Community post

Pendant des années, la lutte contre le blanchiment en Europe a reposé sur un paradoxe.

Les États membres poursuivaient un objectif commun, sur la base de directives européennes communes, mais avec des transpositions nationales, des pratiques de supervision différentes, des méthodologies de risque parfois hétérogènes et des niveaux d’enforcement qui pouvaient varier sensiblement d’une juridiction à l’autre.

Le nouveau paquet AML européen entend précisément réduire cette fragmentation.

À partir du 10 juillet 2027, une grande partie des obligations applicables aux entités assujetties découlera directement du Règlement (UE) 2024/1624 — AMLR, directement applicable dans les États membres. Parallèlement, la nouvelle Anti-Money Laundering Authority — AMLA construit progressivement un système européen intégré de supervision AML/CFT, avec une première sélection d’établissements en 2027 et le démarrage de sa supervision directe en 2028.

Pour les banques luxembourgeoises, il serait toutefois réducteur de résumer cette évolution à :

« une nouvelle réglementation et un nouveau superviseur européen ».

Ce qui se dessine est beaucoup plus profond.

Nous passons progressivement :

d’un cadre européen appliqué nationalement à un véritable système européen de supervision ;

d’une appréciation du risque pouvant varier selon les juridictions à des méthodologies davantage harmonisées ;

d’un dialogue principalement bilatéral entre une banque et son superviseur national à une architecture de supervision permettant la comparaison transfrontalière ;

et d’une conformité évaluée essentiellement établissement par établissement à une lecture beaucoup plus structurée du risque au niveau des groupes européens.

Pour une place financière aussi internationale que Luxembourg, cette transformation mérite d’être considérée non comme une évolution réglementaire supplémentaire, mais comme un changement de paradigme de supervision.

1. AMLR et AMLA répondent en réalité à deux problèmes différents

Pour comprendre le nouveau modèle européen, il faut distinguer le rôle respectif de l’AMLR et de l’AMLA.

L’AMLR agit essentiellement sur la règle.

L’AMLA agit essentiellement sur la cohérence du système de supervision.

L’AMLR transforme en règlement directement applicable une partie substantielle des obligations AML/CFT qui relevaient historiquement de directives transposées dans les droits nationaux.

L’objectif est clair : réduire les divergences d’interprétation et créer un Single Rulebook AML/CFT beaucoup plus homogène.

AMLA ajoute une deuxième couche.

Son rôle n’est pas seulement de superviser directement quelques dizaines d’institutions financières.

Sa mission est beaucoup plus large : créer un système intégré reliant les autorités nationales, développer des méthodologies communes, favoriser une culture commune de supervision, contribuer à l’harmonisation de l’enforcement et coordonner davantage les Financial Intelligence Units. AMLA se définit elle-même comme le centre d’un système intégré composé des autorités nationales AML/CFT.

La véritable transformation peut donc se résumer ainsi :

L’AMLR harmonise progressivement ce que les banques doivent faire. AMLA harmonise progressivement la manière dont les superviseurs évalueront si elles le font correctement.

Cette seconde dimension est probablement la plus stratégique.

2. AMLA ne remplace pas la CSSF : elle change l’écosystème dans lequel la CSSF supervise

Une erreur fréquente consiste à présenter AMLA comme un futur « super-régulateur » destiné à remplacer les autorités nationales.

Ce n’est pas le modèle retenu.

Les superviseurs nationaux continueront d’exister et conserveront un rôle central.

La CSSF restera donc un acteur majeur de la supervision AML/CFT du secteur financier luxembourgeois.

Mais elle opérera désormais au sein d’un système européen beaucoup plus intégré.

AMLA supervisera directement certaines institutions financières transfrontalières présentant un niveau élevé de risque résiduel. Pour le reste du marché, les autorités nationales continueront à exercer la supervision directe, mais dans un environnement où AMLA développera progressivement :

• des méthodologies communes ;
• des standards techniques ;
• des guidelines ;
• des mécanismes de peer review ;
• des approches communes de supervision ;
• et des standards d’enforcement plus harmonisés.

