Les Consultants Learning Communityby Les Consultants
Public preview

Discover what our learners are sharing.

Learning community

Community feed

Share useful ideas, learn from your peers and keep the conversation moving.

Real learner profiles Live conversations
Ready to participate?Join the learning community

Harcèlement au travail au Luxembourg : le véritable risque de gouvernance n'est plus l'absence de règles, mais l'incapacité à démontrer que l'entreprise protège réellement ses salariés

De l'obligation légale à la responsabilité des dirigeants : pourquoi la prévention du harcèlement doit devenir un véritable indicateur de l'efficacité de la gouvernance d'entreprise.

Luxembourg | Gouvernance d'entreprise · Compliance · Droit du travail · Gestion des risques

Introduction — Une entreprise peut-elle être conforme sur le papier et défaillante dans les faits ?

Une entreprise peut disposer d'un code de conduite exemplaire, d'une politique de tolérance zéro, d'un dispositif d'alerte interne, de formations obligatoires et d'une procédure disciplinaire parfaitement documentée.

Elle peut néanmoins être incapable de répondre à trois questions fondamentales :

Un salarié peut-il signaler un comportement de harcèlement sans craindre pour sa carrière ? Lorsqu'une alerte implique un dirigeant ou un collaborateur influent, peut-elle être examinée de manière véritablement indépendante ? Et comment l'entreprise démontre-t-elle que les mesures adoptées ont effectivement protégé la personne concernée ?

Ces questions révèlent une distinction essentielle entre conformité formelle et gouvernance effective.

Au Luxembourg, le dispositif juridique de protection contre le harcèlement au travail s'est progressivement renforcé, notamment avec la loi du 29 mars 2023 introduisant un cadre légal spécifique au harcèlement moral dans le Code du travail.

Mais le véritable enjeu de gouvernance dépasse désormais la simple existence d'un dispositif réglementaire.

Il réside dans la capacité de l'organisation à démontrer que ses engagements produisent des résultats concrets, que les responsabilités sont clairement attribuées et qu'aucune considération hiérarchique, commerciale ou réputationnelle ne peut neutraliser la protection des salariés.

Car une politique anti-harcèlement ne constitue pas, à elle seule, la preuve d'une entreprise protectrice. Elle constitue seulement le point de départ de sa responsabilité.


1. Le droit luxembourgeois impose déjà une responsabilité active à l'employeur

Le cadre juridique luxembourgeois repose principalement sur deux régimes complémentaires, dont les définitions et les mécanismes ne sont pas identiques.


Le harcèlement moral : une obligation de prévention, d'intervention et d'investigation

La loi du 29 mars 2023 a introduit les articles L.246-1 et suivants dans le Code du travail.

Le harcèlement moral y est défini par référence à une conduite qui, par sa répétition ou sa systématisation, porte atteinte à la dignité ou à l'intégrité psychique ou physique d'une personne.

Le champ de protection ne se limite pas au bureau : il peut englober les déplacements professionnels, les formations et les communications liées au travail, y compris en dehors des horaires habituels.


L'article L.246-3 impose à l'employeur une démarche qui comprend notamment la prévention, la mise à disposition de moyens d'assistance, l'investigation rapide et impartiale des faits et l'intervention pour faire cesser immédiatement les comportements de harcèlement dont il a connaissance.

Les mesures de prévention doivent être déterminées après information et consultation de la délégation du personnel ou, à défaut, de l'ensemble du personnel.


Il ne s'agit donc pas uniquement d'interdire des comportements. Il s'agit d'organiser les conditions dans lesquelles ces comportements peuvent être prévenus, détectés et traités.


Le harcèlement sexuel : une protection qui ne dépend pas nécessairement de la répétition

Les articles L.245-1 à L.245-8 du Code du travail encadrent spécifiquement le harcèlement sexuel.

Contrairement au régime du harcèlement moral, la qualification du harcèlement sexuel ne suppose pas nécessairement des agissements répétés.

Un comportement physique, verbal ou non verbal peut être concerné lorsqu'il réunit les conditions légales relatives à son caractère indésirable, à ses conséquences sur la dignité ou à son utilisation dans les décisions professionnelles.


L'employeur doit prévenir ces comportements, protéger la dignité des personnes et faire cesser immédiatement les faits de harcèlement sexuel dont il a connaissance, y compris lorsque ceux-ci impliquent des clients ou fournisseurs.


La conséquence en matière de gouvernance est majeure : la responsabilité de l'entreprise ne commence pas lorsqu'une victime introduit une procédure judiciaire. Elle commence bien avant, dans sa capacité à identifier les situations à risque et à intervenir dès qu'elle dispose d'informations pertinentes.

Une organisation qui attend une plainte formelle, une qualification juridique définitivement établie ou une décision de justice avant de prendre des mesures conservatoires proportionnées s'expose à une défaillance grave de son dispositif de protection.


2. Le paradoxe de la tolérance zéro : une politique peut exister sans être appliquée

L'expression « tolérance zéro » figure désormais dans de nombreuses chartes éthiques et politiques RH.

Elle présente cependant un risque : celui de devenir une affirmation institutionnelle qui ne correspond pas à la réalité vécue.

Une entreprise peut afficher une politique de tolérance zéro tout en tolérant implicitement certains comportements lorsqu'ils proviennent d'un dirigeant, d'un responsable commercial performant ou d'un collaborateur considéré comme indispensable.

C'est précisément à cet endroit que le harcèlement cesse d'être uniquement une problématique individuelle pour devenir un problème structurel de gouvernance.

Prenons un exemple.

Un responsable commercial fait régulièrement l'objet de signalements concernant des remarques humiliantes, des propos à connotation sexuelle ou des comportements intimidants.

La direction connaît ces difficultés, mais considère que ce responsable représente une contribution majeure au chiffre d'affaires.

Les alertes sont traitées informellement. Les collaborateurs concernés sont invités à faire preuve de compréhension. Les comportements se poursuivent.

Dans cette situation, le risque ne provient plus uniquement du comportement du manager.

Il résulte également de la décision de l'organisation de privilégier la performance économique au détriment de son obligation de protection.

Trois défaillances de gouvernance apparaissent alors :


  • Une défaillance de responsabilité : les personnes ayant connaissance des faits n'interviennent pas de manière adéquate.
  • Une défaillance de contrôle : aucun mécanisme indépendant ne remet en cause l'appréciation de la hiérarchie.
  • Une défaillance culturelle : les salariés comprennent progressivement que les règles ne s'appliquent pas avec la même rigueur à tous.

Le véritable indicateur d'une politique de tolérance zéro n'est donc pas le nombre de déclarations institutionnelles.

C'est la capacité de l'entreprise à appliquer les mêmes principes de protection et d'impartialité, indépendamment du pouvoir, du statut ou de la performance de la personne mise en cause.


3. Lorsque le supérieur hiérarchique est mis en cause, la gouvernance doit pouvoir fonctionner sans lui

Une difficulté majeure des dispositifs anti-harcèlement réside dans la dépendance hiérarchique des salariés.

Dans de nombreuses organisations, la première étape recommandée consiste à signaler une difficulté au responsable direct.

Ce mécanisme peut être parfaitement adapté à certaines situations.

Il devient toutefois problématique lorsque le responsable direct est lui-même impliqué dans les faits rapportés.

Le salarié se retrouve alors confronté à un conflit structurel : celui qui exerce une autorité sur ses évaluations, ses promotions, ses responsabilités et parfois son maintien dans l'organisation devient également la personne qu'il devrait mettre en cause.

Cette asymétrie de pouvoir peut rendre théorique l'existence même d'un dispositif d'alerte.

Une gouvernance efficace doit par conséquent prévoir des voies alternatives permettant de contourner les conflits d'intérêts.

Celles-ci peuvent inclure une fonction RH indépendante de la ligne managériale concernée, une personne de confiance, un interlocuteur désigné, la délégation du personnel ou, lorsque les circonstances le justifient, un intervenant externe.

La confidentialité doit être préservée dans les limites nécessaires à une investigation équitable. Elle ne doit pas devenir un moyen de dissimuler les faits ou d'empêcher les personnes concernées d'exercer leurs droits.

Le principe devrait être clair :

Aucune personne mise en cause ne devrait pouvoir contrôler l'orientation, l'investigation ou la conclusion du signalement qui la concerne.

Cette exigence d'indépendance ne peut pas rester théorique. Elle doit être intégrée dans les règles de récusation, les modalités de désignation des enquêteurs et les mécanismes d'escalade.


4. Le conseil d'administration ne devrait plus considérer le harcèlement comme un sujet exclusivement RH

Historiquement, les situations de harcèlement sont fréquemment abordées comme des questions de ressources humaines, de discipline ou de relations interpersonnelles.

Cette approche apparaît aujourd'hui insuffisante.

Le harcèlement peut révéler des défaillances de gouvernance dans plusieurs dimensions de l'entreprise : culture managériale, gestion des risques psychosociaux, contrôle interne, organisation des responsabilités et efficacité des dispositifs d'alerte.

Il peut également générer des conséquences juridiques, sociales, réputationnelles et opérationnelles importantes.

Dès lors, la supervision de ce risque mérite une attention appropriée au niveau des organes dirigeants, selon la taille, la structure et la nature de l'organisation.

Cela ne signifie pas que le conseil d'administration doive intervenir directement dans chaque plainte individuelle.

Au contraire, son rôle devrait être de s'assurer que le dispositif fonctionne sans interférer dans l'indépendance des investigations.

Une supervision efficace pourrait notamment s'articuler autour de quatre questions :

Premièrement : l'entreprise a-t-elle identifié les situations où les risques de harcèlement sont particulièrement élevés ?

Certaines activités présentent des facteurs de vulnérabilité spécifiques : travail isolé, rapports hiérarchiques fortement asymétriques, dépendance à des clients importants, contrats précaires, objectifs commerciaux particulièrement exigeants ou interactions professionnelles dans des environnements peu supervisés.

Deuxièmement : les personnes chargées de traiter les alertes disposent-elles de l'indépendance, des compétences et des ressources nécessaires ?

Troisièmement : les incidents significatifs donnent-ils lieu à une analyse des causes organisationnelles, au-delà de la responsabilité individuelle ?

Quatrièmement : les mesures correctrices sont-elles effectivement appliquées et leur efficacité est-elle vérifiée ?

Une telle démarche s'inscrit dans une conception moderne de la gouvernance : celle où les dirigeants ne se limitent plus à approuver des politiques, mais cherchent à obtenir une assurance raisonnable sur leur fonctionnement réel.

Cette supervision relève d'une bonne pratique de gouvernance proportionnée ; elle ne doit pas être présentée comme une obligation légale identique pour tous les conseils d'administration luxembourgeois.


5. La véritable innovation : passer d'une politique de prévention à un dispositif de protection démontrable

Dans les domaines de la conformité financière, de la lutte contre le blanchiment ou de la gestion des risques, un principe s'est progressivement imposé : une mesure de contrôle qui ne peut être démontrée demeure difficile à évaluer.

Ce raisonnement mérite d'être transposé, avec les adaptations nécessaires, à la prévention du harcèlement.

Il ne suffit plus de pouvoir affirmer que des formations ont été organisées ou qu'un canal de signalement existe.

L'organisation devrait pouvoir établir que les contrôles fonctionnent effectivement.

Cette approche repose sur trois niveaux distincts.


Les trois niveaux d'une protection démontrable

Niveau 1 — Le dispositif existe

Politique écrite, responsabilités, canaux de signalement, information et formation.

Niveau 2 — Le dispositif fonctionne

Alertes prises en charge, investigations impartiales, décisions motivées et mesures de protection adaptées.

Niveau 3 — Le dispositif protège effectivement

Absence de représailles identifiées, maîtrise du risque de récurrence, correction des défaillances et vérification de l'efficacité des actions.

Cette distinction est fondamentale.

Une formation suivie par 100 % des salariés démontre que la formation a été dispensée. Elle ne démontre pas que les salariés savent identifier un comportement inapproprié, qu'ils osent le signaler ou que l'entreprise répond efficacement.

De la même manière, une enquête clôturée ne signifie pas nécessairement que le risque a disparu.

La conformité mesure souvent la réalisation d'une action. La gouvernance efficace doit également s'intéresser aux effets réels de cette action.


6. L'enquête interne : le moment où se révèle la maturité de la gouvernance

Lorsqu'une entreprise reçoit une alerte, sa crédibilité se joue souvent dans les premières décisions prises.

Qui reçoit l'information ? Qui apprécie les mesures de protection immédiates ? Qui décide de l'ouverture d'une investigation ? Qui enquête ? Qui valide les conclusions ? Et qui vérifie que la personne ayant signalé les faits ne subit aucune conséquence défavorable ?

