CSSF : Sanction de 1,25 M€ pour défaillances LCB-FT

Focus — Sanction CSSF de 1,25 M€ : L'approche par les risques LCB-FT toujours au cœur des défaillances

La Commission de Surveillance du Secteur Financier (CSSF) a une nouvelle fois démontré sa fermeté en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). Le 5 mars 2026, l'autorité luxembourgeoise a infligé une sanction administrative d'un montant de 1.250.000 euros à l'encontre d'une société de gestion de premier plan pour des manquements graves à ses obligations professionnelles en la matière.

Cette décision, rendue publique le 9 juin 2026, met en lumière des défaillances systémiques dans le dispositif de contrôle interne de l'entité sanctionnée. L'enjeu principal de cette sanction réside dans le rappel cinglant que l'approche par les risques ne peut être un simple exercice documentaire, mais doit irriguer l'ensemble des processus opérationnels de l'entreprise de manière effective et démontrable.

💡 Sujet/Concept clé : de quoi parle-t-on ?

La sanction vise le secteur de la gestion d'actifs au Luxembourg, un hub financier international majeur pour les fonds d'investissement (OPCVM et FIA). Les entités concernées sont les sociétés de gestion qui, de par leur activité de gestion de portefeuilles pour le compte de tiers et la distribution de parts de fonds, manipulent des flux financiers considérables et sont exposées à une clientèle internationale diversifiée, présentant des profils de risque variés.

Au cœur du sujet se trouve l''approche par les risques' (Risk-Based Approach - RBA). Il ne s'agit pas d'une simple procédure, mais d'un principe directeur fondamental de la réglementation LCB-FT. Ce concept impose aux professionnels d'identifier, d'évaluer et de comprendre les risques de blanchiment et de financement du terrorisme auxquels ils sont exposés, afin d'appliquer des mesures de vigilance proportionnées à ces risques. Une approche efficace nécessite une analyse granulaire des risques liés à la clientèle, aux pays ou zones géographiques, aux produits, services, transactions et canaux de distribution.

La base légale et réglementaire

Le cadre juridique applicable au Luxembourg est principalement défini par la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme. Ce texte transpose les directives européennes successives en la matière et constitue le socle des obligations pour les professionnels du secteur financier. Il impose notamment la mise en place d'une organisation interne adéquate et de mesures de vigilance à l'égard de la clientèle (Customer Due Diligence - CDD).

L'article 2-2 de cette loi est central, car il formalise l'obligation de réaliser une évaluation globale des risques de BC/FT auxquels l'entité est exposée. Cette analyse doit être documentée, tenue à jour et mise à la disposition de la CSSF sur demande. Les mesures de vigilance, détaillées à l'article 3, doivent être adaptées en fonction du niveau de risque identifié (vigilance simplifiée, normale ou renforcée). Le non-respect de ces obligations expose les entités à de lourdes sanctions administratives, pouvant aller jusqu'à des amendes pécuniaires significatives et, dans les cas les plus graves, au retrait de l'agrément.

La CSSF complète ce dispositif par des règlements et circulaires, comme le Règlement CSSF N° 12-02 concernant la lutte contre le blanchiment et le financement du terrorisme, qui précise les attentes du régulateur sur l'organisation et les mesures de contrôle interne. Ces textes fournissent des lignes directrices opérationnelles pour la mise en œuvre effective de l'approche par les risques.

Analyse des manquements sanctionnés par la CSSF

La sanction prononcée par la CSSF met en évidence une série de défaillances critiques qui illustrent un écart majeur entre le dispositif LCB-FT sur le papier et son application pratique. Le premier manquement relevé concerne l'évaluation globale des risques, jugée trop générique et insuffisamment adaptée à la nature spécifique des activités, de la clientèle et des zones géographiques d'opération de la société. Le document n'était pas un outil de pilotage dynamique, mais un exercice formel, rarement mis à jour.

Ensuite, des carences importantes ont été identifiées dans les mesures de vigilance à l'égard de la clientèle. Les procédures de connaissance du client (KYC) lors de l'entrée en relation étaient incomplètes, notamment pour des clients identifiés comme à haut risque. La documentation et la vérification de l'origine des fonds et du patrimoine (Source of Funds / Source of Wealth) étaient particulièrement défaillantes, constituant une brèche majeure dans le dispositif préventif.

La surveillance continue des relations d'affaires a également été pointée du doigt. Le dispositif de suivi des transactions était mal calibré, générant soit un nombre d'alertes ingérable, soit ne détectant pas des opérations atypiques qui auraient dû faire l'objet d'un examen approfondi. L'absence d'investigation documentée pour de nombreuses alertes a démontré une incapacité à identifier et, le cas échéant, à déclarer les opérations suspectes à la Cellule de Renseignement Financier (CRF).

Enfin, la CSSF a souligné l'insuffisance de la formation du personnel. Les formations dispensées étaient trop générales et ne permettaient pas aux collaborateurs, notamment ceux en contact avec la clientèle, de comprendre et d'appliquer correctement les procédures internes face à des situations à risque. Cette sanction illustre donc une défaillance systémique de la gouvernance et du cadre de contrôle interne LCB-FT.

Ce que ça change opérationnellement (Plan d'action)

Pour un Compliance Officer, cette sanction est un appel à une revue critique et immédiate du dispositif en place. Voici un plan d'action en 5 étapes :

1. Refondre la cartographie des risques LCB-FT : Abandonnez l'approche statique. La cartographie doit être un outil vivant, mis à jour en continu en fonction de l'évolution de l'activité (nouveaux produits, nouvelles géographies) et de la menace. Implémentez une méthodologie de cotation des risques claire et documentée, et assurez-vous que les conclusions de cette analyse irriguent réellement les procédures de vigilance.

2. Durcir les procédures de Due Diligence à l'entrée en relation : Segmentez clairement les exigences documentaires en fonction du niveau de risque du client. Pour les clients à risque élevé, systématisez la collecte de preuves pour la source des fonds et du patrimoine (déclarations fiscales, actes notariés, etc.) et formalisez une procédure de validation par un niveau hiérarchique supérieur (principe des 4 yeux).

3. Mettre en place une surveillance continue (Ongoing Due Diligence) efficace : Définissez des fréquences de revue des dossiers KYC basées sur le risque (ex: 1 an pour le risque élevé, 3 ans pour le risque moyen). Automatisez la surveillance des listes de sanctions et des médias négatifs en temps réel et assurez-vous que chaque alerte est traitée, investiguée et tracée dans un outil dédié.

4. Revoir le calibrage du monitoring des transactions : Menez un projet de back-testing des scénarios de détection pour vous assurer qu'ils sont pertinents par rapport à votre cartographie des risques. Optimisez les seuils pour réduire le bruit (faux positifs) tout en garantissant la détection des schémas réellement atypiques. Formalisez le processus de traitement des alertes, de l'analyse initiale à la potentielle déclaration de soupçon.

5. Déployer un programme de formation sur-mesure : Développez des modules de formation spécifiques par métier (commerciaux, gérants, service client, compliance). Utilisez des études de cas concrètes, basées sur les typologies de fraude et de blanchiment identifiées dans votre cartographie des risques, pour rendre la formation plus impactante. Mesurez l'efficacité par des tests de connaissance réguliers.

• 📎 CSSF — Sanction administrative du 5 mars 2026