Pendant des années, la lutte contre le blanchiment en Europe a reposé sur un paradoxe.

Les États membres poursuivaient un objectif commun, sur la base de directives européennes communes, mais avec des transpositions nationales, des pratiques de supervision différentes, des méthodologies de risque parfois hétérogènes et des niveaux d’enforcement qui pouvaient varier sensiblement d’une juridiction à l’autre.

Le nouveau paquet AML européen entend précisément réduire cette fragmentation.

À partir du 10 juillet 2027, une grande partie des obligations applicables aux entités assujetties découlera directement du Règlement (UE) 2024/1624 — AMLR, directement applicable dans les États membres. Parallèlement, la nouvelle Anti-Money Laundering Authority — AMLA construit progressivement un système européen intégré de supervision AML/CFT, avec une première sélection d’établissements en 2027 et le démarrage de sa supervision directe en 2028.

Pour les banques luxembourgeoises, il serait toutefois réducteur de résumer cette évolution à :

« une nouvelle réglementation et un nouveau superviseur européen ».

Ce qui se dessine est beaucoup plus profond.

Nous passons progressivement :

d’un cadre européen appliqué nationalement à un véritable système européen de supervision ;

d’une appréciation du risque pouvant varier selon les juridictions à des méthodologies davantage harmonisées ;

d’un dialogue principalement bilatéral entre une banque et son superviseur national à une architecture de supervision permettant la comparaison transfrontalière ;

et d’une conformité évaluée essentiellement établissement par établissement à une lecture beaucoup plus structurée du risque au niveau des groupes européens.

Pour une place financière aussi internationale que Luxembourg, cette transformation mérite d’être considérée non comme une évolution réglementaire supplémentaire, mais comme un changement de paradigme de supervision.

1. AMLR et AMLA répondent en réalité à deux problèmes différents

Pour comprendre le nouveau modèle européen, il faut distinguer le rôle respectif de l’AMLR et de l’AMLA.

L’AMLR agit essentiellement sur la règle.

L’AMLA agit essentiellement sur la cohérence du système de supervision.

L’AMLR transforme en règlement directement applicable une partie substantielle des obligations AML/CFT qui relevaient historiquement de directives transposées dans les droits nationaux.

L’objectif est clair : réduire les divergences d’interprétation et créer un Single Rulebook AML/CFT beaucoup plus homogène.

AMLA ajoute une deuxième couche.

Son rôle n’est pas seulement de superviser directement quelques dizaines d’institutions financières.

Sa mission est beaucoup plus large : créer un système intégré reliant les autorités nationales, développer des méthodologies communes, favoriser une culture commune de supervision, contribuer à l’harmonisation de l’enforcement et coordonner davantage les Financial Intelligence Units. AMLA se définit elle-même comme le centre d’un système intégré composé des autorités nationales AML/CFT.

La véritable transformation peut donc se résumer ainsi :

L’AMLR harmonise progressivement ce que les banques doivent faire. AMLA harmonise progressivement la manière dont les superviseurs évalueront si elles le font correctement.

Cette seconde dimension est probablement la plus stratégique.

2. AMLA ne remplace pas la CSSF : elle change l’écosystème dans lequel la CSSF supervise

Une erreur fréquente consiste à présenter AMLA comme un futur « super-régulateur » destiné à remplacer les autorités nationales.

Ce n’est pas le modèle retenu.

Les superviseurs nationaux continueront d’exister et conserveront un rôle central.

La CSSF restera donc un acteur majeur de la supervision AML/CFT du secteur financier luxembourgeois.

Mais elle opérera désormais au sein d’un système européen beaucoup plus intégré.

AMLA supervisera directement certaines institutions financières transfrontalières présentant un niveau élevé de risque résiduel. Pour le reste du marché, les autorités nationales continueront à exercer la supervision directe, mais dans un environnement où AMLA développera progressivement :

• des méthodologies communes ;
• des standards techniques ;
• des guidelines ;
• des mécanismes de peer review ;
• des approches communes de supervision ;
• et des standards d’enforcement plus harmonisés.