Ces décisions doivent être organisées avant la survenance d'une crise.

En matière de harcèlement moral, le droit luxembourgeois prévoit expressément une investigation rapide et impartiale parmi les mesures de prévention à déterminer par l'employeur.


L'enquête ne doit toutefois pas être confondue avec un mécanisme destiné à confirmer une conclusion préétablie.

Elle doit rechercher les faits, dans le respect des droits de l'ensemble des personnes concernées, y compris la personne mise en cause.

La présomption d'innocence lorsqu'elle est applicable, l'équité procédurale, la proportionnalité des mesures et la confidentialité constituent des éléments essentiels d'un traitement responsable.

Une organisation mature devrait également documenter les raisons de ses décisions : pourquoi tel enquêteur a été désigné, pourquoi telle mesure provisoire a été adoptée, quels éléments ont été examinés et quelles suites ont été données.

Cette traçabilité doit demeurer strictement proportionnée, avec un accès limité aux personnes habilitées, des durées de conservation justifiées et le respect du RGPD.

L'enjeu n'est pas d'accumuler des informations sensibles.

Il est de permettre une prise de décision fiable, équitable et vérifiable.


Le scénario le plus révélateur : l'alerte visant un dirigeant

Imaginons qu'une salariée signale des propos sexuels répétés, des invitations insistantes et des comportements intimidants de la part d'un membre de la direction.

Le responsable RH entretient une relation hiérarchique directe avec cette personne. Le dirigeant concerné participe également à l'évaluation de sa performance.

Une procédure formellement correcte pourrait alors devenir inefficace si elle confiait au responsable RH l'intégralité des décisions relatives à l'enquête, sans mécanisme de récusation ou d'escalade.

Une gouvernance robuste devrait permettre de confier l'examen de la situation à une personne indépendante, interne ou externe, selon les circonstances.

Ce n'est pas un détail procédural.

L'indépendance de celui qui examine une alerte peut déterminer la crédibilité de l'ensemble du système de protection.


7. Les représailles : le risque invisible qui peut neutraliser toute politique anti-harcèlement

Une entreprise peut traiter une alerte, sanctionner un comportement et néanmoins échouer à protéger la personne concernée.

Le risque de représailles ne prend pas toujours la forme d'une sanction disciplinaire explicite.

Il peut se manifester de manière plus diffuse : exclusion progressive de réunions, retrait de responsabilités, dégradation inexpliquée des évaluations, isolement professionnel ou modification défavorable des perspectives d'évolution.

Toutes ces situations ne constituent pas automatiquement des représailles illicites. Mais elles représentent des signaux susceptibles de justifier un examen circonstancié.

Le Code du travail luxembourgeois prévoit des protections contre les représailles dans les régimes du harcèlement moral et sexuel. Il interdit également que les mesures destinées à faire cesser les faits soient prises au détriment de la victime.


La question de gouvernance dépasse donc le simple traitement de l'incident initial.

Une entreprise devrait s'intéresser à ce qui se produit après l'alerte.

La personne concernée conserve-t-elle des conditions de travail équitables ? Les décisions managériales ultérieures sont-elles objectivement justifiées ? Les éventuels contacts professionnels avec la personne mise en cause sont-ils organisés de manière protectrice ?

Une mesure particulièrement pertinente consiste à mettre en place, lorsque la situation le justifie, un suivi confidentiel à échéances déterminées.

Ce suivi ne doit pas devenir une surveillance de la victime. Il doit permettre d'identifier d'éventuelles conséquences défavorables et d'intervenir rapidement.

Une entreprise ne démontre pas qu'elle protège un salarié simplement parce qu'elle a clôturé son dossier.

Elle commence à le démontrer lorsqu'elle peut établir que la personne a pu retrouver ou conserver un environnement professionnel sûr, sans subir de préjudice supplémentaire lié au signalement.


8. Les indicateurs que les dirigeants devraient réellement examiner

Si la prévention du harcèlement devient un sujet de gouvernance, elle devrait faire l'objet d'un suivi structuré.

Mais attention : la recherche d'indicateurs ne doit pas transformer une problématique humaine en exercice purement statistique.

Un faible nombre de plaintes ne constitue pas nécessairement une bonne nouvelle.

Il peut refléter un environnement respectueux. Il peut aussi révéler une absence de confiance dans les dispositifs de signalement.

De même, une augmentation des alertes peut indiquer une dégradation de la situation ou, au contraire, une amélioration de la confiance des salariés.

C'est pourquoi les indicateurs doivent être interprétés ensemble, dans leur contexte.

Voici un modèle de tableau de bord qui pourrait être utilisé par une direction générale ou un comité compétent.

Dimension

Indicateur proposé

Question de gouvernance

Prévention

Couverture et compréhension des formations

Les salariés connaissent-ils réellement leurs droits ?

Accessibilité

Connaissance des canaux de signalement

Chacun sait-il à qui s'adresser ?

Réactivité

Délai de première prise en charge

Les situations urgentes sont-elles examinées rapidement ?

Impartialité

Vérification des conflits d'intérêts

Les enquêtes sont-elles réellement indépendantes ?

Protection

Suivi des mesures de protection et des représailles potentielles

La personne concernée reste-t-elle protégée ?

Remédiation

Actions correctrices mises en œuvre et vérifiées

Les causes organisationnelles sont-elles traitées ?

Culture

Résultats d'enquêtes anonymes sur la confiance

Les salariés osent-ils parler ?

Récurrence

Répétition de faits dans une équipe ou un service

Les dysfonctionnements structurels persistent-ils ?

Ces indicateurs constituent des recommandations de gouvernance, et non une liste de reportings légalement exigés sous cette forme.

Leur utilisation suppose également des garanties strictes de confidentialité. Dans une petite structure, des informations agrégées peuvent parfois suffire à identifier indirectement une personne. Le reporting doit donc être adapté aux effectifs et à la sensibilité des situations.

L'indicateur le plus révélateur pourrait être celui-ci :

Quelle proportion des mesures correctrices décidées a fait l'objet d'une vérification effective de son efficacité ?

Il relie la prise de décision au résultat obtenu.

Et c'est précisément ce lien qui distingue une gouvernance déclarative d'une gouvernance opérationnelle.


9. Le harcèlement doit être intégré à la cartographie des risques de l'entreprise

La prévention du harcèlement est trop souvent traitée comme une obligation RH indépendante des dispositifs généraux de gestion des risques.

Cette séparation peut empêcher l'organisation d'identifier les causes structurelles des comportements abusifs.

Une approche plus intégrée devrait considérer le harcèlement comme un risque transversal, susceptible d'affecter plusieurs dimensions :


  • Risque juridique : non-respect des obligations de prévention ou d'intervention, contentieux et sanctions.
  • Risque opérationnel : absentéisme, turnover, désorganisation des équipes et perte de compétences.
  • Risque de gouvernance : conflits d'intérêts, défaut de supervision et intervention inappropriée des dirigeants.
  • Risque réputationnel : perte de confiance des collaborateurs, candidats, partenaires et clients.
  • Risque psychosocial : atteintes à la santé, à la sécurité et à la dignité des personnes.

L'évaluation de ces risques devrait tenir compte de facteurs concrets tels que la structure hiérarchique, le degré d'autonomie des salariés, les antécédents de signalement, l'environnement commercial et la concentration du pouvoir décisionnel.

Une entreprise pourrait ainsi identifier certains environnements présentant une exposition plus importante et y renforcer de manière proportionnée les mesures de prévention.

Cette démarche ne consiste pas à considérer certains collaborateurs comme des auteurs potentiels.

Elle vise à identifier les circonstances organisationnelles dans lesquelles des comportements inappropriés risquent d'être plus difficiles à prévenir, à signaler ou à faire cesser.


De la gestion des incidents à la correction des causes

Lorsqu'une situation de harcèlement est établie, la réponse ne devrait pas nécessairement se limiter à une mesure individuelle.

Il peut également être nécessaire d'examiner les facteurs organisationnels ayant permis la persistance des faits.

Pourquoi les premiers signaux n'ont-ils pas été pris en compte ? Les collaborateurs disposaient-ils d'un interlocuteur indépendant ? Le manager concerné bénéficiait-il d'une protection informelle ? Les objectifs de performance encourageaient-ils des pratiques managériales abusives ?

C'est dans cette analyse des causes profondes que la fonction Compliance, la gestion des risques et les ressources humaines peuvent développer une coopération particulièrement utile.

Leur intervention doit naturellement respecter leurs mandats respectifs, la confidentialité des situations individuelles et le rôle des représentants du personnel.


10. Vers un nouveau standard : la gouvernance de la protection effective

L'enjeu pour les entreprises luxembourgeoises n'est pas nécessairement de multiplier les procédures.

Il est de rendre leurs mécanismes existants plus fiables, plus indépendants et davantage orientés vers leurs résultats.

Une évolution crédible pourrait s'appuyer sur cinq engagements de gouvernance.

Un premier engagement de responsabilité : chaque acteur doit comprendre ses obligations, depuis le management opérationnel jusqu'à la direction générale. Les responsabilités ne doivent pas devenir si diffuses que personne ne répond effectivement des défaillances.

Un deuxième engagement d'indépendance : aucun conflit d'intérêts ne devrait compromettre le traitement d'un signalement. Les mécanismes alternatifs doivent être accessibles et connus.

Un troisième engagement de protection : les mesures prises doivent viser prioritairement la sécurité et la dignité des personnes, sans préjuger des conclusions de l'enquête.

Un quatrième engagement de traçabilité : l'organisation doit pouvoir justifier les décisions essentielles, les investigations effectuées et les suites données, tout en respectant les droits fondamentaux et la protection des données personnelles.

Un cinquième engagement d'amélioration continue : chaque situation significative doit permettre, lorsque cela est pertinent, de réexaminer l'efficacité du dispositif et de corriger les faiblesses révélées.

Cette conception est cohérente avec le cadre luxembourgeois. L'Inspection du travail et des mines rappelle notamment qu'en cas de harcèlement moral porté à la connaissance de l'employeur, une évaluation interne de l'efficacité des mesures de prévention et des éventuelles nouvelles mesures à prendre est prévue.


Mais la valeur ajoutée d'une telle approche réside dans le fait d'étendre cette logique d'évaluation à l'ensemble de la gouvernance de la protection des salariés.


11. Le véritable test de gouvernance : cinq questions qu'un dirigeant devrait pouvoir affronter

Imaginons qu'un administrateur indépendant, un auditeur ou une autorité compétente cherche à comprendre comment l'entreprise protège effectivement ses collaborateurs.

La direction serait-elle capable de répondre, preuves appropriées à l'appui, aux cinq questions suivantes ?


01

Comment savez-vous que les salariés peuvent signaler des faits sans craindre de représailles ?

02

Comment garantissez-vous l'impartialité d'une enquête lorsqu'un dirigeant est personnellement mis en cause ?

03

Comment vérifiez-vous que les mesures de protection adoptées ne portent pas préjudice à la personne concernée ?

04

Comment identifiez-vous et corrigez-vous les facteurs organisationnels ayant favorisé les comportements signalés ?

05

Comment démontrez-vous que votre dispositif est réellement efficace, au-delà de l'existence de politiques et de formations ?

Ces questions ne constituent pas un test légal obligatoire. Elles représentent un exercice de maturité de gouvernance.

Leur intérêt est précisément de déplacer le débat : il ne s'agit plus seulement de déterminer si l'entreprise a défini des règles, mais de comprendre si celles-ci résistent aux situations dans lesquelles elles sont le plus nécessaires.


Conclusion : la dignité au travail ne peut pas être une simple déclaration de principe

Le Luxembourg dispose d'un cadre juridique qui impose aux employeurs des responsabilités concrètes en matière de prévention et de traitement du harcèlement moral et sexuel.

Pourtant, aucune législation, aussi précise soit-elle, ne peut garantir à elle seule qu'un collaborateur sera effectivement protégé lorsqu'il est confronté à un comportement abusif.

Entre le droit et la réalité se trouve la gouvernance.

C'est elle qui détermine si une alerte sera entendue, si une enquête pourra être menée sans influence indue, si les décisions seront prises avec impartialité et si la personne concernée pourra poursuivre son activité professionnelle dans des conditions respectueuses de sa dignité.

Une entreprise véritablement responsable ne devrait pas attendre une crise médiatique, un contentieux ou l'intervention d'une autorité pour découvrir que son dispositif de prévention ne fonctionne pas.

