En s’inspirant des standards internationaux de lutte contre le blanchiment et le financement du terrorisme, tout en adaptant les exigences aux réalités locales, le Kenya se dote donc d’un cadre détaillé couvrant l’ensemble des activités liées aux actifs numériques. On parle ici des échanges, portefeuilles, émissions d’offres initiales de pièces (ICO), tokenisation d’actifs du monde réel, stablecoins, de la gestion d’actifs, du conseil en investissement et traitement des paiements.
En outre, les autorités de régulation sectorielles à savoir la Banque centrale du Kenya, l'Autorité des marchés financiers et d'autres agences se partagent la supervision selon la nature de l’activité, tandis qu’une sorte de Forum de coordination assure la concertation inter-agences.
A l'analyse, ce règlement impose des obligations strictes en matière de licences/ autorisation, de capital, de gouvernance, de cybersécurité, de protection des consommateurs, de conduite des marchés et de lutte contre les abus. Il prévoit également des sanctions administratives et pénales dissuasives, ainsi que des procédures de gel et de saisie des actifs virtuels.
Premier point à retenir : un champ d’application large couvrant dix catégories de prestataires.
La réglementation s’applique à toute personne physique ou morale fournissant des services sur actifs virtuels au Kenya. Elle distingue dix types d’activités soumises à agrément :
- fournisseur de portefeuille virtuel,
- plateforme d’échange,
- prestataire de paiement virtuel,
- courtier en actifs virtuels,
- conseiller en investissement,
- gestionnaire d’actifs virtuels,
- fournisseur d’offre d’ICO,
- fournisseur de tokenisation,
- plateforme d’émission de jetons, et
- émetteur de stablecoins.
Chaque catégorie est soumise à des exigences de capital, de liquidité et de frais spécifiques et dans le même temps, les prestataires qui sont déjà en activité disposent d’un délai pour se conformer, ce qui implique que toute nouvelle activité nécessite une autorisation préalable.
Deuxième point à retenir : un régime de licence exigeant et des frais d’application différenciés.
L’obtention d’un agrément requiert le dépôt d’un dossier complet incluant un plan d’affaires, une évaluation « fit and proper » pour les dirigeants et actionnaires significatifs, des preuves de capital versé et de liquidité, des politiques de lutte contre le blanchiment (AML/CFT/CP), des rapports d’audit informatique et des preuves d’assurance. En outre, les frais de demande et d'agrément varient selon l’activité, ainsi il faut par exemple 2 millions de shillings pour l'agrément d’émetteur de stablecoin, tandis qu’un conseiller en investissement ne paie que 50 000. Au reste, les renouvellements annuels sont basés sur un pourcentage du chiffre d’affaires ou des actifs sous gestion, avec des minimums et maximums. L'agrément ne peut être cédée ou transférée qu’après trois ans d’exploitation et avec l’approbation de l’autorité compétente, sous peine de nullité.
Troisième point à retenir : des exigences de capital et de liquidité strictes, proportionnées aux risques.
Les émetteurs de stablecoins doivent disposer de 300 millions de shillings de capital versé et de 60 millions ou 100 % de leurs passifs courants sur 30 jours (le montant le plus élevé). Par ailleurs, les plateformes d’échange nécessitent 100 millions de capital et 20 millions de liquidités. Dans le même temps, les fournisseurs de portefeuille doivent avoir 150 millions de capital et 30 millions de liquidités , les gestionnaires d’actifs et les plateformes d’ICO ont un capital de 20 millions.
Ce capital doit être entièrement libéré, non grevé, et ne peut provenir de fonds empruntés ni de réserves de réévaluation. De plus, en cas de baisse en dessous du minimum, le prestataire doit notifier immédiatement et soumettre un plan de rétablissement. Le non-respect expose à des sanctions administratives.
Quatrième point à retenir : une obligation permanente de conformité et de reporting, avec conservation des données pendant sept ans.
Les prestataires doivent garantir des services équitables, transparents et efficaces et sont tenus de soumettre des rapports mensuels (volumes, valeurs, incidents, plaintes), des états financiers trimestriels, des rapports de capital et de liquidité, et des comptes annuels audités dans les trois mois suivant la clôture de l’exercice. En clair, ces échanges doivent fournir des rapports quotidiens et mensuels sur les cotations, suspensions, volumes et prix. Les gestionnaires d’actifs doivent rendre compte trimestriellement des actifs sous gestion. Toutes les transactions et activités doivent être enregistrées avec des métadonnées techniques (adresses de portefeuille, identifiants de réseau, journaux d’interaction) et conservées pendant au moins sept ans. Ces obligations de traçabilité répondent aux exigences de lutte contre le blanchiment et permettent aux autorités d’effectuer des inspections et des investigations approfondies.
