Contrôle de la conformité des exportations et des sanctions : réglementations OFAC, BIS et UE

En 2025, l'Office of Foreign Assets Control (OFAC) du Département du Trésor américain a imposé plus de 1,5 milliard de dollars de sanctions pour violation des sanctions. Le Bureau de l'industrie et de la sécurité (BIS) a refusé les privilèges d'exportation à des centaines d'entités. Et l’UE a étendu ses programmes de sanctions pour couvrir de nouveaux secteurs et de nouvelles zones géographiques. Pour toute entreprise engagée dans le commerce international – y compris les services numériques, les licences de logiciels et le commerce électronique transfrontalier – la conformité des exportations est devenue une exigence opérationnelle essentielle.

Les conséquences du non-respect sont graves : des sanctions pénales pouvant aller jusqu'à 1 million de dollars et 20 ans d'emprisonnement par violation pour des violations délibérées du contrôle des exportations, des sanctions civiles allant jusqu'à 330 000 dollars par violation pour des violations des sanctions de l'OFAC, et le risque existentiel d'être coupé du système financier américain.

Points clés à retenir

• Le contrôle des sanctions doit avoir lieu avant chaque transaction, et pas seulement lors de l'intégration du client.
• Les exportations de logiciels et de technologies nécessitent une classification (ECCN) même lorsqu'aucun bien physique ne traverse les frontières
• Les programmes de sanctions de l'UE, des États-Unis et du Royaume-Uni diffèrent considérablement : le respect de l'un ne garantit pas le respect des autres.
• Les outils de sélection automatisés sont essentiels à grande échelle, mais un examen humain est nécessaire pour les correspondances potentielles

---

Comprendre le paysage réglementaire

La conformité des exportations implique deux régimes distincts mais liés : les programmes de sanctions (qui restreignent les transactions avec des pays, entités et individus spécifiques) et les contrôles à l'exportation (qui restreignent le transfert de biens, de logiciels et de technologies spécifiques).

Programmes de sanctions américains (OFAC)

L'OFAC administre et applique des programmes de sanctions économiques basés sur la politique étrangère américaine et les objectifs de sécurité nationale. Ces sanctions sont parmi les plus larges et les plus agressivement appliquées au monde.

Listes clés de l'OFAC :

Des programmes de sanctions complets interdisent pratiquement toutes les transactions avec certains pays : Cuba, l'Iran, la Corée du Nord, la Syrie et les régions de Crimée/Donetsk/Louhansk en Ukraine.

Les sanctions secondaires étendent la portée des sanctions américaines aux personnes non américaines. Une entreprise européenne qui facilite des transactions importantes avec des entités iraniennes peut elle-même être sanctionnée par les États-Unis, même si elle n’est pas directement soumise à la juridiction américaine.

Contrôles des exportations américaines (BIS)

Le Bureau de l'industrie et de la sécurité du ministère du Commerce administre les réglementations sur l'administration des exportations (EAR). Ces réglementations contrôlent l'exportation d'articles « à double usage » : biens, logiciels et technologies ayant des applications à la fois commerciales et militaires/renseignements.

Listes clés du BIS :

Sanctions de l'UE

L'UE maintient ses propres programmes de sanctions, qui sont juridiquement contraignants pour tous les États membres de l'UE, les ressortissants de l'UE et les entreprises constituées dans l'UE.

Caractéristiques clés :

• Les sanctions de l'UE sont mises en œuvre par le biais des règlements de l'UE (loi directement applicable dans tous les États membres)
• Les objectifs des sanctions peuvent différer des listes américaines (une personne sanctionnée par les États-Unis n'est pas nécessairement sanctionnée par l'UE, et vice versa)
• L'UE maintient la liste consolidée des sanctions financières
• Les sanctions sectorielles ciblent des industries spécifiques (énergie, finance, défense, technologie) dans les pays sanctionnés.
• Les membres de l'UE disposent d'organismes nationaux d'application (par exemple, l'OFSI au Royaume-Uni après le Brexit, l'Autorité néerlandaise des sanctions)

---

Classification : codes ECCN et HTS

Avant de pouvoir déterminer si une exportation nécessite une licence, vous devez classer ce que vous exportez.

