Plus de 9 millions d'euros de gains potentiels, des transactions personnelles de dirigeants et des interrogations sur les sanctions européennes : au-delà des soupçons, une affaire qui questionne la capacité des établissements financiers à maîtriser leurs risques les plus sensibles.
Luxembourg, le 27 octobre 2026
Que se passe-t-il lorsque des dirigeants bancaires sont susceptibles de tirer personnellement profit des déséquilibres de marché provoqués par des sanctions internationales, alors même que leur établissement doit en assurer le respect ?
Cette question se trouve au cœur de l'affaire Gazprombank Luxembourg, révélée le 26 août 2026 par le Financial Times.
Selon l'enquête du quotidien britannique, quatre anciens dirigeants de l'établissement auraient réalisé plus de 50 opérations sur des obligations de Gazprom en 2022, pour un bénéfice potentiel cumulé supérieur à 9 millions d'euros.
Ces transactions auraient consisté à acquérir à prix fortement décoté des obligations russes sur les marchés européens avant de les échanger contre de nouveaux titres émis en Russie, dans le cadre d'un mécanisme de substitution mis en place après l'invasion de l'Ukraine.
L'affaire soulève trois interrogations distinctes : un éventuel contournement des sanctions européennes, un possible recours à des informations privilégiées et la gestion des conflits d'intérêts impliquant des membres de la direction bancaire.
Gazprombank Luxembourg et l'un des anciens dirigeants concernés ont contesté tout comportement illicite. La Commission de surveillance du secteur financier (CSSF) a également remis en cause plusieurs éléments de l'enquête journalistique.
Les faits allégués ne sauraient donc être assimilés à des infractions établies.
L'intérêt de cette affaire pour les professionnels de la conformité dépasse néanmoins la question des responsabilités individuelles : elle met en évidence le risque de fragmentation des contrôles lorsque les sanctions, les opérations personnelles des dirigeants et les abus de marché relèvent de dispositifs de surveillance insuffisamment interconnectés.
1. Une mécanique financière qui soulève plusieurs interrogations
Pour comprendre les enjeux, il faut revenir au contexte de 2022.
À la suite de l'invasion russe de l'Ukraine, les sanctions occidentales ont profondément perturbé les circuits internationaux de règlement-livraison et les marchés obligataires russes.
Certaines obligations internationales émises par Gazprom se sont retrouvées fortement décotées, notamment en raison des difficultés de paiement et des restrictions affectant les infrastructures financières.
Les autorités russes ont parallèlement instauré des mécanismes permettant, sous certaines conditions, de remplacer ces obligations internationales par des titres émis localement.
Selon les documents examinés par le Financial Times, quatre dirigeants de Gazprombank Luxembourg auraient acquis des obligations décotées, financées notamment par des prêts personnels, avant de bénéficier des mécanismes d'échange.
Le journal rapporte que plusieurs acquisitions auraient eu lieu peu avant les annonces publiques concernant l'éligibilité des titres à ces échanges.
Le bénéfice cumulé potentiel a été estimé à plus de 9 millions d'euros par le quotidien. Ce chiffre constitue une estimation journalistique, et non un gain définitivement établi par une autorité judiciaire.
L'enquête mentionne également le rôle possible du National Settlement Depository (NSD), dépositaire central russe inscrit sur la liste européenne des entités soumises à des mesures de gel des avoirs depuis juin 2022.
Le 14 septembre 2026, ces révélations ont donné lieu à une audition du ministre luxembourgeois des Finances, Gilles Roth, et du directeur général de la CSSF, Claude Marx, devant la Commission des Finances de la Chambre des députés.
Le ministre a confirmé la transmission d'informations au parquet.
Dans sa réponse officielle du 23 septembre à la question parlementaire n° 4688, il a également précisé que son ministère avait reçu des informations détaillées de la journaliste du Financial Times dès le 8 juillet 2026.
Ce calendrier illustre une distinction essentielle : la circulation de l'information entre autorités, l'évaluation réglementaire des faits et leur éventuelle qualification pénale constituent des processus distincts.
Il ne permet pas, à lui seul, de conclure à un défaut de surveillance ou à une réaction tardive.