Cinquième point à retenir : des règles rigoureuses de gouvernance d’entreprise et de gestion des conflits d’intérêts.
Le conseil d’administration doit comporter au moins trois membres, dont un tiers d’administrateurs indépendants, et le président ne peut être le directeur général. Par ailleurs, les administrateurs doivent être « fit and proper » (honorabilité, compétence, expérience). Un responsable de la conformité, indépendant des fonctions opérationnelles, doit être désigné avec un accès direct au conseil.
De plus, les prestataires doivent établir des politiques formelles pour identifier, prévenir et gérer les conflits d’intérêts, notamment en érigeant des barrières d’information entre les services et en formant le personnel. Ils ne peuvent utiliser les informations obtenues des consommateurs à leur propre profit ou pour le bénéfice d’un autre consommateur. Enfin, les administrateurs et les cadres supérieurs sont tenus de déclarer leurs intérêts dans d’autres prestataires, et le registre des intérêts est consultable par l’autorité de régulation.
Sixième point à retenir : la séparation stricte des actifs des consommateurs et l’interdiction de leur utilisation par le prestataire.
Les actifs virtuels des consommateurs doivent être séparés à la fois sur la chaîne de blocs (adresses distinctes) et dans les comptes internes. De plus, les fonds en monnaie fiduciaire doivent être placés sur des comptes séparés dans des banques agréées au Kenya, dès le jour ouvrable suivant leur réception et aussi, le prestataire ne peut prêter, utiliser, hypothéquer ou nantir les actifs des consommateurs.
Pour les portefeuilles, des procédures de réconciliation mensuelle entre les soldes on-chain et les registres internes sont imposées et les consommateurs doivent recevoir des relevés de position au moins trimestriellement et à chaque demande. Selon ce Règlement, les prestataires doivent maintenir des registres précis et accessibles, et procéder à des évaluations indépendantes annuelles des actifs sous gestion. En cas de défaut, la faillite ou la liquidation, les actifs des consommateurs ne sont pas exposés aux créanciers du prestataire.
Septième point à retenir : des obligations renforcées en matière de cybersécurité et de continuité d’activité.
Chaque prestataire doit disposer d’une stratégie de cybersécurité avec un responsable dédié (chief information security officer), des politiques documentées, des formations régulières du personnel, et une revue annuelle du dispositif. Les systèmes et contrôles doivent garantir la confidentialité, l’intégrité et l’accessibilité des données. Et aussi, des audits de cybersécurité, incluant des tests de vulnérabilité et des tests d’intrusion, sont obligatoires (semestriels la première année, annuels ensuite) et tout incident de cybersécurité doit être signalé à l’autorité dans les 24 heures, avec un rapport détaillé sous cinq jours ouvrables. Un plan de continuité d’activité et de reprise après sinistre, testé annuellement, doit être établi et approuvé par le conseil. Les prestataires doivent également souscrire une assurance couvrant les risques cyber, le vol, la perte de clés et les défaillances opérationnelles.
Huitième point à retenir : un cadre complet pour les offres initiales de pièces (ICO) et les cotations sur les plateformes.
Toute émission d’ICO doit être approuvée par l’Autorité des marchés financiers (Capital Markets Authority) après dépôt d’un livre blanc détaillé comprenant des informations sur les promoteurs, les dirigeants, l’objet du projet, les caractéristiques de l’offre, les droits des détenteurs, le calendrier, l’utilisation des fonds, les risques, les états financiers et la technologie utilisée. De plus, l’approbation est valable douze mois, renouvelable une fois pour six mois et les ICO ne peuvent être commercialisées qu’après approbation et dans la limite de la durée autorisée. Les plateformes d’échange doivent soumettre des règles de cotation, effectuer une due diligence sur chaque actif avant admission (tenant compte de sa réglementation, sa liquidité, ses risques, ses audits techniques), et maintenir une liste publique des actifs cotés. Enfin, les stablecoins ne peuvent être cotés sans l’approbation de la Banque centrale du Kenya mais c'est l'Autorité qui peut ordonner la radiation d’un actif en cas de risque pour la stabilité financière ou la protection des consommateurs.
