Community post
A conversation from the Les Consultants e-learning platform.
E-learning
Luxembourg | Compliance & AML/CFT | 2 novembre 2026
Et si le véritable progrès réglementaire ne consistait plus à collecter davantage de documents, mais à démontrer pourquoi chaque information est nécessaire, fiable et proportionnée au risque ?
Le 1er octobre 2026, l'Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA) a publié trois projets finalisés de normes techniques de réglementation (Regulatory Technical Standards – RTS), destinés à compléter le règlement européen (UE) 2024/1624, dit AMLR.
Le 7 octobre, la CSSF a adressé un message explicite aux professionnels luxembourgeois : finaliser leurs analyses d'écarts (gap analyses) et engager sans attendre les préparatifs nécessaires, notamment au sein des fonctions Compliance et IT.
Ces textes, encore soumis à l'adoption de la Commission européenne, traduisent une évolution majeure : le passage d'une conformité essentiellement documentaire vers une conformité harmonisée, proportionnée, technologiquement maîtrisée et démontrable.
Pour les AIFM, sociétés de gestion, établissements financiers et autres entités assujetties, les implications dépassent largement une simple actualisation des procédures AML/CFT.
1. Relations d'affaires et transactions occasionnelles : la qualification juridique détermine l'intensité des contrôles
RTS pris sur le fondement de l'article 19(9) de l'AMLR.
Le premier texte harmonise les critères permettant de distinguer une relation d'affaires d'une transaction occasionnelle et d'identifier les transactions liées.
La distinction est essentielle : une relation d'affaires implique des obligations de vigilance et de suivi continu, tandis que les transactions occasionnelles relèvent de règles spécifiques, notamment de seuils, sous réserve des exceptions applicables.
Le seuil général prévu par l'AMLR est de 10 000 euros pour les transactions occasionnelles, avec des seuils particuliers et des situations imposant une vigilance indépendamment du montant.
Le projet précise également les critères de durée, de répétition et d'interconnexion des transactions. Il ne crée pas de nouveaux seuils réduits supplémentaires par rapport à ceux déjà prévus par l'AMLR.
L'enjeu opérationnel : éviter qu'une qualification inappropriée de la relation conduise à une vigilance insuffisante ou, inversement, à des exigences disproportionnées.
Pour les gestionnaires de fonds, cela implique notamment de distinguer avec rigueur les relations clients et investisseurs des diligences réalisées sur les investissements, contreparties et partenaires commerciaux. Ces dernières peuvent relever d'autres obligations ou contrôles fondés sur les risques, sans constituer systématiquement des relations d'affaires avec un client au sens de l'AMLR.
La bonne question n'est donc pas uniquement : « Avons-nous effectué un KYC ? »
Elle devient : « Quelle obligation de vigilance s'applique précisément à cette relation, et sur quel fondement ? »
2. Customer Due Diligence : vers un KYC plus harmonisé, mais surtout plus proportionné
RTS pris sur le fondement de l'article 28(1) de l'AMLR.
C'est probablement le texte dont les conséquences opérationnelles seront les plus importantes.
Il précise les informations à collecter et à vérifier concernant les clients, les bénéficiaires effectifs et les personnes agissant pour leur compte, ainsi que les modalités de vigilance simplifiée ou renforcée.
Il encadre également les sources fiables et indépendantes, l'identification électronique, les vérifications à distance et les contrôles relatifs aux personnes politiquement exposées (PEP) et aux sanctions financières ciblées.
Mais une orientation mérite une attention particulière : la proportionnalité cesse d'être un principe abstrait pour devenir un élément concret de la détermination des données à collecter.
Trois exemples issus du projet illustrent cette évolution.
Premier exemple : l'adresse personnelle n'est pas systématiquement indispensable.
Dans certaines situations de faible risque relevant de la vigilance simplifiée, le projet prévoit, pour les clients personnes physiques, un ensemble réduit de données d'identification à collecter et vérifier, sans imposer l'obtention et la vérification de leur adresse.
