Community post

À moins de neuf mois de l'entrée en application du nouveau règlement européen anti-blanchiment (AMLR), les gestionnaires de fonds d'investissement alternatifs luxembourgeois font face à un enjeu qui dépasse largement la mise à jour de leurs procédures KYC. La véritable question n'est plus seulement de savoir si les informations réglementairement requises ont été collectées, mais si les dispositifs de conformité permettent d'identifier, de comprendre, de maîtriser et de démontrer la gestion effective des risques de blanchiment de capitaux et de financement du terrorisme.

Cette évolution, accélérée par la montée en puissance de l'Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA), appelle une transformation des pratiques de Compliance : passer d'une logique principalement documentaire à une approche véritablement fondée sur les risques, dans laquelle chaque contrôle doit avoir une justification, une finalité et une efficacité démontrables.

Pour les AIFM luxembourgeois, cette transition constitue autant un défi réglementaire qu'une occasion de renforcer la qualité de leur gouvernance et l'efficience de leurs dispositifs de contrôle.

1. 2027 : une nouvelle étape dans l'harmonisation européenne de l'AML/CFT

L'entrée en application, le 10 juillet 2027, du règlement (UE) 2024/1624, communément désigné Anti-Money Laundering Regulation (AMLR), marque une évolution fondamentale de l'architecture européenne de prévention du blanchiment de capitaux et du financement du terrorisme.

En substituant à une partie importante des règles nationales issues des directives un dispositif directement applicable dans les États membres, le législateur européen entend réduire les divergences d'interprétation et renforcer la cohérence des obligations imposées aux entités assujetties.

L'enjeu ne réside cependant pas uniquement dans l'harmonisation des textes.

Il concerne également la manière dont les professionnels devront démontrer l'effectivité de leurs dispositifs.

Le 1er octobre 2026, l'AMLA a annoncé avoir finalisé trois projets de normes techniques de réglementation (Regulatory Technical Standards — RTS) concernant :

• les critères permettant de distinguer les relations d'affaires des transactions occasionnelles et d'identifier les opérations liées ;
• les mesures de vigilance à l'égard de la clientèle, notamment dans les situations de risque réduit, l'identification à distance et l'exposition aux personnes politiquement exposées ;
• les exigences minimales applicables aux dispositifs AML/CFT à l'échelle des groupes, notamment en matière de gouvernance, de contrôles internes et de partage d'informations.

Ces projets ont été transmis à la Commission européenne pour adoption formelle. Ils ne constituent donc pas, au 26 octobre 2026, des normes techniques définitivement adoptées et applicables.

Dans son communiqué du 7 octobre 2026, la CSSF a néanmoins expressément recommandé aux professionnels de finaliser leur analyse des écarts réglementaires (gap analysis) et d'engager les préparatifs nécessaires, notamment au niveau des fonctions Compliance et IT.

L'AMLA propose une période de transition de six mois suivant l'entrée en vigueur des RTS définitifs, une fois ceux-ci adoptés et publiés au Journal officiel de l'Union européenne. Cette proposition doit encore être confirmée dans les textes finaux.

Une distinction essentielle s'impose également : si l'AMLR sera, pour l'essentiel, applicable à compter du 10 juillet 2027, la supervision directe par l'AMLA d'une sélection d'établissements financiers présentant des risques élevés et une dimension transfrontalière est prévue à partir de 2028.

2027 ne marque donc pas le transfert automatique de la supervision des AIFM luxembourgeois à l'AMLA. Il marque en revanche une étape décisive vers un corpus réglementaire européen davantage harmonisé et une convergence renforcée des pratiques de surveillance.

2. L'illusion de la conformité documentaire : pourquoi davantage de KYC ne signifie pas nécessairement davantage de sécurité

Pendant de nombreuses années, l'efficacité des dispositifs AML/CFT a parfois été appréciée, dans les pratiques opérationnelles, à travers des indicateurs essentiellement quantitatifs : nombre de documents collectés, volume de questionnaires complétés, taux de dossiers réputés complets ou fréquence des actualisations documentaires.

Ces indicateurs conservent une utilité. Ils ne sauraient cependant constituer, à eux seuls, une mesure suffisante de l'efficacité de la prévention du risque.

