De-risking, exigences documentaires excessives et proportionnalité des contrôles : pourquoi l'efficacité d'un dispositif AML/CFT ne se mesure plus au volume des documents collectés, mais à sa capacité à comprendre, maîtriser et démontrer les risques réellement encourus.

Luxembourg | 20 octobre 2026

Introduction — Le paradoxe d'une conformité qui cherche à éliminer tout risque

Dans l'environnement réglementaire luxembourgeois, la lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT) repose sur des obligations de vigilance exigeantes. L'identification des clients, la vérification des bénéficiaires effectifs, la compréhension des structures de détention et l'évaluation continue des risques constituent les fondements d'un dispositif de conformité robuste.

Pourtant, une dérive mérite aujourd'hui une attention particulière : la tendance à assimiler la qualité de la conformité à l'accumulation systématique d'informations, de justificatifs et de contrôles, indépendamment de leur pertinence au regard du risque identifié.

Demandes répétitives de documents déjà disponibles, exigences uniformes appliquées à des contreparties présentant des profils radicalement différents, collecte disproportionnée de données personnelles ou refus de relations d'affaires au seul motif qu'elles présentent une certaine complexité : ces pratiques interrogent la finalité même de l'approche fondée sur les risques (Risk-Based Approach).

La question n'est pas de savoir si les institutions financières doivent être rigoureuses. Elles le doivent, incontestablement.

La véritable question est de déterminer à quel moment une rigueur insuffisamment différenciée cesse d'améliorer la maîtrise des risques et commence, au contraire, à fragiliser le dispositif de conformité.

Car une conformité qui exige toujours davantage, sans démontrer la nécessité de chaque exigence, peut paradoxalement devenir moins efficace, moins défendable et plus exposée à certains risques réglementaires.

1. Le véritable message de la CSSF : gérer les risques, et non les éviter

Le 16 juin 2026, la Commission de Surveillance du Secteur Financier (CSSF) a publié un communiqué particulièrement significatif consacré aux pratiques de désengagement financier (de-risking) et à la gestion des risques de blanchiment de capitaux et de financement du terrorisme.

Son message est fondamental : les professionnels doivent gérer efficacement leurs risques, ce qui ne signifie pas qu'ils doivent systématiquement les éviter.

La CSSF rappelle notamment qu'un niveau de risque plus élevé ne saurait, à lui seul, justifier le refus d'établir ou de maintenir une relation d'affaires.

Elle met également en garde contre les pratiques consistant à exclure, de manière générale, des catégories entières de clients, de produits ou de services, sous réserve des interdictions légales et réglementaires applicables.

Cette clarification est essentielle.

Un risque élevé n'est pas nécessairement un risque inacceptable. Il devient inacceptable lorsque les mesures d'atténuation disponibles ne permettent pas de le maîtriser suffisamment, ou lorsqu'une interdiction légale impose le refus de la relation ou de l'opération.

L'approche fondée sur les risques ne consiste donc ni à accepter indistinctement tous les clients, ni à éliminer automatiquement ceux dont le profil présente une complexité particulière.

Elle impose une appréciation individualisée, des mesures de vigilance adaptées et une capacité à justifier les décisions prises.

Cette position s'inscrit dans le prolongement des orientations de l'Autorité bancaire européenne (EBA/GL/2023/04), intégrées dans la pratique de surveillance luxembourgeoise par la circulaire CSSF 23/843.

Ces orientations encouragent notamment les établissements concernés à examiner les mesures raisonnablement disponibles pour atténuer les risques avant de refuser ou de mettre fin à une relation d'affaires pour des motifs AML/CFT.

Une distinction doit toutefois être préservée : la CSSF ne remet pas en cause la liberté des établissements de définir leur modèle économique, leur offre de services ou leur appétence au risque dans le respect du droit applicable. Elle invite à ne pas présenter systématiquement une décision commerciale de retrait comme une obligation réglementaire de lutte contre le blanchiment.

Cette différence entre risque réglementaire, risque commercial et risque non maîtrisable constitue l'un des fondements d'une gouvernance Compliance mature.

2. Quand la documentation devient une fin en soi

Dans la pratique, certaines procédures KYC semblent progressivement s'organiser autour d'une logique d'exhaustivité documentaire plutôt que d'une logique de compréhension du risque.

Prenons trois situations illustratives.

Premier cas : la multiplication des demandes d'informations personnelles.

Une institution financière demande systématiquement des copies certifiées de pièces d'identité et des justificatifs de résidence privée concernant l'ensemble des administrateurs d'une société, sans distinguer clairement les bénéficiaires effectifs, les personnes exerçant un contrôle, les représentants habilités et les dirigeants n'intervenant pas dans la relation d'affaires.

Certaines de ces informations peuvent naturellement être exigées selon les circonstances, le statut des personnes concernées et le cadre juridique applicable.

Mais leur collecte indifférenciée soulève une question légitime : quelle obligation ou quel risque précis chaque document supplémentaire permet-il de satisfaire ?

Deuxième cas : la répétition des contrôles sans valeur ajoutée identifiable.

Lors d'une revue périodique, un établissement réclame une nouvelle fois des documents structurels déjà obtenus et considérés comme fiables, alors qu'aucun changement significatif n'a été identifié.

L'actualisation des informations demeure une obligation essentielle. Toutefois, une revue périodique ne devrait pas se réduire à la reproduction mécanique de l'onboarding initial.

Sa valeur réside avant tout dans l'identification des évolutions pertinentes : modifications de contrôle, nouveaux bénéficiaires effectifs, changements d'activité, exposition géographique, transactions inhabituelles ou informations négatives significatives.

Troisième cas : la confusion entre complexité et suspicion.

Une structure d'investissement internationale présente plusieurs niveaux de détention, implique différentes juridictions et comporte des entités relevant de cadres juridiques distincts.

Cette complexité doit être comprise et documentée. Elle peut justifier des investigations complémentaires.

Elle ne saurait cependant être assimilée automatiquement à un indice de blanchiment.

Une structure complexe n'est pas nécessairement opaque. Inversement, une structure juridiquement simple peut présenter une exposition élevée aux risques financiers ou réputationnels.

Dans ces trois exemples, le danger est identique : substituer une logique de collecte standardisée à une analyse individualisée et documentée.

3. La surconformité : cinq risques trop souvent sous-estimés

La surconformité n'est pas, en elle-même, une catégorie autonome d'infraction réglementaire.

Elle peut néanmoins devenir problématique lorsque des contrôles supplémentaires mal justifiés entraînent le non-respect d'autres obligations ou compromettent l'efficacité du dispositif.

Le risque de non-proportionnalité

La loi luxembourgeoise modifiée du 12 novembre 2004, le règlement CSSF n° 12-02 et les orientations européennes consacrent une approche fondée sur les risques.

Cela implique notamment d'adapter l'intensité des mesures de vigilance à la nature, à la complexité et au degré d'exposition de la relation considérée.

Appliquer indistinctement les mêmes diligences renforcées à tous les clients revient à neutraliser une partie de la logique de différenciation recherchée par le législateur.

La proportionnalité n'autorise évidemment pas à réduire les diligences en dessous du minimum légal, ni à écarter les mesures renforcées obligatoires. Elle exige que les contrôles soient adaptés dans les marges prévues par le cadre juridique.

Le risque lié à la protection des données personnelles

Le KYC implique le traitement d'informations parfois particulièrement sensibles : documents d'identité, adresses privées, informations patrimoniales ou données relatives à certaines fonctions et relations personnelles.

Or, l'article 5, paragraphe 1, point c), du Règlement général sur la protection des données (RGPD) impose le principe de minimisation des données.

Les informations collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies.

Les obligations légales de vigilance peuvent parfaitement justifier la collecte et la conservation de données personnelles. Lorsqu'une information ou une pièce est légalement obligatoire, le principe de minimisation ne permet pas de s'en dispenser.

En revanche, une demande supplémentaire ne devient pas automatiquement nécessaire au seul motif qu'elle figure dans une checklist interne.

La conformité AML/CFT et la conformité au RGPD doivent donc être pensées conjointement.

Le risque de désengagement financier injustifié

Les pratiques de de-risking peuvent aboutir à l'exclusion de contreparties pourtant légitimes, lorsque les décisions reposent davantage sur des catégories générales que sur l'évaluation individuelle des risques.

Au-delà des conséquences économiques, une exclusion excessive peut aussi réduire la transparence des flux financiers en poussant certaines activités vers des circuits moins accessibles aux mécanismes de contrôle.

L'enjeu n'est pas d'interdire les décisions de refus, mais de s'assurer qu'elles reposent sur une motivation pertinente, suffisamment documentée et conforme aux obligations applicables.

Le risque opérationnel et cyber

Chaque document supplémentaire génère potentiellement de nouvelles opérations : collecte, transmission, vérification, stockage, conservation, gestion des accès et suppression.

Lorsque les informations concernent des personnes physiques, cette accumulation accroît également la quantité de données à protéger.

Un contrôle documentaire dont l'utilité n'est pas démontrée peut ainsi augmenter les coûts, les délais de traitement et l'exposition opérationnelle, sans apporter un bénéfice correspondant en matière de prévention du blanchiment.

Le risque de perte d'efficacité des contrôles

Le risque le plus discret est parfois le plus important.

Lorsque les équipes Compliance consacrent une part excessive de leurs ressources à obtenir des documents de faible valeur analytique, elles peuvent disposer de moins de temps pour examiner les alertes pertinentes, les structures réellement complexes, les changements de comportement ou les informations négatives significatives.

Un dispositif qui contrôle tout avec la même intensité risque de ne plus consacrer suffisamment d'attention à ce qui mérite véritablement une vigilance renforcée.

Cette dérive transforme progressivement une approche fondée sur les risques en une approche fondée sur les formalités.

4. AIFM, fonds d'investissement et relations institutionnelles : le défi spécifique du Luxembourg

La place financière luxembourgeoise présente des caractéristiques qui rendent cette problématique particulièrement importante.

Les AIFM, sociétés de gestion, banques dépositaires, administrateurs de fonds et autres professionnels interagissent avec des structures d'investissement internationales, des véhicules réglementés, des gestionnaires étrangers et des contreparties institutionnelles.

Les demandes KYC peuvent se multiplier entre des acteurs soumis à des régimes de supervision différents.

Dans cet environnement, trois distinctions sont fondamentales.

La première concerne la nature de la contrepartie. Une entité réglementée, une société opérationnelle non réglementée et un véhicule d'investissement à structure complexe ne présentent pas nécessairement le même profil de risque. Le statut réglementé constitue un élément d'appréciation, sans dispenser automatiquement des diligences requises.

La deuxième concerne le rôle des personnes physiques identifiées. Bénéficiaire effectif, dirigeant, administrateur et signataire autorisé sont des qualités distinctes qui doivent être appréciées au regard des exigences légales pertinentes. La détermination des personnes à identifier ou à vérifier doit résulter de ces exigences, et non d'une assimilation systématique de toutes les fonctions.

La troisième concerne l'objet du contrôle. Les diligences portant sur les clients ou investisseurs ne se confondent pas nécessairement avec les mesures applicables aux actifs, investissements, contreparties ou délégataires. Elles doivent être rattachées aux obligations spécifiques à chaque relation et activité.

Une approche mature exige également de distinguer les documents indispensables à l'identification, les pièces nécessaires à la vérification, les informations permettant de comprendre le risque et les éléments sollicités à titre complémentaire.

Cette classification permet de rendre les demandes plus intelligibles et de faciliter le dialogue entre institutions financières, tout en préservant la responsabilité individuelle de chacune dans l'application de ses propres obligations.

5. Vers un KYC intelligent : cinq questions avant toute demande documentaire

Il ne s'agit pas de promouvoir un KYC allégé par principe, mais un KYC juridiquement fondé, ciblé et démontrable.

À cette fin, les professionnels pourraient intégrer cinq questions systématiques à leur processus de décision.

1. Quelle est la base de l'exigence ?

La demande découle-t-elle d'une disposition légale, d'une obligation réglementaire, d'une orientation applicable, d'une procédure interne ou d'une exigence contractuelle ?

Cette distinction est essentielle pour identifier les obligations incompressibles et les marges d'appréciation.

2. Quel objectif de vigilance poursuit-elle ?

S'agit-il de vérifier une identité, de comprendre le contrôle d'une structure, de confirmer les pouvoirs d'un représentant, d'établir l'origine des fonds ou de répondre à un facteur de risque spécifique ?

Toute demande complémentaire devrait avoir une finalité clairement identifiable.

3. Quel risque concret justifie son intensité ?

L'exigence est-elle cohérente avec le profil de risque, la nature de l'activité, la géographie concernée, la complexité de la structure et les résultats des vérifications déjà réalisées ?

