Community feed

Luxembourg | Compliance & AML/CFT | 2 novembre 2026

Et si le véritable progrès réglementaire ne consistait plus à collecter davantage de documents, mais à démontrer pourquoi chaque information est nécessaire, fiable et proportionnée au risque ?

Le 1er octobre 2026, l'Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA) a publié trois projets finalisés de normes techniques de réglementation (Regulatory Technical Standards – RTS), destinés à compléter le règlement européen (UE) 2024/1624, dit AMLR.

Le 7 octobre, la CSSF a adressé un message explicite aux professionnels luxembourgeois : finaliser leurs analyses d'écarts (gap analyses) et engager sans attendre les préparatifs nécessaires, notamment au sein des fonctions Compliance et IT.

Ces textes, encore soumis à l'adoption de la Commission européenne, traduisent une évolution majeure : le passage d'une conformité essentiellement documentaire vers une conformité harmonisée, proportionnée, technologiquement maîtrisée et démontrable.

Pour les AIFM, sociétés de gestion, établissements financiers et autres entités assujetties, les implications dépassent largement une simple actualisation des procédures AML/CFT.

1. Relations d'affaires et transactions occasionnelles : la qualification juridique détermine l'intensité des contrôles

RTS pris sur le fondement de l'article 19(9) de l'AMLR.

Le premier texte harmonise les critères permettant de distinguer une relation d'affaires d'une transaction occasionnelle et d'identifier les transactions liées.

La distinction est essentielle : une relation d'affaires implique des obligations de vigilance et de suivi continu, tandis que les transactions occasionnelles relèvent de règles spécifiques, notamment de seuils, sous réserve des exceptions applicables.

Le seuil général prévu par l'AMLR est de 10 000 euros pour les transactions occasionnelles, avec des seuils particuliers et des situations imposant une vigilance indépendamment du montant.

Le projet précise également les critères de durée, de répétition et d'interconnexion des transactions. Il ne crée pas de nouveaux seuils réduits supplémentaires par rapport à ceux déjà prévus par l'AMLR.

L'enjeu opérationnel : éviter qu'une qualification inappropriée de la relation conduise à une vigilance insuffisante ou, inversement, à des exigences disproportionnées.

Pour les gestionnaires de fonds, cela implique notamment de distinguer avec rigueur les relations clients et investisseurs des diligences réalisées sur les investissements, contreparties et partenaires commerciaux. Ces dernières peuvent relever d'autres obligations ou contrôles fondés sur les risques, sans constituer systématiquement des relations d'affaires avec un client au sens de l'AMLR.

La bonne question n'est donc pas uniquement : « Avons-nous effectué un KYC ? »

Elle devient : « Quelle obligation de vigilance s'applique précisément à cette relation, et sur quel fondement ? »

2. Customer Due Diligence : vers un KYC plus harmonisé, mais surtout plus proportionné

RTS pris sur le fondement de l'article 28(1) de l'AMLR.

C'est probablement le texte dont les conséquences opérationnelles seront les plus importantes.

Il précise les informations à collecter et à vérifier concernant les clients, les bénéficiaires effectifs et les personnes agissant pour leur compte, ainsi que les modalités de vigilance simplifiée ou renforcée.

Il encadre également les sources fiables et indépendantes, l'identification électronique, les vérifications à distance et les contrôles relatifs aux personnes politiquement exposées (PEP) et aux sanctions financières ciblées.

Mais une orientation mérite une attention particulière : la proportionnalité cesse d'être un principe abstrait pour devenir un élément concret de la détermination des données à collecter.

Trois exemples issus du projet illustrent cette évolution.

Premier exemple : l'adresse personnelle n'est pas systématiquement indispensable.

Dans certaines situations de faible risque relevant de la vigilance simplifiée, le projet prévoit, pour les clients personnes physiques, un ensemble réduit de données d'identification à collecter et vérifier, sans imposer l'obtention et la vérification de leur adresse.

Il prévoit également, lorsque des dirigeants sont identifiés à défaut de pouvoir identifier un bénéficiaire effectif, la possibilité de retenir l'adresse professionnelle ou officielle de l'entité, plutôt que leur adresse résidentielle.

Cette dernière disposition ne constitue pas une dispense générale applicable à tous les dirigeants : elle vise une situation juridique déterminée.

Deuxième exemple : vérifier ne signifie pas nécessairement multiplier les documents.

Le projet reconnaît différentes sources fiables et indépendantes, notamment les registres publics et certaines solutions d'identification électronique.

La vérification doit répondre à une exigence de fiabilité, non à une logique d'accumulation documentaire.

En revanche, les informations figurant dans un registre des bénéficiaires effectifs ne suffisent pas, à elles seules, à satisfaire toutes les exigences de vérification.

Troisième exemple : le KYC renforcé doit correspondre à un risque réellement identifié.

Les informations complémentaires relatives à l'origine des fonds, à l'origine du patrimoine ou à la réputation doivent s'inscrire dans une évaluation cohérente des risques.

La vigilance renforcée ne doit pas être transformée en standard documentaire indifférencié.

Ces précisions ne créent pas un droit automatique de refuser toute demande documentaire supplémentaire. Elles renforcent néanmoins la nécessité de pouvoir en expliquer la pertinence.

La conséquence est fondamentale : un dossier KYC volumineux n'est pas nécessairement un dossier KYC conforme.

À l'inverse, un dossier plus synthétique, fondé sur des informations fiables, suffisamment vérifiées et adaptées au niveau de risque, peut constituer une réponse réglementaire plus pertinente.

3. Dispositifs AML/CFT de groupe : l'harmonisation ne dispense pas de responsabilité locale

RTS pris sur le fondement des articles 16(4) et 17(3) de l'AMLR.

Le troisième projet renforce les exigences applicables aux dispositifs AML/CFT à l'échelle des groupes.

Il couvre notamment la gouvernance, l'évaluation consolidée des risques, les politiques communes, les contrôles internes et les mécanismes de partage sécurisé des informations.

Une attention particulière est portée aux implantations situées dans des pays tiers, lorsque les législations locales limitent l'application des exigences européennes.

Le projet prévoit alors des mécanismes de notification et des mesures complémentaires d'atténuation des risques, pouvant aller jusqu'à la restriction de certaines activités lorsque les obstacles ne peuvent être surmontés.

Pour les groupes financiers internationaux, l'enjeu est double : harmoniser les dispositifs sans diluer les responsabilités des entités réglementées.

Le partage intragroupe des informations KYC et AML/CFT ne saurait être considéré comme un transfert automatique des responsabilités réglementaires.

Il doit respecter les exigences de confidentialité, de protection des données, de sécurité et de nécessité d'accès aux informations.

Surtout, chaque entité assujettie demeure responsable de ses propres décisions de conformité et de son approche fondée sur les risques.

Une politique AML/CFT harmonisée au niveau du groupe ne remplace donc ni une évaluation locale des risques ni un dispositif effectif de contrôle et d'escalade.

4. Le véritable enjeu : transformer la gap analysis en programme de conformité opérationnelle

La communication CSSF du 7 octobre 2026 est particulièrement significative.

Le régulateur ne se limite pas à inviter les professionnels à prendre connaissance des textes. Il recommande explicitement de finaliser les analyses d'écarts et de préparer leur mise en œuvre.

Pour les fonctions Compliance, les dirigeants et les organes de gouvernance, quatre chantiers devraient constituer les priorités :

1. Revoir les méthodologies KYC et Risk-Based Approach : vérifier l'alignement des critères de classification, des exigences documentaires et des mesures de vigilance avec les nouveaux standards européens.
2. Réexaminer les pratiques documentaires : identifier les justificatifs systématiquement exigés sans justification suffisante, intégrer les sources alternatives fiables et documenter les situations où une vigilance renforcée demeure nécessaire.
3. Adapter les outils et contrôles informatiques : examiner les données collectées, les fonctionnalités de screening, les règles d'identification des transactions liées, les circuits de validation et la traçabilité des décisions.
4. Renforcer la gouvernance et la surveillance des dispositifs de groupe : clarifier les responsabilités, formaliser les mécanismes de partage des informations et soumettre les écarts significatifs ainsi que les plans de remédiation aux organes compétents.