2. Sanctions internationales : la conformité ne s'arrête pas à l'identité des contreparties
Le premier enseignement concerne la profondeur attendue des contrôles de sanctions.
Les règlements européens 269/2014 et 833/2014 constituent deux piliers du régime de mesures restrictives adopté à l'égard de la Russie.
Le règlement 269/2014 prévoit notamment le gel des fonds et ressources économiques des personnes et entités désignées ainsi que l'interdiction de mettre directement ou indirectement des fonds ou ressources économiques à leur disposition ou à leur profit.
Le règlement 833/2014 comporte, quant à lui, de nombreuses restrictions sectorielles visant notamment certaines activités financières.
Ces textes comportent également des interdictions de contournement.
Dans le cas Gazprombank, la question juridique déterminante ne consiste pas simplement à constater qu'une transaction concernait des obligations russes.
Un investissement portant sur un instrument financier russe n'est pas, par nature, nécessairement interdit.
L'analyse doit examiner les titres concernés, les dates des opérations, les personnes impliquées, les services financiers utilisés, les infrastructures de règlement et le régime juridique applicable au moment de chaque transaction.
Le rôle éventuel du NSD est particulièrement important.
Son inscription sur la liste des entités sanctionnées ne signifie pas automatiquement que toute transaction présentant un lien économique avec le marché russe constitue une violation.
En revanche, une opération impliquant directement ou indirectement des fonds ou ressources économiques mis à la disposition d'une entité désignée soulève une problématique juridique spécifique.
L'analyse doit donc permettre de reconstituer l'intégralité de la chaîne transactionnelle :
- Qui intervient dans l'acquisition initiale ?
- Quels intermédiaires assurent la conservation et le règlement-livraison ?
- Quelle entité intervient dans la conversion ou la substitution des titres ?
- Des commissions, frais, droits ou autres avantages économiques bénéficient-ils à une entité désignée ?
- Des dérogations applicables existaient-elles au moment considéré ?
Cette dernière précision est indispensable : des opérations réalisées en 2022 doivent être appréciées au regard des dispositions et désignations applicables à leurs dates respectives, sans appliquer rétroactivement des restrictions ultérieures.
Pour les équipes Compliance, la conséquence opérationnelle est majeure.
Une vérification exclusivement fondée sur le screening des noms des contreparties ne suffit pas à appréhender toutes les formes de risque de sanctions.
La surveillance doit, lorsque le risque le justifie, intégrer les infrastructures financières, les intermédiaires successifs, les bénéficiaires économiques et les effets réels de la transaction.
Le risque de sanctions ne réside pas uniquement dans l'identité de celui avec lequel on traite, mais également dans les effets juridiques et économiques de l'opération réalisée.
3. Abus de marché : un profit exceptionnel ne constitue pas, à lui seul, un délit d'initié
Le deuxième enjeu concerne les soupçons d'utilisation d'informations privilégiées.
L'article 7 du règlement européen 596/2014 sur les abus de marché (MAR) définit notamment l'information privilégiée comme une information précise, non publique, concernant directement ou indirectement un émetteur ou un instrument financier et susceptible d'influencer sensiblement son prix si elle était rendue publique.
Les articles 8 et 14 encadrent et interdisent, notamment, les opérations d'initiés.
Dans une situation comparable à celle décrite par le Financial Times, plusieurs éléments peuvent légitimement conduire une fonction de surveillance des abus de marché à approfondir ses investigations.
La concentration des achats sur certains instruments, leur réalisation peu avant des annonces importantes, la coordination éventuelle entre plusieurs investisseurs et les profits potentiels constituent des indicateurs d'analyse.
Mais ces éléments ne suffisent pas, individuellement ou collectivement, à démontrer une infraction.
Une qualification juridique suppose notamment d'examiner l'applicabilité matérielle du règlement MAR aux instruments et opérations concernés, l'existence d'une information répondant aux critères réglementaires, son caractère non public, l'accès éventuel des personnes concernées à cette information et son utilisation.
Il convient également de vérifier si certaines informations relatives aux échanges obligataires étaient déjà accessibles au public avant les opérations.
Ce point a précisément été évoqué lors des échanges parlementaires du 14 septembre.
Le directeur général de la CSSF a rappelé que l'établissement d'une opération d'initié requiert une démonstration juridique rigoureuse et a contesté plusieurs éléments de la présentation journalistique.