AMLA l’exprime explicitement : les autorités nationales restent des composantes essentielles du système européen de supervision AML/CFT.

Cela change considérablement la perspective.

Pour une banque luxembourgeoise, être supervisée par la CSSF ne signifiera pas être en dehors du système AMLA.

AMLA ne sera pas seulement un superviseur direct. Elle deviendra progressivement l’architecte méthodologique de la supervision AML européenne.

3. Le véritable changement : la supervision devient comparable à l’échelle européenne

Jusqu’à présent, une banque pouvait principalement se comparer aux attentes du superviseur de sa juridiction.

Demain, cette comparaison deviendra beaucoup plus européenne.

AMLA a déjà développé une méthodologie commune visant à permettre aux superviseurs de mesurer les risques AML/CFT selon des critères harmonisés.

En 2026, l’Autorité a lancé des exercices de collecte et de calibration destinés précisément à tester ces modèles. L’objectif est double :

• sélectionner les entités qui relèveront de sa supervision directe ;
• permettre aux superviseurs nationaux d’évaluer les institutions financières de manière plus cohérente dans toute l’Union.

AMLA indique qu’il s’agit de la première méthodologie commune permettant aux superviseurs européens d’évaluer les risques ML/TF selon une approche harmonisée.

La conséquence est fondamentale.

La question ne sera plus seulement :

« Ce dispositif est-il acceptable au Luxembourg ? »

Elle deviendra progressivement :

« Comment le niveau de maîtrise du risque de cet établissement se compare-t-il à celui d’institutions présentant des caractéristiques similaires ailleurs en Europe ? »

Cela ouvre la voie à une forme de supervisory benchmarking beaucoup plus structurée.

Et ce benchmarking pourrait être l’un des changements les plus puissants du nouveau cadre.

4. La notion déterminante sera probablement celle de « residual risk »

L’un des concepts les plus importants du futur système AMLA est celui de risque résiduel.

Le risque inhérent mesure l’exposition naturelle d’un établissement compte tenu notamment :

• de ses clients ;
• des pays concernés ;
• des produits ;
• des services ;
• des canaux de distribution ;
• de son modèle économique ;
• et de ses activités transfrontalières.

Mais ce n’est pas cette exposition seule qui déterminera nécessairement la perception du superviseur.

Ce qui devient central est le risque qui subsiste après prise en compte de la qualité des contrôles.

Autrement dit :

Residual Risk = Inherent Risk – effectiveness of mitigating controls

Conceptuellement, deux banques exposées aux mêmes catégories de clients peuvent donc présenter des profils de risque résiduel très différents.

Une banque private banking internationale n’est pas nécessairement problématique parce qu’elle sert une clientèle HNWI, PEP ou fortement transfrontalière.

La question essentielle devient :

dans quelle mesure ses contrôles réduisent-ils réellement le risque inhérent ?

C’est ici que le nouveau modèle devient particulièrement intéressant.

Une banque dont l’exposition est élevée mais dont :

• le KYC est robuste ;
• la Source of Wealth est réellement analysée ;
• les beneficial owners sont correctement identifiés ;
• le transaction monitoring est calibré ;
• les periodic reviews sont maîtrisées ;
• les alertes sont correctement traitées ;
• les délégataires sont supervisés ;
• la gouvernance reçoit une information pertinente ;

pourra présenter un risque résiduel sensiblement différent d’un établissement présentant la même exposition mais des contrôles moins efficaces.

Le risque AML ne sera donc plus seulement une caractéristique de la clientèle.

Il deviendra davantage une mesure de l’écart entre exposition et maîtrise.

5. Pour Luxembourg, cette évolution est particulièrement importante

Luxembourg n’est pas une place financière domestique classique.

Son modèle repose largement sur l’activité transfrontalière, la gestion de patrimoine internationale, les groupes bancaires européens et internationaux, les structures patrimoniales complexes, les fonds d’investissement et une clientèle provenant de multiples juridictions.