Une véritable gap analysis ne devrait donc pas se limiter à rapprocher des dispositions réglementaires et des paragraphes de procédures.

Elle doit également tester la capacité réelle des équipes, des systèmes et des contrôles à appliquer les exigences envisagées.

5. Attention au calendrier : six mois de transition ne signifient pas six mois pour commencer

L'AMLR sera applicable, pour l'essentiel des entités concernées, à compter du 10 juillet 2027, sous réserve des exceptions prévues par le règlement.

Les trois projets de RTS ont été transmis à la Commission européenne pour adoption formelle. Leur contenu peut encore être modifié.

AMLA propose pour chacun une application six mois après l'entrée en vigueur du règlement délégué définitif, une fois publié au Journal officiel de l'Union européenne.

Cette période ne doit pas être confondue avec le calendrier général d'application de l'AMLR.

Le projet relatif à la vigilance prévoit par ailleurs des dispositions spécifiques pour l'actualisation des dossiers de relations d'affaires existantes, selon une approche fondée sur les risques.

Il serait donc juridiquement inexact de présenter l'ensemble des exigences des projets comme déjà contraignantes, ou de considérer que les obligations de préparation peuvent être reportées à leur publication définitive.

Conclusion — Le nouveau risque Compliance : faire trop, sans pouvoir démontrer pourquoi

La réforme européenne AML/CFT poursuit naturellement un objectif de renforcement de la lutte contre la criminalité financière.

Mais elle révèle également une autre réalité : la surconformité documentaire peut elle-même devenir un facteur d'inefficacité opérationnelle.

Multiplier les demandes de documents sans lien suffisamment établi avec les risques identifiés mobilise les ressources, ralentit les processus et peut détourner l'attention des situations nécessitant une véritable vigilance renforcée.

À l'inverse, la proportionnalité ne saurait servir de justification à des contrôles insuffisants.

Toute la difficulté consiste à trouver le juste équilibre entre robustesse réglementaire, efficacité opérationnelle et pertinence des informations collectées.

Pour les professionnels luxembourgeois, la transformation attendue ne consiste donc pas simplement à réécrire les politiques AML/CFT.

Elle consiste à construire un dispositif capable de démontrer, à tout moment, pourquoi une information a été collectée, comment elle a été vérifiée, quel risque elle permet de maîtriser et quelle décision en a résulté.

L'AMLA ne signe pas la fin du KYC. Elle pourrait marquer la fin du KYC systématique, indifférencié et insuffisamment justifié.

Car la qualité d'un dispositif AML/CFT ne se mesure pas au nombre de documents conservés, mais à sa capacité à identifier, comprendre et maîtriser les risques réels.

Références réglementaires

• Règlement (UE) 2024/1624 du 31 mai 2024 — AMLR.
• Communication CSSF du 7 octobre 2026 — AMLA adopts key Regulatory Technical Standards.
• AMLA — Communiqué du 1er octobre 2026 et rapports finaux des trois projets de RTS.
• RTS relatif aux relations d'affaires et transactions occasionnelles — article 19(9) AMLR.
• RTS relatif aux mesures de vigilance à l'égard de la clientèle — article 28(1) AMLR.
• RTS relatif aux dispositifs de groupe et aux obstacles juridiques dans les pays tiers — articles 16(4) et 17(3) AMLR.

Analyse arrêtée au 2 novembre 2026. Les projets de RTS restent soumis à l'adoption de la Commission européenne. Les recommandations opérationnelles présentées dans cet article ne constituent pas, en elles-mêmes, de nouvelles obligations réglementaires.

Luxembourg | Réglementation des fonds d'investissement | Novembre 2026

Un fonds peut porter le nom d'un promoteur tiers. Il ne peut pas pour autant être gouverné comme si le gestionnaire agréé n'était qu'un prestataire administratif.

C'est précisément l'enjeu de la communication publiée par la Commission de Surveillance du Secteur Financier (CSSF) le 8 octobre 2026, relative aux activités de gestion de fonds en marque blanche (white-label business).

Derrière une nouvelle obligation documentaire se dessine une évolution fondamentale des attentes prudentielles : la responsabilité réglementaire du gestionnaire doit correspondre à une capacité effective, indépendante et démontrable de contrôle.

1. AIFMD II : le modèle white-label entre dans une nouvelle phase de supervision

Le Luxembourg s'est imposé comme une juridiction privilégiée pour les structures permettant à des promoteurs de lancer des fonds sans disposer de leur propre société de gestion agréée.

Ce modèle repose sur une répartition des responsabilités : le promoteur apporte généralement la stratégie, les opportunités d'investissement et les relations commerciales, tandis que l'AIFM assume les responsabilités réglementaires liées à la gestion du fonds.

Cette organisation est parfaitement légitime. Elle soulève néanmoins une question essentielle : qui exerce réellement le pouvoir de décision lorsque les intérêts du promoteur divergent de ceux des investisseurs ?

La directive (UE) 2024/927, dite AIFMD II, transposée au Luxembourg par la loi du 3 mars 2026, entrée en vigueur sur ce point le 16 avril 2026, apporte une réponse plus exigeante.

Le nouvel article 13(2bis) de la loi du 12 juillet 2013 impose aux AIFM gérant ou envisageant de gérer un FIA à l'initiative d'un tiers de présenter à la CSSF des explications et des preuves détaillées de leur conformité aux obligations relatives aux conflits d'intérêts.

Le dispositif possède un équivalent pour les sociétés de gestion d'OPCVM, à l'article 111(2) de la loi du 17 décembre 2010.

Le champ d'application ne se limite pas aux fonds utilisant la marque du promoteur : il couvre également les situations où celui-ci intervient comme délégataire.

Le critère déterminant n'est donc pas simplement le nom du fonds, mais la réalité de son organisation et de ses relations avec le tiers initiateur.

2. La communication CSSF du 8 octobre 2026 : une notification qui exige des preuves

La CSSF a publié un formulaire spécifique, actualisé le 29 octobre 2026 dans sa version 1.1.

Tout gestionnaire luxembourgeois souhaitant exercer pour la première fois une activité white-label doit transmettre les informations requises au régulateur.

La démarche dépasse largement une déclaration d'intention.

Le formulaire examine notamment :

• Le modèle économique, les catégories de promoteurs, les fonds concernés et les perspectives de développement.
• L'organisation de la gouvernance et les dispositifs de supervision.
• La répartition des rémunérations entre gestionnaire, promoteur, conseillers, gestionnaires délégués et distributeurs.
• Les mécanismes d'identification, de gestion et de divulgation des conflits d'intérêts.
• Les situations dans lesquelles le promoteur intervient dans la gestion, la valorisation ou les organes décisionnels.

La CSSF peut demander des informations complémentaires à tout moment.

Une distinction juridique mérite toutefois d'être soulignée : la communication vise expressément le dépôt du formulaire par les gestionnaires débutant cette activité. Elle n'instaure pas explicitement une nouvelle notification systématique pour chaque fonds existant ni une nouvelle procédure générale d'agrément.

Les obligations légales relatives aux conflits d'intérêts demeurent néanmoins applicables aux structures entrant dans leur champ.

3. Le véritable risque : un AIFM responsable juridiquement, mais dépendant opérationnellement

Le risque central du modèle white-label n'est pas la délégation en elle-même.

Il apparaît lorsque la délégation ou l'influence commerciale du promoteur prive progressivement le gestionnaire de son autonomie.

Prenons le cas d'un fonds de private equity dont le promoteur :

• Identifie les investissements et recommande les acquisitions.
• Exerce une influence significative sur leur valorisation.
• Participe aux comités d'investissement.
• Intervient dans la sélection de prestataires affiliés.
• Perçoit une rémunération dépendant des actifs gérés ou des performances.

Aucune de ces caractéristiques ne constitue, isolément, la preuve d'une irrégularité.

Leur combinaison peut toutefois générer des conflits structurels : valorisations insuffisamment indépendantes, transactions entre parties liées, arbitrages favorisant les intérêts commerciaux du promoteur ou décisions prises sans véritable examen critique par l'AIFM.

Un registre des conflits d'intérêts ne suffit pas si les décisions sensibles échappent, dans les faits, au contrôle du gestionnaire.