Un dossier KYC peut être formellement complet tout en présentant une analyse insuffisante de la structure de contrôle, de la logique économique de l'opération ou des risques géographiques sous-jacents.

Inversement, une relation présentant des caractéristiques simples et un faible niveau de risque peut faire l'objet de demandes documentaires successives sans que celles-ci améliorent réellement la capacité du professionnel à détecter une activité suspecte.

Le problème n'est pas la documentation en elle-même. Celle-ci demeure indispensable pour satisfaire aux exigences d'identification, de vérification, de conservation et de traçabilité.

Le problème apparaît lorsque la collecte documentaire devient une finalité autonome, déconnectée des risques qu'elle est censée permettre de maîtriser.

Cette distinction rejoint une position clairement exprimée par la CSSF dans sa communication du 16 juin 2026 consacrée aux pratiques de de-risking.

Le superviseur y rappelle que les professionnels doivent gérer efficacement leurs risques de blanchiment et de financement du terrorisme, ce qui ne signifie pas qu'ils doivent systématiquement les éviter.

La CSSF souligne notamment l'importance d'une évaluation nuancée du profil de risque et, lorsque les circonstances le permettent, de mesures alternatives et proportionnées.

Bien que cette communication réponde initialement à des difficultés rencontrées dans l'accès aux services bancaires, son enseignement est particulièrement pertinent pour la réflexion menée dans le secteur de la gestion alternative.

La proportionnalité n'est ni une dérogation générale aux obligations réglementaires ni une justification permettant de contourner les exigences impératives d'identification et de vérification.

Elle implique, au contraire, de déterminer avec rigueur les contrôles requis, ceux qui doivent être renforcés et ceux qui peuvent légitimement être adaptés.

La conformité proportionnée ne consiste pas à en faire moins. Elle consiste à faire ce qui est nécessaire, au bon niveau, pour les bonnes raisons et avec les preuves appropriées.

3. Les AIFM luxembourgeois : une exposition aux risques qui ne se limite pas aux investisseurs

La spécificité des AIFM repose sur une réalité fondamentale : leur exposition aux risques AML/CFT ne peut être appréhendée exclusivement à travers les souscriptions et les relations avec les investisseurs.

Elle doit également être appréciée au regard des stratégies d'investissement, des actifs sous-jacents, des structures d'acquisition et des juridictions dans lesquelles les opérations sont réalisées.

Dans son évaluation des risques du sous-secteur de l'investissement collectif, mise à jour en 2025, la CSSF souligne précisément cette double exposition.

Le superviseur y relève l'attention particulière accordée aux contrôles portant sur les actifs, notamment lorsque les stratégies d'investissement présentent des facteurs de risque additionnels.

Il observe également que, malgré un niveau de risque résiduel sectoriel évalué à « Medium », certains dispositifs de maîtrise des risques chez les AIFM demeurent globalement moins efficaces que ceux observés auprès des sociétés de gestion d'OPCVM.

Cette appréciation sectorielle ne doit naturellement pas être transposée mécaniquement au profil individuel de chaque gestionnaire.

Elle constitue néanmoins un signal prudentiel important.

Les risques liés aux investisseurs

L'analyse doit intégrer la nature de l'investisseur, sa structure de détention et de contrôle, les bénéficiaires effectifs, les juridictions concernées, l'origine des fonds lorsque celle-ci doit être établie, ainsi que la cohérence économique de la souscription.

Le statut d'investisseur professionnel, institutionnel ou réglementé peut constituer un élément pertinent de l'évaluation des risques.

Il ne dispense cependant pas, par principe, de satisfaire aux obligations de vigilance applicables.

De même, la présence d'un intermédiaire réglementé peut contribuer à l'appréciation du risque sans autoriser une délégation implicite et inconditionnelle des responsabilités du professionnel.

Les risques liés aux investissements

Pour un AIFM intervenant en private equity, infrastructure, dette privée ou immobilier, l'analyse de risque doit également porter sur les caractéristiques économiques et structurelles des investissements.

Une acquisition réalisée au moyen de plusieurs sociétés holdings implantées dans différentes juridictions n'est pas nécessairement suspecte.

Les structures internationales répondent fréquemment à des considérations commerciales, juridiques, fiscales, réglementaires ou de financement parfaitement légitimes.