Elle devrait chercher à en éprouver l'efficacité avant qu'une défaillance ne produise ses conséquences les plus graves.

Le défi n'est donc pas de remplacer les obligations existantes par une nouvelle couche de formalités.

Il est de transformer la protection des salariés en une responsabilité gouvernée, contrôlée et démontrable.

Car le véritable échec de gouvernance ne réside pas uniquement dans le fait qu'un comportement de harcèlement puisse survenir. Il réside aussi dans le fait qu'une organisation, pourtant informée et dotée de procédures, ne parvienne pas à protéger efficacement les personnes qui en subissent les conséquences.

Et c'est peut-être à cette question que les dirigeants devraient désormais accepter de répondre :


Si un salarié dénonçait demain des faits de harcèlement impliquant l'une des personnes les plus influentes de votre entreprise, pourriez-vous démontrer — et non simplement affirmer — que votre système le protégerait réellement ?


Références juridiques et institutionnelles


Harcèlement au travail au Luxembourg : le véritable risque de gouvernance n'est plus l'absence de règles, mais l'incapacité à démontrer que l'entreprise protège réellement ses salariés
1 reactions 0 comments
ConversationShare an idea or ask a question
0

Fonds luxembourgeois : le risque de conflit d’intérêts commence-t-il lorsque celui qui valorise l’actif bénéficie aussi de sa performance ?


Private equity, dette privée, immobilier, infrastructures : derrière la sophistication des modèles de valorisation se pose une question fondamentale de gouvernance. Comment garantir l’indépendance d’une valeur lorsque ceux qui contribuent à sa détermination ont également un intérêt économique dans son évolution ?


La valorisation n’est pas seulement une question de prix. C’est une question de pouvoir.

Dans l’industrie luxembourgeoise des fonds d’investissement alternatifs, la valorisation des actifs est traditionnellement abordée sous un angle technique : méthodologies financières, modèles d’actualisation, multiples de marché, hypothèses économiques, contrôles comptables et détermination de la valeur nette d’inventaire (VNI). Cette approche est nécessaire. Mais elle est insuffisante.

Car derrière chaque valeur retenue se trouvent des décisions humaines : sélectionner une méthode, privilégier certains comparables, apprécier une prime de risque, maintenir des projections de croissance ou déterminer si une détérioration économique justifie une correction de valeur. Ces décisions peuvent être prises, proposées ou influencées par des acteurs dont la rémunération, la réputation professionnelle ou les intérêts économiques dépendent de la performance affichée.


Le risque ne réside pas nécessairement dans une valorisation incorrecte. Il réside aussi dans l’impossibilité de démontrer que la valorisation aurait été identique en l’absence d’intérêts économiques susceptibles de l’influencer.

Une valeur peut être techniquement plausible et méthodologiquement défendable tout en résultant d’un processus décisionnel insuffisamment indépendant. À l’inverse, une rémunération liée à la performance ne prouve pas, à elle seule, qu’un conflit d’intérêts est mal géré. Il faut distinguer l’intérêt économique, sa capacité à influencer une décision et l’efficacité des dispositifs qui préviennent cette influence.


1. Pourquoi cette question devient-elle particulièrement sensible en 2026 ?

Le 4 juin 2026, la CSSF a publié sa revue thématique consacrée aux dispositifs de valorisation des actifs moins liquides et illiquides. Elle attend des gestionnaires concernés une évaluation de leurs pratiques à la lumière des observations et recommandations publiées et, si nécessaire, des mesures correctrices. La valorisation figure également parmi les priorités de supervision de la CSSF en 2026.

Ce qui pouvait être considéré comme une problématique principalement technique réservée aux équipes Finance ou Valuation relève désormais pleinement de la gouvernance. La question n’est plus simplement de savoir si le fonds dispose d’une politique de valorisation, mais si cette architecture garantit un jugement indépendant lorsque les enjeux économiques deviennent significatifs.


2. Le point de tension : lorsqu’une valeur produit elle-même un avantage économique

Dans un fonds alternatif, la valorisation d’une participation non cotée peut influencer plusieurs dimensions :

·        La performance présentée aux investisseurs, notamment les indicateurs TVPI et IRR.

·        Les commissions de gestion, lorsque leur assiette dépend de la VNI.

·        La reconnaissance ou l’estimation d’une rémunération variable, selon les clauses contractuelles.

·        Les décisions de souscription, de rachat, de transfert ou de refinancement.

·        La réputation du gestionnaire et sa capacité à lever de nouveaux capitaux.

Tous les fonds ne rémunèrent pas leurs gestionnaires sur la VNI : en private equity, les commissions peuvent dépendre des engagements ou du capital investi et le carried interest obéit généralement à des mécanismes de distribution, de rendement et de réalisation. Même sans déclenchement immédiat d’un paiement, une performance latente favorable peut néanmoins influencer la communication commerciale, les évaluations internes ou certaines opérations futures.


Le conflit potentiel apparaît lorsque celui qui contribue à produire une valeur détient aussi un intérêt significatif dans ses conséquences, sans contrôle indépendant proportionné.

3. Le droit européen exige la maîtrise effective des conflits

L’article 19 de la directive 2011/61/UE (AIFMD) prévoit que la fonction de valorisation peut être confiée à un évaluateur externe ou exercée par l’AIFM lui-même. Dans ce second cas, elle doit être fonctionnellement indépendante de la gestion de portefeuille ; les politiques de rémunération et les autres mesures doivent permettre d’atténuer les conflits d’intérêts.

Le règlement délégué (UE) n° 231/2013 précise ce cadre. Son article 71 vise, parmi les circonstances nécessitant une revue spécifique lorsque le risque de valorisation inappropriée est significatif, l’influence de parties liées, d’entités intéressées à la performance du fonds ou de personnes au sein de l’AIFM.

Un modèle peut être exact d’un point de vue mathématique tandis que les hypothèses qui l’alimentent demeurent insuffisamment challengées. L’externalisation de la valorisation ne décharge pas non plus l’AIFM de ses responsabilités réglementaires.


L’indépendance n’est pas une qualité déclarée dans une politique : c’est une caractéristique du processus qui doit pouvoir être démontrée.

4. Exemple : 0,5 point de taux d’actualisation peut déplacer la valeur

Supposons un portefeuille fictif générant des flux annuels de 10 millions d’euros pendant dix ans, sans valeur terminale, afin d’isoler l’effet du taux d’actualisation. À 9 %, sa valeur actualisée est d’environ 64,18 millions d’euros ; à 9,5 %, elle est d’environ 62,78 millions d’euros, soit un écart d’environ 1,40 million d’euros.

Un tel écart n’implique aucune fraude : les deux taux peuvent être argumentés sur la base de différentes hypothèses de marché. L’enjeu de gouvernance est de comprendre pourquoi une hypothèse prévaut, si une objection indépendante a été prise en compte et si l’arbitrage aurait été le même en l’absence d’intérêt économique.


Un contrôle indépendant ne choisit pas systématiquement la valeur la plus prudente : il permet de retenir la valeur la mieux justifiée.

5. Le conflit peut être structurel sans comportement fautif

Une équipe de valorisation peut dépendre hiérarchiquement de la gestion de portefeuille ; un comité peut être principalement composé de représentants de l’investissement ; un évaluateur externe peut s’appuyer presque exclusivement sur des projections fournies par le gestionnaire ; les objections du Risk Management peuvent être écartées sans motivation suffisante.

Aucune de ces circonstances ne constitue nécessairement une infraction prise isolément. Leur portée dépend du contexte et des protections existantes. Elles révèlent toutefois le risque d’une confusion entre la production, le contrôle et l’approbation de l’information.

Il convient de distinguer indépendance juridique, organisationnelle et effective. La dernière se mesure à la capacité réelle d’exercer un challenge et de faire modifier une proposition lorsqu’une correction est justifiée.


6. Les cinq questions que le conseil devrait poser

Question de gouvernance

Preuve attendue

Qui bénéficie de la valeur retenue ?

Cartographie des intérêts économiques et modalités de rémunération.

Qui détermine les hypothèses clés ?

Identification des contributeurs et droits de modification.

Qui peut contester la valeur ?

Avis indépendants et analyses alternatives.

Qui arbitre les désaccords ?

Procès-verbaux, décisions motivées et récusations éventuelles.

La valeur a-t-elle été confrontée à la réalité ?

Backtesting et analyses des écarts avec les réalisations.

Une interrogation particulièrement utile est la suivante : combien de propositions de valorisation ont été substantiellement modifiées après un challenge indépendant, et pourquoi ? L’absence de modifications n’est pas nécessairement une faiblesse, mais l’absence systématique de désaccords documentés mérite d’être comprise dans les portefeuilles complexes.


7. Cinq axes d’amélioration pour les AIFM

A. Cartographier les intérêts propres à la valorisation

Examiner les liens entre valorisation, carried interest, commissions, bonus, refinancements et opérations intragroupe.


B. Challenger les hypothèses et non seulement les calculs

Mettre à l’épreuve projections de revenus, marges, multiples, taux d’actualisation, paramètres de crédit et primes de liquidité.


C. Renforcer les contrôles lors des événements sensibles

Porter une attention accrue aux transactions entre parties liées, transferts vers des continuation funds, refinancements et déclenchements de rémunération.


D. Conserver la trace des désaccords

Documenter les hypothèses contestées, les arguments, les personnes impliquées et la justification de l’arbitrage.


E. Mesurer les écarts ex post

Utiliser backtesting et calibration pour réexaminer modèles, jugements et mécanismes décisionnels.


8. Le rôle de la Compliance : contrôler l’intégrité sans se substituer au valorisateur

La Compliance n’a pas à déterminer le taux d’actualisation ou recalculer systématiquement les participations. Sa contribution consiste à évaluer l’identification et la gestion des conflits, les règles de récusation, l’application des procédures et la traçabilité des arbitrages. La valorisation elle-même demeure de la responsabilité des fonctions désignées dans l’organisation de l’AIFM, avec les contrôles appropriés, notamment ceux du Risk Management.


La Compliance n’a pas à certifier chaque valeur ; elle doit contribuer à vérifier que les dispositifs empêchant les influences indues fonctionnent effectivement.

9. Vers des indicateurs de traçabilité du jugement indépendant

Les tableaux de bord pourraient suivre les valorisations sensibles ayant reçu un challenge indépendant, les désaccords significatifs et leur résolution, les écarts entre valeurs estimées et prix de réalisation, les conflits potentiels lors de transferts entre véhicules liés et la qualité des justifications documentées.

Ces métriques ne doivent pas devenir des objectifs mécaniques : davantage de contestations ne signifie pas automatiquement une meilleure gouvernance. Elles servent à signaler les situations exigeant un approfondissement et peuvent enrichir le Management Information présenté aux Conducting Officers et aux administrateurs.


10. Le véritable test : lorsque la valeur indépendante dérange

Imaginons qu’un gestionnaire propose une progression de 15 % de la valeur d’une participation et qu’une revue indépendante conclue que les hypothèses disponibles ne justifient que 5 %. Le dispositif permet-il à cette revue d’être défendue sans pression ? Le désaccord remonte-t-il au bon niveau ? Les personnes en conflit éventuel sont-elles identifiées ? La décision est-elle motivée et auditable ?

Surtout, les mêmes exigences auraient-elles été appliquées si l’ajustement proposé avait favorisé le gestionnaire ? L’indépendance ne signifie pas retenir systématiquement une valeur défavorable, mais appliquer la même rigueur à tous les scénarios.


Conclusion — La véritable indépendance se mesure à la capacité de contredire

À mesure que les marchés privés se développent, les prix observables se raréfient, le jugement gagne en importance et la gouvernance devient centrale pour la fiabilité de l’information financière. La maturité ne consiste pas à multiplier les politiques et les comités, mais à établir que les mécanismes de contrôle résistent précisément lorsque les intérêts économiques sont les plus puissants.


Le risque ne commence pas avec le seul intéressement à la performance. Il devient critique lorsque cet intérêt peut influencer la valeur sans qu’un mécanisme indépendant puisse réellement lui résister.

La question décisive est donc la suivante : notre gouvernance protège-t-elle réellement l’indépendance de la valorisation, ou protège-t-elle surtout la cohérence des décisions déjà prises ?


