Au Luxembourg, l’AML/CFT n’est pas un sujet purement opérationnel. Pour les entités assujetties, la loi du 12 novembre 2004 impose des politiques, contrôles et procédures proportionnés aux risques de blanchiment et de financement du terrorisme, ainsi qu’un dispositif de contrôle interne et, lorsque c’est approprié, une fonction d’audit indépendante.
Le Board of Directors joue d’abord un rôle de pilotage stratégique. La CSSF prévoit que la Risk Based Approach et l’AML/CFT Risk Appetite soient approuvées par le conseil, et que l'AML/CFT Policy soit validée à son niveau ; pour certains fonds supervisés par la CSSF, les procédures elles-mêmes relèvent aussi du Board.
Cette responsabilité passe aussi par une gouvernance claire des fonctions AML/CFT. Le cadre luxembourgeois prévoit la désignation d’un RR (responsable du respect des obligations professionnelles) au niveau de l’organe de direction, ainsi que d’un RC (responsable du contrôle) distinct lorsque la taille et la nature de l’activité l’exigent ; dans le secteur des fonds supervisés par la CSSF, la nomination des deux fonctions est expressément attendue.
Le Board ne mène pas lui-même les contrôles quotidiens, mais il doit s’assurer que le dispositif fonctionne réellement : classification des clients selon leur niveau de risque, vigilance continue, conservation des documents, canaux d’alerte internes, accès direct du RC aux informations utiles et moyens suffisants pour agir de façon indépendante. Le RC doit en outre rendre compte régulièrement, puis au moins annuellement, au RR, au management autorisé et au Board.
La compétence du conseil suppose enfin une vigilance personnelle des administrateurs. La loi exige des formations continues AML/CFT pour les employés, y compris les membres des organes de direction et de la direction effective, afin qu’ils comprennent les risques, les signaux d’alerte et les obligations de déclaration.
Le Board doit également veiller à ce que les procédures d’escalade soient efficaces. En droit luxembourgeois, les professionnels, leurs dirigeants et leurs employés doivent coopérer pleinement avec les autorités et informer rapidement la CRF lorsqu’ils savent, soupçonnent ou ont de bonnes raisons de soupçonner une opération de blanchiment, une infraction sous-jacente associée ou un financement du terrorisme.
Enfin, la délégation n’efface pas la responsabilité. La CSSF rappelle que, même en cas d’outsourcing, la responsabilité de conformité reste auprès de l’entité assujettie ; pour les fonds, le Board demeure responsable, doit préserver un accès suffisant à l’information et exercer une supervision continue et formalisée du prestataire. En cas de manquement, des sanctions peuvent viser non seulement l’entité, mais aussi les membres de ses organes de direction responsables de la non-conformité.
En pratique, un Board luxembourgeois doit donc pouvoir démontrer trois choses : qu’il comprend son risque AML/CFT, qu’il challenge effectivement le dispositif de contrôle, et qu’il documente ses décisions, ses escalades et le suivi des remédiations. C’est cette traçabilité, plus encore que l’existence de politiques “sur papier”, qui fait aujourd’hui la différence lors d’un contrôle du régulateur.