La question prudentielle devient alors très concrète : l'AIFM possède-t-il les compétences, les informations, les ressources et l'autorité nécessaires pour contester une recommandation, imposer des mesures correctrices ou refuser une opération ?

C'est cette capacité de remise en cause effective et sa traçabilité qui distingue une supervision substantielle d'un dispositif purement formel.

4. Cinq contrôles pour transformer l'obligation réglementaire en dispositif opérationnel

Pour les fonctions Compliance, Risk Management et les dirigeants, cinq priorités devraient structurer l'évaluation des dispositifs white-label.

1. Cartographier les pouvoirs réels. Identifier les rôles du promoteur, des délégataires, des comités et des administrateurs. Les responsabilités contractuelles doivent correspondre aux circuits décisionnels effectivement appliqués.

2. Démontrer l'indépendance des décisions. Conserver les éléments attestant que l'AIFM examine les propositions, exerce un jugement autonome et peut s'y opposer lorsque les intérêts des investisseurs l'exigent.

3. Sécuriser les processus de valorisation. Identifier les situations où le promoteur influence les hypothèses, les modèles ou les informations utilisées, et organiser des mécanismes de vérification et de contestation appropriés.

4. Rendre les intérêts économiques transparents. Documenter les flux de rémunération, rétrocessions, commissions de performance et relations avec les prestataires affiliés afin d'identifier les incitations susceptibles d'affecter l'indépendance des décisions.

5. Prouver l'efficacité de la surveillance. Conserver les comptes rendus de contrôles, décisions de comités, désaccords, escalades, mesures correctrices et suivis. La politique de gestion des conflits et les informations communiquées aux investisseurs doivent refléter les situations réellement rencontrées.

Ces mesures ne constituent pas une liste réglementaire exhaustive : elles représentent un socle de bonnes pratiques destiné à rendre les obligations vérifiables.

5. Le changement décisif : passer d'une conformité déclarative à une gouvernance démontrable

La portée de cette réforme dépasse la seule notification à la CSSF.

Elle oblige les gestionnaires à confronter leur organisation formelle à leur fonctionnement réel.

Un contrat de délégation ne démontre pas, à lui seul, l'efficacité de la surveillance. Un comité d'investissement ne garantit pas l'indépendance des décisions. Une politique de conflits d'intérêts ne prouve pas leur maîtrise.

La véritable démonstration repose sur des éléments tangibles : responsabilités clairement attribuées, contrôles proportionnés, décisions documentées et capacité effective d'intervention.

Pour les structures déjà opérationnelles, une revue ciblée des relations avec les promoteurs, des pouvoirs de décision et des conflits structurels constitue donc une démarche prudentielle pertinente, même en l'absence d'une nouvelle obligation générale de dépôt du formulaire.

Conclusion — La responsabilité ne se délègue pas avec la gestion

AIFMD II ne remet pas en cause la légitimité des plateformes white-label. Elle renforce l'exigence de cohérence entre le modèle économique, la gouvernance et les responsabilités réglementaires.

Pour les AIFM luxembourgeois, l'enjeu n'est plus uniquement de démontrer que les conflits d'intérêts ont été identifiés, mais de prouver que leur organisation permet effectivement de les prévenir, de les maîtriser et de protéger les investisseurs.

Le véritable test de gouvernance n'intervient pas lorsque le gestionnaire et le promoteur sont d'accord.

Il intervient lorsque leurs intérêts divergent et que l'AIFM doit démontrer qu'il peut décider indépendamment.

Un fonds peut porter la marque de son promoteur. Sa gouvernance doit rester sous le contrôle effectif de son gestionnaire.

Références réglementaires

• Directive (UE) 2024/927 du 13 mars 2024 — AIFMD II / UCITS VI.
• Loi luxembourgeoise du 3 mars 2026 portant transposition d'AIFMD II.
• Article 13(2bis) de la loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d'investissement alternatifs.
• Article 111(2) de la loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif.
• Communication CSSF du 8 octobre 2026 — White-label business.
• Formulaire CSSF White-label business — Version 1.1, 29 octobre 2026.

AML/CFT, comptabilité et domiciliation : pourquoi la vigilance continue devient le véritable test de l'efficacité des dispositifs de conformité.

Luxembourg, le 27 octobre 2026

Une fiduciaire peut parfaitement connaître l'identité de son client, avoir identifié ses bénéficiaires effectifs, disposer d'un organigramme actualisé et conserver un dossier KYC irréprochable… tout en passant à côté de signaux révélateurs d'opérations potentiellement suspectes.

C'est l'un des paradoxes de la conformité : un client peut être parfaitement identifié sans que ses activités soient suffisamment comprises.

Pour les fiduciaires luxembourgeoises, l'enjeu ne réside donc plus uniquement dans la constitution des dossiers de due diligence. Il consiste à exploiter, de manière proportionnée, les informations auxquelles elles ont accès dans le cadre de leurs prestations afin d'identifier les incohérences susceptibles de révéler un risque de blanchiment.

1. Le KYC n'est pas une photographie figée

L'article 3, paragraphe (2), point d), de la loi modifiée du 12 novembre 2004 impose une vigilance constante de la relation d'affaires, notamment afin de vérifier la cohérence des transactions avec la connaissance du client, de ses activités et de son profil de risque.

L'article 3-2 impose également un examen renforcé de certaines opérations complexes, inhabituelles ou dépourvues d'objet économique ou licite apparent.

En d'autres termes, une relation d'affaires ancienne ou un dossier documentaire complet ne dispensent jamais d'une vigilance adaptée aux risques.

Une société initialement classée à faible risque peut évoluer : changement de bénéficiaire effectif, activité nouvelle, flux transfrontaliers inexpliqués ou structure de financement devenue artificiellement complexe.

Ces évolutions doivent pouvoir remettre en question l'évaluation initiale du risque.

2. La comptabilité : un outil de détection encore insuffisamment exploité ?

Les fiduciaires disposent d'une position particulière. Contrairement à d'autres professionnels, elles peuvent, selon leurs missions, accéder à des informations détaillées sur la réalité économique des activités de leurs clients.

Certains signaux méritent ainsi une attention particulière :

• Prêts intragroupe importants, renouvelés sans justification économique identifiable ni perspective crédible de remboursement.
• Facturations entre sociétés liées sans prestations clairement établies ou disproportionnées par rapport à l'activité réelle.
• Flux financiers inhabituels vers des juridictions sans lien apparent avec l'activité du client.

Aucun de ces éléments ne constitue, isolément, une preuve de blanchiment.

En revanche, leur accumulation ou l'absence d'explication satisfaisante peut justifier des diligences complémentaires, une réévaluation du risque et, lorsque les conditions légales sont réunies, une déclaration de soupçon à la Cellule de renseignement financier (CRF).

La question n'est pas de transformer le comptable en enquêteur financier, mais de ne pas ignorer les anomalies que ses missions lui permettent raisonnablement d'identifier.

3. La domiciliation : au-delà de l'adresse, comprendre la réalité économique

La même logique s'applique aux prestations de domiciliation et de services aux sociétés.

Une structure juridiquement valide peut présenter des risques significatifs lorsque sa complexité paraît disproportionnée par rapport à son activité, que ses bénéficiaires effectifs sont difficiles à identifier ou que les modifications de gouvernance se multiplient sans justification claire.

Le véritable enjeu est de comprendre la raison d'être de la structure et les personnes qui en exercent effectivement le contrôle.

L'inscription au Registre des bénéficiaires effectifs (RBE) constitue une source d'information, mais ne remplace pas les mesures de vérification requises en fonction des risques.

Le devoir de vigilance ne consiste pas à remettre systématiquement en question toute structure complexe. Il consiste à pouvoir expliquer pourquoi sa complexité est cohérente avec sa finalité économique.

4. De la détection à la décision : le maillon essentiel du dispositif Compliance

Identifier une anomalie n'est que la première étape.

Encore faut-il que la fiduciaire dispose d'un processus permettant de l'analyser, de solliciter les justifications appropriées, de documenter les conclusions et de décider d'une éventuelle escalade.

Lorsqu'un soupçon relevant des obligations légales de déclaration est identifié, la coopération avec la CRF doit intervenir conformément à l'article 5 de la loi du 12 novembre 2004, sans attendre la démonstration d'une infraction pénale.