Il prévoit également, lorsque des dirigeants sont identifiés à défaut de pouvoir identifier un bénéficiaire effectif, la possibilité de retenir l'adresse professionnelle ou officielle de l'entité, plutôt que leur adresse résidentielle.
Cette dernière disposition ne constitue pas une dispense générale applicable à tous les dirigeants : elle vise une situation juridique déterminée.
Deuxième exemple : vérifier ne signifie pas nécessairement multiplier les documents.
Le projet reconnaît différentes sources fiables et indépendantes, notamment les registres publics et certaines solutions d'identification électronique.
La vérification doit répondre à une exigence de fiabilité, non à une logique d'accumulation documentaire.
En revanche, les informations figurant dans un registre des bénéficiaires effectifs ne suffisent pas, à elles seules, à satisfaire toutes les exigences de vérification.
Troisième exemple : le KYC renforcé doit correspondre à un risque réellement identifié.
Les informations complémentaires relatives à l'origine des fonds, à l'origine du patrimoine ou à la réputation doivent s'inscrire dans une évaluation cohérente des risques.
La vigilance renforcée ne doit pas être transformée en standard documentaire indifférencié.
Ces précisions ne créent pas un droit automatique de refuser toute demande documentaire supplémentaire. Elles renforcent néanmoins la nécessité de pouvoir en expliquer la pertinence.
La conséquence est fondamentale : un dossier KYC volumineux n'est pas nécessairement un dossier KYC conforme.
À l'inverse, un dossier plus synthétique, fondé sur des informations fiables, suffisamment vérifiées et adaptées au niveau de risque, peut constituer une réponse réglementaire plus pertinente.
3. Dispositifs AML/CFT de groupe : l'harmonisation ne dispense pas de responsabilité locale
RTS pris sur le fondement des articles 16(4) et 17(3) de l'AMLR.
Le troisième projet renforce les exigences applicables aux dispositifs AML/CFT à l'échelle des groupes.
Il couvre notamment la gouvernance, l'évaluation consolidée des risques, les politiques communes, les contrôles internes et les mécanismes de partage sécurisé des informations.
Une attention particulière est portée aux implantations situées dans des pays tiers, lorsque les législations locales limitent l'application des exigences européennes.
Le projet prévoit alors des mécanismes de notification et des mesures complémentaires d'atténuation des risques, pouvant aller jusqu'à la restriction de certaines activités lorsque les obstacles ne peuvent être surmontés.
Pour les groupes financiers internationaux, l'enjeu est double : harmoniser les dispositifs sans diluer les responsabilités des entités réglementées.
Le partage intragroupe des informations KYC et AML/CFT ne saurait être considéré comme un transfert automatique des responsabilités réglementaires.
Il doit respecter les exigences de confidentialité, de protection des données, de sécurité et de nécessité d'accès aux informations.
Surtout, chaque entité assujettie demeure responsable de ses propres décisions de conformité et de son approche fondée sur les risques.
Une politique AML/CFT harmonisée au niveau du groupe ne remplace donc ni une évaluation locale des risques ni un dispositif effectif de contrôle et d'escalade.
4. Le véritable enjeu : transformer la gap analysis en programme de conformité opérationnelle
La communication CSSF du 7 octobre 2026 est particulièrement significative.
Le régulateur ne se limite pas à inviter les professionnels à prendre connaissance des textes. Il recommande explicitement de finaliser les analyses d'écarts et de préparer leur mise en œuvre.
Pour les fonctions Compliance, les dirigeants et les organes de gouvernance, quatre chantiers devraient constituer les priorités :
- Revoir les méthodologies KYC et Risk-Based Approach : vérifier l'alignement des critères de classification, des exigences documentaires et des mesures de vigilance avec les nouveaux standards européens.
- Réexaminer les pratiques documentaires : identifier les justificatifs systématiquement exigés sans justification suffisante, intégrer les sources alternatives fiables et documenter les situations où une vigilance renforcée demeure nécessaire.