Numéro de classification du contrôle des exportations (ECCN)

Les ECCN sont des codes alphanumériques à cinq caractères qui identifient le niveau de contrôle des exportations appliqué à un article :

• Premier caractère (0-9) : Catégorie (par exemple, 5 = Sécurité des télécommunications et de l'information)
• Deuxième caractère (A-E) : Groupe de produits (A = Systèmes/Équipement, D = Logiciel, E = Technologie)
• Caractères restants : Identifiez des éléments spécifiques dans la catégorie

Exemples de classifications pertinentes pour les entreprises technologiques :

Considérations relatives aux logiciels et à la technologie

De nombreuses entreprises technologiques sont surprises d’apprendre que les exportations de logiciels sont contrôlées :

• Les logiciels de cryptage dépassant certains seuils nécessitent une classification et peuvent nécessiter des licences d'exportation.
• Les logiciels de chiffrement open source bénéficient d'une exemption spécifique (accessible au public) mais nécessitent une notification au BIS. - Les services cloud peuvent constituer une « exportation présumée » s'ils sont accessibles par des ressortissants étrangers
• Les produits SaaS dotés de capacités de chiffrement nécessitent une classification même si aucun produit physique ne traverse une frontière.
• Le transfert de technologie comprend les données techniques, le matériel de formation et l'assistance technique

###Codes HTS

Les codes de la liste tarifaire harmonisée sont utilisés à des fins douanières et déterminent les tarifs applicables. Bien qu'ils soient distincts de la classification ECCN, les codes HTS doivent être précis pour les déclarations en douane. Une mauvaise classification peut entraîner des droits sous-payés, des retards d’importation et des pénalités.

---

Créer un programme de contrôle des sanctions

Flux de travail de filtrage des transactions

Un contrôle efficace des sanctions nécessite de vérifier plusieurs points de contact dans chaque transaction :

1. Intégration des clients. Vérifiez le nom du client, ses pseudonymes, ses adresses et ses bénéficiaires effectifs par rapport à toutes les listes de sanctions applicables avant d'établir la relation commerciale.
2. Contrôle des transactions. Examinez chaque transaction pour identifier les parties sanctionnées, les pays et les problèmes liés à l'utilisation finale. Cela inclut l'acheteur, le destinataire de la livraison, l'utilisateur final et tous les intermédiaires.
3. Contrôle des paiements. Filtrez les détails de paiement des banques, institutions financières et bénéficiaires sanctionnés.
4. Surveillance continue. Revérifiez les clients existants lorsque les listes de sanctions sont mises à jour (l'OFAC met à jour quotidiennement sa liste SDN).
5. Escalade et examen. Les correspondances potentielles doivent être examinées par un responsable de la conformité qualifié. Les faux positifs (fréquents lors du dépistage nominatif) doivent être documentés et résolus.

Comparaison des outils de dépistage

Intégration de Screening aux systèmes ERP

Pour les entreprises utilisant Odoo ou des systèmes ERP similaires, le contrôle des sanctions doit être intégré aux points clés du processus :

• Création de contact : Sélection automatique lorsqu'un nouveau client ou fournisseur est ajouté
• Confirmation de la commande client : Ré-écran avant le traitement de la commande
• Approbation du bon de commande : Filtrer les fournisseurs et les pays d'expédition
• Expédition/logistique : Écran des adresses de livraison et des transitaires
• Traitement des paiements : Vérifiez les coordonnées bancaires avant le décaissement

Le contrôle doit être non bloquant pour les passes claires et bloquant (avec examen de conformité requis) pour les correspondances potentielles.

---

Éléments du programme de conformité

L'OFAC, le BRI et les régulateurs de l'UE soulignent tous que la mise en place d'un programme de conformité constitue un facteur atténuant important en cas de violation. En fait, l'OFAC considère explicitement l'adéquation d'un programme de conformité lors de la détermination des sanctions.