L'efficacité du dispositif repose ainsi sur quatre capacités : détecter, analyser, décider et documenter.

Cette exigence doit néanmoins rester proportionnée. Toutes les fiduciaires n'exercent pas les mêmes activités et n'ont pas accès aux mêmes informations. Les obligations doivent être appréciées au regard des services effectivement fournis, du risque présenté et du cadre de supervision applicable, notamment celui de l'AED ou des organismes professionnels compétents.

5. AMLR 2027 : une occasion de dépasser la conformité documentaire

L'entrée en application générale du règlement européen (UE) 2024/1624, le 10 juillet 2027, constitue une occasion de réexaminer les dispositifs AML/CFT.

Pour les fiduciaires, la priorité devrait être moins de multiplier les formulaires que de renforcer l'articulation entre la connaissance du client, les informations issues des prestations et les mécanismes internes d'escalade.

Trois questions devraient guider les dirigeants :

Nos collaborateurs savent-ils reconnaître une anomalie pertinente ? Savent-ils à qui la signaler ? Pouvons-nous démontrer comment elle a été traitée ?

Ces questions sont plus révélatrices de l'efficacité du dispositif qu'un simple taux de complétude des dossiers KYC.

Conclusion — Voir, comprendre et agir

Une fiduciaire ne peut être tenue de détecter toutes les irrégularités commises par ses clients. Elle doit néanmoins exercer les diligences prévues par la réglementation et réagir de manière appropriée aux éléments de risque dont elle prend connaissance dans l'exercice de ses missions.

La maturité Compliance ne se mesure donc plus seulement à la qualité des informations collectées lors de l'entrée en relation, mais également à la capacité de détecter les incohérences, d'exercer son jugement professionnel et de démontrer les décisions prises.

Le véritable risque n'est pas uniquement de ne pas connaître son client. C'est de disposer d'informations révélatrices d'un risque, sans savoir les reconnaître, les exploiter ou leur donner la suite appropriée.

Références réglementaires

• Loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et le financement du terrorisme — articles 3, 3-2 et 5.
• Administration de l'enregistrement, des domaines et de la TVA (AED) — Guides sectoriels AML/CFT.
• Circulaire AED n° 792 quater du 26 janvier 2026 — identification et vérification de l'identité des clients, pour les professionnels surveillés par l'AED.
• Règlement (UE) 2024/1624 — nouveau cadre européen AML/CFT, applicable en principe à compter du 10 juillet 2027.

Plus de 9 millions d'euros de gains potentiels, des transactions personnelles de dirigeants et des interrogations sur les sanctions européennes : au-delà des soupçons, une affaire qui questionne la capacité des établissements financiers à maîtriser leurs risques les plus sensibles.

Luxembourg, le 27 octobre 2026

Que se passe-t-il lorsque des dirigeants bancaires sont susceptibles de tirer personnellement profit des déséquilibres de marché provoqués par des sanctions internationales, alors même que leur établissement doit en assurer le respect ?

Cette question se trouve au cœur de l'affaire Gazprombank Luxembourg, révélée le 26 août 2026 par le Financial Times.

Selon l'enquête du quotidien britannique, quatre anciens dirigeants de l'établissement auraient réalisé plus de 50 opérations sur des obligations de Gazprom en 2022, pour un bénéfice potentiel cumulé supérieur à 9 millions d'euros.

Ces transactions auraient consisté à acquérir à prix fortement décoté des obligations russes sur les marchés européens avant de les échanger contre de nouveaux titres émis en Russie, dans le cadre d'un mécanisme de substitution mis en place après l'invasion de l'Ukraine.

L'affaire soulève trois interrogations distinctes : un éventuel contournement des sanctions européennes, un possible recours à des informations privilégiées et la gestion des conflits d'intérêts impliquant des membres de la direction bancaire.

Gazprombank Luxembourg et l'un des anciens dirigeants concernés ont contesté tout comportement illicite. La Commission de surveillance du secteur financier (CSSF) a également remis en cause plusieurs éléments de l'enquête journalistique.

Les faits allégués ne sauraient donc être assimilés à des infractions établies.

L'intérêt de cette affaire pour les professionnels de la conformité dépasse néanmoins la question des responsabilités individuelles : elle met en évidence le risque de fragmentation des contrôles lorsque les sanctions, les opérations personnelles des dirigeants et les abus de marché relèvent de dispositifs de surveillance insuffisamment interconnectés.

1. Une mécanique financière qui soulève plusieurs interrogations

Pour comprendre les enjeux, il faut revenir au contexte de 2022.

À la suite de l'invasion russe de l'Ukraine, les sanctions occidentales ont profondément perturbé les circuits internationaux de règlement-livraison et les marchés obligataires russes.

Certaines obligations internationales émises par Gazprom se sont retrouvées fortement décotées, notamment en raison des difficultés de paiement et des restrictions affectant les infrastructures financières.

Les autorités russes ont parallèlement instauré des mécanismes permettant, sous certaines conditions, de remplacer ces obligations internationales par des titres émis localement.

Selon les documents examinés par le Financial Times, quatre dirigeants de Gazprombank Luxembourg auraient acquis des obligations décotées, financées notamment par des prêts personnels, avant de bénéficier des mécanismes d'échange.

Le journal rapporte que plusieurs acquisitions auraient eu lieu peu avant les annonces publiques concernant l'éligibilité des titres à ces échanges.

Le bénéfice cumulé potentiel a été estimé à plus de 9 millions d'euros par le quotidien. Ce chiffre constitue une estimation journalistique, et non un gain définitivement établi par une autorité judiciaire.

L'enquête mentionne également le rôle possible du National Settlement Depository (NSD), dépositaire central russe inscrit sur la liste européenne des entités soumises à des mesures de gel des avoirs depuis juin 2022.

Le 14 septembre 2026, ces révélations ont donné lieu à une audition du ministre luxembourgeois des Finances, Gilles Roth, et du directeur général de la CSSF, Claude Marx, devant la Commission des Finances de la Chambre des députés.

Le ministre a confirmé la transmission d'informations au parquet.

Dans sa réponse officielle du 23 septembre à la question parlementaire n° 4688, il a également précisé que son ministère avait reçu des informations détaillées de la journaliste du Financial Times dès le 8 juillet 2026.

Ce calendrier illustre une distinction essentielle : la circulation de l'information entre autorités, l'évaluation réglementaire des faits et leur éventuelle qualification pénale constituent des processus distincts.

Il ne permet pas, à lui seul, de conclure à un défaut de surveillance ou à une réaction tardive.

2. Sanctions internationales : la conformité ne s'arrête pas à l'identité des contreparties

Le premier enseignement concerne la profondeur attendue des contrôles de sanctions.

Les règlements européens 269/2014 et 833/2014 constituent deux piliers du régime de mesures restrictives adopté à l'égard de la Russie.

Le règlement 269/2014 prévoit notamment le gel des fonds et ressources économiques des personnes et entités désignées ainsi que l'interdiction de mettre directement ou indirectement des fonds ou ressources économiques à leur disposition ou à leur profit.

Le règlement 833/2014 comporte, quant à lui, de nombreuses restrictions sectorielles visant notamment certaines activités financières.

Ces textes comportent également des interdictions de contournement.

Dans le cas Gazprombank, la question juridique déterminante ne consiste pas simplement à constater qu'une transaction concernait des obligations russes.

Un investissement portant sur un instrument financier russe n'est pas, par nature, nécessairement interdit.

L'analyse doit examiner les titres concernés, les dates des opérations, les personnes impliquées, les services financiers utilisés, les infrastructures de règlement et le régime juridique applicable au moment de chaque transaction.

Le rôle éventuel du NSD est particulièrement important.

Son inscription sur la liste des entités sanctionnées ne signifie pas automatiquement que toute transaction présentant un lien économique avec le marché russe constitue une violation.

En revanche, une opération impliquant directement ou indirectement des fonds ou ressources économiques mis à la disposition d'une entité désignée soulève une problématique juridique spécifique.

L'analyse doit donc permettre de reconstituer l'intégralité de la chaîne transactionnelle :

• Qui intervient dans l'acquisition initiale ?
• Quels intermédiaires assurent la conservation et le règlement-livraison ?
• Quelle entité intervient dans la conversion ou la substitution des titres ?
• Des commissions, frais, droits ou autres avantages économiques bénéficient-ils à une entité désignée ?
• Des dérogations applicables existaient-elles au moment considéré ?