Neuvième point à retenir : une régulation des stablecoins particulièrement stricte, avec adossement et rachat à la valeur nominale.
Les émetteurs de stablecoins doivent être agréés par la Banque centrale du Kenya et aussi les réserves de chaque stablecoin doivent être égales ou supérieures à la valeur nominale de tous les jetons émis, et être composées d’actifs liquides comme des dépôts bancaires, des titres publics à échéance de 90 jours ou des pensions à 7 jours. Aussi, ces réserves sont séparées du patrimoine de l’émetteur et protégées des créanciers.
Dans un autre sens, les détenteurs ont un droit de rachat à tout moment, à la valeur nominale, avec remboursement en monnaie fiduciaire dans un délai de deux jours ouvrables et aussi l’octroi d’intérêts sur les stablecoins est interdit.
En tout état de cause, les émetteurs doivent publier un livre blanc, le tenir à jour, effectuer des audits trimestriels des réserves et des stress tests trimestriels, et déclarer mensuellement les détails des réserves et les cas de dé-peg. Au moins 30 % des fonds reçus doivent être déposés sur des comptes séquestres dans des banques kenyanes, et les investissements des réserves sont limités aux actifs agréés.
Dixième point à retenir : des règles de conduite des marchés interdisant les abus de marché, les manipulations et les conflits d’intérêts.
Le règlement réprime plusieurs infractions : délit d’initié (utilisation d’informations privilégiées), manipulation de cours (transactions visant à fausser les prix), fausses transactions et trucages, déclarations trompeuses, induction frauduleuse à la négociation, utilisation de dispositifs manipulateurs, front-running (utilisation d’informations sur les ordres des clients pour des transactions personnelles) et churning (multiplication excessive d’opérations). Les prestataires doivent établir des règles et procédures pour identifier, dissuader et prévenir ces abus, et les signaler à l’autorité. Les agents des prestataires doivent respecter des normes élevées d’intégrité, de loyauté et de diligence. La publicité et la promotion des actifs virtuels sont strictement encadrées : les annonces doivent être claires, non trompeuses, mentionner les risques, les frais, et ne pas promettre de rendements. Les techniques de marketing agressif et les pratiques internet abusives sont proscrites.
Onzième point à retenir : la tokenisation des actifs du monde réel est soumise à des exigences spécifiques.
Toute personne souhaitant tokeniser un actif réel (immeuble, œuvre d’art, etc.) doit obtenir un agrément auprès de l’Autorité des marchés financiers et produire un livre blanc pour décrire avec précision les droits du jeton, le mécanisme de tokenisation, la propriété sous-jacente, les modalités de garde, les risques et la valorisation. Par ailleurs, une évaluation indépendante de la juste valeur de l’actif et un audit du système technique sont exigés autant que l’actif tokenisé doit avoir des droits juridiques clairs, être vérifiable et libre de toute charge.
De plus, les jetons sont créés sur une blockchain ayant des règles d’ownership et de transfert codées en contrats intelligents. Dans le process, après l’offre primaire, ils sont cotés sur une plateforme agréée pour garantir la liquidité et les émetteurs doivent divulguer toute émission supplémentaire ou modification des smart contracts. Ces dispositions visent à sécuriser cette pratique émergente tout en protégeant les investisseurs.
Douzième point à retenir : la protection des consommateurs, obligations d’information, de conseil et de gestion des réclamations.
Avant toute transaction, le prestataire doit fournir au consommateur des informations claires et en langage non technique sur le statut de l'agrément, les frais, les risques, les procédures de retrait et les droits de recours. De même, il doit s’assurer que les services recommandés sont adaptés au profil du consommateur, sur la base d’informations recueillies lors de la due diligence initiale.
Ces prestataires doivent aussi mettre en place des procédures de traitement des réclamations, avec un système de soin à la clientèle, des délais de réponse (maximum 21 jours), et un registre des plaintes conservé sept ans. Dans le même sens, ils ne peuvent exclure ou limiter leur responsabilité contractuelle envers les consommateurs, et doivent afficher de manière bien visible les termes du service. En cas de faillite, la liquidation doit donner priorité aux créances des consommateurs.
Treizième point à retenir : le gel et la saisie des actifs virtuels sont encadrés, avec des obligations pour les prestataires de coopérer.