Ce modèle crée naturellement une exposition AML/CFT particulière.

Mais il crée surtout un enjeu de comparabilité européenne.

AMLA sélectionnera pour sa supervision directe les institutions financières et groupes opérant dans au moins six États membres et présentant un profil de risque résiduel élevé. La première sélection est prévue en 2027 et la supervision directe commencera en 2028. Pour le premier cycle, AMLA prévoit de superviser jusqu’à 40 institutions ou groupes.

Pour les groupes bancaires implantés à Luxembourg, la question devient donc stratégique :

le risque ne sera plus uniquement observé entité juridique par entité juridique.

Il pourra être appréhendé au niveau du groupe.

Le règlement AMLA prévoit précisément que l’analyse du risque d’un établissement appartenant à un groupe soit effectuée au niveau consolidé afin d’obtenir un score de risque unique pour les besoins du processus de sélection.

Cette approche change considérablement la logique historique de supervision.

Une faiblesse dans une entité du groupe peut devenir pertinente bien au-delà de cette seule entité.

Inversement, la qualité de la gouvernance groupe, du partage d’information et de la cohérence des standards devient un élément stratégique de maîtrise du risque.

6. Le « Luxembourg standard » devra progressivement coexister avec un « European supervisory standard »

Les banques luxembourgeoises connaissent bien les attentes de la CSSF.

Elles devront désormais intégrer une deuxième dimension :

la convergence européenne des pratiques de supervision.

AMLA souhaite précisément développer une common supervisory culture.

Cela signifie qu’au-delà des textes eux-mêmes, des notions telles que :

• l’intensité des contrôles ;
• la fréquence des inspections ;
• les méthodes d’évaluation ;
• la classification des déficiences ;
• la gravité des breaches ;
• les plans de remédiation ;
• les attentes documentaires ;

seront progressivement plus comparables entre États membres.

En juillet 2026, AMLA a notamment publié un cadre visant à harmoniser la manière dont les autorités évaluent la gravité des violations AML/CFT afin que des violations comparables dans des circonstances comparables conduisent à des réponses d’enforcement plus cohérentes dans l’Union.

La portée de cette évolution est importante.

Elle réduit progressivement ce que l’on pourrait appeler le supervisory arbitrage.

Une faiblesse AML ne devrait plus être considérée très différemment selon l’endroit où elle est constatée.

Pour les banques, cela implique une élévation progressive du benchmark.

7. La supervision AML devient beaucoup plus data-driven

Un autre changement majeur est plus discret mais probablement déterminant :

la supervision européenne AML devient progressivement une supervision par la donnée.

En 2026, AMLA a commencé à collecter et calibrer des volumes importants de données afin d’alimenter ses modèles de risque.

La CSSF a elle-même demandé aux entités concernées de se préparer aux exercices de collecte nécessaires à l’identification des établissements potentiellement éligibles à la supervision directe.

Ce mouvement est essentiel.

Dans un modèle de supervision traditionnel, le superviseur obtient principalement des informations :

• lors des questionnaires réglementaires ;
• lors des inspections ;
• lors des échanges bilatéraux ;
• ou après l’identification d’un problème.

Dans un environnement data-driven, il devient possible de comparer de manière beaucoup plus régulière :

• les profils de clientèle ;
• les expositions géographiques ;
• les volumes de transactions ;
• la concentration de clients High Risk ;
• les activités transfrontalières ;
• les PEP ;
• les alertes ;
• les remédiations ;
• les faiblesses de contrôle ;
• et potentiellement leur évolution dans le temps.

Le superviseur peut alors passer d’une logique essentiellement réactive à une logique beaucoup plus analytique.

La donnée réglementaire devient elle-même un instrument de supervision.

8. La qualité de la donnée AML devient donc un risque réglementaire en soi

Cette évolution conduit à une conséquence souvent sous-estimée.

