Nouvelles règles RWA : Aperçu de la circulaire de la HKMA sur la vente et la distribution de produits tokenisés

Édition : Bowen, Salon Bailu

Le 20 février 2024, l'Autorité Monétaire de Hong Kong (AMHK) a publié une circulaire intitulée « Vente et distribution de produits tokenisés », établissant les normes réglementaires attendues auxquelles doivent se conformer les institutions agréées lorsqu'elles vendent ou distribuent des produits tokenisés à leurs clients. Ces produits sont définis comme des actifs du monde réel (RWA) représentés sous forme numérique à l’aide d’un grand livre distribué ou d’une technologie similaire. La circulaire couvre notamment le champ d’application, les principes généraux, la diligence raisonnable, la divulgation des produits et des risques, la gestion des risques, les services de garde et les modalités de mise en œuvre.

Ci-dessous figure le texte intégral de la circulaire.

La présente notification expose les normes réglementaires attendues par l’Autorité Monétaire de Hong Kong (« AMHK ») concernant la vente et la distribution de produits tokenisés par les institutions agréées à leurs clients.

Champ d’application

La présente notification s’applique aux produits tokenisés (au sens de cette notification, désignant des actifs du monde réel représentés sous forme numérique à l’aide d’un grand livre distribué ou d’une technologie similaire), mais ne s’applique pas aux produits tokenisés régis par la Loi sur les valeurs mobilières et les contrats à terme, ni à ceux soumis aux règlements pertinents émis conjointement par la Commission des valeurs mobilières et des contrats à terme (« SFC ») et l’AMHK.

Principes généraux

L’AMHK soutient les initiatives des institutions agréées dans le domaine de la tokenisation et est encouragée par les progrès réalisés jusqu’à présent par le secteur. L’AMHK considère qu’il est maintenant temps d’émettre des orientations relatives aux activités liées aux produits tokenisés afin d’offrir aux banques une clarté réglementaire, de soutenir l’innovation continue dans le secteur et de permettre la réalisation des avantages offerts par la tokenisation, tout en mettant en place des mesures appropriées de protection des consommateurs / investisseurs.

En principe général, les dispositions réglementaires actuelles applicables à la vente et à la distribution d’un produit s’appliquent également à ce même produit lorsqu’il est vendu ou distribué sous forme tokenisée, car ses conditions, caractéristiques et risques (à l’exclusion des risques spécifiques liés à la tokenisation elle-même) sont comparables à ceux du produit sous-jacent.

Les exemples suivants illustrent davantage l’application de ce principe général :

(i) Lorsqu’une institution agréée distribue un produit d’investissement structuré tokenisé non réglementé par la Loi sur les valeurs mobilières et les contrats à terme, elle doit appliquer les dispositions réglementaires en vigueur ainsi que les mesures de protection des investisseurs applicables à la vente de produits d’investissement structurés non réglementés par ladite loi ;

(ii) Lorsqu’une institution agréée distribue de l’or tokenisé, elle doit respecter les mêmes règles régissant la vente d’or, y compris le Code de conduite pour les opérations bancaires, la Charte pour un traitement équitable des clients et toute autre disposition applicable émise par l’AMHK.

Bien que certains produits tokenisés soient essentiellement des produits traditionnels simplement emballés sous forme tokenisée, il peut arriver que la nature, les caractéristiques et les risques d’un produit tokenisé soient modifiés par la structure et les arrangements mis en place lors du processus de tokenisation. Par exemple, la tokenisation de parts fractionnées d’un actif pourrait constituer un régime collectif d’investissement. Par conséquent, les institutions agréées doivent s’assurer d’évaluer et de comprendre pleinement les conditions, caractéristiques et risques de chaque produit tokenisé, et exercer leur jugement professionnel afin de déterminer les lois et réglementations applicables. En plus des normes attendues énoncées dans cette notification, les institutions agréées doivent respecter toutes les lois et réglementations applicables lors de la vente et de la distribution de produits tokenisés. Lorsqu’elles vendent ou distribuent des produits tokenisés à leurs clients, les institutions agréées doivent mettre en place des systèmes et des dispositifs de surveillance suffisants pour garantir le respect de toutes les dispositions applicables, ainsi que des dispositifs internes de contrôle adaptés aux risques spécifiques et aux particularités propres à chaque produit tokenisé. En cas de doute, les institutions agréées devraient solliciter un avis professionnel.