La question déterminante est ailleurs : le gestionnaire comprend-il les fonctions respectives des entités, la logique de leur articulation et les éventuels risques associés à leur utilisation ?

Une analyse pertinente examinera notamment :

• la justification économique et juridique de la structure ;
• les parties exerçant effectivement le contrôle et les bénéficiaires effectifs lorsqu'ils doivent être identifiés ;
• les juridictions pertinentes au regard de l'activité réelle, au-delà du seul siège statutaire ;
• les flux de financement et leur cohérence avec l'opération ;
• l'existence de facteurs aggravants, notamment liés aux sanctions, à la corruption, à la fraude ou à des informations défavorables crédibles.

Cette analyse du risque sur les actifs doit être distinguée des obligations de vigilance à l'égard d'un client au sens strict de l'AMLR. Toutes les sociétés cibles ne deviennent pas automatiquement des clients de l'AIFM du seul fait d'un investissement.

Le périmètre, la profondeur et la nature des diligences doivent être déterminés en fonction des obligations applicables et des risques effectivement identifiés.

Cette distinction est essentielle pour éviter aussi bien les lacunes de contrôle que la transposition indiscriminée des exigences de Customer Due Diligence à l'ensemble des acteurs d'une transaction.

4. La proportionnalité : passer d'une classification administrative à une décision de risque argumentée

L'approche fondée sur les risques n'est pas une innovation introduite par l'AMLR.

Elle constitue déjà un principe central du cadre luxembourgeois, notamment au titre de la loi modifiée du 12 novembre 2004 et du règlement CSSF n° 12-02.

L'évolution attendue réside davantage dans la cohérence, la granularité et la capacité de démonstration de son application.

L'article 10 de l'AMLR impose une évaluation documentée et régulièrement actualisée des risques à l'échelle de l'entité.

L'article 33 prévoit des possibilités de vigilance simplifiée lorsque le degré de risque le justifie et que les conditions réglementaires sont satisfaites.

L'article 34 encadre, pour sa part, les situations nécessitant des mesures de vigilance renforcées.

Le véritable enjeu opérationnel réside dans la traduction de ces principes en décisions intelligibles.

Un AIFM doit pouvoir expliquer pourquoi une relation ou une exposition est considérée comme présentant un risque faible, intermédiaire ou élevé, et comment cette appréciation influence concrètement les mesures appliquées.

Une méthodologie robuste doit ainsi distinguer les facteurs de risque intrinsèques, les mesures d'atténuation effectivement disponibles et le risque résiduel.

Elle doit également éviter qu'une simple accumulation mécanique de facteurs produise un résultat dépourvu de cohérence économique.

Une classification de risque n'a de valeur que si elle conduit à des mesures de contrôle différenciées, justifiées et susceptibles d'être réévaluées.

Une illustration permet de comprendre cette exigence.

Une structure d'investissement domiciliée dans une juridiction internationale peut présenter une complexité juridique importante, tout en étant soutenue par une justification économique claire, une structure de contrôle transparente et des mécanismes de surveillance efficaces.

Sa juridiction d'établissement et sa complexité doivent être analysées, mais elles ne suffisent pas nécessairement, prises isolément, à justifier une classification élevée, sous réserve des situations dans lesquelles la réglementation impose expressément un traitement renforcé.

À l'inverse, une entité établie dans une juridiction généralement considérée comme peu risquée peut présenter une exposition significative en raison de ses activités réelles, de ses flux financiers, de la qualité de sa gouvernance ou d'informations défavorables concernant ses dirigeants.

La pertinence du jugement AML dépend donc de la capacité à apprécier les facteurs de risque dans leur contexte.

5. Le changement de paradigme : de la revue périodique à une surveillance véritablement dynamique

L'un des progrès les plus importants qu'un AIFM puisse accomplir consiste à dépasser une logique de conformité organisée principalement autour des échéances calendaires.

Les revues périodiques restent indispensables.

Elles ne doivent cependant pas constituer le seul mécanisme permettant de détecter une évolution significative du profil de risque.

Une approche mature combine une fréquence de revue adaptée au risque, une surveillance continue et des événements déclencheurs clairement définis.