4. Existe-t-il une preuve alternative appropriée ?

Lorsqu'un document particulier n'est pas expressément imposé, une autre source fiable et indépendante ou une combinaison de justificatifs peut-elle permettre de satisfaire effectivement l'objectif réglementaire ?

L'acceptation d'une alternative doit être évaluée au cas par cas, en tenant compte des obligations de vérification et des risques identifiés.

5. La décision est-elle défendable devant le régulateur ?

Le dossier permet-il de comprendre pourquoi certaines informations ont été demandées, pourquoi d'autres n'étaient pas nécessaires et comment le risque résiduel a été apprécié ?

Cette dernière question transforme la proportionnalité en une exigence concrète de gouvernance et de traçabilité.

Elle évite également un écueil fréquent : considérer qu'une checklist entièrement complétée constitue, à elle seule, la preuve d'un dispositif efficace.

6. L'AMLA et l'AMLR : une occasion de réinterroger les pratiques historiques

La réforme européenne de la lutte contre le blanchiment offre aux professionnels luxembourgeois une occasion majeure de réexaminer leurs méthodologies KYC.

Le règlement (UE) 2024/1624, communément appelé AMLR, dont l'application générale est prévue le 10 juillet 2027, vise à renforcer l'harmonisation européenne tout en maintenant le principe d'une vigilance proportionnée aux risques.

Son article 20 confirme notamment la nécessité d'adapter l'étendue des mesures de vigilance aux risques identifiés et de pouvoir démontrer leur caractère approprié.

Son article 21 encadre les situations dans lesquelles les diligences légalement requises ne peuvent pas être accomplies : dans les conditions prévues par ce texte, l'établissement doit s'abstenir d'établir ou de poursuivre la relation, ou d'exécuter l'opération concernée. La proportionnalité ne peut donc jamais servir à contourner une impossibilité réelle de satisfaire les obligations minimales.

L'article 33 organise quant à lui les possibilités de vigilance simplifiée lorsque les conditions réglementaires sont remplies et qu'un niveau de risque faible a été établi.

Les développements intervenus en octobre 2026 confirment l'importance de cette orientation.

Le 1er octobre, l'AMLA a annoncé la finalisation de trois projets de normes techniques de réglementation, couvrant notamment les obligations de vigilance clientèle, les relations d'affaires et les dispositifs à l'échelle des groupes.

Ces projets ont été transmis à la Commission européenne et restent soumis au processus d'adoption applicable.

Le 2 octobre, l'AMLA a également annoncé des tables rondes sectorielles consacrées à la mise en œuvre des diligences simplifiées, initiative relayée par la CSSF le 12 octobre.

Le message est clair : l'harmonisation européenne ne devrait pas être interprétée comme une invitation à multiplier indistinctement les contrôles, mais comme une opportunité d'améliorer leur cohérence, leur proportionnalité et leur efficacité.

Les professionnels auraient donc intérêt à utiliser cette période de transition pour revoir les exigences internes historiquement accumulées, identifier les contrôles redondants et formaliser les critères permettant d'adapter les diligences aux risques.

7. Le rôle des dirigeants et des Compliance Officers : passer d'une culture documentaire à une culture de maîtrise des risques

La prévention de la surconformité ne relève pas uniquement des équipes opérationnelles KYC.

Elle constitue également une question de gouvernance.

Les Conseils d'administration, dirigeants autorisés, Conducting Officers et responsables de la fonction Compliance devraient notamment s'assurer que les politiques internes permettent de distinguer les obligations impératives des contrôles additionnels déterminés par l'établissement.

Une politique de conformité efficace devrait prévoir :

• une méthodologie de classification des risques claire, documentée et régulièrement actualisée ;
• des exigences documentaires modulées selon les risques et les obligations applicables ;
• des critères définis pour l'acceptation de justificatifs alternatifs ;
• un mécanisme d'escalade pour les demandes atypiques ou disproportionnées ;
• une traçabilité des décisions de refus, des exceptions et des mesures d'atténuation ;
• des contrôles périodiques de la pertinence des exigences et de leur efficacité.

Cette transformation suppose également une évolution des indicateurs communiqués aux organes de gouvernance.

Au-delà des taux de dossiers complétés et des délais moyens de traitement, les responsables pourraient suivre des indicateurs tels que :

• la proportion de demandes documentaires supplémentaires associées à un facteur de risque identifié ;
• le taux de rejets KYC et les principales motivations correspondantes ;
• la fréquence des demandes répétitives et leur justification ;
• les décisions prises après examen de mesures d'atténuation alternatives ;
• les écarts identifiés entre les risques classifiés et les contrôles réellement appliqués.

Ces indicateurs ne remplacent pas les exigences légales, mais ils permettent d'évaluer si les ressources mobilisées produisent une amélioration démontrable de la maîtrise des risques.

La fonction Compliance ne doit pas être perçue comme un simple centre de validation documentaire. Elle constitue une fonction de jugement professionnel, de contrôle, de conseil et de remise en question constructive.

Son rôle consiste aussi à identifier les procédures qui, bien qu'initialement instaurées pour renforcer la sécurité, ont perdu leur justification ou ne répondent plus efficacement aux risques concernés.

8. Une nouvelle définition de l'excellence en matière de conformité

L'excellence d'un dispositif AML/CFT ne repose ni sur la permissivité, ni sur une accumulation illimitée de précautions.

Elle repose sur la capacité à prendre les bonnes décisions, sur la base d'informations fiables, d'analyses pertinentes et de contrôles proportionnés.

Cela suppose de préserver des lignes rouges non négociables : identification et vérification légalement requises, transparence sur les bénéficiaires effectifs, diligences renforcées obligatoires, respect des sanctions financières, surveillance continue et obligations de déclaration des opérations suspectes.

Mais cela suppose également de reconnaître qu'une exigence documentaire supplémentaire n'améliore pas automatiquement la qualité du contrôle.

Une conformité mature doit savoir renforcer les diligences lorsque le risque l'exige, les adapter lorsque le cadre juridique le permet et justifier rigoureusement les arbitrages opérés.

La proportionnalité ne consiste pas à faire moins de conformité. Elle consiste à exercer une conformité plus précise, plus intelligente et plus efficace.

Conclusion — Le véritable courage de la conformité : savoir justifier ce que l'on exige

Pendant longtemps, la sophistication d'un dispositif KYC a parfois été associée à la quantité d'informations collectées, au nombre de vérifications effectuées et à l'étendue des procédures internes.

Cette conception mérite aujourd'hui d'évoluer.

Les orientations européennes, les clarifications récentes de la CSSF et la transition vers le nouveau cadre de l'AMLA invitent les professionnels à une réflexion plus exigeante : non seulement démontrer que les contrôles ont été réalisés, mais également qu'ils étaient appropriés aux risques identifiés.

La surconformité ne constitue pas nécessairement une faute. Elle devient toutefois une source potentielle de risque lorsqu'elle entraîne des traitements excessifs de données, des décisions de désengagement insuffisamment justifiées, une mauvaise allocation des ressources ou une dilution de la vigilance sur les situations réellement sensibles.

Pour la place financière luxembourgeoise, l'enjeu est donc de passer d'une logique d'exhaustivité documentaire à une logique de maîtrise démontrable des risques.

La question que chaque professionnel devrait désormais se poser n'est plus uniquement : « Avons-nous collecté suffisamment de documents ? »

Mais aussi : « Sommes-nous capables de démontrer que chaque contrôle apporte une réelle contribution à la maîtrise du risque ? »

Car la véritable maturité d'un dispositif de conformité ne se mesure pas à sa capacité à tout exiger.

Elle se mesure à sa capacité à savoir précisément quoi exiger, pourquoi l'exiger et quand aller plus loin.

Références réglementaires et institutionnelles

1. CSSF, communiqué du 16 juin 2026 — Pratiques de désengagement financier (« de-risking ») et gestion des risques de BC/FT.
2. CSSF, circulaire 23/843 du 16 octobre 2023 — Adoption des orientations EBA/GL/2023/04 relatives à la gestion efficace des risques BC/FT lors de l'accès aux services financiers.
3. Luxembourg, loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, et règlement CSSF n° 12-02.
4. Union européenne, règlement (UE) 2024/1624 du 31 mai 2024 (AMLR), notamment ses articles 20, 21 et 33.
5. AMLA, communiqué du 1er octobre 2026 — AMLA finalises key standards for the private sector.
6. AMLA, communication du 2 octobre 2026 — AMLA invites stakeholders to sectoral roundtables on simplified customer due diligence.
7. Union européenne, règlement (UE) 2016/679 (RGPD), notamment son article 5, paragraphe 1, point c), relatif à la minimisation des données.

Analyse professionnelle fondée sur les textes et communications disponibles au 20 octobre 2026. Elle ne constitue pas un avis juridique applicable indistinctement à toutes les catégories d'établissements ou de relations d'affaires.

De la délégation à la dépendance : pourquoi la nouvelle exigence de transparence de la CSSF impose aux AIFM luxembourgeois de démontrer leur indépendance décisionnelle, leur maîtrise des conflits d'intérêts et l'effectivité de leur supervision.

Analyse réglementaire et perspectives opérationnelles — Luxembourg, 19 octobre 2026

Introduction — Un changement de paradigme pour l'industrie luxembourgeoise des fonds

Dans l'industrie de la gestion d'actifs, la délégation constitue depuis longtemps un instrument essentiel d'efficacité opérationnelle, de spécialisation et d'accès à des expertises externes.

Le modèle white-label, dans lequel un gestionnaire de fonds réglementé intervient pour des structures développées à l'initiative de promoteurs tiers, s'est ainsi imposé comme une composante importante de l'écosystème luxembourgeois.

Ce modèle repose toutefois sur un équilibre potentiellement fragile : comment garantir qu'un gestionnaire conserve une véritable autonomie de jugement lorsqu'il dépend commercialement de l'entité dont il est précisément chargé de superviser certaines activités ?

Cette interrogation prend désormais une dimension réglementaire particulièrement concrète.

Le 8 octobre 2026, la Commission de Surveillance du Secteur Financier (CSSF) a publié une communication consacrée aux informations devant être fournies par les gestionnaires luxembourgeois souhaitant exercer des activités white-label, accompagnée d'un formulaire dédié.

Cette initiative s'inscrit dans le prolongement de la directive (UE) 2024/927, communément appelée AIFMD II, transposée au Luxembourg par la loi du 3 mars 2026, entrée principalement en vigueur le 16 avril 2026.

Au-delà d'une nouvelle formalité réglementaire, cette évolution invite les professionnels à réexaminer une question fondamentale :

Un gestionnaire peut-il réellement être considéré comme responsable d'une activité lorsqu'il ne dispose pas, en pratique, de la capacité d'en contrôler les décisions, d'en contester les orientations ou d'en corriger les dysfonctionnements ?

L'enjeu n'est donc pas de remettre en cause la délégation. Il est de déterminer à quel moment celle-ci cesse d'être un instrument de gestion maîtrisé pour devenir une source de dépendance incompatible avec les responsabilités réglementaires du gestionnaire.

1. AIFMD II : une exigence renforcée de justification des modèles white-label

La directive (UE) 2024/927 introduit, à l'article 14, paragraphe 2 bis, de la directive 2011/61/UE, des exigences spécifiques concernant les gestionnaires de fonds d'investissement alternatifs (AIFM) intervenant pour des fonds créés à l'initiative de tiers.

Au Luxembourg, cette disposition est transposée à l'article 13, paragraphe 2 bis, de la loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d'investissement alternatifs.

Un dispositif correspondant existe également pour les sociétés de gestion d'OPCVM, notamment à travers l'article 111, paragraphe 2, de la loi modifiée du 17 décembre 2010.

Lorsque le fonds est établi à l'initiative d'un tiers, y compris lorsque celui-ci lui donne son nom ou intervient comme délégataire, le gestionnaire doit fournir à son autorité compétente des explications détaillées et des éléments démontrant sa conformité aux exigences applicables en matière de conflits d'intérêts.

Il doit notamment expliquer les mesures raisonnables prises pour prévenir ces conflits ou, lorsqu'ils ne peuvent être évités, les mécanismes permettant de les identifier, de les gérer, de les surveiller et, le cas échéant, de les communiquer.

La nouveauté essentielle réside dans le degré de justification désormais explicitement attendu du gestionnaire.

Une politique de gestion des conflits d'intérêts, même formellement conforme, ne suffit pas à elle seule à démontrer que les risques propres à une relation avec un promoteur tiers sont effectivement maîtrisés.

Le communiqué CSSF du 8 octobre 2026 concrétise cette exigence par un formulaire spécifique destiné aux gestionnaires souhaitant entreprendre une activité white-label pour la première fois.

Il convient néanmoins de distinguer précisément le champ de cette nouvelle procédure de notification des obligations générales déjà applicables aux gestionnaires exerçant de telles activités. La communication ne prévoit pas expressément une obligation générale de dépôt rétroactif de ce formulaire pour tous les acteurs existants.