Références réglementaires et professionnelles

1.      Directive 2011/61/UE (AIFMD), article 19 — Valorisation des actifs des FIA.

2.      Règlement délégué (UE) n° 231/2013, notamment articles 30 à 36 et 67 à 74 — conflits d’intérêts, valorisation et contrôles. https://eur-lex.europa.eu/eli/reg_del/2013/231/oj

3.      Loi luxembourgeoise du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs, notamment article 17.

4.      CSSF, 4 juin 2026, Thematic Review — Valuation framework for less liquid and illiquid assets. https://www.cssf.lu/

5.      CSSF, The CSSF’s 2026 priorities for supervising the investment fund sector. https://www.cssf.lu/

Analyse professionnelle générale établie au 8 octobre 2026. Les propositions organisationnelles allant au-delà des obligations explicites constituent des bonnes pratiques à adapter à la nature, à la taille et à la complexité du gestionnaire.

Fonds luxembourgeois : le risque de conflit d’intérêts commence-t-il lorsque celui qui valorise l’actif bénéficie aussi de sa performance ?
1 reactions 0 comments
ConversationShare an idea or ask a question
0

Banques luxembourgeoises : le vrai risque de gouvernance n’est plus de manquer de règles, mais de ne pas pouvoir démontrer qui décide, qui contrôle et qui répond

Pendant longtemps, la qualité de la gouvernance bancaire s’est appréciée à travers son architecture : un Board, des comités spécialisés, trois lignes de défense, des politiques, des procédures, des délégations de pouvoirs et une multitude de reportings.

Cette architecture reste indispensable.

Mais elle ne suffit plus.

Le véritable enjeu qui se dessine aujourd’hui pour les banques luxembourgeoises est différent : peuvent-elles démontrer, pour chaque décision importante et chaque risque significatif, qui avait la responsabilité d’agir, qui devait challenger, qui contrôlait, quelle information était disponible au moment de la décision et comment une défaillance aurait dû être escaladée ?

C’est là que la gouvernance cesse d’être un organigramme pour devenir une chaîne démontrable de responsabilité.

Et c’est probablement l’une des évolutions les plus importantes introduites par le nouveau cadre prudentiel européen.


De la gouvernance organisée à la gouvernance démontrable

Le Luxembourg part déjà d’un cadre particulièrement structuré.

La circulaire CSSF 12/552 impose aux établissements de crédit une organisation claire, des responsabilités définies, des processus efficaces d’identification, de gestion et de suivi des risques ainsi qu’un dispositif robuste de contrôle interne. La CSSF rappelle plus largement que la gouvernance doit préciser comment les responsabilités et les pouvoirs sont alloués, comment fonctionnent les lignes de reporting et comment le dispositif de contrôle interne est effectivement organisé.

Mais CRD VI franchit un pas supplémentaire.

L'article 88, paragraphe 3, de la CRD prévoit désormais que les établissements établissent, maintiennent et mettent à jour des relevés individuels des rôles et fonctions ainsi qu'une cartographie des fonctions, comprenant notamment les lignes de reporting et les lignes de responsabilité. Ces documents doivent pouvoir être mis à disposition des autorités compétentes.

La nuance est considérable.

La question prudentielle n'est donc progressivement plus seulement :

« Disposez-vous d'une organisation adéquate ? »

Elle devient :

« Montrez-nous précisément qui répond de quoi. »

Cette évolution peut sembler documentaire.

Elle est en réalité profondément substantielle.



Le prochain risque de gouvernance : la zone grise

Dans une organisation bancaire complexe, les problèmes les plus difficiles ne naissent pas toujours d'une absence de procédure.

Ils apparaissent souvent dans les espaces situés entre plusieurs responsabilités.

Le métier considère qu'un contrôle appartient à Compliance.

Compliance considère que le premier niveau doit l'effectuer.

Risk estime qu'il s'agit principalement d'un sujet opérationnel.

Le comité reçoit l'information mais ne prend pas explicitement de décision.

Le Board a approuvé le framework mais n'a jamais été informé de l'exception.

Une activité est externalisée et chacun considère implicitement que le prestataire ou une autre entité du groupe contrôle le risque.

Individuellement, chaque intervenant peut avoir une justification raisonnable.

Collectivement, pourtant, personne ne paraît clairement accountable.

C'est cette zone grise qui devient dangereuse.

Car lorsqu'un incident survient, la question du superviseur n'est généralement pas abstraite.

Elle devient chronologique :

Qui connaissait le risque ?

Quand l'a-t-il connu ?

Quelle information avait-il reçue ?

Qui pouvait décider ?

Qui devait challenger ?

Quel contrôle devait détecter l'anomalie ?

L'exception a-t-elle été escaladée ?

Qui a accepté le risque résiduel ?

Une gouvernance robuste doit être capable de répondre à chacune de ces questions sans reconstruire l'histoire plusieurs mois après l'événement.



Gouvernance : passer du « RACI » à la chaîne d'accountability

Beaucoup d'établissements disposent déjà de matrices RACI.

Elles sont utiles.

Mais une matrice indiquant qu'une fonction est « Responsible », « Accountable », « Consulted » ou « Informed » ne constitue pas nécessairement la preuve qu'une responsabilité est effectivement exercée.

L'enjeu est désormais de relier cinq éléments.

Le mandat.

Qui possède juridiquement et organisationnellement la compétence ?

L'information.

Cette personne disposait-elle réellement des informations nécessaires pour exercer cette compétence ?

Le challenge.

Quelqu'un a-t-il effectivement contesté, analysé ou testé les hypothèses présentées ?

La décision.

Peut-on identifier ce qui a été décidé, par qui et sur quelle base ?

Le suivi.

Les actions décidées ont-elles été exécutées, contrôlées et, lorsque nécessaire, réescaladées ?

Cette chaîne constitue ce que l'on pourrait appeler une accountability trail.

Elle devrait devenir à la gouvernance ce que l'audit trail est depuis longtemps aux systèmes et aux opérations : la capacité de reconstituer de manière fiable le chemin allant du risque à la décision.



Un Board informé n'est pas nécessairement un Board qui supervise

C'est probablement l'une des distinctions les plus importantes.

Recevoir de l'information ne signifie pas exercer une supervision.

Un Board peut recevoir des centaines de pages de reporting chaque trimestre tout en disposant d'une vision insuffisante du risque.

Le véritable indicateur de gouvernance n'est donc pas le volume d'information remonté, mais sa capacité à déclencher une compréhension, un challenge ou une décision.

Un reporting de gouvernance véritablement utile devrait permettre au Board d'identifier rapidement :


  • ce qui a changé depuis la dernière réunion ;
  • ce qui dépasse l'appétit au risque ;
  • quels contrôles ont échoué ;
  • quelles exceptions sont anciennes ou répétitives ;
  • quelles décisions sont attendues ;
  • quels risques ont été acceptés ;
  • quelles actions sont en retard ;
  • et quel responsable porte chacune d'elles.

Le rôle du secrétariat de gouvernance, de Risk et de Compliance ne devrait donc pas consister à produire toujours davantage de données.

Il devrait être de transformer la donnée en capacité de supervision.

La question à poser n'est plus :

« Le sujet a-t-il été présenté au Board ? »

mais :

« Le Board disposait-il de suffisamment d'information pour comprendre le risque, le challenger et exercer sa responsabilité ? »



Le procès-verbal devient une pièce de gouvernance

Cette évolution a une conséquence souvent sous-estimée : l'importance des minutes de Board et de comités.

Un procès-verbal indiquant simplement :


« The Committee discussed the matter and took note »

peut être formellement correct tout en étant presque inutile lorsqu'il s'agit de démontrer l'exercice effectif de la gouvernance.

Les minutes les plus utiles sont celles qui permettent de retrouver :

le problème,

le challenge exprimé,

la décision prise,

le responsable désigné,

l'échéance convenue,

et, lorsque cela est pertinent, le risque résiduel accepté.

Il ne s'agit évidemment pas de produire une transcription intégrale des débats.

Il s'agit de conserver la preuve du raisonnement de gouvernance.

Cette différence est essentielle.

Une bonne minute ne documente pas seulement qu'une réunion a eu lieu.

Elle démontre qu'une fonction de supervision a été exercée.



Les fonctions de contrôle doivent pouvoir démontrer leur challenge

La même évolution concerne Compliance, Risk Management et Internal Audit.

Leur indépendance organisationnelle est fondamentale. CRD VI renforce d'ailleurs les attentes relatives aux fonctions de contrôle indépendantes et prévoit notamment qu'elles disposent de l'autorité, du statut, des ressources et de l'accès nécessaires à l'organe de direction.

Mais l'indépendance ne constitue que le point de départ.

Une fonction de contrôle réellement efficace doit pouvoir démontrer :

ce qu'elle a identifié ;

ce qu'elle a challengé ;

ce qu'elle a recommandé ;

ce que le management a décidé ;

ce qui reste ouvert ;

et ce qui a été escaladé.

Il existe ici une différence fondamentale entre review et challenge.

Une fonction Compliance peut avoir examiné un dossier sans avoir véritablement contesté une hypothèse.

Risk peut avoir reçu une décision sans avoir évalué sa cohérence avec l'appétit au risque.

Internal Audit peut identifier une faiblesse, mais son impact dépendra ensuite de la qualité du suivi et de l'escalade.

Le superviseur de demain ne cherchera probablement pas uniquement à constater l'existence des trois lignes de défense.

Il voudra comprendre si elles fonctionnent réellement comme trois lignes distinctes.



Le paradoxe des comités : plus de gouvernance peut produire moins d'accountability

Les établissements financiers ont parfois répondu à la complexification réglementaire en créant de nouveaux comités.

Risk Committee.

Compliance Committee.

AML Committee.

Outsourcing Committee.

ICT Committee.

DORA governance.

Product governance.

New Business Committee.

ESG Committee.

Cette spécialisation peut être parfaitement justifiée.

Mais elle crée un risque rarement mesuré : la fragmentation de l'accountability.

Plus une décision circule entre plusieurs forums, plus il peut devenir difficile de déterminer lequel était réellement compétent pour la prendre.

Le phénomène peut conduire à ce que chacun soit impliqué, mais que personne ne soit véritablement responsable.

La bonne question n'est donc pas :

« Avons-nous un comité pour ce risque ? »

Elle est :

« Quel organe possède le decision right final, et où cette décision est-elle enregistrée ? »

Un comité ne devrait jamais devenir un espace dans lequel la responsabilité individuelle ou managériale se dissout derrière une responsabilité collective abstraite.

CRD VI prend précisément soin de maintenir la responsabilité collective de l'organe de direction tout en exigeant une meilleure identification des rôles individuels.

C'est probablement l'un des équilibres les plus délicats du nouveau cadre.



Externaliser une activité n'externalise jamais l'accountability

Ce principe devient encore plus critique dans les modèles bancaires fortement externalisés.

Cloud.

ICT.

KYC utilities.

Screening.

Transaction monitoring.

Data management.

Payment processing.

Internal group services.

L'établissement peut déléguer l'exécution d'une activité.

Il ne peut pas déléguer sa responsabilité prudentielle.

DORA et les exigences européennes relatives à la résilience opérationnelle renforcent encore cette logique : les dépendances technologiques doivent être gouvernées comme des risques de l'établissement et non comme de simples relations fournisseurs.

Cela change profondément la définition d'un bon dispositif d'outsourcing.

Le contrôle d'un prestataire ne peut plus se résumer à :

un contrat + un SLA + une revue annuelle.

Il faut pouvoir démontrer :


  • qui possède le risque ;
  • qui analyse les incidents ;
  • qui évalue la performance du prestataire ;
  • qui décide de l'acceptation d'une déviation ;
  • qui déclenche l'escalade ;
  • qui peut exiger une remediation ;
  • et dans quelles circonstances l'établissement activerait son exit strategy.

Là encore, la question fondamentale reste identique :

qui répond ?



Le Fit & Proper évolue lui aussi : être compétent ne suffit plus

Le changement est également visible dans le régime du fit & proper.

CRD VI renforce la responsabilité première des établissements quant à l'aptitude des membres de leurs organes de direction et exige que cette aptitude soit appréciée non seulement avant la prise de fonction mais également de manière continue et périodique.

Cela introduit une conception plus dynamique de la gouvernance.

Un administrateur peut avoir été parfaitement qualifié lors de sa nomination.

Mais la question devient ensuite :

dispose-t-il encore du temps, de l'information, de la connaissance et de l'indépendance d'esprit nécessaires pour exercer réellement son mandat ?

La compétence théorique n'est donc pas suffisante.

Elle doit pouvoir être convertie en capacité effective de supervision.

Pour une banque, cela implique notamment de pouvoir démontrer la qualité de l'onboarding, la formation continue, l'accès à l'information, le traitement des conflits d'intérêts et l'adéquation entre les responsabilités attribuées et les compétences de chaque membre.



Un nouveau concept devrait entrer dans les frameworks : le « Governance Evidence »

Les établissements consacrent déjà beaucoup d'énergie à leurs frameworks de gouvernance.