Outre ces principes généraux, les institutions agréées doivent mettre en œuvre les mesures de protection des consommateurs / investisseurs décrites ci-dessous en matière de diligence raisonnable, de divulgation et de gestion des risques pour les produits tokenisés.

(A) Diligence raisonnable

Conformément aux dispositions applicables au produit sous-jacent, les institutions agréées doivent effectuer une diligence raisonnable adéquate avant de proposer un produit tokenisé à leurs clients, en comprenant pleinement ledit produit, et poursuivre cette diligence raisonnable de manière continue à intervalles réguliers appropriés en fonction de la nature, des caractéristiques et des risques du produit.

Les institutions agréées doivent agir avec compétence, prudence et diligence, en menant une diligence raisonnable fondée sur toutes les informations disponibles afin d’identifier et de comprendre pleinement les conditions, caractéristiques et risques des produits tokenisés (y compris ceux liés au produit sous-jacent et à l’aspect technologique de la tokenisation).

Les institutions agréées doivent effectuer une diligence raisonnable sur l’émetteur du produit tokenisé ainsi que sur les fournisseurs tiers / prestataires de services impliqués dans l’arrangement de tokenisation (par exemple, les plateformes de tokenisation), notamment sur leur expérience, antécédents, et sur les caractéristiques de l’arrangement de tokenisation ainsi que les risques qu’il engendre. Elles doivent comprendre et être satisfaites des systèmes et dispositifs de contrôle mis en place par l’émetteur et les fournisseurs tiers / prestataires de services, notamment quant à l’existence et à la manière dont sont gérés les nouveaux risques liés à la propriété des produits tokenisés et aux technologies associées. Les institutions agréées doivent prévoir des dispositions appropriées d’audit technologique (notamment audit des contrats intelligents), des politiques, procédures, systèmes et dispositifs de contrôle rigoureux (y compris un contrôle de gestion adéquat), tels que la gestion des clés privées, ainsi que des mesures de protection contre le vol, la fraude, les erreurs ou omissions, les attaques informatiques et autres risques de cybersécurité. Elles doivent également disposer d’un plan de continuité efficace pour faire face à des événements tels qu’une panne du réseau de grand livre distribué (« DLT »), une cyberattaque, un transfert non autorisé ou la perte des clés privées utilisées pour stocker les produits tokenisés. En outre, les institutions agréées doivent examiner l’interopérabilité entre le réseau DLT et les systèmes de l’émetteur ainsi que ceux d’autres parties telles que les dépositaires ; évaluer la robustesse du réseau DLT utilisé pour les produits tokenisés, notamment ses incidences potentielles en matière de sécurité, confidentialité, vulnérabilités et extensibilité ; ainsi que la situation juridique et réglementaire des produits tokenisés. Les institutions agréées doivent s’assurer que les actifs soutenant les jetons numériques existent bien et que les droits y afférents sont réels.

L’AMHK note que les institutions agréées peuvent également émettre elles-mêmes des produits tokenisés. Si une institution agréée émet ou participe largement à l’émission d’un produit tokenisé, elle doit tenir compte des facteurs susmentionnés relatifs à la diligence raisonnable sur les émetteurs et fournisseurs tiers / prestataires de services impliqués dans l’arrangement de tokenisation. De plus, l’institution agréée doit déterminer l’arrangement de garde le plus adapté en fonction des caractéristiques et des risques du produit tokenisé (y compris notamment les éléments à prendre en compte liés à l’utilisation de jetons non autorisés sur un réseau DLT public non autorisé).