En revanche, les exigences légales de prévention et de gestion des conflits d'intérêts, ainsi que les obligations de supervision des délégations, concernent bien le fonctionnement effectif des dispositifs concernés.

2. Le paradoxe du white-label : lorsque le partenaire commercial devient une source de risque de gouvernance

Le principal risque du modèle white-label ne réside pas nécessairement dans sa complexité juridique.

Il réside dans la possible confusion entre trois fonctions fondamentalement différentes : l'initiative commerciale du fonds, son pilotage économique et sa gestion réglementaire.

Dans une structure classique, un promoteur tiers peut concevoir la stratégie d'investissement, identifier les investisseurs, développer le portefeuille et contribuer à la sélection des prestataires.

L'AIFM demeure toutefois responsable des fonctions qui lui incombent conformément au cadre réglementaire applicable, y compris lorsqu'il en délègue l'exécution.

Le risque apparaît lorsque cette répartition théorique des responsabilités ne correspond plus au fonctionnement réel de la structure.

Un promoteur peut, par exemple, exercer une influence économique importante en raison du volume d'actifs apportés au gestionnaire, des commissions générées ou de sa faculté de proposer le remplacement de celui-ci.

Cette situation peut créer un conflit d'intérêts structurel.

D'un côté, l'AIFM doit agir conformément à ses obligations réglementaires et dans l'intérêt des fonds et de leurs investisseurs. De l'autre, il peut être économiquement incité à préserver une relation commerciale essentielle à sa rentabilité.

Le problème devient particulièrement sensible lorsque le promoteur intervient également comme gestionnaire de portefeuille délégué, conseiller en investissement ou membre d'un comité impliqué dans les décisions du fonds.

Plus le gestionnaire dépend économiquement du promoteur, plus il devient important de démontrer que cette dépendance ne compromet pas son indépendance réglementaire.

Une dépendance commerciale ne constitue pas, en elle-même, un manquement. Elle devient problématique lorsque les mécanismes de contrôle ne permettent plus de prévenir ou de neutraliser son influence sur les décisions.

C'est précisément cette distinction qu'une approche mature de la conformité doit documenter.

3. Déléguer n'est pas se dessaisir : le principe de responsabilité demeure intact

L'article 20 de la directive AIFMD, tel que modifié par AIFMD II, rappelle plusieurs principes fondamentaux encadrant la délégation.

Le gestionnaire doit notamment pouvoir démontrer que le délégataire dispose des compétences nécessaires, qu'il a été sélectionné avec la diligence requise et qu'il peut être surveillé efficacement.

Il doit également conserver la capacité de lui donner des instructions complémentaires et, lorsque l'intérêt des investisseurs le justifie, de retirer la délégation avec effet immédiat.

Surtout, la délégation ne modifie pas la responsabilité réglementaire du gestionnaire envers le fonds et ses investisseurs.

La directive interdit par ailleurs qu'un niveau excessif de délégation transforme, en substance, l'AIFM en simple entité boîte aux lettres (letter-box entity).

Ce principe trouve une traduction concrète dans la circulaire CSSF 18/698, qui encadre notamment l'organisation des gestionnaires luxembourgeois et la surveillance de leurs délégations.

Il en découle une exigence fondamentale : l'AIFM doit conserver les compétences, les ressources, l'information et l'autorité nécessaires pour exercer les responsabilités qui lui sont attribuées.

Cette capacité ne peut être appréciée uniquement à travers l'organigramme ou le contenu des contrats.

Elle doit être évaluée à partir de la réalité opérationnelle.

Le gestionnaire dispose-t-il d'une information suffisamment complète pour comprendre les risques ? Ses dirigeants peuvent-ils contester les analyses du délégataire ? Les contrôles permettent-ils d'identifier les anomalies avant qu'elles ne deviennent significatives ? Existe-t-il une procédure crédible de remplacement ou de retrait de la délégation ?

Un dispositif dans lequel ces mécanismes existent sur le papier mais ne peuvent être effectivement exercés présente une vulnérabilité de gouvernance.

L'indépendance du gestionnaire ne se mesure donc pas seulement à l'étendue de ses responsabilités contractuelles, mais également à sa capacité réelle d'intervention.

4. Les cinq zones de vulnérabilité que les AIFM devraient examiner en priorité

4.1. L'indépendance des décisions d'investissement

Lorsque le promoteur agit comme gestionnaire de portefeuille délégué, l'AIFM doit organiser une supervision adaptée de son activité.

Lorsque le promoteur intervient comme simple conseiller, il convient de vérifier que la nature consultative de sa mission correspond effectivement à la pratique.

Un avis présenté comme non contraignant ne devrait pas devenir, par habitude opérationnelle, une instruction systématiquement exécutée.

L'enjeu réside dans la traçabilité des analyses, des décisions et des éventuelles contestations.

4.2. Les conflits d'intérêts liés à la valorisation

La valorisation constitue une zone particulièrement sensible, notamment dans le private equity, l'immobilier, les infrastructures et les autres actifs peu liquides.

Un promoteur dont la rémunération dépend de la performance du fonds peut avoir un intérêt économique dans les hypothèses de valorisation retenues.

Il importe donc de garantir que les processus applicables permettent une appréciation indépendante et suffisamment critique des informations fournies.

L'existence d'un évaluateur externe ou d'une fonction de valorisation distincte ne dispense pas le gestionnaire de ses responsabilités de supervision.

4.3. L'influence du promoteur sur les organes de gouvernance

La présence de représentants du promoteur dans les conseils d'administration, comités d'investissement ou instances consultatives ne constitue pas automatiquement une irrégularité.

Elle nécessite toutefois une analyse de leurs rôles, de leurs droits de vote, de leurs pouvoirs de recommandation et des situations dans lesquelles leur intérêt commercial pourrait diverger de celui du fonds.

Une gouvernance efficace doit notamment prévoir des mécanismes appropriés de récusation, d'escalade et de gestion des conflits.

4.4. La transparence des frais et des rémunérations

Les modalités de partage des commissions peuvent créer des incitations susceptibles d'influencer les décisions.

Il convient ainsi d'examiner les commissions de gestion, commissions de performance, rétrocessions, rémunérations des conseillers et paiements à des entités liées au promoteur.

L'objectif n'est pas de remettre en cause la légitimité des rémunérations contractuelles, mais de vérifier qu'elles sont transparentes, correctement prises en compte dans l'analyse des conflits d'intérêts et compatibles avec l'intérêt des investisseurs.

4.5. L'effectivité des fonctions de contrôle

Les fonctions Risk Management et Compliance doivent disposer d'un accès approprié aux informations nécessaires à leurs missions et de moyens d'escalade efficaces.

Un dispositif de contrôle perd une grande partie de sa valeur si les conclusions susceptibles de remettre en cause les intérêts du promoteur ne peuvent pas être soumises librement aux instances compétentes.

Le véritable test d'indépendance n'est pas l'absence de désaccord. C'est la capacité de traiter un désaccord sans compromettre l'intégrité du processus décisionnel.

5. Du contrôle théorique à la preuve : ce que l'AIFM doit être capable de démontrer

La distinction entre une gouvernance formelle et une gouvernance effective constitue, à mon sens, le cœur du sujet.

Un cadre contractuel parfaitement rédigé peut coexister avec un dispositif de surveillance insuffisant.

Inversement, un modèle reposant sur une délégation étendue peut demeurer robuste lorsque l'AIFM conserve une maîtrise effective des activités déléguées.

Pour apprécier cette maîtrise, cinq dimensions méritent d'être examinées :

DimensionQuestion déterminanteAutoritéLe gestionnaire peut-il imposer une décision corrective ou s'opposer à une pratique non conforme ?InformationReçoit-il des données suffisamment fiables, détaillées et régulières pour exercer ses contrôles ?CompétenceDispose-t-il des ressources et de l'expertise nécessaires pour remettre en cause les analyses du délégataire ?IndépendanceSes décisions sont-elles protégées contre une influence commerciale inappropriée ?TraçabilitéPeut-il produire des preuves contemporaines de ses analyses, contestations, décisions et mesures correctrices ?

Cette grille ne constitue pas une liste réglementaire officielle de la CSSF. Elle représente un cadre pratique d'autoévaluation pouvant être intégré aux contrôles internes du gestionnaire.

La documentation devrait permettre de reconstituer non seulement le contrôle prévu, mais également son exécution, son résultat et les conséquences des anomalies identifiées.

Cela implique notamment de conserver des éléments pertinents relatifs à la surveillance des délégataires, aux contrôles de second niveau, aux incidents, aux décisions des dirigeants et au suivi des actions correctrices.

Une gouvernance réellement maîtrisée est une gouvernance dont les décisions peuvent être expliquées, justifiées et vérifiées.

6. Mise en situation : quand une décision de valorisation révèle les limites du modèle

Prenons un exemple hypothétique.

Un AIFM luxembourgeois supervise un fonds de private equity constitué à l'initiative d'un promoteur tiers, lequel intervient également comme conseiller en investissement.

Le fonds détient une participation significative dans une société non cotée.

À l'approche de la clôture annuelle, le promoteur soumet une valorisation reposant sur des perspectives de croissance particulièrement optimistes.

Cette valorisation pourrait avoir une incidence favorable sur les indicateurs de performance du fonds et, selon les dispositions contractuelles, sur certaines rémunérations.

L'AIFM constate toutefois que plusieurs hypothèses économiques ne sont pas suffisamment étayées.

Deux situations peuvent alors être envisagées.

Première situation : une supervision essentiellement formelle.

Le gestionnaire prend connaissance de la valorisation, recueille des explications générales et laisse le processus se poursuivre sans véritable remise en cause des hypothèses.

Les échanges ne sont que partiellement documentés et aucune analyse indépendante suffisamment approfondie n'est réalisée.

Le dispositif peut présenter une apparence de conformité, sans démontrer une maîtrise effective du risque.

Seconde situation : une supervision démontrable.

Le gestionnaire demande les justificatifs nécessaires, mobilise les compétences de valorisation appropriées, examine les hypothèses et documente les divergences identifiées.

Il veille à l'application des mécanismes de gestion des conflits d'intérêts, soumet les difficultés aux instances compétentes et s'assure que la décision finale repose sur une analyse suffisamment indépendante.

Les conclusions, les réserves éventuelles et les décisions sont conservées dans une piste d'audit exploitable.

La différence fondamentale entre ces deux situations ne réside pas dans le nombre de politiques internes ou de comités existants.

Elle réside dans la capacité du gestionnaire à exercer un jugement autonome et à en démontrer les conséquences opérationnelles.

7. Une convergence réglementaire qui dépasse le seul dispositif white-label

Il serait réducteur de considérer la communication du 8 octobre 2026 comme une initiative isolée.

Le 12 juin 2025, l'Autorité européenne des marchés financiers (ESMA) a publié quatorze principes consacrés à la surveillance des risques liés aux tiers.

Ces principes visent à renforcer la convergence des pratiques de supervision en matière d'externalisation, de délégation et de recours à des prestataires externes. Ils constituent un instrument de convergence prudentielle, et non un ensemble autonome de nouvelles obligations directement contraignantes.

Le 31 mars 2026, la CSSF a par ailleurs identifié la gouvernance, les risques opérationnels et la maîtrise des prestataires tiers parmi ses priorités de supervision du secteur des fonds d'investissement.

Elle a notamment annoncé une étude auprès d'un échantillon de gestionnaires afin d'apprécier leur conformité aux principes de supervision des risques liés aux tiers et aux exigences de délégation prévues par la circulaire CSSF 18/698.

Ces évolutions traduisent une orientation cohérente : la supervision réglementaire s'intéresse de plus en plus à la capacité des entités réglementées à conserver la maîtrise des risques générés par des activités exercées en dehors de leur organisation immédiate.

Dans ce contexte, la gouvernance des modèles white-label rejoint des problématiques plus larges : dépendances opérationnelles, concentration des prestataires, résilience des dispositifs, supervision des fonctions déléguées et autonomie des organes de contrôle.

Cette convergence renforce l'intérêt d'une approche intégrée des risques plutôt que d'une juxtaposition de contrôles organisés par fonction.

8. Les priorités opérationnelles : comment renforcer le dispositif sans multiplier inutilement les contrôles

Pour les AIFM luxembourgeois concernés, la réponse la plus pertinente ne consiste pas nécessairement à créer de nouvelles couches de procédures.

Elle consiste d'abord à s'assurer que l'organisation existante répond efficacement aux risques réellement présents.

Une démarche pragmatique pourrait être organisée autour de trois étapes.

Première étape — Cartographier les dépendances et les conflits structurels

Le gestionnaire devrait identifier les fonds concernés, les promoteurs tiers, les fonctions exercées par chacun et les liens économiques ou de gouvernance susceptibles d'influencer l'indépendance des décisions.

