 5 Vérifiez l'ensemble du fichier de paiements avant l'envoi plutôt que de contrôler les bénéficiaires à la main, et relancez la vérification à chaque changement de coordonnées bancaires.
- 6 Conservez le résultat VoP avec l'enregistrement du paiement, afin qu'un auditeur ou un superviseur puisse voir ce que vous avez contrôlé et quand.
La même question sur d'autres marchés
Le Portugal n'est pas le seul pays où l'« enregistrement VASP » est redéfini. Les entreprises qui comparent les juridictions - Portugal, République tchèque, Lituanie, Malte - comparent en réalité des superviseurs, des calendriers et un accès bancaire. La direction européenne est la même : une autorisation unique au titre de MiCA, appliquée par les superviseurs nationaux. Si vous pesez les options, lisez les exigences telles qu'elles sont aujourd'hui, et non telles qu'elles étaient décrites il y a un an.
RoxPay fournit la Verification of Payee sur le schéma SEPA via une seule API REST et un tableau de bord, en renvoyant les résultats standardisés - correspondance, correspondance approchante, aucune correspondance et non disponible - en bien moins d'une seconde, avec le nom vérifié en cas de correspondance approchante, pour un paiement unique ou un fichier de paiements entier.