Si le superviseur utilise davantage la donnée pour évaluer le risque, alors la qualité de cette donnée devient elle-même critique.

Une banque pourra difficilement défendre la sophistication de son dispositif si elle ne peut pas répondre avec certitude à des questions relativement simples :

Combien avons-nous de clients High Risk ?

Combien de PEP ?

Combien de dossiers overdue ?

Quelle part de notre clientèle présente une exposition à des pays à risque élevé ?

Quel est le volume de transactions correspondant ?

Combien de clients ont fait l’objet d’un risk-rating override ?

Combien de relations ont été clôturées pour raison AML ?

Combien d’alertes ont été générées, revues et escaladées ?

Et surtout :

les chiffres produits par Compliance correspondent-ils aux chiffres issus des systèmes opérationnels ?

Dans un modèle davantage fondé sur les données, des problèmes de :

• completeness ;
• accuracy ;
• lineage ;
• reconciliation ;
• mapping ;
• audit trail ;

peuvent devenir des faiblesses AML à part entière.

Le débat AML devient donc également un débat de data governance.

9. Le Joint Supervisory Team est peut-être le signe le plus visible du changement de paradigme

À partir de 2028, chaque entité directement supervisée disposera d’un Joint Supervisory Team — JST.

Ces équipes comprendront :

• des collaborateurs d’AMLA ;
• des représentants des superviseurs nationaux concernés ;

sous la coordination d’un responsable AMLA.

Leur mission comprendra notamment :

• les supervisory reviews ;
• l’évaluation des établissements ;
• la coordination des inspections sur place ;
• la préparation des mesures de supervision ;
• et la coordination avec les superviseurs des États membres concernés.

Le modèle rappelle volontairement celui du Single Supervisory Mechanism mis en place en matière prudentielle autour de la BCE.

Ce parallèle est essentiel.

L’Europe avait déjà européanisé une partie de la supervision prudentielle bancaire après la crise financière.

Elle européanise désormais progressivement la supervision AML.

Pour certaines grandes banques, le MLRO ou le Chief Compliance Officer pourrait donc demain évoluer dans un environnement où le principal interlocuteur AML ne sera plus simplement une autorité nationale mais une équipe de supervision européenne permanente.

10. Même les banques non directement supervisées par AMLA seront concernées

C’est probablement le point le plus important pour la majorité du marché.

Seules quelques dizaines d’institutions seront directement supervisées.

Mais cela ne signifie absolument pas que les autres resteront en dehors du nouveau système.

AMLA disposera également d’un rôle de supervision indirecte et de convergence sur les autorités nationales.

Les méthodologies communes qu’elle développe auront vocation à influencer l’ensemble du marché.

La banque qui ne figure pas parmi les 40 établissements directement supervisés pourrait donc néanmoins être évaluée selon :

• des facteurs de risque harmonisés ;
• une méthodologie européenne ;
• des attentes de supervision davantage convergentes ;
• et des critères d’enforcement plus homogènes.

La distinction pertinente n’est donc pas :

« Sommes-nous supervisés par AMLA ou non ? »

La véritable question est :

« Dans quelle mesure notre dispositif sera-t-il évalué selon le référentiel méthodologique qu’AMLA est en train de construire ? »

La réponse est : probablement de plus en plus.

11. Une deuxième révolution se joue dans la capacité de comparaison des superviseurs

L’une des conséquences les plus puissantes d’AMLA pourrait être l’apparition d’une véritable intelligence comparative européenne.

Jusqu’ici, chaque superviseur disposait naturellement d’une excellente connaissance de son marché.

AMLA pourra progressivement disposer d’une vision beaucoup plus large.

Elle pourra observer plusieurs établissements, plusieurs groupes, plusieurs États membres et plusieurs modèles économiques.

Cette perspective permettra progressivement de distinguer :

• ce qui relève réellement d’une contrainte sectorielle ;
• ce qui constitue une faiblesse propre à un établissement ;
• ce qui correspond à une pratique de marché ;
• et ce qui constitue au contraire une anomalie.