Cette analyse gagnerait à distinguer les situations dans lesquelles le tiers intervient comme conseiller, délégataire, distributeur ou membre des instances de gouvernance.

Une attention particulière devrait être portée aux situations dans lesquelles un même promoteur cumule plusieurs fonctions potentiellement conflictuelles.

Deuxième étape — Tester l'effectivité des mécanismes de supervision

L'examen devrait ensuite porter sur les contrôles réellement effectués.

La qualité des revues de délégataires, la pertinence des indicateurs, les incidents détectés, les décisions contestées et les actions correctrices constituent des éléments d'appréciation essentiels.

Des tests ciblés pourraient notamment permettre de déterminer si les instances de gouvernance disposent effectivement du pouvoir de contester une recommandation, de demander une expertise complémentaire ou de suspendre une décision présentant un risque significatif.

Troisième étape — Renforcer la démonstration auprès des instances de gouvernance

Les résultats de cette évaluation devraient faire l'objet d'un reporting suffisamment structuré aux dirigeants et, selon les responsabilités applicables, au conseil d'administration.

Ce reporting devrait présenter les principaux risques, les conflits d'intérêts significatifs, les limitations éventuelles du dispositif de contrôle et les mesures correctrices engagées.

La priorité n'est pas de produire un reporting supplémentaire pour satisfaire une exigence documentaire abstraite.

Elle est de permettre aux organes responsables de comprendre les situations dans lesquelles l'autonomie du gestionnaire pourrait être compromise et de prendre les décisions nécessaires.

Cette approche doit naturellement être adaptée à la taille du gestionnaire, à la complexité des stratégies et à la matérialité des risques.

9. Le conseil d'administration face à une nouvelle exigence de crédibilité

Pour les administrateurs et les dirigeants des AIFM, AIFMD II soulève une interrogation qui dépasse les considérations contractuelles.

Il ne suffit plus de vérifier que les responsabilités sont correctement attribuées.

Il convient également de s'assurer qu'elles peuvent être exercées sans dépendance excessive à l'égard de partenaires économiques dont les intérêts ne coïncident pas nécessairement avec ceux du fonds et de ses investisseurs.

Cette vigilance suppose une compréhension suffisamment approfondie du modèle économique du gestionnaire.

La concentration des revenus sur certains promoteurs, l'existence de liens capitalistiques, les modalités de rémunération et les pouvoirs attribués aux différentes parties peuvent constituer autant de facteurs pertinents dans l'appréciation des conflits d'intérêts.

Le conseil d'administration doit également pouvoir obtenir une assurance raisonnable sur l'efficacité des contrôles et sur la capacité des dirigeants à intervenir lorsque les circonstances l'exigent.

Une question mérite, à cet égard, d'être posée explicitement :

Si l'intérêt des investisseurs impose une décision contraire aux intérêts commerciaux du principal promoteur, notre organisation est-elle réellement capable de prendre cette décision, de l'exécuter et d'en assumer les conséquences ?

La réponse à cette question constitue un indicateur particulièrement révélateur de la maturité de la gouvernance.

Conclusion — La conformité commence là où le gestionnaire doit pouvoir dire non

AIFMD II ne remet pas en cause la légitimité des modèles white-label, pas davantage qu'elle n'interdit le recours à des délégataires spécialisés.

Elle renforce cependant la nécessité de démontrer que ces modèles fonctionnent dans un cadre de gouvernance compatible avec les responsabilités réglementaires du gestionnaire.

Le communiqué CSSF du 8 octobre 2026 donne à cette exigence une portée opérationnelle immédiate pour les gestionnaires souhaitant entreprendre une telle activité.

Mais son intérêt dépasse largement le seul dépôt d'un formulaire.

Il invite l'industrie luxembourgeoise à s'interroger sur la réalité de son modèle de supervision, la solidité de ses dispositifs de gestion des conflits d'intérêts et l'indépendance effective de ses décisions.

La qualité de la conformité ne saurait être appréciée uniquement à travers l'existence de politiques, de conventions de délégation ou de comptes rendus de comités.

Elle se mesure aussi à la capacité d'identifier une situation problématique, de la contester, de la corriger et d'en conserver la preuve.

Le véritable risque réglementaire n'est donc pas de déléguer. Il est de conserver juridiquement la responsabilité d'une activité dont on a progressivement perdu la maîtrise effective.

Et la véritable démonstration d'indépendance d'un gestionnaire apparaît lorsque celui-ci est capable, si nécessaire, de dire non à son partenaire commercial — dans l'intérêt du fonds, de ses investisseurs et du respect de ses obligations réglementaires.

Références réglementaires et institutionnelles

Union européenne

• Directive (UE) 2024/927 du 13 mars 2024 (AIFMD II), notamment les modifications des articles 14 et 20 de la directive 2011/61/UE.
• Règlement délégué (UE) n° 231/2013, notamment les dispositions relatives aux conflits d'intérêts et aux délégations.

Luxembourg

• Loi du 3 mars 2026 transposant AIFMD II.
• Loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d'investissement alternatifs, notamment les articles 13(2 bis) et 20.
• Loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif, notamment l'article 111(2).
• Circulaire CSSF 18/698.
• Communication CSSF du 8 octobre 2026 relative aux activités white-label.
• Priorités de supervision 2026 du secteur des fonds d'investissement.

ESMA

• Principles on third-party risks supervision — 12 juin 2025.

Cette analyse présente une interprétation professionnelle des évolutions réglementaires et des recommandations de gouvernance. Les bonnes pratiques proposées ne doivent pas être assimilées à des exigences CSSF autonomes lorsqu'elles ne sont pas expressément prévues par le cadre applicable.

Entre nouvelles normes européennes, vigilance fondée sur les risques et exigences documentaires excessives : pourquoi les professionnels luxembourgeois doivent repenser leur approche de la conformité.

19 octobre 2026 | Compliance & Regulatory Governance | Luxembourg

Dans le secteur financier luxembourgeois, une pratique s'est progressivement installée : face à l'incertitude réglementaire, demander davantage de documents serait devenu le réflexe le plus sûr. Passeports certifiés, justificatifs de domicile récents, organigrammes actualisés, attestations multiples et questionnaires standardisés sont parfois exigés sans réelle distinction entre les situations, les risques et les obligations applicables.

Cette approche repose sur une conviction implicite : plus un dossier KYC contient de documents, plus il serait conforme.

Or, la quantité de documentation collectée ne constitue, à elle seule, ni une mesure de la qualité du dispositif de vigilance ni une démonstration de son efficacité.

À l'approche de l'application du nouveau règlement européen AMLR, cette confusion mérite d'être sérieusement réexaminée.

Le véritable enjeu n'est pas de réduire les exigences de conformité. Il consiste à passer d'une logique d'accumulation documentaire à une logique de maîtrise démontrable des risques.

Et cette évolution pourrait transformer profondément la manière dont les professionnels luxembourgeois conçoivent leur gouvernance AML/CFT.

1. AMLA 2027 : une évolution réglementaire qui dépasse la simple harmonisation

Le règlement (UE) 2024/1624, communément appelé Anti-Money Laundering Regulation (AMLR), sera, pour l'essentiel, directement applicable à compter du 10 juillet 2027.

Son ambition dépasse l'harmonisation formelle des obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme. Il vise à établir un cadre européen plus cohérent, dans lequel l'intensité des mesures de vigilance correspond aux risques réellement identifiés.

Cette orientation vient de connaître une accélération significative.

Le 1er octobre 2026, l'Autorité européenne de lutte contre le blanchiment de capitaux et le financement du terrorisme (AMLA) a annoncé la finalisation de trois projets de normes techniques de réglementation (Regulatory Technical Standards ou RTS), relatifs aux relations d'affaires et transactions occasionnelles, aux mesures de vigilance à l'égard de la clientèle et aux dispositifs AML/CFT à l'échelle des groupes.

Le 7 octobre 2026, la CSSF a invité les professionnels à se familiariser dès à présent avec ces projets et leur a fortement recommandé de finaliser leur analyse des écarts (gap analysis) ainsi que les travaux préparatoires nécessaires, notamment sur les plans Compliance et informatique.

Le signal est clair : la préparation à 2027 doit commencer avant l'entrée en application des nouvelles exigences.

Une précision juridique s'impose néanmoins : les RTS finalisés par l'AMLA restent des projets soumis à l'adoption formelle de la Commission européenne, qui peut encore les modifier. Leur application est envisagée après une période transitoire de six mois suivant leur entrée en vigueur, selon le mécanisme proposé par l'AMLA.

Il serait donc prématuré de présenter l'ensemble de leurs dispositions comme des obligations définitives.

Mais leur orientation réglementaire est déjà suffisamment explicite pour justifier une réflexion stratégique.

2. La proportionnalité n'est pas une tolérance : elle doit pouvoir être démontrée

L'une des dispositions les plus importantes du futur cadre figure à l'article 20, paragraphe 4, de l'AMLR.

Elle impose aux entités assujetties d'être en mesure de démontrer à leurs superviseurs que les mesures de vigilance prises sont appropriées au regard des risques identifiés.

Cette disposition mérite une attention particulière.

Elle établit un lien direct entre l'évaluation des risques, les diligences effectivement réalisées et la capacité de l'institution à en justifier la pertinence.

En pratique, une démarche réellement fondée sur les risques suppose de pouvoir expliquer pourquoi une mesure a été retenue, quel risque elle vise à atténuer, quelles informations permettent de conclure à son caractère suffisant et dans quelles circonstances elle devra être renforcée.

Le principe fonctionne dans les deux sens.

Un dispositif insuffisamment exigeant face à un risque élevé constitue une faiblesse évidente. Mais une méthodologie incapable de différencier les diligences selon les situations révèle également une mauvaise traduction opérationnelle de l'approche fondée sur les risques.

La conformité ne consiste pas à appliquer systématiquement le niveau maximal de vigilance. Elle consiste à appliquer le niveau de vigilance approprié, sans jamais déroger aux obligations impératives.

Cette nuance est fondamentale.

La vigilance simplifiée ne signifie pas l'absence de vigilance. Inversement, la vigilance renforcée ne doit pas être assimilée à une collecte indifférenciée de documents supplémentaires.

Elle suppose avant tout une compréhension plus approfondie des facteurs de risque, de la structure de contrôle, de l'origine des fonds lorsque cela est pertinent et de la justification économique de la relation.

3. Le projet de RTS sur le KYC : des évolutions concrètes qui remettent en question certains automatismes

Le projet de RTS élaboré au titre de l'article 28, paragraphe 1, de l'AMLR apporte des précisions particulièrement intéressantes.

Dans les situations présentant un risque faible, il prévoit notamment, pour les clients personnes physiques concernés par les mesures simplifiées, un ensemble réduit de données d'identification devant être collectées et vérifiées.

Selon la fiche explicative publiée par l'AMLA, l'adresse du client ne serait pas nécessairement à recueillir et à vérifier dans ces situations spécifiques de faible risque.

Autre précision significative : lorsqu'aucun bénéficiaire effectif ne peut être identifié et que les responsables dirigeants doivent être identifiés selon le mécanisme légal applicable, le projet permet, dans les conditions qu'il prévoit, de recueillir l'adresse légale ou professionnelle de l'entité plutôt que l'adresse résidentielle personnelle de ces responsables.

Ces dispositions ne constituent ni une dispense générale de vérification de l'identité ni une autorisation de refuser systématiquement toute demande d'adresse privée.

Leur portée dépend notamment de la qualification exacte de la personne concernée, de la situation de risque, des obligations applicables et du texte définitif qui sera adopté.

Elles mettent néanmoins en évidence un changement d'approche particulièrement important : la pertinence réglementaire d'une information ne peut plus être présumée du seul fait qu'elle figure dans un questionnaire KYC standardisé.

Il convient également de distinguer quatre opérations souvent confondues : identifier une personne, vérifier son identité, déterminer les sources fiables permettant cette vérification et exiger un justificatif documentaire particulier.

Ces opérations sont liées, mais elles ne sont pas juridiquement interchangeables.

Pour les professionnels, cette distinction ouvre la voie à une révision méthodique des pratiques documentaires.

4. Au Luxembourg, le KYC entre institutions financières illustre les limites du modèle actuel

Le Luxembourg dispose d'un écosystème financier particulièrement interconnecté : banques dépositaires, AIFM, sociétés de gestion, administrateurs de fonds, PSF, investisseurs institutionnels et contreparties internationales entretiennent des relations impliquant des diligences croisées.

Chaque professionnel assujetti demeure responsable de ses propres obligations AML/CFT.

Cependant, cette autonomie réglementaire ne devrait pas conduire à appliquer indistinctement les mêmes exigences à toutes les situations.

Prenons trois exemples.

Premier cas : le changement de dénomination juridique d'un fonds.