AMLA l’exprime explicitement : les autorités nationales restent des composantes essentielles du système européen de supervision AML/CFT.

Cela change considérablement la perspective.

Pour une banque luxembourgeoise, être supervisée par la CSSF ne signifiera pas être en dehors du système AMLA.

AMLA ne sera pas seulement un superviseur direct. Elle deviendra progressivement l’architecte méthodologique de la supervision AML européenne.

3. Le véritable changement : la supervision devient comparable à l’échelle européenne

Jusqu’à présent, une banque pouvait principalement se comparer aux attentes du superviseur de sa juridiction.

Demain, cette comparaison deviendra beaucoup plus européenne.

AMLA a déjà développé une méthodologie commune visant à permettre aux superviseurs de mesurer les risques AML/CFT selon des critères harmonisés.

En 2026, l’Autorité a lancé des exercices de collecte et de calibration destinés précisément à tester ces modèles. L’objectif est double :

• sélectionner les entités qui relèveront de sa supervision directe ;
• permettre aux superviseurs nationaux d’évaluer les institutions financières de manière plus cohérente dans toute l’Union.

AMLA indique qu’il s’agit de la première méthodologie commune permettant aux superviseurs européens d’évaluer les risques ML/TF selon une approche harmonisée.

La conséquence est fondamentale.

La question ne sera plus seulement :

« Ce dispositif est-il acceptable au Luxembourg ? »

Elle deviendra progressivement :

« Comment le niveau de maîtrise du risque de cet établissement se compare-t-il à celui d’institutions présentant des caractéristiques similaires ailleurs en Europe ? »

Cela ouvre la voie à une forme de supervisory benchmarking beaucoup plus structurée.

Et ce benchmarking pourrait être l’un des changements les plus puissants du nouveau cadre.

4. La notion déterminante sera probablement celle de « residual risk »

L’un des concepts les plus importants du futur système AMLA est celui de risque résiduel.

Le risque inhérent mesure l’exposition naturelle d’un établissement compte tenu notamment :

• de ses clients ;
• des pays concernés ;
• des produits ;
• des services ;
• des canaux de distribution ;
• de son modèle économique ;
• et de ses activités transfrontalières.

Mais ce n’est pas cette exposition seule qui déterminera nécessairement la perception du superviseur.

Ce qui devient central est le risque qui subsiste après prise en compte de la qualité des contrôles.

Autrement dit :

Residual Risk = Inherent Risk – effectiveness of mitigating controls

Conceptuellement, deux banques exposées aux mêmes catégories de clients peuvent donc présenter des profils de risque résiduel très différents.

Une banque private banking internationale n’est pas nécessairement problématique parce qu’elle sert une clientèle HNWI, PEP ou fortement transfrontalière.

La question essentielle devient :

dans quelle mesure ses contrôles réduisent-ils réellement le risque inhérent ?

C’est ici que le nouveau modèle devient particulièrement intéressant.

Une banque dont l’exposition est élevée mais dont :

• le KYC est robuste ;
• la Source of Wealth est réellement analysée ;
• les beneficial owners sont correctement identifiés ;
• le transaction monitoring est calibré ;
• les periodic reviews sont maîtrisées ;
• les alertes sont correctement traitées ;
• les délégataires sont supervisés ;
• la gouvernance reçoit une information pertinente ;

pourra présenter un risque résiduel sensiblement différent d’un établissement présentant la même exposition mais des contrôles moins efficaces.

Le risque AML ne sera donc plus seulement une caractéristique de la clientèle.

Il deviendra davantage une mesure de l’écart entre exposition et maîtrise.

5. Pour Luxembourg, cette évolution est particulièrement importante

Luxembourg n’est pas une place financière domestique classique.

Son modèle repose largement sur l’activité transfrontalière, la gestion de patrimoine internationale, les groupes bancaires européens et internationaux, les structures patrimoniales complexes, les fonds d’investissement et une clientèle provenant de multiples juridictions.