Pour les professionnels chargés de la surveillance des transactions, cette affaire rappelle la nécessité d'articuler trois niveaux d'analyse :
La détection : identifier les transactions inhabituelles, les concentrations, les événements de marché et les comportements statistiquement atypiques.
L'investigation : reconstituer les chronologies, identifier les personnes susceptibles d'avoir eu accès aux informations pertinentes et analyser les justifications économiques des opérations.
La qualification et l'escalade : apprécier les éléments disponibles au regard du cadre juridique et, lorsque les conditions réglementaires sont réunies, effectuer les déclarations appropriées.
L'article 16 du règlement MAR impose aux personnes organisant ou exécutant des transactions à titre professionnel des dispositifs de détection et de déclaration des ordres et transactions suspects (STOR), dans les conditions prévues par ce texte.
Cette obligation ne doit pas être confondue avec une déclaration systématique de toute opération profitable ou inhabituelle.
La surveillance efficace des abus de marché ne consiste pas à considérer toute performance exceptionnelle comme suspecte, mais à être capable d'en examiner objectivement la justification.
4. Le point le plus sensible : lorsque les dirigeants deviennent eux-mêmes une source de risque
Le troisième enjeu est probablement le plus structurant pour la gouvernance bancaire.
Il concerne la surveillance des opérations personnelles des membres de la direction et les conflits d'intérêts susceptibles d'en résulter.
Les orientations EBA/GL/2021/05 sur la gouvernance interne imposent aux établissements de crédit un cadre robuste de détection, de gestion et de documentation des conflits d'intérêts.
Leurs points 120 à 123 traitent spécifiquement des prêts et autres transactions avec les membres de l'organe de direction et leurs parties liées.
Au Luxembourg, la circulaire CSSF 12/552, telle que modifiée, complète ce dispositif.
Ses points 168 à 179 encadrent notamment la détection des conflits d'intérêts, les transactions avec les parties liées, l'indépendance des décisions et la documentation des prêts consentis aux dirigeants.
Le règlement délégué (UE) 2017/565 contient par ailleurs, dans ses articles 28 et 29, des dispositions relatives aux transactions personnelles dans le cadre des activités de services d'investissement auxquelles elles s'appliquent.
L'enjeu n'est pas de prohiber par principe tout investissement personnel d'un dirigeant bancaire.
Il est de garantir que celui-ci ne bénéficie pas d'un accès privilégié injustifié à des opportunités, informations ou ressources en raison de ses responsabilités.
Lorsqu'un dirigeant bénéficie d'un financement de son établissement, plusieurs questions doivent être examinées.
Les conditions du prêt correspondent-elles à celles applicables dans une situation comparable ? Qui a approuvé l'opération ? Le bénéficiaire a-t-il été exclu du processus décisionnel en présence d'un conflit d'intérêts ? Les transactions sous-jacentes ont-elles été examinées au regard des restrictions applicables ? La fonction Compliance disposait-elle des informations nécessaires pour exercer sa surveillance ?
Une banque peut disposer d'une politique générale sur les conflits d'intérêts et néanmoins rencontrer des difficultés lorsque les personnes concernées occupent les fonctions hiérarchiques les plus élevées.
Il existe alors un risque particulier : la capacité théorique de la fonction Compliance à contester une décision peut être affectée par la position organisationnelle de la personne faisant l'objet du contrôle.
La réponse ne peut pas être simplement procédurale.
Elle suppose des mécanismes de récusation, d'approbation indépendante, d'escalade vers l'organe de surveillance et, lorsque cela se justifie, d'examen par une fonction ou un intervenant véritablement indépendant.
La solidité d'un dispositif de gouvernance ne se mesure pas uniquement à la manière dont il contrôle les collaborateurs. Elle se mesure surtout à sa capacité à appliquer des exigences équivalentes aux personnes qui détiennent le pouvoir de décision.
5. Compliance, sanctions et AML : trois dispositifs qui doivent dialoguer sans être confondus
Un quatrième enseignement concerne l'articulation entre les différentes fonctions de contrôle.
Une transaction potentiellement problématique peut simultanément présenter des risques de sanctions, d'abus de marché, de conflits d'intérêts et, selon les circonstances, de blanchiment.