Les cinq composantes essentielles de l'OFAC

Le cadre d'engagements de conformité de l'OFAC identifie cinq éléments essentiels :

1. Engagement de la direction. La haute direction soutient et finance le programme de conformité. Il existe un responsable de la conformité désigné, doté d’une autorité et d’une indépendance adéquates.

2. Évaluation des risques. L'entreprise identifie et évalue son risque de sanctions en fonction des clients, des produits, des services, des zones géographiques et des canaux. L'évaluation des risques est mise à jour chaque année.

3. Contrôles internes. Politiques, procédures et processus qui identifient, interdisent, signalent et signalent les transactions qui peuvent être interdites. Cela comprend les outils de sélection, les flux de travail d'approbation et la tenue de dossiers.

4. Tests et audits. Tests indépendants de l'efficacité du programme de conformité. Cela comprend le test des outils de sélection (est-ce qu'ils détectent les parties sanctionnées connues ?), l'examen des procédures de remontée d'informations et l'audit des dossiers de formation.

5. Formation. Formation régulière et spécifique à chaque rôle pour tous les employés impliqués dans des transactions pouvant impliquer des sanctions. Les dossiers de formation doivent être conservés.

Exigences en matière de tenue de registres

Tenir des registres de :

• Tous les résultats de dépistage (positifs et négatifs)
• Documentation sur la résolution des correspondances (comment les correspondances potentielles ont été étudiées et résolues)
• Demandes de licence et déterminations
• Transactions bloquées ou rejetées
• Dossiers et matériels de formation
• Évaluations et mises à jour des risques
• Politiques et procédures du programme de conformité
• Divulgations volontaires (si des violations sont identifiées)

Durée de conservation : L'OFAC exige que les dossiers soient conservés pendant au moins cinq ans. Le BIS exige cinq ans à compter de la date d’exportation. La meilleure pratique consiste à conserver la personne pendant la plus longue des deux périodes.

Pour connaître les exigences détaillées en matière de piste d'audit dans tous les cadres de conformité, consultez notre guide de conformité des pistes d'audit.

---

Violations courantes et comment les éviter

Violation 1 : Défaut de filtrage

La violation la plus courante est tout simplement l’absence de contrôle du tout, ou le contrôle lors de l’intégration, mais pas de manière continue. Les listes de sanctions changent quotidiennement : un client qui était abstinent le mois dernier peut être sanctionné aujourd'hui.

Prévention : Mettez en œuvre une nouvelle vérification automatisée déclenchée par les mises à jour de la liste.

Violation 2 : correspondance de nom inadéquate

La sélection nominative est par nature imparfaite. Les problèmes courants incluent les variations de translittération (noms arabes, chinois, cyrilliques), les noms courants générant un nombre excessif de faux positifs et les échecs de correspondance des alias/AKA.

Prévention : Utilisez des algorithmes de correspondance floue, configurez des seuils de correspondance appropriés et examinez toujours les correspondances potentielles manuellement.

Violation 3 : ignorer la propriété effective

La règle des 50 % de l'OFAC stipule que les entités détenues à 50 % ou plus par une personne sanctionnée sont elles-mêmes considérées comme sanctionnées, même si l'entité ne figure pas sur la liste SDN.

Prévention : Effectuez une vérification de la propriété effective pour toutes les relations commerciales importantes. Ceci est particulièrement important pour les transactions B2B.

Violation 4 : réexportation non autorisée

Les biens, logiciels ou technologies exportés des États-Unis peuvent être soumis à des contrôles de réexportation. Si votre filiale européenne reçoit un logiciel d'origine américaine et le distribue vers un pays tiers, cette réexportation est soumise aux contrôles d'exportation américains.

Prévention : Suivez l'origine des biens et des technologies tout au long de votre chaîne d'approvisionnement. Inclure des clauses de restriction de réexportation dans les accords de distribution.