Une banque pourra considérer que son niveau de backlog de periodic reviews est acceptable.

Mais si les données européennes montrent que des établissements comparables affichent des performances nettement meilleures, l’argument devient plus difficile à défendre.

Une institution pourra considérer son système de transaction monitoring comme suffisamment performant.

Mais le benchmark disponible pour le superviseur sera potentiellement beaucoup plus large.

C’est un changement majeur dans l’équilibre informationnel entre banque et superviseur.

12. De la supervisory judgement à la supervisory evidence

La convergence européenne ne signifie évidemment pas la disparition du jugement du superviseur.

Mais ce jugement sera de plus en plus alimenté par des données comparables.

Le raisonnement pourrait progressivement devenir :

Risk exposure → Control environment → Control effectiveness → Residual risk → Supervisory intensity.

Cela signifie qu’un établissement présentant un risque inhérent élevé ne sera pas nécessairement le plus préoccupant.

L’établissement réellement problématique sera celui dont les contrôles ne réduisent pas suffisamment ce risque.

Pour les Compliance Officers, cette logique change beaucoup de choses.

L’objectif ne doit plus être simplement de démontrer :

« Nous avons un contrôle. »

Il faut pouvoir démontrer :

« Ce contrôle réduit effectivement le risque qu’il est censé couvrir. »

La nuance est fondamentale.

13. Le Board devra comprendre beaucoup mieux le risque AML résiduel

Cette évolution aura également des conséquences importantes sur la gouvernance.

Le Board ne pourra plus se limiter à recevoir des statistiques AML.

Il devra progressivement comprendre la relation entre :

• l’exposition ;
• les contrôles ;
• les faiblesses ;
• la remédiation ;
• et le risque résiduel.

Un dashboard AML mature ne devrait donc pas seulement indiquer :

High Risk clients: 1,240

mais également permettre de comprendre :

pourquoi ces clients sont High Risk ;

quels contrôles spécifiques sont appliqués ;

quelles exceptions sont ouvertes ;

quels contrôles présentent des déficiences ;

quelles remédiations sont en cours ;

et quel est l’impact attendu sur le risque résiduel.

Le Board doit passer d’une lecture quantitative de la conformité à une compréhension dynamique du risque.

14. L’enforcement deviendra également plus comparable

AMLA ne se limite pas à développer des méthodes d’évaluation du risque.

Elle travaille également à harmoniser la réponse aux violations.

En juillet 2026, l’Autorité a finalisé une approche commune destinée à permettre aux superviseurs européens d’évaluer la gravité des breaches selon des critères partagés, notamment :

• leur durée ;
• leur répétition ;
• leur impact ;
• et leur niveau de gravité.

L’objectif déclaré est simple :

same breach, same response.

Pour les groupes bancaires internationaux, cette convergence est particulièrement importante.

Une même faiblesse systémique ne devrait plus conduire à des lectures radicalement différentes selon les États membres concernés.

Cette homogénéisation augmente simultanément :

• la prévisibilité réglementaire ;
• mais également la discipline attendue.

15. AMLA intégrera aussi davantage AML, sanctions et Financial Intelligence

Le nouveau modèle européen rapproche également plusieurs dimensions historiquement traitées séparément.

AMLA aura notamment un rôle dans :

• la supervision AML/CFT ;
• la convergence des contrôles liés aux sanctions financières ciblées ;
• la coordination des Financial Intelligence Units ;
• les joint analyses ;
• et l’amélioration des échanges d’information.

L’Autorité ne remplace pas les FIU nationales, qui restent les destinataires des déclarations de soupçon, mais elle doit faciliter leur coopération et soutenir les analyses conjointes.

Par ailleurs, le transfert des fonctions AML/CFT précédemment exercées par l’EBA vers AMLA a été finalisé le 1er janvier 2026, notamment avec le transfert de la base EuReCA, des analyses de risque et d’autres outils de supervision.