Cette dernière précision est indispensable : des opérations réalisées en 2022 doivent être appréciées au regard des dispositions et désignations applicables à leurs dates respectives, sans appliquer rétroactivement des restrictions ultérieures.

Pour les équipes Compliance, la conséquence opérationnelle est majeure.

Une vérification exclusivement fondée sur le screening des noms des contreparties ne suffit pas à appréhender toutes les formes de risque de sanctions.

La surveillance doit, lorsque le risque le justifie, intégrer les infrastructures financières, les intermédiaires successifs, les bénéficiaires économiques et les effets réels de la transaction.

Le risque de sanctions ne réside pas uniquement dans l'identité de celui avec lequel on traite, mais également dans les effets juridiques et économiques de l'opération réalisée.

3. Abus de marché : un profit exceptionnel ne constitue pas, à lui seul, un délit d'initié

Le deuxième enjeu concerne les soupçons d'utilisation d'informations privilégiées.

L'article 7 du règlement européen 596/2014 sur les abus de marché (MAR) définit notamment l'information privilégiée comme une information précise, non publique, concernant directement ou indirectement un émetteur ou un instrument financier et susceptible d'influencer sensiblement son prix si elle était rendue publique.

Les articles 8 et 14 encadrent et interdisent, notamment, les opérations d'initiés.

Dans une situation comparable à celle décrite par le Financial Times, plusieurs éléments peuvent légitimement conduire une fonction de surveillance des abus de marché à approfondir ses investigations.

La concentration des achats sur certains instruments, leur réalisation peu avant des annonces importantes, la coordination éventuelle entre plusieurs investisseurs et les profits potentiels constituent des indicateurs d'analyse.

Mais ces éléments ne suffisent pas, individuellement ou collectivement, à démontrer une infraction.

Une qualification juridique suppose notamment d'examiner l'applicabilité matérielle du règlement MAR aux instruments et opérations concernés, l'existence d'une information répondant aux critères réglementaires, son caractère non public, l'accès éventuel des personnes concernées à cette information et son utilisation.

Il convient également de vérifier si certaines informations relatives aux échanges obligataires étaient déjà accessibles au public avant les opérations.

Ce point a précisément été évoqué lors des échanges parlementaires du 14 septembre.

Le directeur général de la CSSF a rappelé que l'établissement d'une opération d'initié requiert une démonstration juridique rigoureuse et a contesté plusieurs éléments de la présentation journalistique.

Pour les professionnels chargés de la surveillance des transactions, cette affaire rappelle la nécessité d'articuler trois niveaux d'analyse :

La détection : identifier les transactions inhabituelles, les concentrations, les événements de marché et les comportements statistiquement atypiques.

L'investigation : reconstituer les chronologies, identifier les personnes susceptibles d'avoir eu accès aux informations pertinentes et analyser les justifications économiques des opérations.

La qualification et l'escalade : apprécier les éléments disponibles au regard du cadre juridique et, lorsque les conditions réglementaires sont réunies, effectuer les déclarations appropriées.

L'article 16 du règlement MAR impose aux personnes organisant ou exécutant des transactions à titre professionnel des dispositifs de détection et de déclaration des ordres et transactions suspects (STOR), dans les conditions prévues par ce texte.

Cette obligation ne doit pas être confondue avec une déclaration systématique de toute opération profitable ou inhabituelle.

La surveillance efficace des abus de marché ne consiste pas à considérer toute performance exceptionnelle comme suspecte, mais à être capable d'en examiner objectivement la justification.

4. Le point le plus sensible : lorsque les dirigeants deviennent eux-mêmes une source de risque

Le troisième enjeu est probablement le plus structurant pour la gouvernance bancaire.

Il concerne la surveillance des opérations personnelles des membres de la direction et les conflits d'intérêts susceptibles d'en résulter.

Les orientations EBA/GL/2021/05 sur la gouvernance interne imposent aux établissements de crédit un cadre robuste de détection, de gestion et de documentation des conflits d'intérêts.

Leurs points 120 à 123 traitent spécifiquement des prêts et autres transactions avec les membres de l'organe de direction et leurs parties liées.

Au Luxembourg, la circulaire CSSF 12/552, telle que modifiée, complète ce dispositif.

Ses points 168 à 179 encadrent notamment la détection des conflits d'intérêts, les transactions avec les parties liées, l'indépendance des décisions et la documentation des prêts consentis aux dirigeants.

Le règlement délégué (UE) 2017/565 contient par ailleurs, dans ses articles 28 et 29, des dispositions relatives aux transactions personnelles dans le cadre des activités de services d'investissement auxquelles elles s'appliquent.

L'enjeu n'est pas de prohiber par principe tout investissement personnel d'un dirigeant bancaire.

Il est de garantir que celui-ci ne bénéficie pas d'un accès privilégié injustifié à des opportunités, informations ou ressources en raison de ses responsabilités.

Lorsqu'un dirigeant bénéficie d'un financement de son établissement, plusieurs questions doivent être examinées.

Les conditions du prêt correspondent-elles à celles applicables dans une situation comparable ? Qui a approuvé l'opération ? Le bénéficiaire a-t-il été exclu du processus décisionnel en présence d'un conflit d'intérêts ? Les transactions sous-jacentes ont-elles été examinées au regard des restrictions applicables ? La fonction Compliance disposait-elle des informations nécessaires pour exercer sa surveillance ?

Une banque peut disposer d'une politique générale sur les conflits d'intérêts et néanmoins rencontrer des difficultés lorsque les personnes concernées occupent les fonctions hiérarchiques les plus élevées.

Il existe alors un risque particulier : la capacité théorique de la fonction Compliance à contester une décision peut être affectée par la position organisationnelle de la personne faisant l'objet du contrôle.

La réponse ne peut pas être simplement procédurale.

Elle suppose des mécanismes de récusation, d'approbation indépendante, d'escalade vers l'organe de surveillance et, lorsque cela se justifie, d'examen par une fonction ou un intervenant véritablement indépendant.

La solidité d'un dispositif de gouvernance ne se mesure pas uniquement à la manière dont il contrôle les collaborateurs. Elle se mesure surtout à sa capacité à appliquer des exigences équivalentes aux personnes qui détiennent le pouvoir de décision.

5. Compliance, sanctions et AML : trois dispositifs qui doivent dialoguer sans être confondus

Un quatrième enseignement concerne l'articulation entre les différentes fonctions de contrôle.

Une transaction potentiellement problématique peut simultanément présenter des risques de sanctions, d'abus de marché, de conflits d'intérêts et, selon les circonstances, de blanchiment.

Ces risques sont néanmoins gouvernés par des fondements juridiques différents.

Une éventuelle violation des sanctions européennes ne constitue pas automatiquement une opération d'initié.

Une suspicion d'abus de marché ne déclenche pas systématiquement une déclaration de soupçon AML/CFT.

Inversement, l'absence de qualification d'une opération d'initié ne permet pas de conclure que la transaction est conforme aux règles de sanctions ou aux exigences de gouvernance.

Pour les établissements financiers, cette distinction impose un dispositif d'analyse coordonné.

La fonction chargée des sanctions doit examiner la légalité de l'opération et les éventuelles interdictions applicables aux parties et infrastructures concernées.

Les équipes de surveillance des marchés doivent apprécier les indicateurs d'abus de marché et les obligations éventuelles de déclaration STOR.

La fonction Compliance doit également examiner les conflits d'intérêts, les transactions personnelles et les processus d'approbation.

La fonction AML/CFT doit, pour sa part, déterminer si les éléments identifiés font naître un soupçon de blanchiment ou de financement du terrorisme imposant, selon les conditions légales applicables, une déclaration à la Cellule de renseignement financier (CRF).

L'efficacité du contrôle repose ainsi sur la capacité de chaque fonction à exercer ses responsabilités propres tout en assurant la transmission des informations pertinentes aux autres fonctions concernées.

Une approche véritablement intégrée n'efface pas les différences entre les obligations réglementaires. Elle permet d'éviter qu'une anomalie ne demeure sans traitement parce qu'elle se situe à la frontière de plusieurs dispositifs.