Ces risques sont néanmoins gouvernés par des fondements juridiques différents.
Une éventuelle violation des sanctions européennes ne constitue pas automatiquement une opération d'initié.
Une suspicion d'abus de marché ne déclenche pas systématiquement une déclaration de soupçon AML/CFT.
Inversement, l'absence de qualification d'une opération d'initié ne permet pas de conclure que la transaction est conforme aux règles de sanctions ou aux exigences de gouvernance.
Pour les établissements financiers, cette distinction impose un dispositif d'analyse coordonné.
La fonction chargée des sanctions doit examiner la légalité de l'opération et les éventuelles interdictions applicables aux parties et infrastructures concernées.
Les équipes de surveillance des marchés doivent apprécier les indicateurs d'abus de marché et les obligations éventuelles de déclaration STOR.
La fonction Compliance doit également examiner les conflits d'intérêts, les transactions personnelles et les processus d'approbation.
La fonction AML/CFT doit, pour sa part, déterminer si les éléments identifiés font naître un soupçon de blanchiment ou de financement du terrorisme imposant, selon les conditions légales applicables, une déclaration à la Cellule de renseignement financier (CRF).
L'efficacité du contrôle repose ainsi sur la capacité de chaque fonction à exercer ses responsabilités propres tout en assurant la transmission des informations pertinentes aux autres fonctions concernées.
Une approche véritablement intégrée n'efface pas les différences entre les obligations réglementaires. Elle permet d'éviter qu'une anomalie ne demeure sans traitement parce qu'elle se situe à la frontière de plusieurs dispositifs.
6. La question de la supervision : distinguer les résultats d'un contrôle de la communication publique qui en est faite
Les révélations du Financial Times ont également suscité des interrogations sur l'action de la CSSF.
Selon le quotidien, le régulateur aurait effectué une inspection en mars 2023 après un signalement et identifié certaines insuffisances relatives aux comptes personnels de collaborateurs et aux procédures internes.
Le journal affirme qu'aucune sanction financière n'aurait été prononcée à l'issue de ces constats.
Ces informations, et l'interprétation qui en a été faite, ont été contestées par le directeur général de la CSSF lors de son audition parlementaire du 14 septembre 2026.
Claude Marx a indiqué que plusieurs éléments factuels de l'article étaient inexacts, sans pouvoir détailler publiquement le dossier en raison des obligations de secret professionnel auxquelles la CSSF est soumise.
Il a également rappelé le renforcement de la surveillance des établissements présentant des risques particuliers depuis l'invasion de l'Ukraine.
De son côté, le ministre des Finances a précisé, dans sa réponse parlementaire du 23 septembre, la répartition des responsabilités prévue par la loi luxembourgeoise du 19 décembre 2020 relative à la mise en œuvre de mesures restrictives en matière financière.
Le ministère intervient notamment dans les questions d'exécution des mesures restrictives et les autorisations dérogatoires prévues par les textes applicables.
La surveillance du respect de ces mesures par les professionnels concernés relève de leurs autorités de contrôle compétentes, notamment la CSSF.
Les missions d'enquête et de poursuite pénale appartiennent aux autorités judiciaires, chacune dans son champ de compétence.
Le ministère considère que les mécanismes institutionnels prévus par la législation ont fonctionné.
Ces éléments imposent une lecture équilibrée du dossier.
L'absence de sanction financière publique ne démontre pas nécessairement l'absence de contrôle ou de mesures correctrices. De même, l'existence d'une inspection ne suffit pas à établir que l'ensemble des risques a été correctement appréhendé.
Le débat porte donc également sur la capacité des autorités à expliquer, dans les limites du secret professionnel, leur action et les mécanismes de surveillance mis en œuvre.
La transparence et la confidentialité réglementaire poursuivent des objectifs légitimes, mais peuvent entrer en tension lorsqu'une affaire suscite une forte attention publique.
Pour la place financière luxembourgeoise, la crédibilité institutionnelle repose autant sur l'indépendance de la supervision que sur la confiance dans son efficacité.
7. Six contrôles que les établissements financiers devraient être capables de démontrer
Au-delà du dossier lui-même, cette affaire offre un cadre concret pour évaluer la robustesse des dispositifs de conformité.