Lorsqu'un fonds modifie uniquement sa dénomination, sans changement de contrôle, de bénéficiaire effectif, d'activité ou d'exposition au risque, une actualisation ciblée des informations d'identification est normalement la première démarche à envisager.

Une nouvelle documentation officielle établissant la dénomination peut être nécessaire.

En revanche, exiger automatiquement une réévaluation intégrale de tous les éléments KYC, sans autre justification, mérite une analyse de proportionnalité.

Deuxième cas : l'identification des administrateurs et des signataires autorisés.

Une institution doit identifier et vérifier les personnes pertinentes selon leur rôle réglementaire, ainsi que les pouvoirs des personnes agissant pour le compte d'un client.

Mais la qualité d'administrateur, de bénéficiaire effectif, de responsable dirigeant identifié à titre subsidiaire ou de signataire autorisé ne recouvre pas nécessairement les mêmes exigences.

Confondre ces catégories peut conduire à exiger des informations ou documents dont la nécessité n'a pas été correctement établie.

Troisième cas : la revue périodique d'une contrepartie institutionnelle réglementée.

Le statut réglementé ne dispense pas automatiquement de vigilance et n'implique pas, à lui seul, une classification en risque faible.

Il doit cependant être intégré à une analyse globale tenant compte notamment de la nature des activités, des juridictions concernées, de la structure de contrôle et des autres facteurs de risque pertinents.

Une revue périodique devrait chercher prioritairement à identifier les évolutions significatives depuis la dernière analyse, plutôt qu'à demander mécaniquement l'intégralité des pièces déjà détenues et toujours fiables.

Ces exemples illustrent une règle essentielle : un événement déclencheur doit conduire à réexaminer ce qui est affecté par cet événement, sans présumer que l'ensemble du profil de risque a nécessairement changé.

Ils ne suppriment évidemment pas les obligations de vérification, de mise à jour ou de diligence renforcée lorsque les circonstances les rendent nécessaires.

5. Proportionnalité et RGPD : deux exigences qui doivent fonctionner ensemble

Le débat dépasse la seule réglementation AML/CFT.

L'article 5, paragraphe 1, point c), du Règlement général sur la protection des données (RGPD) consacre le principe de minimisation : les données personnelles traitées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies.

Cette obligation doit naturellement être conciliée avec les prescriptions AML/CFT imposant la collecte et la conservation de certaines informations.

Il ne serait donc pas juridiquement correct d'invoquer le RGPD pour écarter une diligence expressément requise par la réglementation.

En revanche, lorsque plusieurs méthodes permettent de satisfaire une obligation, le choix d'une solution moins intrusive peut présenter un intérêt important, sous réserve d'offrir un niveau de fiabilité et de sécurité approprié.

La question à poser n'est donc pas simplement : « Avons-nous le droit de demander ce document ? »

Elle devient : « Ce document particulier est-il nécessaire pour satisfaire l'obligation concernée, compte tenu du risque et des moyens de vérification disponibles ? »

Cette analyse prend une dimension stratégique dans les relations financières internationales, où des exigences documentaires issues de politiques internes ou de réglementations étrangères peuvent venir s'ajouter à celles du cadre luxembourgeois.

La bonne réponse n'est ni l'acceptation automatique ni le refus de principe.

Elle réside dans l'identification du fondement applicable, l'évaluation du risque et la recherche, lorsque cela est juridiquement possible, d'un moyen de vérification équivalent et suffisamment fiable.

Une conformité exigeante doit être capable de justifier la collecte des données aussi rigoureusement qu'elle justifie leur absence.

6. De la proportionnalité documentaire à la prévention du de-risking injustifié

Cette réflexion rejoint une autre préoccupation réglementaire majeure : les pratiques de de-risking.

Dans son communiqué du 16 juin 2026, la CSSF a rappelé que la gestion des risques de blanchiment et de financement du terrorisme ne doit pas être confondue avec leur évitement systématique.

L'existence d'un risque élevé ne justifie pas, à elle seule, le refus d'établir ou de maintenir une relation d'affaires. Elle impose une analyse appropriée et, le cas échéant, des mesures renforcées.

La CSSF distingue également les décisions réglementaires de refus des choix commerciaux légitimes de positionnement stratégique.

Cette clarification est importante.

Lorsqu'une relation est refusée uniquement parce qu'une institution applique mécaniquement des exigences documentaires impossibles ou disproportionnées, le problème peut résider autant dans la conception de son processus KYC que dans le profil du client.

Naturellement, lorsqu'une institution ne peut satisfaire aux obligations légales de vigilance malgré des démarches raisonnables, les restrictions prévues par la réglementation restent pleinement applicables.

Mais cette impossibilité doit être distinguée d'une difficulté à satisfaire une préférence documentaire interne qui ne serait pas véritablement nécessaire.

Le contrôle du risque doit rester l'objectif du KYC. La collecte documentaire n'en est qu'un instrument.

7. Le Board et la Compliance doivent désormais gouverner la proportionnalité

La transition vers l'AMLR ne peut pas être considérée uniquement comme un exercice de réécriture des procédures par le département Compliance.

Les articles 9 et 10 du règlement renforcent la nécessité de disposer de dispositifs internes et d'évaluations des risques adaptés à la nature des activités, à leur complexité et à l'exposition effective de l'entité.

Pour un AIFM ou tout autre professionnel financier luxembourgeois, cela implique une réflexion structurée au niveau de la gouvernance.

Le Conseil d'administration et la direction doivent pouvoir comprendre comment les facteurs de risque se traduisent concrètement en mesures de vigilance, comment les exceptions sont traitées, comment les décisions sensibles sont escaladées et comment l'efficacité du dispositif est évaluée.

La première ligne doit connaître les informations réellement nécessaires à l'établissement et au maintien des relations d'affaires.

La fonction Compliance doit définir une méthodologie suffisamment précise pour encadrer les décisions, tout en préservant la capacité d'appréciation professionnelle.

Les contrôles indépendants doivent, quant à eux, tester non seulement la présence des documents, mais aussi la cohérence entre la classification des risques, les diligences réalisées et les conclusions retenues.

Un point mérite une vigilance particulière : adopter une méthodologie comportant plusieurs niveaux de risque peut améliorer la granularité des décisions, à condition que chaque niveau corresponde à des mesures clairement définies et compatibles avec les obligations légales.

Multiplier les catégories sans adapter effectivement les contrôles ne crée aucune proportionnalité réelle.

8. Cinq questions pour repenser les dispositifs KYC avant juillet 2027

Les professionnels peuvent dès aujourd'hui appliquer un test simple à leurs politiques et procédures documentaires :

1. Fondement : quelle obligation légale, réglementaire ou exigence interne justifiée impose la collecte de cette information ?
2. Risque : quel risque spécifique cette information contribue-t-elle à identifier, mesurer ou atténuer ?
3. Nécessité : cette information doit-elle réellement être obtenue sous cette forme, ou une source alternative fiable peut-elle satisfaire l'exigence ?
4. Proportionnalité : la diligence demandée est-elle cohérente avec le niveau de risque identifié et les caractéristiques de la relation d'affaires ?
5. Traçabilité : l'institution peut-elle expliquer et documenter sa décision, y compris lorsqu'elle applique une mesure simplifiée ou lorsqu'elle exige un contrôle supplémentaire ?

Ce test doit s'accompagner d'une révision des matrices de diligences, des questionnaires KYC, des règles de mise à jour et des paramètres des outils informatiques.

L'article 26 de l'AMLR prévoit notamment, pour les mises à jour périodiques, des intervalles maximaux d'un an pour les clients à risque plus élevé soumis aux mesures renforcées et de cinq ans pour les autres clients.

Ces échéances ne dispensent aucunement d'une révision anticipée lorsqu'un changement pertinent ou un nouvel élément de risque l'impose.

Les institutions doivent donc distinguer deux mécanismes complémentaires : une revue périodique proportionnée au risque et une surveillance continue permettant l'identification des événements significatifs.

Pour le Board, le reporting devrait progressivement intégrer des indicateurs qualitatifs : cohérence entre niveaux de risque et mesures de vigilance, justification des exceptions, délais de remédiation, résultats des tests de contrôle et qualité des réévaluations consécutives aux événements déclencheurs.

L'objectif est de mesurer l'efficacité du dispositif plutôt que la seule quantité de dossiers clôturés ou de documents obtenus.

9. La véritable maturité AML : savoir démontrer pourquoi un contrôle est nécessaire

L'AMLA ne marque pas la disparition du KYC documentaire. Les obligations d'identification, de vérification, de connaissance du bénéficiaire effectif, de surveillance continue, de détection des sanctions financières ciblées et de vigilance renforcée continueront à constituer des composantes essentielles de la prévention des risques financiers.

La transformation attendue est plus exigeante.

Elle consiste à ne plus confondre prudence réglementaire et accumulation systématique de justificatifs.

À mesure que le cadre européen se précise, les fonctions Compliance devront être capables de défendre leurs décisions dans les deux directions : expliquer pourquoi une mesure renforcée était indispensable, mais également pourquoi une diligence proportionnée et moins intrusive était suffisante.

Cela suppose une méthodologie robuste, des responsabilités clairement définies, des systèmes adaptés et surtout une véritable culture de la décision fondée sur les risques.

La maturité d'un dispositif AML/CFT ne se mesure pas au nombre de documents qu'il parvient à collecter, mais à sa capacité à démontrer que ses contrôles sont pertinents, suffisants, efficaces et adaptés aux risques réellement encourus.

C'est précisément sur cette capacité de démonstration que la gouvernance devra faire la différence.

Conclusion — Vers la fin du KYC défensif ?

À l'horizon 2027, la question n'est pas de savoir si les professionnels doivent être moins exigeants.

Ils doivent être plus précis.

Plus précis dans l'identification des risques. Plus rigoureux dans la justification des contrôles. Plus cohérents dans l'application des mesures simplifiées et renforcées. Plus transparents dans la documentation de leurs décisions.

Pour les professionnels luxembourgeois, l'enjeu est donc moins de revoir quelques questionnaires que de repenser la manière dont la proportionnalité est intégrée à l'ensemble du dispositif de gouvernance AML/CFT.

Le véritable risque de non-conformité n'est pas seulement de demander trop peu. C'est aussi de ne plus savoir expliquer pourquoi l'on demande autant.

Et si le véritable progrès de l'AMLA 2027 consistait à remplacer le KYC « au cas où » par un KYC « parce que le risque le justifie » ?

Références réglementaires et institutionnelles

Cadre européen : Règlement (UE) 2024/1624 du 31 mai 2024, notamment articles 9, 10, 20, 22, 25, 26, 28, 33 et 90. Texte officiel EUR-Lex.

AMLA : communiqué du 1er octobre 2026, AMLA finalises key standards for the private sector, et projet de RTS relatif aux obligations de vigilance, article 28(1) AMLR. Publication officielle.

CSSF : communiqués du 7 octobre 2026, AMLA adopts key Regulatory Technical Standards ; du 12 octobre 2026, AMLA invites stakeholders to sectoral roundtables on simplified customer due diligence ; et du 16 juin 2026, De-risking Practices and ML/FT Risk Management.

Cadre luxembourgeois actuel : loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme ; règlement CSSF n° 12-02 du 14 décembre 2012, tel que modifié.

Protection des données : règlement (UE) 2016/679 (RGPD), notamment article 5, paragraphe 1, point c), relatif au principe de minimisation des données.

Analyse établie sur la base du cadre réglementaire et des publications disponibles au 19 octobre 2026. Les projets de RTS évoqués restent soumis à leur adoption formelle par la Commission européenne.

De la notification de l’inspection aux entretiens avec le régulateur : les dix piliers d’une préparation efficace, entre gouvernance, cartographie des risques, qualité des preuves, maîtrise des délégataires et responsabilité des dirigeants.

Introduction — Le véritable risque n’est pas l’absence de procédures, mais l’incapacité à démontrer leur efficacité

Une inspection sur place de la Commission de Surveillance du Secteur Financier (CSSF) représente un moment de vérité pour tout établissement réglementé. Elle confronte trois réalités qui devraient être alignées : ce que l’établissement affirme faire, ce que ses procédures prévoient et ce que ses équipes réalisent effectivement.

Une politique AML/CFT peut être parfaitement rédigée sans que les contrôles correspondants soient exécutés avec la régularité attendue. Un comité peut se réunir sans challenger les risques présentés. Un délégataire peut produire des rapports satisfaisants sans que le gestionnaire puisse démontrer une supervision suffisamment indépendante et critique.

La question centrale n’est donc plus seulement « Sommes-nous conformes ? », mais « Pouvons-nous démontrer, preuves à l’appui, que notre conformité fonctionne dans la durée ? »

Cette interrogation est particulièrement pertinente pour les gestionnaires de fonds d’investissement luxembourgeois (IFM), dont les modèles opérationnels reposent souvent sur des structures complexes, une forte délégation des activités et plusieurs niveaux de gouvernance. Voici dix piliers pour structurer une préparation efficace.