6. La question de la supervision : distinguer les résultats d'un contrôle de la communication publique qui en est faite

Les révélations du Financial Times ont également suscité des interrogations sur l'action de la CSSF.

Selon le quotidien, le régulateur aurait effectué une inspection en mars 2023 après un signalement et identifié certaines insuffisances relatives aux comptes personnels de collaborateurs et aux procédures internes.

Le journal affirme qu'aucune sanction financière n'aurait été prononcée à l'issue de ces constats.

Ces informations, et l'interprétation qui en a été faite, ont été contestées par le directeur général de la CSSF lors de son audition parlementaire du 14 septembre 2026.

Claude Marx a indiqué que plusieurs éléments factuels de l'article étaient inexacts, sans pouvoir détailler publiquement le dossier en raison des obligations de secret professionnel auxquelles la CSSF est soumise.

Il a également rappelé le renforcement de la surveillance des établissements présentant des risques particuliers depuis l'invasion de l'Ukraine.

De son côté, le ministre des Finances a précisé, dans sa réponse parlementaire du 23 septembre, la répartition des responsabilités prévue par la loi luxembourgeoise du 19 décembre 2020 relative à la mise en œuvre de mesures restrictives en matière financière.

Le ministère intervient notamment dans les questions d'exécution des mesures restrictives et les autorisations dérogatoires prévues par les textes applicables.

La surveillance du respect de ces mesures par les professionnels concernés relève de leurs autorités de contrôle compétentes, notamment la CSSF.

Les missions d'enquête et de poursuite pénale appartiennent aux autorités judiciaires, chacune dans son champ de compétence.

Le ministère considère que les mécanismes institutionnels prévus par la législation ont fonctionné.

Ces éléments imposent une lecture équilibrée du dossier.

L'absence de sanction financière publique ne démontre pas nécessairement l'absence de contrôle ou de mesures correctrices. De même, l'existence d'une inspection ne suffit pas à établir que l'ensemble des risques a été correctement appréhendé.

Le débat porte donc également sur la capacité des autorités à expliquer, dans les limites du secret professionnel, leur action et les mécanismes de surveillance mis en œuvre.

La transparence et la confidentialité réglementaire poursuivent des objectifs légitimes, mais peuvent entrer en tension lorsqu'une affaire suscite une forte attention publique.

Pour la place financière luxembourgeoise, la crédibilité institutionnelle repose autant sur l'indépendance de la supervision que sur la confiance dans son efficacité.

7. Six contrôles que les établissements financiers devraient être capables de démontrer

Au-delà du dossier lui-même, cette affaire offre un cadre concret pour évaluer la robustesse des dispositifs de conformité.

L'objectif n'est pas de multiplier les procédures, mais de s'assurer que les contrôles essentiels couvrent les scénarios de risque pertinents et produisent une preuve vérifiable de leur fonctionnement.

DomaineContrôle attenduPreuve d'efficacitéTransactions personnellesDéclaration, autorisation préalable lorsque requise, restrictions et surveillance cibléeRegistre des opérations, décisions motivées, alertes et revues documentéesPrêts aux dirigeantsIdentification des parties liées, conditions appropriées et approbation indépendanteDossier de crédit, conditions comparables, récusation et validation tracéesSanctions internationalesAnalyse des personnes, instruments, intermédiaires et chaînes de règlementAvis juridique daté, cartographie transactionnelle et validation documentéeAbus de marchéSurveillance des opérations inhabituelles et analyse de leur chronologieInvestigations, données de marché, décisions d'escalade et STOR lorsqu'applicableConflits d'intérêtsDéclaration, évaluation, mesures d'atténuation et contrôle indépendantRegistre actualisé, mesures de gestion et vérifications de leur efficacitéGouvernanceReporting des incidents significatifs et supervision des mesures correctricesProcès-verbaux, plans d'action, responsables désignés et tests de clôture

Ces contrôles doivent être adaptés à la nature des activités, au cadre réglementaire applicable et au profil de risque de chaque établissement.

La maturité d'un dispositif ne se mesure pas à la quantité de documents produits, mais à la capacité de démontrer que les risques essentiels sont effectivement maîtrisés.

Un contrôle non exécuté constitue une vulnérabilité.

Un contrôle exécuté mais insuffisamment documenté peut devenir difficile à démontrer.

Un contrôle documenté mais incapable de détecter des anomalies significatives appelle une réévaluation de sa conception.

La conformité effective exige donc la réunion de trois conditions : un contrôle pertinent, une exécution vérifiable et une capacité de remédiation démontrée.

8. Un test concret de maturité pour les conseils d'administration

Pour les administrateurs d'établissements financiers, les enseignements de cette affaire peuvent être traduits en cinq questions :

1. Disposons-nous d'une vision consolidée des opérations personnelles et des conflits d'intérêts significatifs de nos dirigeants ?

L'organe de surveillance doit être en mesure d'identifier les situations nécessitant une approbation indépendante et d'en assurer le suivi.

2. Nos dispositifs de sanctions couvrent-ils les risques de contournement indirect ?

L'analyse doit pouvoir aller au-delà du screening des personnes pour examiner les chaînes d'intermédiation et les effets économiques des transactions.

3. Nos fonctions de contrôle disposent-elles de l'indépendance nécessaire pour contester une décision prise au plus haut niveau ?

L'indépendance ne doit pas demeurer une affirmation organisationnelle. Elle doit être soutenue par des pouvoirs effectifs d'accès, de contestation et d'escalade.

4. Sommes-nous capables de reconstituer une transaction complexe plusieurs années après sa réalisation ?

La disponibilité des données, la conservation des décisions et la cohérence des justifications doivent permettre un examen rétrospectif fiable.

5. Comment démontrons-nous que les insuffisances identifiées ont été effectivement corrigées ?

Une action corrective clôturée administrativement n'est pas nécessairement une action corrective dont l'efficacité a été validée.

Ces interrogations peuvent utilement nourrir les travaux des comités d'audit, des comités des risques et des fonctions de contrôle interne.

Elles appellent également une approche fondée sur des scénarios plutôt que sur une simple vérification de la présence des politiques.

9. De la conformité documentaire à la conformité démontrable

Le principal enseignement opérationnel de l'affaire Gazprombank réside dans la nécessité de passer d'une logique de dispositifs indépendants à une véritable maîtrise des risques transversaux.

Pour les établissements souhaitant renforcer leurs contrôles, trois priorités peuvent être engagées.

À court terme : identifier les zones de vulnérabilité.

Il convient de revoir les politiques relatives aux transactions personnelles, les processus de déclaration des conflits d'intérêts, les prêts aux parties liées et les scénarios sensibles de sanctions.

Une attention particulière devrait être portée aux opérations impliquant des dirigeants ou des personnes disposant d'un accès privilégié à des informations ou à des circuits financiers sensibles.

À moyen terme : tester les contrôles sur des transactions réelles.

Les établissements devraient sélectionner des opérations représentatives ou atypiques et reconstituer l'intégralité des validations, contrôles, flux financiers et éventuelles escalades.

Cet exercice permet de déterminer si les informations nécessaires à une analyse indépendante sont effectivement disponibles.

Dans la durée : mesurer l'efficacité et renforcer l'escalade.

Les résultats des tests, les exceptions non résolues, les insuffisances documentaires et les retards de remédiation doivent être intégrés au reporting des risques et faire l'objet d'un suivi proportionné à leur criticité.

L'enjeu est également culturel.

Une organisation dans laquelle les fonctions de contrôle hésitent à remettre en question les décisions de dirigeants influents présente une vulnérabilité qui ne peut être corrigée par la seule adoption d'une nouvelle procédure.

La conformité repose aussi sur la capacité de l'organisation à accepter la contradiction, à protéger l'indépendance des contrôles et à faire prévaloir les obligations réglementaires sur les intérêts individuels.

Conclusion — Le pouvoir ne doit jamais constituer une exemption de contrôle

L'affaire Gazprombank Luxembourg demeure, à ce stade, un dossier d'allégations contestées dont les qualifications juridiques et les éventuelles responsabilités doivent être appréciées par les autorités compétentes.

Il serait prématuré d'en déduire que les opérations concernées constituaient des délits d'initiés ou des violations des sanctions européennes.