Les ordres de gel et de saisie sont délivrés par une autorité judiciaire compétente conformément aux lois sur le blanchiment d’argent et la corruption et le prestataire doit immédiatement geler les actifs spécifiés, empêcher tout retrait ou transfert, préserver les enregistrements et fournir aux autorités toutes les données techniques (adresses, historiques, identifiants). En cas de saisie, il doit transférer les actifs vers un portefeuille sécurisé contrôlé par l’autorité, et permettre l’accès aux dispositifs physiques (portefeuilles matériels, etc.). Dans ce sens, les autorités doivent maintenir une chaîne de garde détaillée et prendre des mesures pour préserver la valeur des actifs saisis, y compris, sur autorisation judiciaire, la conversion en monnaie fiduciaire. Le non-respect constitue une infraction pénale.
Quatorzième point à retenir : les sanctions administratives et pénales sont dissuasives.
Le règlement distingue les contraventions administratives (non-respect des obligations d’information, de publicité, de reporting, de cybersécurité, de séparation des actifs, etc.) qui exposent les individus à des amendes jusqu’à 3 millions de shillings et les sociétés jusqu’à 5 millions, ainsi qu’à des mesures correctives (suspension, révocation).
Quant à elles, les infractions pénales (fausses déclarations, manipulation de capital, délit d’initié, manipulation de marché, fausses transactions, front-running ( délit d'initié sur l'ordre de bourse), churning ( Excès d'ordres de bourses pour gagner des commissions), non-respect des ordres de gel, etc.) sont passibles pour les individus d’une amende de 5 millions de shillings et d’une peine d’emprisonnement de cinq ans, ou des deux ; pour les sociétés, une amende de 8 millions de shillings. Les amendes sont recouvrées comme dettes civiles. Les autorités peuvent également suspendre, révoquer ou retirer les licences et approbations.
Quinzième point à retenir : une coordination inter-agences et un Forum de coordination pour assurer une supervision unifiée.
Le règlement institue un « Virtual Assets Services Coordination Forum », présidé par le Trésor national, réunissant seize institutions :
- Banque centrale,
- Autorité des marchés financiers,
- Agence de recouvrement des avoirs,
- Commission anti-corruption,
- Centre de reporting financier,
- Direction des enquêtes criminelles,
- Service national de renseignement,
- Autorité du centre financier international de Nairobi,
- Comité national de coordination des cybercrimes,
- Bureau du commissaire à la protection des données,
- Bureau du Directeur des poursuites publiques,
- Administration fiscale (KRA),
- Bureau du Procureur général,
- Autorité des communications,
- Centre national de lutte contre le terrorisme, et d’autres agences désignées.
Le Forum se réunit au moins trimestriellement pour échanger des informations, harmoniser les approches, résoudre les problèmes intersectoriels et réaliser des évaluations des risques.
Leçons à tirer pour la CEMAC du Kenyan Virtual Asset Service Providers Regulations 2026.
On constate qu'un principe de proportionnalité se révèle et fait que le Kenya, avec ce texte déjà en vigueur s'impose un régime d’agrément détaillé avec dix catégories de prestataires, des exigences de capital et de liquidité strictement proportionnées aux risques (notamment 300 millions de shillings pour les émetteurs de stablecoins), et une séparation absolue des actifs des consommateurs de ceux du prestataire, avec interdiction formelle de les utiliser pour son propre compte.
La CEMAC devrait retenir de ce modèle :
- l’obligation d’une gouvernance d’entreprise solide (administrateurs indépendants, responsable de la conformité),
- l’instauration de règles précises pour les stablecoins (adossement intégral des réserves, rachat à la valeur nominale sous deux jours, interdiction des intérêts), et
- les audits de cybersécurité obligatoires avec signalement des incidents dans les 24 heures,
- l’importance d’une coordination inter-agences (Forum de coordination réunissant seize institutions) pour lutter contre le blanchiment et les abus de marché, ce qui est crucial pour la CEMAC où les flux transfrontaliers sont fréquents. Enfin, le dispositif kenyan,
- les sanctions administratives et pénales sont dissuasives (amendes jusqu’à 5 millions de shillings et peines d’emprisonnement) et rappellent qu’un cadre attractif ne doit pas sacrifier la dissuasion, et que les autorités monétaires et financières doivent pouvoir activer,
- les pouvoirs d’inspection, de gel et de saisie pour préserver la stabilité financière régionale.