Pilier 1 — Anticiper l’inspection avant même sa notification

La préparation ne devrait pas commencer le jour de la réception de la notification de la CSSF. Une inspection peut, selon le cadre applicable, être annoncée ou intervenir sans préavis. La capacité de répondre doit donc être intégrée au fonctionnement ordinaire.

Pour un IFM, il convient de connaître et de maîtriser son périmètre réglementaire : loi du 12 juillet 2013, loi du 17 décembre 2010 lorsque pertinente, circulaire CSSF 18/698, législation AML/CFT et autres textes sectoriels applicables.

·        Évaluation périodique de la préparation aux inspections (« inspection readiness assessment »).

·        Cartographie des obligations et rapprochement avec les contrôles réellement exécutés.

·        Suivi formalisé des constats d’audit, recommandations et remédiations.

·        Simulations ciblées (« mock inspections ») et identification des propriétaires de processus.

Une organisation préparée n’attend pas l’inspection pour découvrir ses faiblesses.

Pilier 2 — Établir une gouvernance de l’inspection claire et responsable

L’inspection ne devrait pas devenir le projet exclusif de Compliance. Elle mobilise le Conseil d’administration, les Conducting Officers, les fonctions de contrôle interne, les équipes opérationnelles et, le cas échéant, les prestataires.

Dès la notification, une coordination centralisée doit définir les rôles, l’escalade des difficultés, les modalités de validation des réponses et les délais. Le coordinateur n’efface pas la responsabilité des propriétaires des processus.

Acteur

Responsabilité dominante

Conseil d’administration

Supervision et suivi des risques significatifs

Conducting Officers

Mobilisation des ressources et cohérence des réponses

Compliance / RC

Coordination réglementaire et challenge

Risk Management

Méthodologies, risques et contrôles

Opérations

Production des preuves et démonstration des processus

Legal / DPO / IT

Assistance juridique, confidentialité et systèmes

Délégataires

Informations et preuves relatives aux prestations

La gouvernance de l’inspection constitue elle-même un révélateur de la gouvernance de l’établissement.

Pilier 3 — Transformer la cartographie des risques en instrument de démonstration

La cartographie doit expliquer comment les risques sont identifiés, évalués, maîtrisés et suivis. Dans le contexte AML/CFT, cela inclut, selon le modèle d’activité, investisseurs, actifs, contreparties, structures de détention, juridictions et transactions.

Pour un AIFM exposé aux investissements de private equity, le test consiste à suivre la chaîne : identification des risques → classification motivée → mesures de diligence et de surveillance → contrôles d’efficacité → traitement des anomalies.

Une notation élevée sans mesures renforcées adaptées, ou une révision de notation sans justification traçable, peut révéler une rupture entre évaluation et maîtrise du risque.

La méthodologie n’est convaincante que si ses conséquences opérationnelles sont visibles.

Pilier 4 — Construire un dossier de preuves réglementaires fiable et immédiatement exploitable

Le volume de documentation disponible ne prouve pas, à lui seul, la conformité. L’enjeu consiste à retrouver la version applicable, le propriétaire, l’approbation, l’exécution et les résultats des contrôles.

Un « regulatory evidence pack » utile distingue la preuve de conception (contrôle défini), la preuve d’exécution (contrôle réalisé) et la preuve d’efficacité (anomalies détectées et corrigées). Chaque élément devrait être relié à une source, une période, un responsable et, lorsque nécessaire, une validation.

Domaine

Exemples de preuves

Gouvernance

Mandats, procès-verbaux, organigrammes, reporting

Compliance / AML/CFT

Politiques, risk assessments, contrôles, KYC/KYA, escalades

Délégataires

Contrats, due diligence, SLA, rapports et incidents

Risk Management

Méthodologies, limites et dépassements

Audit et formation

Plans, constats, suivi et attestations

ICT / DORA

Registres, incidents, prestataires et résilience

Il ne s’agit pas de produire davantage de documents, mais de rendre les preuves vérifiables et cohérentes.

Pilier 5 — Démontrer que les contrôles AML/CFT sont effectivement opérationnels

L’inspection peut examiner comment les obligations se traduisent dans les dossiers et décisions : connaissance des relations d’affaires, surveillance, sanctions, PEP, bénéficiaires effectifs, escalades et suivi des alertes.

Une alerte sanctions clôturée comme faux positif doit comporter une justification exploitable. Une revue périodique clôturée doit démontrer la réévaluation des données et risques pertinents. Une exposition élevée devrait conduire aux diligences et approbations appropriées.

Les contrôles doivent rester proportionnés au risque, mais la proportionnalité ne justifie ni une absence de diligence ni une décision non traçable.

La qualité d’un dispositif AML/CFT se mesure à la pertinence des décisions et à leur traçabilité, pas simplement au nombre d’alertes clôturées.

Pilier 6 — Prouver que la délégation n’a pas conduit à une dilution des responsabilités

Le recours à des portfolio managers, administrateurs, agents de registre, prestataires TIC et autres délégataires est structurel dans l’industrie des fonds. La délégation n’emporte toutefois pas transfert automatique des obligations de supervision de l’IFM.

Le gestionnaire doit pouvoir démontrer qu’il comprend suffisamment les fonctions déléguées pour identifier les défaillances et agir : due diligence initiale, contrats et responsabilités, indicateurs, revues périodiques, challenge des rapports, suivi des incidents et sous-délégation lorsque pertinente.

La robustesse du dispositif se juge particulièrement en cas d’incident : constatation, escalade, décision, remédiation et test d’efficacité.

Recevoir un rapport de délégataire n’est pas équivalent à exercer une surveillance.

Pilier 7 — Préparer les dirigeants aux entretiens avec les inspecteurs

Les entretiens permettent d’évaluer la compréhension des risques, des obligations et du fonctionnement des contrôles. L’objectif n’est pas de mémoriser des réponses standardisées, mais de savoir justifier les décisions relevant de chaque responsabilité.

Il vaut mieux indiquer qu’une information sera vérifiée et transmise que fournir une réponse approximative contredite ensuite par les pièces.

1.      Quels sont les trois risques réglementaires les plus significatifs ?

2.      Comment la cartographie des risques détermine-t-elle les contrôles ?

3.      Quels contrôles ont révélé des anomalies sur les douze derniers mois ?

4.      Comment le Conseil est-il informé des risques résiduels ?

5.      Quels arbitrages récents démontrent un challenge réel de la gouvernance ?

6.      Comment l’efficacité des délégataires est-elle vérifiée ?

7.      Quelles recommandations demeurent ouvertes et pourquoi ?

8.      Comment les conflits d’intérêts sont-ils identifiés et traités ?

9.      Quels sont les risques principaux liés aux données et aux prestataires TIC ?

10.  Comment démontrer la réelle efficacité des actions correctrices ?

La crédibilité repose autant sur la maîtrise des sujets que sur la transparence.

Pilier 8 — Garantir la qualité et la cohérence des données transmises

Les données alimentant les reportings, évaluations des risques et tableaux de bord doivent pouvoir être rapprochées des systèmes opérationnels. Un taux de réalisation des revues périodiques n’a de valeur que si l’on peut expliquer son dénominateur, sa période, la définition d’une revue achevée et les contrôles d’exhaustivité.

Lors de migrations d’outils KYC ou de surveillance, les vérifications doivent couvrir complétude, intégrité, correspondance des champs, relations entre entités, historique des décisions et réconciliation des données.

La qualité réglementaire d’un indicateur dépend de la fiabilité de son calcul et de sa reproductibilité.

Pilier 9 — Maîtriser la conduite de l’inspection et les échanges documentaires

Un registre centralisé doit associer à chaque demande un identifiant, une description, une date, un responsable, une échéance et un statut. Les documents devraient être contrôlés avant transmission : version, pertinence, complétude et respect des règles de confidentialité applicables.

Il faut éviter les corrections rétroactives opaques. Des mesures correctrices légitimes peuvent intervenir pendant l’inspection, mais elles doivent être datées et clairement distinguées de la situation historique.

Référence

Demande

Responsable

Statut

OSI-001

Organigramme et responsabilités

Legal / Compliance

À transmettre

OSI-002

Risk assessment AML/CFT

Compliance

En revue

OSI-003

Échantillon KYC

AML Team

En cours

OSI-004

Surveillance des délégataires

Conducting Officer

À transmettre

OSI-005

Suivi des recommandations

Audit / Compliance

En revue

Une inspection ne doit jamais conduire à reconstruire le passé.

Pilier 10 — Faire de l’après-inspection un instrument d’amélioration durable

La fin des travaux sur place ne clôt pas le processus. Chaque constat significatif doit être relié à une analyse des causes racines, au risque correspondant, à des actions correctrices, à un propriétaire, à une échéance et à des preuves de réalisation et d’efficacité.

Un défaut de traçabilité des validations ne se corrige pas uniquement en modifiant une procédure : il peut nécessiter des ajustements de l’outil, des responsabilités, une formation et un nouveau test sur échantillon.

Le Conseil d’administration et les Conducting Officers devraient recevoir une information proportionnée sur les risques, retards et résultats de remédiation.

Une recommandation est réellement résolue lorsque le contrôle corrigé fonctionne.

De J-30 à J-0 : plan opérationnel de préparation

Lorsque le calendrier d’inspection le permet, le séquencement ci-dessous peut guider la coordination. Il ne correspond pas à un délai prescrit par la CSSF et doit être adapté à la notification reçue.

Période

Objectif et livrables

J-30 à J-21

Cadrer le périmètre, mobiliser les responsables, établir l’inventaire documentaire et détecter les lacunes

J-20 à J-11

Vérifier dossiers, reportings, preuves de contrôles, délégataires et remédiations

J-10 à J-6

Simuler les entretiens, demandes et extractions ; identifier les incohérences

J-5 à J-1

Valider les pièces, sécuriser les canaux et préparer les interlocuteurs

Jour J

Répondre de manière factuelle, cohérente et traçable

Les cinq dimensions d’une conformité démontrable

Dimension

Question de gouvernance

Design — Conception

Le dispositif est-il adapté aux exigences et aux risques ?

Implementation — Mise en œuvre

Les moyens, responsabilités et outils sont-ils déployés ?

Execution — Exécution

Les contrôles sont-ils effectivement réalisés ?

Effectiveness — Efficacité

Les anomalies sont-elles détectées et corrigées ?

Evidence — Démonstration

Les quatre dimensions précédentes peuvent-elles être prouvées ?

Cette grille constitue un outil d’analyse professionnel et non un référentiel officiel de la CSSF. Elle permet néanmoins de distinguer la conformité documentaire de la maîtrise effective des risques.

Conclusion — Une inspection CSSF ne se réussit pas le jour de l’inspection

La préparation d’une inspection oblige l’établissement à confronter son organisation formelle à ses pratiques effectives, ses déclarations à ses preuves et ses responsabilités théoriques aux décisions prises. Cet exercice est particulièrement important pour les IFM luxembourgeois, dans un environnement de délégation étendue, de structures d’investissement complexes et d’exigences croissantes de traçabilité.

Si la CSSF sélectionnait demain un risque, un contrôle, un délégataire ou une décision sensible, serions-nous capables d’en reconstituer rapidement l’historique, de justifier les arbitrages et de démontrer que les responsabilités ont effectivement été exercées ?

La maturité réglementaire ne réside pas dans l’absence de faiblesses, mais dans la capacité à les identifier, mesurer leurs conséquences, les corriger et vérifier l’efficacité des remédiations.

La meilleure préparation à une inspection CSSF consiste à disposer, chaque jour, d’un dispositif suffisamment solide pour ne pas avoir à le réinventer lorsque le régulateur se présente.

Références et notes de méthode

·        CSSF — Priorités de supervision du secteur des fonds d’investissement pour 2026 : https://www.cssf.lu/en/2026/03/the-cssfs-2026-priorities-for-supervising-the-investment-fund-sector/

·        CSSF — Circulaire 18/698 : https://www.cssf.lu/fr/Document/circulaire-cssf-18-698/

·        CSSF — Revue thématique sur la délégation de la gestion de portefeuille (octobre 2024) : https://www.cssf.lu/en/2024/10/cssf-thematic-review-on-the-delegation-of-the-portfolio-management-function-by-investment-fund-managers-ifms-cssf-feedback-report/

·        CSSF — Revue thématique sur le financement de la prolifération (novembre 2025) : https://www.cssf.lu/en/2025/11/publication-of-the-results-of-the-thematic-review-concerning-measures-implemented-by-luxembourg-investment-fund-managers-to-combat-the-proliferation-financing-risk/

·        CSSF — AML/CFT : https://www.cssf.lu/en/anti-money-laundering-and-countering-the-financing-of-terrorism/

Article principalement consacré aux gestionnaires de fonds luxembourgeois. Les outils, matrices et calendriers présentés relèvent de bonnes pratiques professionnelles proposées et non de prescriptions officielles de la CSSF.