Mais une question supplémentaire mériterait désormais d'être systématiquement posée :


Si le superviseur sélectionnait aujourd'hui dix décisions importantes prises au cours des douze derniers mois, pourrions-nous reconstruire rapidement et sans ambiguïté la chaîne complète de responsabilité pour chacune d'elles ?

Pour chaque décision, l'établissement devrait idéalement pouvoir identifier :

1. Le Risk Owner

Qui portait le risque ?

2. Le Decision Owner

Qui avait l'autorité de décider ?

3. Le Control Owner

Qui devait vérifier que le dispositif fonctionnait ?

4. Le Challenger

Quelle fonction indépendante devait exercer un regard critique ?

5. L'Escalation Owner

Qui devait faire remonter une déviation ?

6. L'Approving Body

Quel comité ou organe devait valider la décision lorsque nécessaire ?

7. L'Evidence

Où se trouve la preuve de chacune de ces étapes ?

Cette approche permettrait de transformer une architecture organisationnelle abstraite en un véritable Governance Evidence Framework.



Le meilleur test de gouvernance tient peut-être en une seule question

Imaginons qu'un incident important survienne demain.

Une défaillance AML.

Une cyberattaque.

Une violation de limite de risque.

Un incident lié à un prestataire critique.

Une erreur de reporting réglementaire.

Un défaut dans un modèle.

Une décision commerciale créant une exposition non anticipée.

Le superviseur entre dans la banque et demande :


« Montrez-moi qui était responsable de ce risque et comment cette responsabilité a été exercée. »

Combien de temps faudrait-il à l'établissement pour répondre ?

Cinq minutes ?

Une heure ?

Deux jours ?

Trois semaines et vingt échanges d'e-mails ?

Cette durée constitue peut-être à elle seule un excellent indicateur de maturité de gouvernance.

Car lorsque la responsabilité n'apparaît qu'après une reconstruction complexe, elle n'était probablement pas suffisamment claire au moment où elle devait être exercée.



Le véritable enjeu de CRD VI n'est donc peut-être pas documentaire

Au premier regard, les nouvelles exigences de cartographie des fonctions et de descriptions individuelles pourraient être considérées comme une nouvelle obligation réglementaire à documenter.

Ce serait probablement manquer l'essentiel.

L'enjeu n'est pas de créer une nouvelle série de fiches de fonction ou une matrice supplémentaire.

Il est de réduire les zones de responsabilité implicite.

Une cartographie parfaitement remplie mais déconnectée de la réalité quotidienne n'améliorera pas la gouvernance.

Une banque véritablement mature cherchera au contraire à aligner :

l'organigramme,

les délégations de pouvoirs,

les Terms of Reference des comités,

les job descriptions,

les risk ownerships,

les policies,

les workflows,

les systèmes d'escalade,

et les minutes de gouvernance.

C'est dans la cohérence entre ces différents éléments que réside la véritable valeur du dispositif.



Pour les banques luxembourgeoises, le prochain chantier est donc moins réglementaire qu'organisationnel

Le Luxembourg dispose déjà d'un cadre de gouvernance bancaire particulièrement développé.

La loi du 5 mai 2026 a transposé CRD VI et la CSSF a expressément attiré l'attention des établissements sur ses implications en matière de gouvernance interne et de fit & proper. La CSSF a également annoncé qu'elle adapterait la circulaire 12/552 afin d'assurer son alignement avec le cadre européen révisé.

Mais la prochaine étape ne devrait pas consister simplement à attendre le prochain texte.

Les établissements peuvent déjà commencer à tester leur gouvernance à travers quelques questions simples :

Existe-t-il une responsabilité sans véritable pouvoir de décision ?

Existe-t-il un pouvoir de décision sans responsabilité clairement documentée ?

Deux fonctions pensent-elles contrôler le même risque — ou, plus dangereusement, chacune pense-t-elle que l'autre le contrôle ?

Les Terms of Reference des comités correspondent-ils encore à leur fonctionnement réel ?

Les décisions importantes peuvent-elles être reliées à une personne ou à un organe clairement identifiable ?

Les minutes démontrent-elles le challenge ou seulement la présence des participants ?

Les actions décidées sont-elles suivies jusqu'à leur clôture effective ?

Les exceptions récurrentes reviennent-elles devant le bon niveau de management ?

Ces questions ont probablement davantage de valeur qu'une nouvelle politique de cinquante pages.



Conclusion — de « Who does what? » à « Prove it »

La gouvernance bancaire entre progressivement dans une nouvelle phase.

La première génération de gouvernance prudentielle cherchait principalement à s'assurer que les établissements avaient les bonnes structures.

La suivante s'est concentrée sur les bons processus et les bons contrôles.

La prochaine cherchera de plus en plus à vérifier que les responsabilités sont identifiables, exercées et démontrables.

Pour les banques luxembourgeoises, la question n'est donc plus seulement de savoir si leurs politiques sont conformes ou si leurs comités existent.

La vraie question est plus exigeante :


Lorsqu'une décision importante est prise, pouvez-vous démontrer qui disposait de l'information, qui a challengé, qui a décidé, qui contrôlait et qui était finalement accountable ?

Parce qu'en matière de gouvernance, le risque le plus dangereux n'est peut-être plus l'absence de règles.

C'est l'existence d'une organisation dans laquelle tout le monde intervient, mais où personne ne peut clairement démontrer qui répond de quoi.

Et la formule qui résume probablement le mieux la prochaine génération de supervision bancaire tient désormais en deux mots :

Prove it.

3 reactions 0 comments
ConversationShare an idea or ask a question
0

DORA : le vrai risque n’est plus l’incident informatique, mais l’incapacité à prouver qu’il a été correctement détecté, qualifié et reporté

Depuis DORA, subir un incident informatique n’est pas nécessairement un échec réglementaire. En revanche, être incapable de démontrer quand l’incident a été détecté, comment il a été évalué, pourquoi il a été classé comme majeur, ou non, et dans quels délais il a été notifié peut rapidement le devenir.

Un serveur tombe.

Une application devient indisponible.

Un prestataire informatique informe l’entreprise d’un incident de cybersécurité.

Des données deviennent temporairement inaccessibles.

Une activité critique est perturbée pendant plusieurs heures.

Dans les premières minutes, les équipes cherchent naturellement à résoudre le problème.

C’est indispensable.

Mais depuis l’entrée en application de DORA, le 17 janvier 2025, une deuxième horloge tourne en parallèle.

Une horloge réglementaire.

Elle ne mesure pas seulement le temps nécessaire pour restaurer les systèmes.

Elle mesure le temps nécessaire pour :

  • détecter ;
  • documenter ;
  • classifier ;
  • escalader ;
  • notifier ;
  • mettre à jour ;
  • et expliquer.

C’est précisément là que se situe probablement l’un des risques DORA les plus sous-estimés.

Le risque n’est plus simplement :


« Avons-nous subi un incident informatique ? »

La question devient :


« Pourrions-nous démontrer, six mois plus tard devant la CSSF, exactement ce que nous savions à chaque moment critique et pourquoi nous avons pris la décision de notifier — ou de ne pas notifier ? »

La distinction est fondamentale.



1. DORA n’exige pas l’absence d’incidents. Il exige leur maîtrise.

Aucune infrastructure informatique sérieuse ne peut raisonnablement garantir qu’aucun incident ne surviendra jamais.

DORA ne repose d’ailleurs pas sur cette fiction.

Le règlement européen organise au contraire un cadre permettant aux entités financières d’identifier, gérer, enregistrer, classifier et, lorsque les critères sont atteints, notifier les incidents majeurs liés aux technologies de l’information et de la communication.

Pour les entités relevant de DORA, l’incident devient donc un objet réglementaire.

À partir du moment où un événement survient, plusieurs questions commencent immédiatement à produire des conséquences :

Quand l’entité en a-t-elle eu connaissance ?

Quand a-t-elle disposé d’informations suffisantes pour l’évaluer ?

Quels critères de classification ont été examinés ?

Quand l’incident a-t-il été considéré comme majeur ?

Qui a pris cette décision ?

Sur quelles informations ?

Quand l’autorité compétente a-t-elle été informée ?

Ces questions ne sont pas théoriques.

Elles déterminent directement le respect des délais de notification.



2. Le détail qui change tout : le délai ne commence pas uniquement avec la notification

Le règlement délégué (UE) 2025/301 fixe désormais très précisément les délais applicables.

La notification initiale d’un incident majeur doit être effectuée le plus tôt possible, et en tout état de cause dans les quatre heures suivant sa classification comme incident majeur, sans dépasser 24 heures à compter du moment où l’entité financière a pris connaissance de l’incident.

Le rapport intermédiaire doit ensuite être transmis au plus tard 72 heures après la notification initiale, même lorsque la situation n’a pas évolué.

Le rapport final doit, en principe, être soumis au plus tard un mois après le rapport intermédiaire ou, le cas échéant, après sa dernière mise à jour.

Cette mécanique réglementaire crée une difficulté particulièrement intéressante.

Il existe au moins deux moments différents à documenter :

T0 : awareness of the incident

et

T1 : classification as major.

Entre les deux se déroule tout le processus d’analyse.

Et c’est précisément cette période qui peut devenir extrêmement sensible lors d’une inspection.

Car une question évidente peut apparaître :


Pourquoi l’incident n’a-t-il été classé comme majeur qu’à 17h42 alors que vos équipes en avaient connaissance depuis 09h15 ?

Pour répondre correctement, une entreprise doit disposer de beaucoup plus qu’un formulaire de notification.

Elle doit disposer de la preuve de son raisonnement.



3. Le véritable risque DORA pourrait donc être le “decision gap”

Prenons un cas volontairement simple.

À 08h47, un prestataire ICT informe l’entreprise qu’un service utilisé par plusieurs fonctions est indisponible.

À 09h05, IT ouvre un ticket.

À 09h30, le problème est considéré comme technique et temporaire.

À 11h15, l’indisponibilité continue.

À 13h40, les équipes réalisent que certaines opérations critiques ne peuvent plus être exécutées.

À 15h10, Compliance et Risk sont informés.

À 16h00, une première évaluation DORA est réalisée.

À 18h00, l’incident est classé comme majeur.

La question du superviseur pourrait ne pas porter uniquement sur la notification effectuée après 18h00.

Elle pourrait porter sur les neuf heures précédentes.

Pourquoi Compliance n’a-t-elle été informée qu’à 15h10 ?

Quels critères de matérialité étaient disponibles à 11h15 ?

Existe-t-il une règle claire permettant à IT de savoir quand déclencher l’analyse réglementaire ?

Quelqu’un a-t-il documenté à 13h40 le fait qu’une fonction critique était impactée ?

Qui disposait de l’autorité permettant de classifier l’incident ?

Pourquoi la classification a-t-elle nécessité près de deux heures supplémentaires ?

Toutes ces questions examinent la même chose :

la qualité du processus de décision.



4. Un incident bien géré mais mal documenté peut devenir un mauvais dossier réglementaire

Imaginons maintenant que les équipes aient réagi de manière excellente.

Le système est isolé.

Les utilisateurs sont informés.

Le fournisseur est challengé.

Le business continuity plan est activé.

Le service est restauré.

Aucune donnée n’est perdue.

Aucun investisseur ne subit de préjudice.

Opérationnellement, l’incident a été remarquablement géré.

Mais six mois plus tard, lors d’une inspection, personne n’est capable de déterminer avec certitude :

quand l’incident a été détecté ;

quand le management en a eu connaissance ;

quand il a été considéré comme potentiellement majeur ;

quels critères réglementaires ont été testés ;

qui a validé la classification ;

pourquoi certains seuils ont été considérés comme atteints ou non atteints.

L’entreprise dispose de centaines d’e-mails.

De messages Teams.

De tickets IT.

De rapports du prestataire.

De captures d’écran.

Mais pas d’une chronologie réglementaire consolidée.

C’est là que le problème apparaît.

L’organisation possède de l’information.

Mais elle ne possède pas nécessairement de preuve.



5. Sous DORA, l’horodatage devient presque aussi important que le contenu

Dans beaucoup de processus de compliance traditionnels, il est essentiel de démontrer ce qui a été décidé.

Dans la gestion des incidents DORA, il devient tout aussi important de démontrer quand cette décision a été prise.

Prenons une phrase apparemment anodine :

« The incident was assessed as major. »

Elle est insuffisante.