(B) Divulgation des produits et des risques

Les institutions agréées doivent agir dans le meilleur intérêt de leurs clients et divulguer pleinement les informations essentielles relatives aux produits tokenisés, notamment les principales conditions, caractéristiques et risques, afin que les clients puissent prendre des décisions éclairées. Lorsqu’elles proposent un produit tokenisé, les institutions agréées doivent divulguer les informations importantes relatives à l’arrangement de tokenisation, selon le cas, telles que :

(i) Les risques liés au réseau DLT utilisé (y compris les incertitudes potentielles concernant les opérations et la sécurité dues à l’évolution constante de la technologie), ainsi que la possibilité que le réseau DLT concerné ne soit pas interopérable avec d’autres réseaux ou infrastructures

(ii) La vulnérabilité aux menaces de cybersécurité, telles que les attaques informatiques et les violations de sécurité

(iii) Toute restriction imposée au transfert du produit tokenisé

(iv) Le cas échéant, les risques liés à l’utilisation de contrats intelligents (y compris les risques liés à des failles ou lacunes de sécurité dans les contrats intelligents), ainsi que savoir si un audit de contrat intelligent a été réalisé avant son déploiement

(v) Des incertitudes juridiques possibles concernant notamment la propriété et la finalité des règlements sur le réseau DLT

(vi) Le fait que le règlement hors chaîne ou en chaîne soit considéré comme définitif

(vii) Les principales mesures de supervision, ainsi que les plans de continuité et de secours en cas de défaillance système, de panne du réseau DLT ou d’autres situations imprévues

(viii) Le cas échéant, les modalités de garde et les risques associés à la garde des produits tokenisés

(ix) Le cas échéant, les risques liés à la dépendance vis-à-vis des fournisseurs tiers / prestataires de services et des technologies associées

Toutes les informations fournies aux clients doivent être exactes, impartiales et non trompeuses, présentées de manière claire, concise et facilement accessible. Cela inclut les messages publicitaires et les documents promotionnels diffusés en ligne, sous format papier ou via des plateformes de médias sociaux. Les institutions agréées doivent divulguer ces informations en langage simple et compréhensible, en évitant les termes techniques complexes ou obscurs.

(C) Gestion des risques

Les institutions agréées doivent mettre en place des politiques, procédures, systèmes et dispositifs de contrôle appropriés afin d’identifier et d’atténuer les risques liés aux activités portant sur les produits tokenisés. Elles doivent veiller à ce que le cadre de gestion des risques relatif à la vente de produits tokenisés soit adéquat, incluant notamment des politiques et procédures de gestion des risques, des dispositifs de contrôle interne, un traitement des plaintes, la conformité, l’audit interne et la planification de continuité des activités.

Les institutions agréées doivent allouer des ressources suffisantes afin de garantir que leur direction et leurs collaborateurs disposent des connaissances spécialisées nécessaires pour assumer leurs responsabilités dans les activités liées à la tokenisation, y compris la capacité d’expliquer les produits tokenisés aux clients et de gérer les risques qui en découlent.

(D) Services de garde

Si une institution agréée fournit également des services de garde pour des produits tokenisés, elle doit se conformer aux normes attendues publiées de temps à autre par l’AMHK concernant la garde d’actifs numériques.

Mise en œuvre

Avant d’entreprendre des activités liées aux produits tokenisés, les institutions agréées doivent mettre en place des politiques, procédures, systèmes et dispositifs de contrôle suffisants afin de garantir le respect des dispositions énoncées dans la présente notification ainsi que de toute autre réglementation applicable, et doivent consulter préalablement l’AMHK. L’AMHK continuera de surveiller l’environnement réglementaire du marché de la tokenisation et les développements mondiaux, et fournira des orientations supplémentaires aux institutions agréées selon les besoins.