Le 3 juin 2026, l’AMLA a publié un projet de lignes directrices sur le monitoring continu des relations d’affaires au titre de l’article 26(5) du Règlement (UE) 2024/1624 (AMLR). L’objectif est de préciser les attentes applicables aux periodic CDD reviews et au suivi des transactions et activités.
Premier changement majeur : la connaissance du client doit devenir un processus véritablement continu. Les informations KYC devront être maintenues à jour au moyen de sources fiables et indépendantes, de prestataires de données, de sources ouvertes ou, lorsque cela est approprié, d’informations obtenues directement du client.
Les revues périodiques resteront fondées sur le risque : leur profondeur pourra être adaptée, notamment lorsqu’un client à faible risque n’a connu aucune nouvelle activité significative depuis la dernière actualisation.
À cette périodicité s’ajoute une logique event-driven : changement d’identité ou de contrôle, évolution du statut juridique, comportement transactionnel inhabituel, adverse media, nouvelle qualification PEP ou modification significative de l’activité pourront déclencher une réévaluation immédiate.
Autre évolution pragmatique : l’expiration d’une pièce d’identité n’entraînerait pas automatiquement son renouvellement. L’AMLA privilégie une analyse fondée notamment sur le niveau de risque du client, la juridiction concernée et la valeur ajoutée réelle d’un nouveau document.
Le second pilier concerne le transaction and activity monitoring. Le dispositif devra être proportionné à la taille, au modèle économique, à la complexité et au profil de risque global de l’entité assujettie.
Le monitoring pourra être manuel, automatisé ou semi-automatisé, à condition d’être explicable, documenté, régulièrement testé et réellement efficace pour identifier les risques ML/TF. Les relations à risque élevé devront naturellement faire l’objet d’une surveillance renforcée.
L’AMLA insiste également sur le traitement des alertes : celles-ci devront être analysées sans retard indu, priorisées selon leur niveau de risque et escaladées lorsque des investigations complémentaires sont nécessaires.
L’utilisation de l’intelligence artificielle, du machine learning et d’outils analytiques avancés est expressément envisagée. Mais disposer d’une technologie sophistiquée ne suffira pas : les établissements devront pouvoir démontrer son efficacité et expliquer aux autorités son rôle, son fonctionnement et ses résultats.
Cette exigence d’explainability et de governance constitue probablement l’un des messages les plus importants pour les fonctions Compliance : automatiser davantage signifie également documenter, tester et challenger davantage.
Les dispositifs devront par ailleurs être régulièrement réévalués et stress-tested au regard des résultats obtenus, des précédentes escalades, des déclarations de soupçon et de l’évolution des risques ML/TF. Toute modification substantielle de la logique de monitoring devra s’accompagner d’un processus documenté de transition et de validation.
Pour les acteurs financiers luxembourgeois, le message est clair : le futur ongoing monitoring ne reposera plus uniquement sur une periodic review calendar, mais sur un dispositif intégré combinant qualité des données, événements déclencheurs, analyse comportementale, technologie et supervision humaine.
Les lignes directrices sont encore au stade de projet : la consultation est ouverte jusqu’au 3 septembre 2026 et leur finalisation est attendue au quatrième trimestre 2026.
La priorité pour les fonctions Compliance est donc déjà identifiable : évaluer dès maintenant si leurs frameworks KYC, transaction monitoring, event-driven review et AI governance sont capables de satisfaire ce nouveau standard européen de monitoring continu.