Il faut potentiellement être capable de démontrer :

18:02 — les derniers éléments nécessaires à la classification sont reçus ;

18:07 — l’évaluation des critères DORA est complétée ;

18:14 — Risk confirme que les seuils sont atteints ;

18:19 — Compliance confirme l’obligation de reporting ;

18:24 — le responsable autorisé valide la classification ;

18:37 — préparation de la notification ;

19:03 — transmission à l’autorité compétente.

Cette chronologie transforme une affirmation en preuve.

Elle permet surtout de répondre à la question réglementaire la plus importante :


L’organisation a-t-elle agi sans retard injustifié dès qu’elle disposait de l’information pertinente ?



6. Le 29 septembre 2026, la CSSF a envoyé un signal particulièrement clair

Le sujet est devenu encore plus actuel au Luxembourg.

Le 29 septembre 2026, soit moins d’une semaine avant la rédaction du présent article, la CSSF a publié des instructions opérationnelles complémentaires concernant la notification des incidents majeurs liés aux TIC dans le cadre de DORA.

La CSSF rappelle notamment les instructions opérationnelles publiées par les autorités européennes de supervision et précise que ces orientations doivent permettre d’améliorer la qualité des informations communiquées, d’harmoniser les pratiques de notification et de réduire les échanges ultérieurs avec les autorités.

Le message mérite d’être lu au-delà de sa dimension technique.

Le superviseur ne s’intéresse pas seulement au fait qu’un rapport ait été transmis.

Il s’intéresse à la qualité de ce qui est transmis.

Autrement dit :

reporting effectué ne signifie pas nécessairement reporting maîtrisé.

La notification devient elle-même un processus de contrôle réglementaire.



7. La classification est probablement le cœur du dispositif

Toute la mécanique repose sur une étape particulièrement délicate :


la qualification de l’incident.

Tous les incidents ICT ne sont évidemment pas des incidents majeurs au sens de DORA.

Le processus de classification doit donc être suffisamment robuste pour distinguer :

un événement technique mineur ;

un incident ICT ;

un incident présentant un impact matériel ;

et un incident répondant aux critères réglementaires de major incident.

Mais cette analyse doit également être reproductible.

Une organisation mature ne devrait jamais se trouver dans une situation où la conclusion dépend essentiellement de la personne présente ce jour-là.

Deux personnes différentes confrontées au même événement devraient parvenir à une conclusion réglementaire raisonnablement comparable.

Cela suppose :

des critères clairement documentés ;

des sources de données identifiées ;

des responsabilités définies ;

une méthodologie commune ;

et une gouvernance d’escalade.

Sinon, le risque apparaît immédiatement :


le même incident pourrait être “major” le lundi et “non-major” le vendredi selon la personne réalisant l’analyse.

Ce n’est pas un problème informatique.

C’est un problème de gouvernance.



8. La décision de ne pas reporter doit être aussi documentée que celle de reporter

Voici probablement l’un des points les plus importants.

Les organisations ont naturellement tendance à documenter soigneusement les incidents ayant fait l’objet d’une notification.

Mais qu’en est-il des incidents analysés puis considérés comme non reportables ?

Ce sont parfois eux qui présentent le risque réglementaire le plus important.

Pourquoi ?

Parce qu’un superviseur peut parfaitement sélectionner a posteriori un incident figurant dans le registre interne et demander :


« Pourquoi cet incident n’a-t-il pas été notifié ? »

Une réponse telle que :

« Nous avions considéré qu’il n’était pas suffisamment important »

est extrêmement fragile.

Une réponse robuste serait plutôt :

« Nous avons appliqué les critères de classification DORA le 14 avril à 10h35. Les critères A et B étaient satisfaits, mais les seuils X, Y et Z ne l’étaient pas sur la base des données disponibles à cette date. L’évaluation a été revue à 15h00 après réception d’informations complémentaires et la conclusion est restée inchangée. Voici l’analyse, les données sources et les validations. »

La différence entre les deux est immense.

La première est une opinion.

La seconde est une position réglementaire démontrable.



9. Le “DORA incident evidence pack”

C’est probablement ici que les organisations financières peuvent faire évoluer leur dispositif.

Chaque incident présentant une matérialité suffisante devrait pouvoir être reconstitué à travers un dossier standardisé que l’on pourrait appeler :


DORA Incident Evidence Pack

Il ne s’agirait pas d’ajouter de la bureaucratie.

Il s’agirait de transformer des informations dispersées en chaîne de preuve cohérente.

Le dossier devrait notamment permettre de retrouver immédiatement :

1. Detection

Quand l’incident est-il apparu ?

Quand a-t-il été détecté ?

Par quel système ou quelle personne ?



2. Awareness

Quand l’organisation en a-t-elle eu connaissance ?

Quelle fonction était informée ?

Existe-t-il une preuve horodatée ?



3. Initial assessment

Quelle était l’information disponible au départ ?

Quelles hypothèses ont été formulées ?



4. DORA classification

Quels critères réglementaires ont été évalués ?

Quels seuils étaient atteints ?

Lesquels ne l’étaient pas ?



5. Decision

Qui a décidé de classer l’incident comme majeur ou non majeur ?

À quelle heure ?



6. Escalation

Quand IT, Risk, Compliance, le senior management ou les organes de gouvernance concernés ont-ils été informés ?



7. Regulatory reporting

Quand la notification initiale a-t-elle été envoyée ?

Quand les rapports intermédiaires ont-ils été transmis ?

Le rapport final ?



8. Remediation

Quelles mesures ont été prises ?

Quelles actions restent ouvertes ?



9. Root cause

Quelle était la cause profonde ?

Interne ?

Prestataire ?

Configuration ?

Erreur humaine ?

Cyberattaque ?



10. Lessons learned

Qu’a changé l’organisation à la suite de l’incident ?

Sans cette dernière étape, l’organisation gère des événements.

Elle ne construit pas nécessairement de résilience.



10. Un fichier Excel des incidents ne constitue pas nécessairement un Incident Management Framework

De nombreuses organisations disposent aujourd’hui d’un incident register.

Date.

Description.

Impact.

Owner.

Status.

Cela constitue un bon point de départ.

Mais le simple enregistrement des incidents ne suffit pas.

Un véritable framework doit permettre de reconstruire la dynamique de décision.

Le registre devrait donc intégrer des informations beaucoup plus significatives :

Detection timestamp

Awareness timestamp

Classification started

Classification completed

Major / non-major

Rationale

Decision maker

Regulatory notification required

Initial notification timestamp

Intermediate report timestamp

Final report timestamp

Critical function impacted

ICT third party involved

Root cause

Financial impact

Remediation

Closure validation

Le changement semble subtil.

Il est en réalité majeur.

On passe d’un incident log à un regulatory decision log.



11. Le rôle des prestataires ICT crée un autre risque : “nous attendions leur analyse”

Imaginons qu’un incident survienne chez un prestataire critique.

L’entité financière demande des informations.

Le prestataire répond :

« Investigation ongoing. »

Deux heures plus tard :

« No further information available. »

Six heures plus tard :

« Root cause still under investigation. »

Le danger serait de considérer que l’horloge réglementaire est suspendue jusqu’à ce que le prestataire ait terminé son analyse.

Ce raisonnement peut être problématique.

L’entité financière reste responsable de ses propres obligations DORA.

Elle doit donc disposer d’un mécanisme permettant d’évaluer l’incident sur la base des informations disponibles à chaque moment, quitte à mettre à jour ensuite son appréciation.

Le principe devrait être simple :


L’incertitude du fournisseur ne doit jamais devenir l’absence de décision de l’entité financière.

C’est précisément pour cette raison que les contrats, mécanismes d’escalade, SLA, obligations de notification et accès aux informations des prestataires ICT deviennent stratégiques.



12. Un Board ne devrait pas recevoir seulement une liste d’incidents

La gouvernance mérite également d’évoluer.

Un Board ou un senior management ne gagne pas nécessairement beaucoup à recevoir :

« 14 incidents ICT ce trimestre. »

Ce chiffre ne dit presque rien.

Un reporting DORA beaucoup plus mature présenterait par exemple :

14 incidents ICT identifiés

dont

3 incidents ayant déclenché une analyse formelle DORA

dont

1 classifié comme majeur

avec

100 % des notifications effectuées dans les délais réglementaires

temps médian entre detection et awareness : X

temps médian entre awareness et classification : Y

2 incidents impliquant un ICT third-party provider

3 remediation actions encore ouvertes

1 recurring root cause identifiée

Cette information permet à l’organe de gouvernance de comprendre réellement :

où se situent les vulnérabilités ;

si les incidents sont correctement détectés ;

si la classification fonctionne ;

si les escalades sont rapides ;

et si les mêmes défaillances se répètent.

Le reporting cesse alors d’être descriptif.

Il devient décisionnel.



13. Les KPI les plus intéressants ne sont peut-être pas ceux que l’on croit

Certaines organisations suivent principalement :

Number of ICT incidents

ou

Number of major incidents.

Ce sont des données utiles.

Mais des KPI de maturité beaucoup plus révélateurs pourraient être :


Mean Time to Detect — MTTD

Combien de temps s’écoule entre l’apparition de l’incident et sa détection ?


Mean Time to Regulatory Awareness

Combien de temps avant que les fonctions nécessaires à la classification DORA soient informées ?


Mean Time to Classify

Combien de temps entre l’awareness et la décision réglementaire ?


Reporting Timeliness

Quel pourcentage de notifications respecte les délais applicables ?


Classification Reassessment Rate

Combien d’incidents ont dû être reclassifiés après réception d’informations nouvelles ?


Recurring Incident Rate

Combien d’incidents résultent d’une cause déjà identifiée précédemment ?


Overdue Remediation Rate

Combien d’actions correctrices restent ouvertes après leur échéance ?

Ces indicateurs mesurent quelque chose de beaucoup plus profond :

la capacité de l’organisation à apprendre et décider sous contrainte.



14. Le test d’inspection que toute entité pourrait effectuer demain

Une organisation souhaitant tester réellement son dispositif pourrait sélectionner cinq incidents récents — y compris des incidents non reportés — et demander à une personne indépendante de reconstruire, uniquement à partir des preuves disponibles :


  1. À quelle heure l’incident a-t-il commencé ?
  2. À quelle heure a-t-il été détecté ?
  3. Quand l’entité en a-t-elle eu connaissance ?
  4. Quand l’analyse DORA a-t-elle commencé ?
  5. Quels critères de classification ont été examinés ?
  6. Quelles données ont été utilisées ?
  7. Qui a décidé de la classification ?
  8. Pourquoi l’incident a-t-il été reporté ou non reporté ?
  9. Les délais réglementaires ont-ils été respectés ?
  10. Quelles actions ont été prises après l’incident ?

Ce test est extrêmement puissant.

Car si une personne indépendante ne peut pas reconstruire la décision plusieurs semaines plus tard, il peut être difficile d’affirmer qu’un superviseur pourra le faire.



15. Le véritable stress test DORA ne porte donc pas seulement sur les systèmes

Quand on parle de résilience opérationnelle, on pense naturellement :

cyberattaques ;

disaster recovery ;

backups ;

business continuity ;

penetration testing ;

redondance des systèmes.

Tout cela reste évidemment essentiel.

Mais il existe un autre stress test.

Un stress test de gouvernance.

Prenez un vendredi à 17h42.

Une plateforme critique tombe.

Le prestataire ne connaît pas encore la cause.

Les équipes opérationnelles sont sous pression.

Le management veut restaurer le service.

Compliance demande des informations.

Risk essaie d’évaluer l’impact.

Les informations arrivent de manière incomplète.

Et l’horloge réglementaire tourne.

La vraie question devient alors :


Votre organisation peut-elle transformer rapidement une information imparfaite en une décision réglementaire documentée ?

C’est probablement l’une des meilleures définitions de la maturité DORA.



16. “Show me why you did not report it”

Il existe enfin une question que les responsables Risk, Compliance, IT et les dirigeants devraient peut-être garder à l’esprit lors de chaque incident :


« Si la CSSF me demandait dans six mois pourquoi nous n’avons pas reporté cet incident, pourrais-je répondre en moins de cinq minutes ? »

Pas à partir de mes souvenirs.

Pas après avoir interrogé six personnes.

Pas après avoir recherché des messages Teams.

Pas après avoir reconstitué une chronologie à partir de 47 e-mails.

Mais immédiatement.

Avec :

les timestamps ;

les critères ;

les données ;

les validations ;

et la décision.

C’est probablement là que se trouve la frontière entre un processus de gestion d’incident et un véritable dispositif de gouvernance DORA.



Conclusion — Sous DORA, l’incident est un événement ; la preuve de sa maîtrise est un processus réglementaire

DORA change profondément la manière dont les organisations financières doivent penser les incidents informatiques.