L'objectif n'est pas de multiplier les procédures, mais de s'assurer que les contrôles essentiels couvrent les scénarios de risque pertinents et produisent une preuve vérifiable de leur fonctionnement.
DomaineContrôle attenduPreuve d'efficacitéTransactions personnellesDéclaration, autorisation préalable lorsque requise, restrictions et surveillance cibléeRegistre des opérations, décisions motivées, alertes et revues documentéesPrêts aux dirigeantsIdentification des parties liées, conditions appropriées et approbation indépendanteDossier de crédit, conditions comparables, récusation et validation tracéesSanctions internationalesAnalyse des personnes, instruments, intermédiaires et chaînes de règlementAvis juridique daté, cartographie transactionnelle et validation documentéeAbus de marchéSurveillance des opérations inhabituelles et analyse de leur chronologieInvestigations, données de marché, décisions d'escalade et STOR lorsqu'applicableConflits d'intérêtsDéclaration, évaluation, mesures d'atténuation et contrôle indépendantRegistre actualisé, mesures de gestion et vérifications de leur efficacitéGouvernanceReporting des incidents significatifs et supervision des mesures correctricesProcès-verbaux, plans d'action, responsables désignés et tests de clôture
Ces contrôles doivent être adaptés à la nature des activités, au cadre réglementaire applicable et au profil de risque de chaque établissement.
La maturité d'un dispositif ne se mesure pas à la quantité de documents produits, mais à la capacité de démontrer que les risques essentiels sont effectivement maîtrisés.
Un contrôle non exécuté constitue une vulnérabilité.
Un contrôle exécuté mais insuffisamment documenté peut devenir difficile à démontrer.
Un contrôle documenté mais incapable de détecter des anomalies significatives appelle une réévaluation de sa conception.
La conformité effective exige donc la réunion de trois conditions : un contrôle pertinent, une exécution vérifiable et une capacité de remédiation démontrée.
8. Un test concret de maturité pour les conseils d'administration
Pour les administrateurs d'établissements financiers, les enseignements de cette affaire peuvent être traduits en cinq questions :
1. Disposons-nous d'une vision consolidée des opérations personnelles et des conflits d'intérêts significatifs de nos dirigeants ?
L'organe de surveillance doit être en mesure d'identifier les situations nécessitant une approbation indépendante et d'en assurer le suivi.
2. Nos dispositifs de sanctions couvrent-ils les risques de contournement indirect ?
L'analyse doit pouvoir aller au-delà du screening des personnes pour examiner les chaînes d'intermédiation et les effets économiques des transactions.
3. Nos fonctions de contrôle disposent-elles de l'indépendance nécessaire pour contester une décision prise au plus haut niveau ?
L'indépendance ne doit pas demeurer une affirmation organisationnelle. Elle doit être soutenue par des pouvoirs effectifs d'accès, de contestation et d'escalade.
4. Sommes-nous capables de reconstituer une transaction complexe plusieurs années après sa réalisation ?
La disponibilité des données, la conservation des décisions et la cohérence des justifications doivent permettre un examen rétrospectif fiable.
5. Comment démontrons-nous que les insuffisances identifiées ont été effectivement corrigées ?
Une action corrective clôturée administrativement n'est pas nécessairement une action corrective dont l'efficacité a été validée.
Ces interrogations peuvent utilement nourrir les travaux des comités d'audit, des comités des risques et des fonctions de contrôle interne.
Elles appellent également une approche fondée sur des scénarios plutôt que sur une simple vérification de la présence des politiques.
9. De la conformité documentaire à la conformité démontrable
Le principal enseignement opérationnel de l'affaire Gazprombank réside dans la nécessité de passer d'une logique de dispositifs indépendants à une véritable maîtrise des risques transversaux.
Pour les établissements souhaitant renforcer leurs contrôles, trois priorités peuvent être engagées.
À court terme : identifier les zones de vulnérabilité.
Il convient de revoir les politiques relatives aux transactions personnelles, les processus de déclaration des conflits d'intérêts, les prêts aux parties liées et les scénarios sensibles de sanctions.
Une attention particulière devrait être portée aux opérations impliquant des dirigeants ou des personnes disposant d'un accès privilégié à des informations ou à des circuits financiers sensibles.