De l'obligation légale à la responsabilité des dirigeants : pourquoi la prévention du harcèlement doit devenir un véritable indicateur de l'efficacité de la gouvernance d'entreprise.

Luxembourg | Gouvernance d'entreprise · Compliance · Droit du travail · Gestion des risques

Introduction — Une entreprise peut-elle être conforme sur le papier et défaillante dans les faits ?

Une entreprise peut disposer d'un code de conduite exemplaire, d'une politique de tolérance zéro, d'un dispositif d'alerte interne, de formations obligatoires et d'une procédure disciplinaire parfaitement documentée.

Elle peut néanmoins être incapable de répondre à trois questions fondamentales :

Un salarié peut-il signaler un comportement de harcèlement sans craindre pour sa carrière ? Lorsqu'une alerte implique un dirigeant ou un collaborateur influent, peut-elle être examinée de manière véritablement indépendante ? Et comment l'entreprise démontre-t-elle que les mesures adoptées ont effectivement protégé la personne concernée ?

Ces questions révèlent une distinction essentielle entre conformité formelle et gouvernance effective.

Au Luxembourg, le dispositif juridique de protection contre le harcèlement au travail s'est progressivement renforcé, notamment avec la loi du 29 mars 2023 introduisant un cadre légal spécifique au harcèlement moral dans le Code du travail.

Mais le véritable enjeu de gouvernance dépasse désormais la simple existence d'un dispositif réglementaire.

Il réside dans la capacité de l'organisation à démontrer que ses engagements produisent des résultats concrets, que les responsabilités sont clairement attribuées et qu'aucune considération hiérarchique, commerciale ou réputationnelle ne peut neutraliser la protection des salariés.

Car une politique anti-harcèlement ne constitue pas, à elle seule, la preuve d'une entreprise protectrice. Elle constitue seulement le point de départ de sa responsabilité.

1. Le droit luxembourgeois impose déjà une responsabilité active à l'employeur

Le cadre juridique luxembourgeois repose principalement sur deux régimes complémentaires, dont les définitions et les mécanismes ne sont pas identiques.

Le harcèlement moral : une obligation de prévention, d'intervention et d'investigation

La loi du 29 mars 2023 a introduit les articles L.246-1 et suivants dans le Code du travail.

Le harcèlement moral y est défini par référence à une conduite qui, par sa répétition ou sa systématisation, porte atteinte à la dignité ou à l'intégrité psychique ou physique d'une personne.

Le champ de protection ne se limite pas au bureau : il peut englober les déplacements professionnels, les formations et les communications liées au travail, y compris en dehors des horaires habituels.

L'article L.246-3 impose à l'employeur une démarche qui comprend notamment la prévention, la mise à disposition de moyens d'assistance, l'investigation rapide et impartiale des faits et l'intervention pour faire cesser immédiatement les comportements de harcèlement dont il a connaissance.

Les mesures de prévention doivent être déterminées après information et consultation de la délégation du personnel ou, à défaut, de l'ensemble du personnel.

Il ne s'agit donc pas uniquement d'interdire des comportements. Il s'agit d'organiser les conditions dans lesquelles ces comportements peuvent être prévenus, détectés et traités.

Le harcèlement sexuel : une protection qui ne dépend pas nécessairement de la répétition

Les articles L.245-1 à L.245-8 du Code du travail encadrent spécifiquement le harcèlement sexuel.

Contrairement au régime du harcèlement moral, la qualification du harcèlement sexuel ne suppose pas nécessairement des agissements répétés.

Un comportement physique, verbal ou non verbal peut être concerné lorsqu'il réunit les conditions légales relatives à son caractère indésirable, à ses conséquences sur la dignité ou à son utilisation dans les décisions professionnelles.

L'employeur doit prévenir ces comportements, protéger la dignité des personnes et faire cesser immédiatement les faits de harcèlement sexuel dont il a connaissance, y compris lorsque ceux-ci impliquent des clients ou fournisseurs.

La conséquence en matière de gouvernance est majeure : la responsabilité de l'entreprise ne commence pas lorsqu'une victime introduit une procédure judiciaire. Elle commence bien avant, dans sa capacité à identifier les situations à risque et à intervenir dès qu'elle dispose d'informations pertinentes.

Une organisation qui attend une plainte formelle, une qualification juridique définitivement établie ou une décision de justice avant de prendre des mesures conservatoires proportionnées s'expose à une défaillance grave de son dispositif de protection.

2. Le paradoxe de la tolérance zéro : une politique peut exister sans être appliquée

L'expression « tolérance zéro » figure désormais dans de nombreuses chartes éthiques et politiques RH.

Elle présente cependant un risque : celui de devenir une affirmation institutionnelle qui ne correspond pas à la réalité vécue.

Une entreprise peut afficher une politique de tolérance zéro tout en tolérant implicitement certains comportements lorsqu'ils proviennent d'un dirigeant, d'un responsable commercial performant ou d'un collaborateur considéré comme indispensable.

C'est précisément à cet endroit que le harcèlement cesse d'être uniquement une problématique individuelle pour devenir un problème structurel de gouvernance.

Prenons un exemple.

Un responsable commercial fait régulièrement l'objet de signalements concernant des remarques humiliantes, des propos à connotation sexuelle ou des comportements intimidants.

La direction connaît ces difficultés, mais considère que ce responsable représente une contribution majeure au chiffre d'affaires.

Les alertes sont traitées informellement. Les collaborateurs concernés sont invités à faire preuve de compréhension. Les comportements se poursuivent.

Dans cette situation, le risque ne provient plus uniquement du comportement du manager.

Il résulte également de la décision de l'organisation de privilégier la performance économique au détriment de son obligation de protection.

Trois défaillances de gouvernance apparaissent alors :

• Une défaillance de responsabilité : les personnes ayant connaissance des faits n'interviennent pas de manière adéquate.
• Une défaillance de contrôle : aucun mécanisme indépendant ne remet en cause l'appréciation de la hiérarchie.
• Une défaillance culturelle : les salariés comprennent progressivement que les règles ne s'appliquent pas avec la même rigueur à tous.

Le véritable indicateur d'une politique de tolérance zéro n'est donc pas le nombre de déclarations institutionnelles.

C'est la capacité de l'entreprise à appliquer les mêmes principes de protection et d'impartialité, indépendamment du pouvoir, du statut ou de la performance de la personne mise en cause.

3. Lorsque le supérieur hiérarchique est mis en cause, la gouvernance doit pouvoir fonctionner sans lui

Une difficulté majeure des dispositifs anti-harcèlement réside dans la dépendance hiérarchique des salariés.

Dans de nombreuses organisations, la première étape recommandée consiste à signaler une difficulté au responsable direct.

Ce mécanisme peut être parfaitement adapté à certaines situations.

Il devient toutefois problématique lorsque le responsable direct est lui-même impliqué dans les faits rapportés.

Le salarié se retrouve alors confronté à un conflit structurel : celui qui exerce une autorité sur ses évaluations, ses promotions, ses responsabilités et parfois son maintien dans l'organisation devient également la personne qu'il devrait mettre en cause.

Cette asymétrie de pouvoir peut rendre théorique l'existence même d'un dispositif d'alerte.

Une gouvernance efficace doit par conséquent prévoir des voies alternatives permettant de contourner les conflits d'intérêts.

Celles-ci peuvent inclure une fonction RH indépendante de la ligne managériale concernée, une personne de confiance, un interlocuteur désigné, la délégation du personnel ou, lorsque les circonstances le justifient, un intervenant externe.

La confidentialité doit être préservée dans les limites nécessaires à une investigation équitable. Elle ne doit pas devenir un moyen de dissimuler les faits ou d'empêcher les personnes concernées d'exercer leurs droits.

Le principe devrait être clair :

Aucune personne mise en cause ne devrait pouvoir contrôler l'orientation, l'investigation ou la conclusion du signalement qui la concerne.

Cette exigence d'indépendance ne peut pas rester théorique. Elle doit être intégrée dans les règles de récusation, les modalités de désignation des enquêteurs et les mécanismes d'escalade.

4. Le conseil d'administration ne devrait plus considérer le harcèlement comme un sujet exclusivement RH

Historiquement, les situations de harcèlement sont fréquemment abordées comme des questions de ressources humaines, de discipline ou de relations interpersonnelles.

Cette approche apparaît aujourd'hui insuffisante.

Le harcèlement peut révéler des défaillances de gouvernance dans plusieurs dimensions de l'entreprise : culture managériale, gestion des risques psychosociaux, contrôle interne, organisation des responsabilités et efficacité des dispositifs d'alerte.

Il peut également générer des conséquences juridiques, sociales, réputationnelles et opérationnelles importantes.

Dès lors, la supervision de ce risque mérite une attention appropriée au niveau des organes dirigeants, selon la taille, la structure et la nature de l'organisation.

Cela ne signifie pas que le conseil d'administration doive intervenir directement dans chaque plainte individuelle.

Au contraire, son rôle devrait être de s'assurer que le dispositif fonctionne sans interférer dans l'indépendance des investigations.

Une supervision efficace pourrait notamment s'articuler autour de quatre questions :

Premièrement : l'entreprise a-t-elle identifié les situations où les risques de harcèlement sont particulièrement élevés ?

Certaines activités présentent des facteurs de vulnérabilité spécifiques : travail isolé, rapports hiérarchiques fortement asymétriques, dépendance à des clients importants, contrats précaires, objectifs commerciaux particulièrement exigeants ou interactions professionnelles dans des environnements peu supervisés.

Deuxièmement : les personnes chargées de traiter les alertes disposent-elles de l'indépendance, des compétences et des ressources nécessaires ?

Troisièmement : les incidents significatifs donnent-ils lieu à une analyse des causes organisationnelles, au-delà de la responsabilité individuelle ?

Quatrièmement : les mesures correctrices sont-elles effectivement appliquées et leur efficacité est-elle vérifiée ?

Une telle démarche s'inscrit dans une conception moderne de la gouvernance : celle où les dirigeants ne se limitent plus à approuver des politiques, mais cherchent à obtenir une assurance raisonnable sur leur fonctionnement réel.

Cette supervision relève d'une bonne pratique de gouvernance proportionnée ; elle ne doit pas être présentée comme une obligation légale identique pour tous les conseils d'administration luxembourgeois.

5. La véritable innovation : passer d'une politique de prévention à un dispositif de protection démontrable

Dans les domaines de la conformité financière, de la lutte contre le blanchiment ou de la gestion des risques, un principe s'est progressivement imposé : une mesure de contrôle qui ne peut être démontrée demeure difficile à évaluer.

Ce raisonnement mérite d'être transposé, avec les adaptations nécessaires, à la prévention du harcèlement.

Il ne suffit plus de pouvoir affirmer que des formations ont été organisées ou qu'un canal de signalement existe.

L'organisation devrait pouvoir établir que les contrôles fonctionnent effectivement.

Cette approche repose sur trois niveaux distincts.

Les trois niveaux d'une protection démontrable

Niveau 1 — Le dispositif existe

Politique écrite, responsabilités, canaux de signalement, information et formation.

Niveau 2 — Le dispositif fonctionne

Alertes prises en charge, investigations impartiales, décisions motivées et mesures de protection adaptées.

Niveau 3 — Le dispositif protège effectivement

Absence de représailles identifiées, maîtrise du risque de récurrence, correction des défaillances et vérification de l'efficacité des actions.

Cette distinction est fondamentale.

Une formation suivie par 100 % des salariés démontre que la formation a été dispensée. Elle ne démontre pas que les salariés savent identifier un comportement inapproprié, qu'ils osent le signaler ou que l'entreprise répond efficacement.

De la même manière, une enquête clôturée ne signifie pas nécessairement que le risque a disparu.

La conformité mesure souvent la réalisation d'une action. La gouvernance efficace doit également s'intéresser aux effets réels de cette action.

6. L'enquête interne : le moment où se révèle la maturité de la gouvernance

Lorsqu'une entreprise reçoit une alerte, sa crédibilité se joue souvent dans les premières décisions prises.

Qui reçoit l'information ? Qui apprécie les mesures de protection immédiates ? Qui décide de l'ouverture d'une investigation ? Qui enquête ? Qui valide les conclusions ? Et qui vérifie que la personne ayant signalé les faits ne subit aucune conséquence défavorable ?

Ces décisions doivent être organisées avant la survenance d'une crise.

En matière de harcèlement moral, le droit luxembourgeois prévoit expressément une investigation rapide et impartiale parmi les mesures de prévention à déterminer par l'employeur.