Mais les questions de gouvernance qu'elle soulève sont suffisamment importantes pour concerner l'ensemble de la place financière luxembourgeoise.

Elles touchent à la capacité des établissements de crédit et des autres professionnels financiers à surveiller les transactions complexes, prévenir les conflits d'intérêts, maîtriser les risques de sanctions et assurer l'indépendance de leurs dispositifs de contrôle.

Elles rappellent surtout une exigence fondamentale : les obligations de conformité doivent s'appliquer avec la même rigueur, indépendamment de la position hiérarchique des personnes concernées.

Une gouvernance robuste ne se limite pas à encadrer les comportements des collaborateurs. Elle doit également prévenir les situations dans lesquelles l'autorité, l'accès à l'information ou la capacité de décision pourraient devenir des sources de risque.

Pour les dirigeants, administrateurs et responsables Compliance, la question centrale est donc désormais la suivante :

« Nos dispositifs de conformité sont-ils suffisamment indépendants, intégrés et efficaces pour détecter, analyser et contester une opération à risque, y compris lorsqu'elle implique les plus hauts niveaux de notre organisation ? »

C'est probablement l'une des questions les plus déterminantes pour la crédibilité durable de la gouvernance financière.

Car le véritable test d'un dispositif de Compliance n'est pas sa capacité à contrôler ceux qui disposent de peu de pouvoir. C'est sa capacité à exercer un contrôle effectif sur ceux qui en détiennent le plus.

Sources journalistiques et institutionnelles

Affaire Gazprombank

• Financial Times, 26 août 2026 — How four Russian bankers made millions from EU sanctions.
• Chambre des députés, 14 septembre 2026 — Dossier Gazprombank : la CSSF répond aux questions des députés.
• RTL Infos, 15 septembre 2026 — Le ministère des Finances a transmis les informations au parquet.
• Réponse du ministre des Finances Gilles Roth à la question parlementaire n° 4688, 23 septembre 2026.

Cadre réglementaire

• Règlement (UE) 269/2014 — notamment articles 2 et 9.
• Règlement (UE) 833/2014 — restrictions sectorielles et dispositions de non-contournement.
• Règlement (UE) 596/2014 (MAR) — notamment articles 2, 7, 8, 14 et 16.
• Règlement délégué (UE) 2017/565 — articles 28 et 29.
• Circulaire CSSF 12/552, telle que modifiée — notamment points 168 à 179.
• Orientations EBA/GL/2021/05 sur la gouvernance interne.

Note éditoriale : analyse fondée sur les informations publiques consultées au 27 octobre 2026. Elle distingue les allégations journalistiques, les déclarations officielles et les enseignements généraux en matière de conformité. Aucun constat d'infraction ni de responsabilité individuelle n'est formulé.

Détection, contrôle interne, responsabilité des dirigeants : les enseignements d’une affaire qui dépasse le seul risque de fraude.

Luxembourg, le 27 octobre 2026

La révélation d'une fraude interne présumée à la Banque et Caisse d'Épargne de l'État (BCEE – Spuerkeess) soulève une question fondamentale pour l'ensemble du secteur bancaire luxembourgeois : comment s'assurer qu'un dispositif de contrôle interne ne se contente pas d'exister sur le papier, mais fonctionne effectivement lorsqu'il est confronté à des comportements potentiellement frauduleux ?

Au-delà de l'enquête judiciaire, cette affaire constitue une occasion de réfléchir à la robustesse des dispositifs de prévention, à l'indépendance des contrôles et à la responsabilité des organes de gouvernance.

Car une banque ne se juge pas uniquement à sa capacité à prévenir les incidents. Elle se juge aussi à sa capacité à les détecter, à en limiter les conséquences et à démontrer, preuves à l'appui, la pertinence de sa réponse.

1. Une affaire qui interpelle le secteur financier luxembourgeois

Le 22 octobre 2026, Spuerkeess a annoncé avoir saisi le parquet après la détection, par ses propres services, de faits susceptibles de constituer une fraude interne impliquant l'un de ses collaborateurs.

Selon les informations rendues publiques, trois victimes présumées ont été identifiées et contactées. Le collaborateur concerné a été relevé de ses fonctions à titre conservatoire, les autorités de supervision bancaire ont été informées et la banque a annoncé sa coopération avec la justice.

L'établissement a également indiqué avoir mobilisé ses équipes internes et des experts indépendants afin d'établir l'étendue des faits et d'identifier les éventuelles améliorations à apporter à son dispositif de contrôle.

Le 26 octobre, le Tageblatt, relayant des précisions du parquet, a révélé que la plainte avait été déposée dès le 14 septembre 2026 contre un collaborateur et d'éventuels complices extérieurs. L'instruction porte notamment sur des soupçons d'escroquerie, de faux et usage de faux, de vol, d'abus de confiance et de fraude informatique. L'hypothèse d'une association ou organisation criminelle fait également partie des éléments examinés.

À ce stade, ni le montant du préjudice ni les mécanismes précis de la fraude présumée ne sont publiquement établis. Les qualifications pénales évoquées relèvent des investigations en cours et ne constituent pas des faits judiciairement démontrés.

La présomption d'innocence doit être pleinement respectée.

Il serait tout aussi prématuré de considérer cette affaire comme la démonstration d'une défaillance du contrôle interne de Spuerkeess. La détection par les services de la banque constitue, au contraire, un élément factuel important, dont l'efficacité et les circonstances exactes restent à apprécier.

2. Le véritable enjeu : distinguer l'existence des contrôles de leur efficacité

Le secteur financier luxembourgeois dispose d'un cadre réglementaire exigeant en matière de gouvernance et de contrôle interne.

La circulaire CSSF 12/552, telle que modifiée, prévoit expressément, au point 100, que le dispositif de contrôle interne doit comprendre des processus et procédures efficaces destinés à prévenir la fraude.

Ses points 101 à 104 précisent notamment les responsabilités des trois lignes de défense, l'importance de la séparation des tâches, les contrôles quotidiens et les contrôles critiques continus.

Ces exigences dépassent largement l'adoption de politiques formalisées.

Une procédure de validation à quatre yeux ne constitue pas nécessairement un contrôle efficace si le second intervenant ne dispose pas des informations nécessaires pour exercer une véritable revue indépendante.

Une restriction des droits d'accès perd de son efficacité lorsque des autorisations excessives subsistent sans justification ou lorsque les dérogations ne font pas l'objet d'un suivi adapté.

Un système de surveillance peut générer des alertes sans pour autant garantir que celles-ci soient analysées dans des délais appropriés et donnent lieu à des décisions documentées.

Le véritable critère n'est donc pas seulement la présence d'un contrôle, mais sa capacité démontrable à prévenir, détecter ou limiter le risque auquel il est censé répondre.

Cette distinction est essentielle pour les établissements de crédit, leurs fonctions de contrôle et les organes chargés de leur surveillance.

3. La fraude interne : un risque qui exploite potentiellement la confiance organisationnelle

Contrairement à certaines fraudes externes, la fraude interne présente une difficulté particulière : elle peut impliquer une personne disposant légitimement d'une connaissance des processus, d'un accès aux systèmes ou d'une relation de confiance avec les clients.

Cette proximité avec les opérations peut compliquer l'identification de comportements inhabituels.

Les dispositifs antifraude doivent donc intégrer des scénarios qui ne reposent pas uniquement sur la détection de transactions atypiques, mais également sur l'analyse des droits d'accès, des modifications de données sensibles, des validations exceptionnelles et des éventuels contournements des processus habituels.

À titre d'illustration, un programme de contrôle robuste peut examiner les modifications inhabituelles de coordonnées bancaires, les opérations validées par des utilisateurs présentant un lien hiérarchique direct, les interventions répétées sur certains comptes ou encore les dérogations accordées à des procédures sensibles.

Ces exemples représentent des scénarios génériques de prévention de la fraude. Ils ne préjugent en rien du mode opératoire éventuellement utilisé dans l'affaire Spuerkeess.

L'enjeu consiste à éviter qu'une organisation confonde ancienneté, expertise ou confiance professionnelle avec une dispense implicite de contrôle.

Dans un environnement bancaire, la confiance constitue une valeur indispensable. Elle ne saurait toutefois se substituer à la vérification indépendante.