Elle doit surtout permettre de distinguer un changement purement administratif d'une évolution susceptible d'affecter substantiellement l'exposition AML/CFT.

Premier exemple : un changement de dénomination sociale

Un fonds change de dénomination afin d'harmoniser son identité avec celle de son groupe.

En l'absence de modification de sa personnalité juridique, de son actionnariat, de son contrôle ou de sa gouvernance, ce changement ne constitue pas nécessairement, à lui seul, un motif de réévaluation intégrale du risque.

Il convient naturellement de corroborer les éléments pertinents, d'actualiser les données d'identification, de procéder aux contrôles requis et de s'assurer qu'aucune autre modification significative n'est intervenue.

Une revue KYC complète ne devrait toutefois pas devenir automatique si aucun élément réglementaire ou facteur de risque ne la justifie.

Deuxième exemple : une modification de l'actionnariat ou du contrôle

À l'inverse, un changement de bénéficiaire effectif, l'entrée d'un nouvel investisseur exerçant une influence significative ou la modification d'une chaîne de détention peuvent constituer des événements nécessitant une réévaluation du risque.

La réponse attendue ne se limite alors pas à la collecte d'un nouvel organigramme.

Elle suppose de comprendre la nouvelle structure, de procéder aux vérifications nécessaires et d'apprécier les conséquences sur le niveau de vigilance applicable.

Troisième exemple : l'apparition d'une information défavorable

L'identification d'une information médiatique défavorable ne doit conduire ni à une reclassification automatique ni à son rejet sans analyse.

Le professionnel doit apprécier la fiabilité de la source, la nature des faits, leur gravité, leur actualité, leur lien avec la personne ou l'entité concernée, ainsi que leurs conséquences potentielles sur le risque.

Il convient également de distinguer les alertes non pertinentes, les correspondances confirmées et les faits réellement constitutifs d'un facteur aggravant.

Cette démarche ne doit jamais être confondue avec le traitement des sanctions financières ciblées, qui obéissent à des obligations spécifiques et ne peuvent être neutralisées par une simple décision d'acceptation du risque.

La valeur ajoutée d'une fonction Compliance réside précisément dans cette capacité de discernement.

La question centrale n'est plus seulement : « Le dossier est-il à jour ? » mais : « Depuis notre dernière décision, qu'est-ce qui a réellement changé dans le risque ? »

6. Externalisation, procédures de groupe et outils AML : la responsabilité ne se délègue pas par présomption

La question de l'efficacité des contrôles prend une dimension particulière lorsque les AIFM recourent à des administrateurs de fonds, agents de transfert, fournisseurs de screening ou prestataires spécialisés.

Les constats publiés par la CSSF dans son évaluation sectorielle 2025 sont particulièrement instructifs.

Le superviseur relève que certains AIFM s'appuyaient sur les outils de filtrage et de surveillance transactionnelle de prestataires sans examiner suffisamment leur adéquation.

Il mentionne également des situations dans lesquelles les diligences étaient insuffisantes lorsque des contrôles AML avaient été confiés à des sociétés sœurs ou à des sociétés mères, l'existence de procédures de groupe ayant été présumée suffisante.

Cette observation traduit une distinction majeure entre l'existence formelle d'un dispositif et sa capacité démontrée à fonctionner efficacement.

Pour un AIFM, une surveillance satisfaisante des prestataires implique notamment de comprendre les prestations effectivement réalisées, les données utilisées, les règles de détection, les modalités de traitement des alertes, les niveaux de service, les mécanismes d'escalade et les contrôles de qualité.

L'article 16 de l'AMLR renforce par ailleurs la structuration des exigences à l'échelle des groupes, notamment en matière de gouvernance, d'évaluation des risques et de partage d'informations, dans les situations relevant de son champ d'application.

L'existence d'une politique AML commune constitue un point de départ, non une preuve suffisante d'effectivité.

Cette réflexion devient encore plus importante lorsque les professionnels modernisent leurs systèmes d'information.

La migration vers un nouvel outil AML ne devrait pas être appréciée uniquement à travers la réussite technique de l'importation des dossiers.

Elle doit intégrer des contrôles de complétude et de qualité des données, la préservation des historiques de décision, l'exactitude des relations entre entités et personnes physiques, la continuité des ale