Ce modèle crée naturellement une exposition AML/CFT particulière.

Mais il crée surtout un enjeu de comparabilité européenne.

AMLA sélectionnera pour sa supervision directe les institutions financières et groupes opérant dans au moins six États membres et présentant un profil de risque résiduel élevé. La première sélection est prévue en 2027 et la supervision directe commencera en 2028. Pour le premier cycle, AMLA prévoit de superviser jusqu’à 40 institutions ou groupes.

Pour les groupes bancaires implantés à Luxembourg, la question devient donc stratégique :

le risque ne sera plus uniquement observé entité juridique par entité juridique.

Il pourra être appréhendé au niveau du groupe.

Le règlement AMLA prévoit précisément que l’analyse du risque d’un établissement appartenant à un groupe soit effectuée au niveau consolidé afin d’obtenir un score de risque unique pour les besoins du processus de sélection.

Cette approche change considérablement la logique historique de supervision.

Une faiblesse dans une entité du groupe peut devenir pertinente bien au-delà de cette seule entité.

Inversement, la qualité de la gouvernance groupe, du partage d’information et de la cohérence des standards devient un élément stratégique de maîtrise du risque.

6. Le « Luxembourg standard » devra progressivement coexister avec un « European supervisory standard »

Les banques luxembourgeoises connaissent bien les attentes de la CSSF.

Elles devront désormais intégrer une deuxième dimension :

la convergence européenne des pratiques de supervision.

AMLA souhaite précisément développer une common supervisory culture.

Cela signifie qu’au-delà des textes eux-mêmes, des notions telles que :

• l’intensité des contrôles ;
• la fréquence des inspections ;
• les méthodes d’évaluation ;
• la classification des déficiences ;
• la gravité des breaches ;
• les plans de remédiation ;
• les attentes documentaires ;

seront progressivement plus comparables entre États membres.

En juillet 2026, AMLA a notamment publié un cadre visant à harmoniser la manière dont les autorités évaluent la gravité des violations AML/CFT afin que des violations comparables dans des circonstances comparables conduisent à des réponses d’enforcement plus cohérentes dans l’Union.

La portée de cette évolution est importante.

Elle réduit progressivement ce que l’on pourrait appeler le supervisory arbitrage.

Une faiblesse AML ne devrait plus être considérée très différemment selon l’endroit où elle est constatée.

Pour les banques, cela implique une élévation progressive du benchmark.

7. La supervision AML devient beaucoup plus data-driven

Un autre changement majeur est plus discret mais probablement déterminant :

la supervision européenne AML devient progressivement une supervision par la donnée.

En 2026, AMLA a commencé à collecter et calibrer des volumes importants de données afin d’alimenter ses modèles de risque.

La CSSF a elle-même demandé aux entités concernées de se préparer aux exercices de collecte nécessaires à l’identification des établissements potentiellement éligibles à la supervision directe.

Ce mouvement est essentiel.

Dans un modèle de supervision traditionnel, le superviseur obtient principalement des informations :

• lors des questionnaires réglementaires ;
• lors des inspections ;
• lors des échanges bilatéraux ;
• ou après l’identification d’un problème.

Dans un environnement data-driven, il devient possible de comparer de manière beaucoup plus régulière :

• les profils de clientèle ;
• les expositions géographiques ;
• les volumes de transactions ;
• la concentration de clients High Risk ;
• les activités transfrontalières ;
• les PEP ;
• les alertes ;
• les remédiations ;
• les faiblesses de contrôle ;
• et potentiellement leur évolution dans le temps.

Le superviseur peut alors passer d’une logique essentiellement réactive à une logique beaucoup plus analytique.

La donnée réglementaire devient elle-même un instrument de supervision.

8. La qualité de la donnée AML devient donc un risque réglementaire en soi

Cette évolution conduit à une conséquence souvent sous-estimée.