4. Trois lignes de défense : des responsabilités qui doivent produire des résultats

Le modèle des trois lignes de défense, consacré par la circulaire CSSF 12/552 et les orientations EBA/GL/2021/05 de l'Autorité bancaire européenne, repose sur une répartition précise des responsabilités.

La première ligne de défense, constituée principalement des unités opérationnelles, assume la responsabilité directe des risques liés aux activités qu'elle exerce. Elle doit mettre en œuvre des contrôles appropriés, détecter les anomalies et remonter les incidents.

La deuxième ligne de défense, notamment les fonctions de gestion des risques et de Compliance, apporte un regard indépendant sur la maîtrise des risques, la conformité aux exigences applicables et l'efficacité du cadre de contrôle. Elle doit être en mesure de contester les évaluations opérationnelles et d'exiger des mesures correctrices lorsque cela est nécessaire.

La troisième ligne de défense, représentée par l'audit interne, évalue de manière indépendante la conception et le fonctionnement effectif des dispositifs de gouvernance, de gestion des risques et de contrôle interne.

Ce modèle n'est toutefois efficace que si chaque ligne dispose de ressources adéquates, d'une indépendance suffisante et d'un accès aux informations nécessaires.

La simple coexistence de trois fonctions ne garantit pas leur efficacité collective.

Un risque peut être correctement identifié et néanmoins insuffisamment maîtrisé si les alertes ne sont pas escaladées, si les recommandations restent sans suite ou si les faiblesses récurrentes sont progressivement banalisées.

C'est précisément sur ces interactions que la gouvernance bancaire doit porter son attention.

5. Ce que les dirigeants devraient véritablement exiger de leurs dispositifs antifraude

La responsabilité des organes de gouvernance ne consiste pas à intervenir personnellement dans chaque opération. Elle implique de disposer d'une vision fiable des risques significatifs et de l'efficacité des mécanismes destinés à les maîtriser.

Cinq dimensions méritent une attention particulière :

1. La cartographie des scénarios de fraude interne : couvre-t-elle les processus sensibles, les abus potentiels de privilèges, les conflits d'intérêts et les risques liés à une éventuelle collusion ?
2. La réalité de l'indépendance des contrôles : les validations à quatre yeux, les rapprochements et les revues d'habilitations empêchent-ils effectivement qu'une même personne puisse initier, autoriser et dissimuler une opération sensible ?
3. La qualité de la détection : les dispositifs de surveillance identifient-ils les anomalies pertinentes et permettent-ils leur traitement dans des délais adaptés à leur criticité ?
4. La traçabilité des décisions : les contrôles réalisés, anomalies identifiées, arbitrages et actions correctrices sont-ils suffisamment documentés pour permettre une reconstitution indépendante ?
5. L'efficacité des remédiations : les incidents et faiblesses détectés donnent-ils lieu à des analyses des causes profondes, à des responsables clairement désignés et à des vérifications de clôture ?

À ces interrogations s'ajoute une exigence transversale : la capacité à mesurer objectivement le dispositif.

Le nombre de contrôles effectués ou le taux de procédures mises à jour ne suffisent pas à apprécier le niveau de maîtrise du risque.

Des indicateurs plus révélateurs concernent notamment le délai moyen de détection des anomalies critiques, la proportion d'exceptions non résolues, les accès incompatibles, la récurrence des incidents et le pourcentage de mesures correctrices dont l'efficacité a réellement été vérifiée.

Ces indicateurs ne prennent toutefois leur sens que s'ils sont contextualisés, fiabilisés et examinés de manière critique.

6. La gestion de crise : un second test de maturité organisationnelle

Lorsqu'une suspicion de fraude est identifiée, le dispositif de contrôle doit évoluer rapidement d'une logique de prévention vers une logique de gestion d'incident.

L'enjeu ne se limite plus à identifier un comportement suspect. Il consiste à préserver les preuves, contenir les risques, protéger les clients concernés, assurer les notifications requises et permettre le déroulement des investigations.

La communication de Spuerkeess fait état de plusieurs initiatives en ce sens : mesures conservatoires, coopération avec les autorités judiciaires, information des superviseurs, prise en charge des victimes présumées et mobilisation d'experts indépendants.

Ces éléments constituent des mesures de réponse annoncées publiquement. Leur efficacité concrète ne peut être appréciée sans accès aux résultats des investigations.

Le délai entre la plainte du 14 septembre et la communication du 22 octobre mérite par ailleurs d'être interprété avec prudence. La date d'une communication publique ne correspond pas nécessairement à celle de la détection, de l'escalade interne ou de l'information des autorités compétentes. Ce seul intervalle ne permet donc de conclure ni à un retard de notification ni à une dissimulation.

L'une des questions déterminantes pour un établissement confronté à un incident consiste plutôt à pouvoir reconstituer précisément sa chronologie : quand le premier signal a-t-il été identifié ? Quand a-t-il été qualifié ? À quel moment les décisions de protection ont-elles été prises ? Quelles autorités ont été informées, selon quelles obligations et dans quels délais ?

Une chronologie documentée constitue autant un instrument de maîtrise de crise qu'un élément de démonstration de la gouvernance.

7. Transformer l'incident en amélioration durable

La réponse à une fraude présumée ne devrait pas s'arrêter à la clôture judiciaire ou à l'indemnisation des victimes.

Pour une institution financière, l'enjeu est également de déterminer si les contrôles existants étaient correctement conçus, s'ils ont été exécutés conformément aux attentes et si d'éventuelles vulnérabilités systémiques subsistent.

Une analyse des causes profondes doit permettre de distinguer les défaillances de conception, les erreurs d'exécution, les contournements délibérés et les limites éventuelles des dispositifs de surveillance.

Cette distinction est fondamentale.

Renforcer une procédure ne corrigera pas nécessairement un problème lié aux habilitations informatiques. Multiplier les validations ne résoudra pas toujours un défaut d'indépendance. Ajouter de nouvelles alertes ne sera pas pertinent si les alertes existantes sont déjà mal exploitées.

L'efficacité des mesures correctrices suppose donc des réponses adaptées aux causes effectivement identifiées.

Une fois ces mesures déployées, leur fonctionnement doit être testé de manière indépendante et leur pérennité suivie dans le temps.

La qualité d'un dispositif de contrôle interne se mesure aussi à sa capacité à apprendre des incidents sans reproduire les mêmes vulnérabilités.

Conclusion — La confiance bancaire se construit aussi par la preuve

L'affaire Spuerkeess rappelle une réalité essentielle : aucun établissement financier, quelle que soit sa taille, sa réputation ou la sophistication de ses procédures, ne peut prétendre éliminer totalement le risque de fraude interne.

L'existence d'un incident ne démontre pas automatiquement un échec de gouvernance. Inversement, sa détection ne suffit pas, à elle seule, à établir que l'ensemble du dispositif de contrôle fonctionnait efficacement.

La différence réside dans la capacité de l'établissement à reconstituer les faits, à démontrer le fonctionnement de ses contrôles, à identifier les éventuelles insuffisances et à apporter des corrections proportionnées et vérifiables.

Pour les dirigeants, les responsables des risques, les fonctions Compliance et les auditeurs internes, l'enseignement dépasse largement cette affaire particulière.

La question centrale n'est plus seulement : « Avons-nous des contrôles ? »

Elle devient : « Sommes-nous capables de démontrer qu'ils fonctionnent, qu'ils détectent les anomalies pertinentes et que nous agissons efficacement lorsqu'ils révèlent une situation préoccupante ? »

C'est dans cette capacité de démonstration que réside l'une des expressions les plus concrètes d'une gouvernance bancaire mature.

Sources et références

• RTL Infos — La Spuerkeess porte plainte suite à une suspicion de fraude interne (22 octobre 2026)
• Tageblatt — Spuerkeess-Mitarbeiter soll Komplizen haben (26 octobre 2026)
• CSSF — Circulaire 12/552, telle que modifiée, notamment points 100 à 104
• Autorité bancaire européenne — Guidelines on internal governance, EBA/GL/2021/05

Analyse professionnelle fondée sur les informations publiques disponibles au 27 octobre 2026. Les scénarios de risques et les recommandations de contrôle évoqués constituent une analyse générale et ne doivent pas être interprétés comme des constatations de défaillances propres à Spuerkeess.