Cette concentration institutionnelle devrait progressivement améliorer la vision européenne des risques transfrontaliers.

16. Ce que les banques luxembourgeoises devraient faire maintenant

La réponse stratégique ne devrait pas consister uniquement à réaliser une AMLR gap analysis.

Il faudrait probablement ajouter une véritable AMLA readiness assessment.

Celle-ci pourrait être structurée autour de six questions.

1. Sommes-nous capables de mesurer correctement notre risque inhérent ?

L’établissement doit comprendre ses expositions par :

• clientèle ;
• géographie ;
• produits ;
• services ;
• canaux ;
• structures juridiques ;
• et activités transfrontalières.

2. Pouvons-nous démontrer l’efficacité de nos contrôles ?

Il ne suffit plus de les documenter.

Il faut pouvoir mesurer :

• leurs résultats ;
• leurs exceptions ;
• leurs déficiences ;
• leur couverture ;
• et leur remédiation.

3. Notre data governance AML est-elle suffisamment robuste ?

Chaque KPI critique devrait être :

complete, accurate, reconciled, traceable and reproducible.

4. Notre dispositif est-il cohérent au niveau du groupe ?

Pour les groupes internationaux, des divergences importantes entre juridictions deviennent plus difficiles à justifier.

5. Pourrions-nous expliquer notre risque résiduel à un superviseur européen ?

Si la réponse nécessite plusieurs semaines de reconstruction manuelle, il existe probablement un sujet de maturité.

6. Notre Board reçoit-il suffisamment d’information pour challenger réellement le dispositif ?

Un reporting purement statistique ne sera probablement plus suffisant.

Vers une forme de « Banking Union AML » ?

Le parallèle mérite d’être posé avec prudence, mais il est difficile à ignorer.

Après avoir développé une architecture européenne de supervision prudentielle autour de la BCE, l’Union européenne construit désormais un système intégré de supervision AML/CFT autour d’AMLA.

Les modèles institutionnels ne sont pas identiques.

Mais la logique présente plusieurs similitudes :

règles davantage harmonisées ;

méthodologies communes ;

supervision directe de certains établissements ;

équipes conjointes ;

coopération permanente avec les autorités nationales ;

et comparaison transfrontalière des risques.

Il serait donc raisonnable de considérer que l’Europe entre progressivement dans une nouvelle phase de son architecture financière :

celle de l’européanisation de la supervision AML.

Le véritable changement ne sera peut-être pas le superviseur, mais le benchmark

Dans les prochaines années, la question la plus importante pour une banque luxembourgeoise ne sera probablement pas :

« Serons-nous directement supervisés par AMLA ? »

Elle sera plutôt :

« Notre dispositif résisterait-il à une comparaison européenne avec les établissements présentant le même profil de risque ? »

C’est là que se situe le changement de paradigme.

AMLR apporte progressivement un langage réglementaire commun.

AMLA construit progressivement une méthode commune pour mesurer le risque, évaluer les contrôles et répondre aux déficiences.

Ensemble, ils font émerger quelque chose que l’Europe n’avait encore jamais réellement possédé dans le domaine AML/CFT :

un référentiel de supervision véritablement européen.

Pour Luxembourg, cela représente évidemment une contrainte.

Mais c’est également une opportunité.

Les établissements capables de démontrer :

• une excellente qualité de données ;
• un Risk-Based Approach réellement explicable ;
• une cohérence entre risque et contrôles ;
• une gouvernance capable de challenger le dispositif ;
• une véritable maîtrise des activités transfrontalières ;
• et une traçabilité complète des décisions AML

ne se prépareront pas seulement à AMLR ou à AMLA.

Ils se prépareront à ce qui pourrait devenir le nouveau standard de la conformité bancaire européenne :

ne plus seulement démontrer que l’on respecte les règles, mais démontrer que l’on maîtrise effectivement son risque.

Et dans le nouvel environnement AML européen, cette différence pourrait devenir déterminante.