Si le superviseur utilise davantage la donnée pour évaluer le risque, alors la qualité de cette donnée devient elle-même critique.

Une banque pourra difficilement défendre la sophistication de son dispositif si elle ne peut pas répondre avec certitude à des questions relativement simples :

Combien avons-nous de clients High Risk ?

Combien de PEP ?

Combien de dossiers overdue ?

Quelle part de notre clientèle présente une exposition à des pays à risque élevé ?

Quel est le volume de transactions correspondant ?

Combien de clients ont fait l’objet d’un risk-rating override ?

Combien de relations ont été clôturées pour raison AML ?

Combien d’alertes ont été générées, revues et escaladées ?

Et surtout :

les chiffres produits par Compliance correspondent-ils aux chiffres issus des systèmes opérationnels ?

Dans un modèle davantage fondé sur les données, des problèmes de :

• completeness ;
• accuracy ;
• lineage ;
• reconciliation ;
• mapping ;
• audit trail ;

peuvent devenir des faiblesses AML à part entière.

Le débat AML devient donc également un débat de data governance.

9. Le Joint Supervisory Team est peut-être le signe le plus visible du changement de paradigme

À partir de 2028, chaque entité directement supervisée disposera d’un Joint Supervisory Team — JST.

Ces équipes comprendront :

• des collaborateurs d’AMLA ;
• des représentants des superviseurs nationaux concernés ;

sous la coordination d’un responsable AMLA.

Leur mission comprendra notamment :

• les supervisory reviews ;
• l’évaluation des établissements ;
• la coordination des inspections sur place ;
• la préparation des mesures de supervision ;
• et la coordination avec les superviseurs des États membres concernés.

Le modèle rappelle volontairement celui du Single Supervisory Mechanism mis en place en matière prudentielle autour de la BCE.

Ce parallèle est essentiel.

L’Europe avait déjà européanisé une partie de la supervision prudentielle bancaire après la crise financière.

Elle européanise désormais progressivement la supervision AML.

Pour certaines grandes banques, le MLRO ou le Chief Compliance Officer pourrait donc demain évoluer dans un environnement où le principal interlocuteur AML ne sera plus simplement une autorité nationale mais une équipe de supervision européenne permanente.

10. Même les banques non directement supervisées par AMLA seront concernées

C’est probablement le point le plus important pour la majorité du marché.

Seules quelques dizaines d’institutions seront directement supervisées.

Mais cela ne signifie absolument pas que les autres resteront en dehors du nouveau système.

AMLA disposera également d’un rôle de supervision indirecte et de convergence sur les autorités nationales.

Les méthodologies communes qu’elle développe auront vocation à influencer l’ensemble du marché.

La banque qui ne figure pas parmi les 40 établissements directement supervisés pourrait donc néanmoins être évaluée selon :

• des facteurs de risque harmonisés ;
• une méthodologie européenne ;
• des attentes de supervision davantage convergentes ;
• et des critères d’enforcement plus homogènes.

La distinction pertinente n’est donc pas :

« Sommes-nous supervisés par AMLA ou non ? »

La véritable question est :

« Dans quelle mesure notre dispositif sera-t-il évalué selon le référentiel méthodologique qu’AMLA est en train de construire ? »

La réponse est : probablement de plus en plus.

11. Une deuxième révolution se joue dans la capacité de comparaison des superviseurs

L’une des conséquences les plus puissantes d’AMLA pourrait être l’apparition d’une véritable intelligence comparative européenne.

Jusqu’ici, chaque superviseur disposait naturellement d’une excellente connaissance de son marché.

AMLA pourra progressivement disposer d’une vision beaucoup plus large.

Elle pourra observer plusieurs établissements, plusieurs groupes, plusieurs États membres et plusieurs modèles économiques.

Cette perspective permettra progressivement de distinguer :

• ce qui relève réellement d’une contrainte sectorielle ;
• ce qui constitue une faiblesse propre à un établissement ;
• ce qui corr