Pour obtenir des conseils sur la façon dont la conformité des exportations s’inscrit dans un cadre de conformité plus large, consultez notre manuel de conformité d’entreprise.

---

Questions fréquemment posées

Les éditeurs de logiciels doivent-ils s'inquiéter des contrôles à l'exportation ?

Oui. Les logiciels sont explicitement couverts par les contrôles à l'exportation américains (EAR), les réglementations européennes en matière de double usage et l'Arrangement de Wassenaar. Les logiciels de cryptage, les outils de cybersécurité, les logiciels d’IA/ML pour certaines applications et les technologies liées aux éléments contrôlés nécessitent tous une classification. Même les produits SaaS livrés via le cloud peuvent constituer une « exportation » ou une « exportation présumée » en vertu de la réglementation américaine.

Quelle est la différence entre les sanctions et les contrôles à l'exportation ?

Les sanctions limitent les personnes avec lesquelles vous pouvez faire affaire (pays, entités et individus spécifiques). Les contrôles à l'exportation restreignent ce que vous pouvez exporter (biens spécifiques, logiciels et technologies). Une transaction peut violer les deux simultanément, par exemple en exportant un logiciel de cryptage contrôlé vers une entité sanctionnée. Vous devez vous conformer aux deux régimes de manière indépendante.

Comment traitons-nous les faux positifs lors du dépistage ?

Les faux positifs sont inévitables, surtout avec les noms courants. Établissez un processus d'examen documenté : lorsqu'une correspondance potentielle est signalée, un responsable de la conformité qualifié enquête à l'aide d'identifiants supplémentaires (date de naissance, adresse, nationalité, détails de l'entreprise). Si la correspondance s’avère être un faux positif, documentez le raisonnement et validez la transaction. Maintenez une liste de « parties autorisées » pour réduire les futurs faux positifs pour la même entité, mais effectuez un nouveau contrôle périodiquement.

Y a-t-il des implications en matière de contrôle des exportations pour les logiciels open source ?

Les logiciels open source sont généralement exemptés des contrôles à l'exportation américains en vertu de l'exception « accessible au public », mais avec des mises en garde importantes. Vous devez déposer une notification auprès du BIS et de la NSA lorsque vous rendez public le code source de cryptage. Et l'exemption s'applique uniquement aux logiciels réellement accessibles au public : les modifications propriétaires ou les versions personnalisées peuvent ne pas être éligibles.

Que devons-nous faire si nous découvrons une violation passée des sanctions ?

L'OFAC encourage fortement l'auto-divulgation volontaire (VSD). Les entreprises qui divulguent volontairement des violations reçoivent généralement des sanctions considérablement réduites --- L'OFAC considère le VSD comme un facteur atténuant majeur. Engagez immédiatement un conseiller juridique, mettez fin à l'activité interdite, conservez tous les dossiers pertinents et préparez une divulgation complète à l'OFAC qui comprend les faits, les manquements à la conformité qui l'ont permis et les mesures correctives que vous avez prises.

---

Quelle est la prochaine étape

La conformité des exportations et le contrôle des sanctions ne sont pas facultatifs pour les entreprises opérant à l’échelle internationale : les sanctions en cas de non-conformité sont sévères et l’application s’intensifie. Construire un programme de conformité robuste avec une sélection automatisée, des procédures de remontée d'informations claires et une formation complète est un investissement qui protège votre entreprise des risques existentiels.

ECOSIRE aide les entreprises internationales à mettre en place des opérations commerciales conformes. Nos implémentations Odoo ERP peuvent intégrer le contrôle des sanctions à chaque point de contact de transaction, de l'intégration du client au traitement des expéditions. Pour une surveillance de la conformité et une évaluation des risques basées sur l'IA, explorez notre plateforme OpenClaw AI. Contactez-nous pour discuter de vos besoins en matière de conformité à l'exportation.

---

Publié par ECOSIRE — aider les entreprises à évoluer grâce à des solutions basées sur l'IA dans Odoo ERP, Shopify eCommerce et OpenClaw AI.