Le succès ne peut plus être mesuré uniquement par :

« Le système a été restauré. »

La question réglementaire est désormais beaucoup plus large :

Avons-nous détecté l’incident suffisamment tôt ?

Savions-nous quand l’organisation en avait réellement connaissance ?

Avons-nous appliqué les bons critères ?

La décision de classification était-elle justifiable ?

Avons-nous escaladé suffisamment rapidement ?

Les notifications ont-elles été effectuées dans les délais ?

Pouvons-nous le prouver ?

Et surtout :

avons-nous appris quelque chose de l’incident ?

La publication par la CSSF, le 29 septembre 2026, d’instructions opérationnelles complémentaires relatives au reporting des incidents majeurs DORA confirme à quel point la qualité, la cohérence et l’efficacité du processus de notification sont désormais des sujets de supervision très concrets.

Dans ce nouvel environnement, un incident informatique n’est donc pas nécessairement la principale faiblesse.

Une entreprise résiliente peut subir un incident.

Elle peut même subir un incident majeur.

Mais elle doit être capable de démontrer qu’elle l’a :

détecté ;

compris ;

qualifié ;

escaladé ;

reporté lorsque nécessaire ;

remédié ;

et transformé en apprentissage.

Le véritable risque réglementaire commence lorsque cette chaîne ne peut plus être reconstruite.

Et la question que chaque entité financière devrait peut-être poser aujourd’hui à ses équipes IT, Risk et Compliance est extrêmement simple :


« Prenez notre dernier incident ICT significatif. Montrez-moi, minute par minute, comment nous avons décidé qu’il devait — ou ne devait pas — être reporté. »

Si la réponse peut être produite immédiatement, l’organisation possède probablement davantage qu’une procédure DORA.

Elle possède une résilience démontrable.

DORA : le vrai risque n’est plus l’incident informatique, mais l’incapacité à prouver qu’il a été correctement détecté, qualifié et reporté
3 reactions 0 comments
ConversationShare an idea or ask a question
0

Si la CSSF venait demain dans votre AIFM, pourriez-vous démontrer — et non simplement affirmer — que chaque délégataire est effectivement sous contrôle ?

Dans l’environnement réglementaire actuel, la question n’est plus de savoir si l’AIFM dispose d’une politique de délégation. La véritable question est de savoir s’il peut produire, dossier après dossier, une chaîne de preuves démontrant que ses délégataires sont sélectionnés, compris, surveillés, challengés et, lorsque nécessaire, remis en cause.

Pour un AIFM luxembourgeois, déléguer n’a jamais signifié transférer sa responsabilité.

Mais en 2026, cette affirmation prend une dimension beaucoup plus concrète.

La CSSF a expressément identifié la gestion des risques liés aux prestataires tiers comme l’une de ses priorités de supervision du secteur des fonds. Elle a annoncé qu’elle examinerait auprès d’un échantillon d’Investment Fund Managers la conformité de leurs dispositifs avec les principes européens relatifs aux risques liés aux tiers ainsi qu’avec les exigences de délégation de la circulaire CSSF 18/698. L’analyse doit notamment porter sur l’intégration d’un cadre complet et effectif de third-party risk management dans le dispositif global de gestion des risques de l’IFM.

Le signal est important.

La supervision ne s’intéresse plus uniquement à l’existence juridique de la délégation.

Elle s’intéresse à sa maîtrise réelle.

Et cela change profondément la question qu’un AIFM devrait aujourd’hui se poser :


Si la CSSF sélectionnait demain trois de mes délégataires et me demandait de démontrer, preuves à l’appui, comment je sais que leurs activités restent effectivement sous contrôle, combien de temps me faudrait-il pour constituer le dossier ?

Si la réponse implique plusieurs jours de recherches, des échanges d’e-mails pour retrouver des documents ou la reconstitution a posteriori de contrôles qui auraient dû être immédiatement traçables, le problème n’est probablement pas documentaire.

Il est plus fondamental.

C’est un problème de gouvernance.



1. La délégation ne transfère jamais la responsabilité réglementaire de l’AIFM

L’article 20 de la directive AIFM pose le principe central : lorsqu’un AIFM délègue certaines fonctions, il doit pouvoir démontrer que le délégataire est qualifié et capable d’exercer les fonctions concernées, qu’il a été sélectionné avec toute la diligence requise et que l’AIFM demeure en mesure de surveiller effectivement l’activité déléguée, de donner des instructions au délégataire et, lorsque cela est nécessaire dans l’intérêt des investisseurs, de mettre fin à la délégation.

Le texte ajoute une obligation essentielle : les services fournis par chaque délégataire doivent faire l’objet d’une revue continue.

Le règlement délégué (UE) n°231/2013 va dans la même direction.

L’AIFM doit mettre en place des méthodes et procédures permettant de revoir de manière continue les services fournis. Il doit disposer à tout moment des compétences et ressources nécessaires pour superviser les fonctions déléguées et gérer les risques associés. Les droits d’information, d’inspection, d’accès, d’instruction et de monitoring doivent être effectivement prévus.

Autrement dit :

la délégation peut déplacer l’exécution d’une fonction ; elle ne peut pas déplacer la responsabilité de savoir ce qui se passe.

Un AIFM qui reçoit simplement des reportings sans être capable de les interpréter ne contrôle pas nécessairement son délégataire.

Un AIFM qui organise annuellement une due diligence sans relier ses conclusions aux incidents rencontrés pendant l’année ne contrôle pas nécessairement son délégataire.

Un AIFM qui dispose d’un contrat lui accordant un droit d’audit qu’il n’a jamais envisagé d’exercer ne démontre pas nécessairement un contrôle effectif.

Le sujet n’est donc pas seulement celui de la documentation.

Il est celui de la capacité de surveillance effective.



2. La circulaire CSSF 18/698 utilise un terme particulièrement exigeant : « effectively monitor »

La circulaire CSSF 18/698 apporte ici une précision fondamentale.

Le dispositif de l’IFM doit permettre aux dirigeants et aux équipes opérationnelles de surveiller effectivement et de manière continue les activités du délégataire afin que leur exercice et leur qualité soient contrôlés comme si ces activités étaient réalisées en interne.

La procédure doit notamment déterminer la nature, l’étendue et la fréquence des due diligences périodiques sur la base d’une approche par les risques.

Elle doit également prévoir les mécanismes d’escalade et de décision applicables en matière de délégation. La circulaire précise surtout que le monitoring des activités déléguées ne peut lui-même être délégué : l’IFM doit conserver au Luxembourg des ressources suffisamment nombreuses et qualifiées pour exercer cette surveillance.

Cette exigence mérite d’être prise au pied de la lettre.

« Effectively monitor » ne signifie pas :

recevoir des informations.

Cela signifie être capable de transformer ces informations en jugement, puis le jugement en action lorsque cela est nécessaire.

Il existe une différence considérable entre :

« Nous recevons le KPI report du délégataire tous les trimestres »

et :

« Nous avons défini les indicateurs que nous considérons comme significatifs, fixé leurs seuils de tolérance, analysé les variations, investigué les dépassements, documenté les explications reçues, demandé des mesures correctrices lorsque nécessaire et présenté les sujets matériels à l’organe de gouvernance compétent. »

La première phrase décrit un processus administratif.

La seconde décrit un dispositif de contrôle.



3. Le véritable changement de paradigme : passer de la conformité documentaire à la conformité par la preuve

Pendant longtemps, la qualité d’un dispositif de délégation pouvait être appréciée essentiellement à travers ses éléments structurels :

existence d’un contrat, politique de délégation, due diligence initiale, questionnaire périodique, reporting du délégataire et revue annuelle.

Ces éléments restent indispensables.

Mais ils ne suffisent plus à démontrer la maîtrise du risque.

Les principes publiés par l’ESMA en juin 2025 sur la supervision des risques liés aux tiers renforcent cette logique. Ils couvrent non seulement la délégation, mais également l’outsourcing et d’autres formes de recours à des prestataires tiers. Leur objectif est notamment de permettre aux autorités de s’assurer que les entités supervisées disposent de structures de gouvernance et de gestion des risques appropriées et qu'elles ne deviennent pas des structures dépourvues de substance réelle.

La question réglementaire devient donc progressivement :

« Montrez-moi comment votre dispositif fonctionne réellement. »

Et non plus uniquement :

« Montrez-moi votre procédure. »

Cette évolution peut être résumée par une équation simple :

Policy + execution + evidence + challenge + remediation = effective oversight.

Une politique décrit ce qui devrait se produire.

Une preuve démontre que cela s’est produit.

Et c’est précisément cet écart entre les deux qui représente aujourd’hui l’un des risques réglementaires les plus sous-estimés des AIFM.



4. Imaginons maintenant que la CSSF sélectionne un délégataire

Prenons l’hypothèse suivante.

Lors d’une inspection, la CSSF choisit un Investment Manager auquel une partie de la gestion de portefeuille a été déléguée.

La question n’est probablement pas simplement :

« Avez-vous effectué une due diligence ? »

Le niveau suivant de questionnement pourrait être beaucoup plus révélateur :

Pourquoi ce délégataire a-t-il été sélectionné ?

Quels risques spécifiques aviez-vous identifiés au moment de son onboarding ?

Quel niveau de risque lui avez-vous attribué ?

Comment ce rating influence-t-il la fréquence et la profondeur du monitoring ?

Quels KPI et KRI suivez-vous ?

Pourquoi ceux-là ?

Quels incidents avez-vous observés au cours des douze derniers mois ?

Quelles anomalies avez-vous challengées ?

Pouvez-vous me montrer la réponse du délégataire ?

Qui l’a analysée ?

Quelle conclusion avez-vous tirée ?

Cette conclusion a-t-elle été documentée ?

A-t-elle entraîné une modification du monitoring ?

L’incident a-t-il été présenté au Conducting Officer compétent ?

À quel moment le Board ou un comité aurait-il dû être informé ?

Existe-t-il des sous-délégations ?

Savez-vous lesquelles ?

Quand avez-vous testé pour la dernière fois la capacité du délégataire à respecter ses obligations ?

Quand avez-vous effectué une visite sur site ?

Que se passerait-il demain si la relation devait être interrompue ?

La force d’un dispositif de délégation apparaît rarement dans la réponse à une seule de ces questions.

Elle apparaît dans la cohérence entre toutes les réponses.



5. Le dossier idéal de délégataire devrait raconter une histoire réglementaire complète

Un dossier robuste ne devrait pas être une accumulation de fichiers.

Il devrait permettre à une personne indépendante de comprendre, sans devoir interroger les collaborateurs ayant réalisé les contrôles, l’histoire complète de la relation.

Cette histoire commence par une justification.

Pourquoi cette activité est-elle déléguée ?

Pourquoi à ce prestataire ?

Pourquoi cette localisation ?

Pourquoi cette organisation ?

Elle se poursuit par une évaluation des risques.

Quels risques opérationnels, réglementaires, juridiques, financiers, de réputation, de concentration, ICT ou de continuité ont été identifiés ?

Puis vient la décision.

Qui a validé le délégataire ?

Sur la base de quelles informations ?

Des réserves existaient-elles ?

Ensuite commence la phase la plus importante : la surveillance.

Quels reportings sont reçus ?

Quels contrôles sont effectués ?

Quels incidents sont identifiés ?

Quelles conclusions sont tirées ?

Quels plans d’action sont ouverts ?

Et enfin vient la question rarement suffisamment préparée :

que se passe-t-il si la relation doit cesser ?

La circulaire CSSF 18/698 exige précisément que le dispositif traite de la continuité des opérations en cas de retrait du mandat.

Un véritable dispositif de delegation oversight doit donc être capable de documenter le cycle complet :

selection → risk assessment → appointment → monitoring → challenge → escalation → remediation → re-assessment → exit readiness.

Si une seule de ces étapes existe uniquement dans les habitudes de travail d’une personne et non dans les preuves institutionnelles de l’AIFM, une faiblesse existe.



6. Le piège du questionnaire annuel

L’une des erreurs les plus fréquentes consiste à confondre due diligence périodique et ongoing oversight.

Un questionnaire envoyé une fois par an peut constituer un élément utile du dispositif.

Mais un questionnaire annuel ne constitue pas, à lui seul, une surveillance continue.

Imaginez un délégataire dont la dernière due diligence a été jugée satisfaisante en janvier.

En mars, son responsable compliance quitte l’entreprise.

En avril, plusieurs incidents opérationnels apparaissent.

En juin, une fonction critique est sous-déléguée.

En septembre, le prestataire subit une cyberattaque.

En novembre, un régulateur étranger publie une décision à son encontre.