À moyen terme : tester les contrôles sur des transactions réelles.
Les établissements devraient sélectionner des opérations représentatives ou atypiques et reconstituer l'intégralité des validations, contrôles, flux financiers et éventuelles escalades.
Cet exercice permet de déterminer si les informations nécessaires à une analyse indépendante sont effectivement disponibles.
Dans la durée : mesurer l'efficacité et renforcer l'escalade.
Les résultats des tests, les exceptions non résolues, les insuffisances documentaires et les retards de remédiation doivent être intégrés au reporting des risques et faire l'objet d'un suivi proportionné à leur criticité.
L'enjeu est également culturel.
Une organisation dans laquelle les fonctions de contrôle hésitent à remettre en question les décisions de dirigeants influents présente une vulnérabilité qui ne peut être corrigée par la seule adoption d'une nouvelle procédure.
La conformité repose aussi sur la capacité de l'organisation à accepter la contradiction, à protéger l'indépendance des contrôles et à faire prévaloir les obligations réglementaires sur les intérêts individuels.
Conclusion — Le pouvoir ne doit jamais constituer une exemption de contrôle
L'affaire Gazprombank Luxembourg demeure, à ce stade, un dossier d'allégations contestées dont les qualifications juridiques et les éventuelles responsabilités doivent être appréciées par les autorités compétentes.
Il serait prématuré d'en déduire que les opérations concernées constituaient des délits d'initiés ou des violations des sanctions européennes.
Mais les questions de gouvernance qu'elle soulève sont suffisamment importantes pour concerner l'ensemble de la place financière luxembourgeoise.
Elles touchent à la capacité des établissements de crédit et des autres professionnels financiers à surveiller les transactions complexes, prévenir les conflits d'intérêts, maîtriser les risques de sanctions et assurer l'indépendance de leurs dispositifs de contrôle.
Elles rappellent surtout une exigence fondamentale : les obligations de conformité doivent s'appliquer avec la même rigueur, indépendamment de la position hiérarchique des personnes concernées.
Une gouvernance robuste ne se limite pas à encadrer les comportements des collaborateurs. Elle doit également prévenir les situations dans lesquelles l'autorité, l'accès à l'information ou la capacité de décision pourraient devenir des sources de risque.
Pour les dirigeants, administrateurs et responsables Compliance, la question centrale est donc désormais la suivante :
« Nos dispositifs de conformité sont-ils suffisamment indépendants, intégrés et efficaces pour détecter, analyser et contester une opération à risque, y compris lorsqu'elle implique les plus hauts niveaux de notre organisation ? »
C'est probablement l'une des questions les plus déterminantes pour la crédibilité durable de la gouvernance financière.
Car le véritable test d'un dispositif de Compliance n'est pas sa capacité à contrôler ceux qui disposent de peu de pouvoir. C'est sa capacité à exercer un contrôle effectif sur ceux qui en détiennent le plus.
Sources journalistiques et institutionnelles
Affaire Gazprombank
- Financial Times, 26 août 2026 — How four Russian bankers made millions from EU sanctions.
- Chambre des députés, 14 septembre 2026 — Dossier Gazprombank : la CSSF répond aux questions des députés.
- RTL Infos, 15 septembre 2026 — Le ministère des Finances a transmis les informations au parquet.
- Réponse du ministre des Finances Gilles Roth à la question parlementaire n° 4688, 23 septembre 2026.
Cadre réglementaire
- Règlement (UE) 269/2014 — notamment articles 2 et 9.
- Règlement (UE) 833/2014 — restrictions sectorielles et dispositions de non-contournement.
- Règlement (UE) 596/2014 (MAR) — notamment articles 2, 7, 8, 14 et 16.
- Règlement délégué (UE) 2017/565 — articles 28 et 29.
- Circulaire CSSF 12/552, telle que modifiée — notamment points 168 à 179.
- Orientations EBA/GL/2021/05 sur la gouvernance interne.
Note éditoriale : analyse fondée sur les informations publiques consultées au 27 octobre 2026. Elle distingue les allégations journalistiques, les déclarations officielles et les enseignements généraux en matière de conformité. Aucun constat d'infraction ni de responsabilité individuelle n'est formulé.