- Adapter les outils et contrôles informatiques : examiner les données collectées, les fonctionnalités de screening, les règles d'identification des transactions liées, les circuits de validation et la traçabilité des décisions.
- Renforcer la gouvernance et la surveillance des dispositifs de groupe : clarifier les responsabilités, formaliser les mécanismes de partage des informations et soumettre les écarts significatifs ainsi que les plans de remédiation aux organes compétents.
Une véritable gap analysis ne devrait donc pas se limiter à rapprocher des dispositions réglementaires et des paragraphes de procédures.
Elle doit également tester la capacité réelle des équipes, des systèmes et des contrôles à appliquer les exigences envisagées.
5. Attention au calendrier : six mois de transition ne signifient pas six mois pour commencer
L'AMLR sera applicable, pour l'essentiel des entités concernées, à compter du 10 juillet 2027, sous réserve des exceptions prévues par le règlement.
Les trois projets de RTS ont été transmis à la Commission européenne pour adoption formelle. Leur contenu peut encore être modifié.
AMLA propose pour chacun une application six mois après l'entrée en vigueur du règlement délégué définitif, une fois publié au Journal officiel de l'Union européenne.
Cette période ne doit pas être confondue avec le calendrier général d'application de l'AMLR.
Le projet relatif à la vigilance prévoit par ailleurs des dispositions spécifiques pour l'actualisation des dossiers de relations d'affaires existantes, selon une approche fondée sur les risques.
Il serait donc juridiquement inexact de présenter l'ensemble des exigences des projets comme déjà contraignantes, ou de considérer que les obligations de préparation peuvent être reportées à leur publication définitive.
Conclusion — Le nouveau risque Compliance : faire trop, sans pouvoir démontrer pourquoi
La réforme européenne AML/CFT poursuit naturellement un objectif de renforcement de la lutte contre la criminalité financière.
Mais elle révèle également une autre réalité : la surconformité documentaire peut elle-même devenir un facteur d'inefficacité opérationnelle.
Multiplier les demandes de documents sans lien suffisamment établi avec les risques identifiés mobilise les ressources, ralentit les processus et peut détourner l'attention des situations nécessitant une véritable vigilance renforcée.
À l'inverse, la proportionnalité ne saurait servir de justification à des contrôles insuffisants.
Toute la difficulté consiste à trouver le juste équilibre entre robustesse réglementaire, efficacité opérationnelle et pertinence des informations collectées.
Pour les professionnels luxembourgeois, la transformation attendue ne consiste donc pas simplement à réécrire les politiques AML/CFT.
Elle consiste à construire un dispositif capable de démontrer, à tout moment, pourquoi une information a été collectée, comment elle a été vérifiée, quel risque elle permet de maîtriser et quelle décision en a résulté.
L'AMLA ne signe pas la fin du KYC. Elle pourrait marquer la fin du KYC systématique, indifférencié et insuffisamment justifié.
Car la qualité d'un dispositif AML/CFT ne se mesure pas au nombre de documents conservés, mais à sa capacité à identifier, comprendre et maîtriser les risques réels.
Références réglementaires
- Règlement (UE) 2024/1624 du 31 mai 2024 — AMLR.
- Communication CSSF du 7 octobre 2026 — AMLA adopts key Regulatory Technical Standards.
- AMLA — Communiqué du 1er octobre 2026 et rapports finaux des trois projets de RTS.
- RTS relatif aux relations d'affaires et transactions occasionnelles — article 19(9) AMLR.
- RTS relatif aux mesures de vigilance à l'égard de la clientèle — article 28(1) AMLR.
- RTS relatif aux dispositifs de groupe et aux obstacles juridiques dans les pays tiers — articles 16(4) et 17(3) AMLR.
Analyse arrêtée au 2 novembre 2026. Les projets de RTS restent soumis à l'adoption de la Commission européenne. Les recommandations opérationnelles présentées dans cet article ne constituent pas, en elles-mêmes, de nouvelles obligations réglementaires.