Si l’AIFM découvre l’ensemble de ces éléments au questionnaire de janvier suivant, son processus annuel fonctionne peut-être.

Mais son ongoing monitoring a échoué.

Le contrôle effectif doit donc intégrer différents horizons temporels.

Certains contrôles peuvent être annuels.

D’autres trimestriels.

D’autres permanents.

Et certains doivent être déclenchés par un événement.

C’est précisément là que le risk-based approach prend tout son sens.

Tous les délégataires ne doivent pas nécessairement être surveillés de manière identique.

Mais chaque différence d’intensité devrait pouvoir être expliquée.



7. Un modèle mature ne surveille pas seulement les prestataires : il surveille ses propres dépendances

La prochaine étape de maturité consiste à dépasser l’analyse individuelle de chaque délégataire.

Un AIFM peut avoir quinze prestataires individuellement acceptables et néanmoins présenter un risque global de dépendance élevé.

Pourquoi ?

Parce que plusieurs fonds peuvent dépendre du même groupe.

Parce que plusieurs fonctions critiques peuvent reposer sur le même fournisseur.

Parce qu’une part importante de la chaîne opérationnelle peut être concentrée dans la même juridiction.

Parce que différents prestataires peuvent eux-mêmes utiliser le même sous-traitant technologique.

Le risque ne se situe donc plus uniquement au niveau du prestataire.

Il se situe dans l’architecture globale de dépendance de l’AIFM.

Les principes ESMA relatifs aux third-party risks invitent précisément les superviseurs à examiner l’exposition globale et les concentrations découlant du recours aux tiers.

Un AIFM mature devrait donc être capable de répondre à une question beaucoup plus ambitieuse :

« Où se trouvent nos principales concentrations de dépendance opérationnelle ? »

Cette cartographie peut révéler des risques que quinze due diligences individuelles ne montreront jamais.



8. AIFMD II rend cette démonstration encore plus structurelle

AIFMD II renforce également la visibilité du superviseur sur les dispositifs de délégation.

Le cadre européen prévoit davantage d’informations sur les délégataires, les fonctions déléguées, les ressources humaines et techniques conservées par l’AIFM pour effectuer ses propres tâches et superviser les activités déléguées, ainsi qu’une description des mesures de due diligence périodique mises en œuvre.

Le message réglementaire est difficile à manquer.

Le superviseur ne souhaite pas seulement savoir ce qui a été délégué.

Il souhaite comprendre :

ce qui reste dans l’AIFM, qui contrôle la délégation, avec quelles ressources, selon quelles méthodes et avec quelle capacité réelle d’intervention.

AIFMD II rappelle d’ailleurs que les données quantitatives relatives aux actifs gérés dans le cadre de délégations ne doivent pas être considérées isolément comme la preuve d'une substance suffisante ou insuffisante : l’analyse de l’efficacité de l’oversight reste fondamentalement qualitative.

C’est une distinction essentielle.

Un AIFM n’est pas substantiel uniquement parce qu’il emploie un certain nombre de personnes.

Il est substantiel s’il possède les connaissances, les ressources, l’autorité et les informations lui permettant de prendre des décisions réelles sur les activités dont il demeure responsable.



9. Le meilleur indicateur d’un dispositif de contrôle n’est peut-être pas le nombre de due diligences réalisées

De nombreux dashboards indiquent encore :

100 % des due diligences réalisées.

C’est rassurant.

Mais ce KPI mesure essentiellement l’exécution d’un calendrier.

Il ne mesure pas nécessairement l’efficacité du contrôle.

Un dashboard plus mature pourrait suivre la qualité du dispositif lui-même :

le nombre d’incidents matériels détectés ;

le nombre de KPI ayant dépassé les seuils définis ;

le nombre de plans de remédiation ouverts ;

leur ancienneté ;

les actions échues ;

les changements significatifs intervenus chez les délégataires ;

les sous-délégations nouvelles ;

les résultats des visites sur site ;

les concentrations critiques ;

les délégataires présentant une détérioration de leur profil de risque ;

et surtout la capacité du management à identifier les situations nécessitant une décision.

Il existe ainsi une différence fondamentale entre :

« tous nos contrôles ont été réalisés »

et :

« nos contrôles démontrent que nos délégataires restent effectivement maîtrisés ».

Le premier indicateur mesure l’activité de Compliance ou d’oversight.

Le second mesure le risque.



10. La preuve ultime du contrôle : être capable de challenger

Un dispositif de supervision dans lequel aucun délégataire n’est jamais challengé mérite paradoxalement d’être interrogé.

Non pas parce qu’un problème devrait nécessairement exister.

Mais parce qu’un véritable mécanisme de surveillance devrait, tôt ou tard, produire :

une question ;

une divergence ;

une demande complémentaire ;

une recommandation ;

une remédiation ;

ou une décision.

Le challenge constitue l’une des meilleures preuves que l’AIFM n’est pas simplement un récepteur passif d’informations.

Prenons un exemple.

Le reporting trimestriel d’un délégataire indique depuis trois périodes une augmentation des erreurs opérationnelles.

Une surveillance faible archive le reporting.

Une surveillance intermédiaire demande une explication.

Une surveillance mature analyse la tendance, identifie la cause, évalue l’impact potentiel sur les fonds, exige lorsque nécessaire un plan de remédiation, définit un délai, suit sa mise en œuvre puis réévalue le risque résiduel.

Ce dernier niveau correspond véritablement à ce que signifie oversight.

La preuve n’est alors plus le reporting du délégataire.

La preuve est ce que l’AIFM en a fait.



11. Le « CSSF evidence test » : dix questions à poser aujourd’hui à votre organisation

Un AIFM souhaitant tester la maturité réelle de son modèle pourrait sélectionner demain matin trois délégataires matériels et tenter de répondre, documents à l’appui, aux questions suivantes :


  1. Pouvons-nous expliquer en moins de cinq minutes pourquoi l’activité a été déléguée et pourquoi ce prestataire a été retenu ?
  2. Pouvons-nous montrer l’évaluation initiale des risques et le niveau de risque actuel du délégataire ?
  3. Pouvons-nous démontrer que la profondeur et la fréquence du monitoring découlent effectivement de ce niveau de risque ?
  4. Pouvons-nous produire les derniers contrôles effectués sans reconstruire le dossier à partir d’e-mails individuels ?
  5. Pouvons-nous montrer au moins un exemple récent de challenge exercé par l’AIFM ?
  6. Savons-nous identifier immédiatement les incidents, breaches, exceptions et plans de remédiation encore ouverts ?
  7. Connaissons-nous les principales sous-délégations et dépendances critiques du prestataire ?
  8. Les Conducting Officers et organes de gouvernance reçoivent-ils une information suffisamment synthétique pour prendre de véritables décisions ?
  9. Possédons-nous en interne les compétences permettant de comprendre et de remettre en cause les informations fournies ?
  10. Pourrions-nous remplacer ou internaliser la fonction dans des conditions maîtrisées si la relation devait prendre fin ?

La difficulté à répondre à certaines de ces questions est peut-être plus instructive que n’importe quel questionnaire de due diligence.



12. Le dossier réglementaire de demain sera probablement un « evidence pack »

Il pourrait être utile de repenser complètement l’organisation documentaire du delegation oversight.

Plutôt qu’un ensemble de questionnaires rangés par année, chaque délégataire matériel pourrait disposer d’un véritable regulatory evidence pack.

Celui-ci permettrait de reconstruire immédiatement :

la justification de la délégation ;

les responsabilités ;

le risk assessment ;

les due diligences ;

les KPI et KRI ;

les incidents ;

les challenges ;

les minutes ;

les escalades ;

les plans d’action ;

les visites sur site ;

les sous-délégations ;

les éléments de business continuity ;

et la dernière conclusion formelle de l’AIFM sur l’acceptabilité de la relation.

L’objectif ne serait pas de produire davantage de documentation.

Au contraire.

L’objectif serait de disposer de moins de documentation sans finalité et davantage de preuves directement reliées au risque et à la décision.

C’est une différence fondamentale.



13. Et demain matin, lorsque l’inspecteur demandera : « Montrez-moi »

Les institutions financières disposent généralement de nombreuses procédures.

Elles disposent de contrats.

De questionnaires.

De reportings.

De minutes.

De matrices.

De politiques.

Mais lors d’une inspection, la question décisive peut tenir en deux mots :

« Montrez-moi. »

Montrez-moi comment vous avez identifié ce risque.

Montrez-moi comment vous l’avez suivi.

Montrez-moi l’anomalie.

Montrez-moi qui l’a analysée.

Montrez-moi le challenge.

Montrez-moi la décision.

Montrez-moi la remédiation.

Montrez-moi pourquoi vous considérez aujourd’hui que le risque est maîtrisé.

C’est là que se joue progressivement la frontière entre conformité théorique et maîtrise réglementaire réelle.



Conclusion — La délégation n’est pas un risque si elle reste une extension contrôlée de l’AIFM

La délégation constitue une composante normale, légitime et souvent indispensable du modèle opérationnel des fonds d’investissement.

Le problème n’est donc pas de déléguer.

Le problème apparaît lorsque l’AIFM ne peut plus démontrer qu’il reste intellectuellement et opérationnellement maître des fonctions qu’il a confiées à d’autres.

La meilleure défense réglementaire n’est alors pas une politique plus longue.

Ce n’est pas non plus un questionnaire comportant cinquante questions supplémentaires.

C’est une chaîne de preuves cohérente permettant de démontrer que :

l’AIFM sait ce qui est délégué ;

comprend les risques qui en résultent ;

dispose des compétences pour les surveiller ;

reçoit les informations pertinentes ;

les analyse ;

challenge lorsque nécessaire ;

escalade les problèmes matériels ;

suit leur remédiation ;

et conserve à tout moment la capacité de décider.

En 2026, alors que la CSSF place explicitement les third-party risks et le cadre de délégation dans ses priorités de surveillance, cette capacité de démonstration devient un enjeu de premier plan.

La question que chaque AIFM luxembourgeois devrait donc inscrire à l’ordre du jour de son prochain comité n’est peut-être plus :

« Avons-nous effectué toutes nos due diligences sur les délégataires ? »

Mais :


« Si la CSSF sélectionnait demain n’importe lequel de nos délégataires, pourrions-nous démontrer : immédiatement, chronologiquement et preuves à l’appui — que nous l’avons réellement sous contrôle ? »

Si la réponse est oui, l’AIFM ne dispose pas simplement d’un framework de délégation.

Il dispose d’une gouvernance démontrable.

Si la CSSF venait demain dans votre AIFM, pourriez-vous démontrer — et non simplement affirmer — que chaque délégataire est effectivement sous contrôle ?
3 reactions 0 comments
ConversationShare an idea or ask a question
0
Loading more conversations...
Current opportunity

Loan Officer

Hello Luxembourg,


We are looking for an experienced to join a financial institution in Luxembourg.

The successful candidate will be responsible for the day-to-day administration and monitoring of corporate loans, ensuring accurate processing, settlement and control of loan transactions. The role requires strong knowledge of loan operations and banking accounting, as well as the ability to interact effectively with internal and external counterparties.


Key Responsibilities

  • Manage and monitor the full lifecycle of corporate loans, including drawings, rollovers, repayments and related operational events.
  • Calculate, verify and book commissions related to credit facilities, including commitment and utilisation fees.
  • Ensure accurate and timely processing of loan transactions in accordance with internal procedures and market practices.
  • Maintain day-to-day relationships with internal teams and external counterparties.
  • Book and monitor guarantees and certificates of deposit.
  • Determine and monitor daily cash and treasury requirements.
  • Analyse and resolve complex settlement or operational issues with market counterparties.
  • Escalate operational incidents, potential losses and client complaints to the Team Leader in a timely manner.
  • Support colleagues in resolving complex operational situations requiring specific expertise.
  • Assist the Team Leader with daily activities and proactively suggest improvements to existing processes and controls.


Candidate Profile

  • , ideally within a bank or financial institution.
  • Strong understanding of .
  • Good knowledge of .
  • Good understanding of market practices related to loan transactions.
  • Familiarity with and payment/settlement processes.
  • Strong quantitative and transaction analysis skills.
  • Proficiency in Microsoft Office.
  • Previous experience with


19NOV
Community event

DORA Conference with the CSSF

Thursday, 19 November 2026 · 10:00Luxembourg0 members registered

DORA Conference with the CSSF


After a general overview on DORA requirements and lessons learned, the CSSF will be presenting the results of DORA inspections followed by a Q&A session.


Date : 19 Nov 2026, 10:00 -12:00

Location : Deloitte Luxembourg


Registration : Alco