L'enquête ne doit toutefois pas être confondue avec un mécanisme destiné à confirmer une conclusion préétablie.

Elle doit rechercher les faits, dans le respect des droits de l'ensemble des personnes concernées, y compris la personne mise en cause.

La présomption d'innocence lorsqu'elle est applicable, l'équité procédurale, la proportionnalité des mesures et la confidentialité constituent des éléments essentiels d'un traitement responsable.

Une organisation mature devrait également documenter les raisons de ses décisions : pourquoi tel enquêteur a été désigné, pourquoi telle mesure provisoire a été adoptée, quels éléments ont été examinés et quelles suites ont été données.

Cette traçabilité doit demeurer strictement proportionnée, avec un accès limité aux personnes habilitées, des durées de conservation justifiées et le respect du RGPD.

L'enjeu n'est pas d'accumuler des informations sensibles.

Il est de permettre une prise de décision fiable, équitable et vérifiable.

Le scénario le plus révélateur : l'alerte visant un dirigeant

Imaginons qu'une salariée signale des propos sexuels répétés, des invitations insistantes et des comportements intimidants de la part d'un membre de la direction.

Le responsable RH entretient une relation hiérarchique directe avec cette personne. Le dirigeant concerné participe également à l'évaluation de sa performance.

Une procédure formellement correcte pourrait alors devenir inefficace si elle confiait au responsable RH l'intégralité des décisions relatives à l'enquête, sans mécanisme de récusation ou d'escalade.

Une gouvernance robuste devrait permettre de confier l'examen de la situation à une personne indépendante, interne ou externe, selon les circonstances.

Ce n'est pas un détail procédural.

L'indépendance de celui qui examine une alerte peut déterminer la crédibilité de l'ensemble du système de protection.

7. Les représailles : le risque invisible qui peut neutraliser toute politique anti-harcèlement

Une entreprise peut traiter une alerte, sanctionner un comportement et néanmoins échouer à protéger la personne concernée.

Le risque de représailles ne prend pas toujours la forme d'une sanction disciplinaire explicite.

Il peut se manifester de manière plus diffuse : exclusion progressive de réunions, retrait de responsabilités, dégradation inexpliquée des évaluations, isolement professionnel ou modification défavorable des perspectives d'évolution.

Toutes ces situations ne constituent pas automatiquement des représailles illicites. Mais elles représentent des signaux susceptibles de justifier un examen circonstancié.

Le Code du travail luxembourgeois prévoit des protections contre les représailles dans les régimes du harcèlement moral et sexuel. Il interdit également que les mesures destinées à faire cesser les faits soient prises au détriment de la victime.

La question de gouvernance dépasse donc le simple traitement de l'incident initial.

Une entreprise devrait s'intéresser à ce qui se produit après l'alerte.

La personne concernée conserve-t-elle des conditions de travail équitables ? Les décisions managériales ultérieures sont-elles objectivement justifiées ? Les éventuels contacts professionnels avec la personne mise en cause sont-ils organisés de manière protectrice ?

Une mesure particulièrement pertinente consiste à mettre en place, lorsque la situation le justifie, un suivi confidentiel à échéances déterminées.

Ce suivi ne doit pas devenir une surveillance de la victime. Il doit permettre d'identifier d'éventuelles conséquences défavorables et d'intervenir rapidement.

Une entreprise ne démontre pas qu'elle protège un salarié simplement parce qu'elle a clôturé son dossier.

Elle commence à le démontrer lorsqu'elle peut établir que la personne a pu retrouver ou conserver un environnement professionnel sûr, sans subir de préjudice supplémentaire lié au signalement.

8. Les indicateurs que les dirigeants devraient réellement examiner

Si la prévention du harcèlement devient un sujet de gouvernance, elle devrait faire l'objet d'un suivi structuré.

Mais attention : la recherche d'indicateurs ne doit pas transformer une problématique humaine en exercice purement statistique.

Un faible nombre de plaintes ne constitue pas nécessairement une bonne nouvelle.

Il peut refléter un environnement respectueux. Il peut aussi révéler une absence de confiance dans les dispositifs de signalement.

De même, une augmentation des alertes peut indiquer une dégradation de la situation ou, au contraire, une amélioration de la confiance des salariés.

C'est pourquoi les indicateurs doivent être interprétés ensemble, dans leur contexte.

Voici un modèle de tableau de bord qui pourrait être utilisé par une direction générale ou un comité compétent.

Dimension

Indicateur proposé

Question de gouvernance

Prévention

Couverture et compréhension des formations

Les salariés connaissent-ils réellement leurs droits ?

Accessibilité

Connaissance des canaux de signalement

Chacun sait-il à qui s'adresser ?

Réactivité

Délai de première prise en charge

Les situations urgentes sont-elles examinées rapidement ?

Impartialité

Vérification des conflits d'intérêts

Les enquêtes sont-elles réellement indépendantes ?

Protection

Suivi des mesures de protection et des représailles potentielles

La personne concernée reste-t-elle protégée ?

Remédiation

Actions correctrices mises en œuvre et vérifiées

Les causes organisationnelles sont-elles traitées ?

Culture

Résultats d'enquêtes anonymes sur la confiance

Les salariés osent-ils parler ?

Récurrence

Répétition de faits dans une équipe ou un service

Les dysfonctionnements structurels persistent-ils ?

Ces indicateurs constituent des recommandations de gouvernance, et non une liste de reportings légalement exigés sous cette forme.

Leur utilisation suppose également des garanties strictes de confidentialité. Dans une petite structure, des informations agrégées peuvent parfois suffire à identifier indirectement une personne. Le reporting doit donc être adapté aux effectifs et à la sensibilité des situations.

L'indicateur le plus révélateur pourrait être celui-ci :

Quelle proportion des mesures correctrices décidées a fait l'objet d'une vérification effective de son efficacité ?

Il relie la prise de décision au résultat obtenu.

Et c'est précisément ce lien qui distingue une gouvernance déclarative d'une gouvernance opérationnelle.

9. Le harcèlement doit être intégré à la cartographie des risques de l'entreprise

La prévention du harcèlement est trop souvent traitée comme une obligation RH indépendante des dispositifs généraux de gestion des risques.

Cette séparation peut empêcher l'organisation d'identifier les causes structurelles des comportements abusifs.

Une approche plus intégrée devrait considérer le harcèlement comme un risque transversal, susceptible d'affecter plusieurs dimensions :

• Risque juridique : non-respect des obligations de prévention ou d'intervention, contentieux et sanctions.
• Risque opérationnel : absentéisme, turnover, désorganisation des équipes et perte de compétences.
• Risque de gouvernance : conflits d'intérêts, défaut de supervision et intervention inappropriée des dirigeants.
• Risque réputationnel : perte de confiance des collaborateurs, candidats, partenaires et clients.
• Risque psychosocial : atteintes à la santé, à la sécurité et à la dignité des personnes.

L'évaluation de ces risques devrait tenir compte de facteurs concrets tels que la structure hiérarchique, le degré d'autonomie des salariés, les antécédents de signalement, l'environnement commercial et la concentration du pouvoir décisionnel.

Une entreprise pourrait ainsi identifier certains environnements présentant une exposition plus importante et y renforcer de manière proportionnée les mesures de prévention.

Cette démarche ne consiste pas à considérer certains collaborateurs comme des auteurs potentiels.

Elle vise à identifier les circonstances organisationnelles dans lesquelles des comportements inappropriés risquent d'être plus difficiles à prévenir, à signaler ou à faire cesser.

De la gestion des incidents à la correction des causes

Lorsqu'une situation de harcèlement est établie, la réponse ne devrait pas nécessairement se limiter à une mesure individuelle.

Il peut également être nécessaire d'examiner les facteurs organisationnels ayant permis la persistance des faits.

Pourquoi les premiers signaux n'ont-ils pas été pris en compte ? Les collaborateurs disposaient-ils d'un interlocuteur indépendant ? Le manager concerné bénéficiait-il d'une protection informelle ? Les objectifs de performance encourageaient-ils des pratiques managériales abusives ?

C'est dans cette analyse des causes profondes que la fonction Compliance, la gestion des risques et les ressources humaines peuvent développer une coopération particulièrement utile.

Leur intervention doit naturellement respecter leurs mandats respectifs, la confidentialité des situations individuelles et le rôle des représentants du personnel.

10. Vers un nouveau standard : la gouvernance de la protection effective

L'enjeu pour les entreprises luxembourgeoises n'est pas nécessairement de multiplier les procédures.

Il est de rendre leurs mécanismes existants plus fiables, plus indépendants et davantage orientés vers leurs résultats.

Une évolution crédible pourrait s'appuyer sur cinq engagements de gouvernance.

Un premier engagement de responsabilité : chaque acteur doit comprendre ses obligations, depuis le management opérationnel jusqu'à la direction générale. Les responsabilités ne doivent pas devenir si diffuses que personne ne répond effectivement des défaillances.

Un deuxième engagement d'indépendance : aucun conflit d'intérêts ne devrait compromettre le traitement d'un signalement. Les mécanismes alternatifs doivent être accessibles et connus.

Un troisième engagement de protection : les mesures prises doivent viser prioritairement la sécurité et la dignité des personnes, sans préjuger des conclusions de l'enquête.

Un quatrième engagement de traçabilité : l'organisation doit pouvoir justifier les décisions essentielles, les investigations effectuées et les suites données, tout en respectant les droits fondamentaux et la protection des données personnelles.

Un cinquième engagement d'amélioration continue : chaque situation significative doit permettre, lorsque cela est pertinent, de réexaminer l'efficacité du dispositif et de corriger les faiblesses révélées.

Cette conception est cohérente avec le cadre luxembourgeois. L'Inspection du travail et des mines rappelle notamment qu'en cas de harcèlement moral porté à la connaissance de l'employeur, une évaluation interne de l'efficacité des mesures de prévention et des éventuelles nouvelles mesures à prendre est prévue.

Mais la valeur ajoutée d'une telle approche réside dans le fait d'étendre cette logique d'évaluation à l'ensemble de la gouvernance de la protection des salariés.

11. Le véritable test de gouvernance : cinq questions qu'un dirigeant devrait pouvoir affronter

Imaginons qu'un administrateur indépendant, un auditeur ou une autorité compétente cherche à comprendre comment l'entreprise protège effectivement ses collaborateurs.

La direction serait-elle capable de répondre, preuves appropriées à l'appui, aux cinq questions suivantes ?

01

Comment savez-vous que les salariés peuvent signaler des faits sans craindre de représailles ?

02

Comment garantissez-vous l'impartialité d'une enquête lorsqu'un dirigeant est personnellement mis en cause ?

03

Comment vérifiez-vous que les mesures de protection adoptées ne portent pas préjudice à la personne concernée ?

04

Comment identifiez-vous et corrigez-vous les facteurs organisationnels ayant favorisé les comportements signalés ?

05

Comment démontrez-vous que votre dispositif est réellement efficace, au-delà de l'existence de politiques et de formations ?

Ces questions ne constituent pas un test légal obligatoire. Elles représentent un exercice de maturité de gouvernance.

Leur intérêt est précisément de déplacer le débat : il ne s'agit plus seulement de déterminer si l'entreprise a défini des règles, mais de comprendre si celles-ci résistent aux situations dans lesquelles elles sont le plus nécessaires.

Conclusion : la dignité au travail ne peut pas être une simple déclaration de principe

Le Luxembourg dispose d'un cadre juridique qui impose aux employeurs des responsabilités concrètes en matière de prévention et de traitement du harcèlement moral et sexuel.

Pourtant, aucune législation, aussi précise soit-elle, ne peut garantir à elle seule qu'un collaborateur sera effectivement protégé lorsqu'il est confronté à un comportement abusif.

Entre le droit et la réalité se trouve la gouvernance.

C'est elle qui détermine si une alerte sera entendue, si une enquête pourra être menée sans influence indue, si les décisions seront prises avec impartialité et si la personne concernée pourra poursuivre son activité professionnelle dans des conditions respectueuses de sa dignité.

Une entreprise véritablement responsable ne devrait pas attendre une crise médiatique, un contentieux ou l'intervention d'une autorité pour découvrir que son dispositif de prévention ne fonctionne pas.

Elle devrait chercher à en éprouver l'efficacité avant qu'une défaillance ne produise ses conséquences les plus graves.

Le défi n'est donc pas de remplacer les obligations existantes par une nouvelle couche de formalités.

Il est de transformer la protection des salariés en une responsabilité gouvernée, contrôlée et démontrable.

Car le véritable échec de gouvernance ne réside pas uniquement dans le fait qu'un comportement de harcèlement puisse survenir. Il réside aussi dans le fait qu'une organisation, pourtant informée et dotée de procédures, ne parvienne pas à protéger efficacement les personnes qui en subissent les conséquences.

Et c'est peut-être à cette question que les dirigeants devraient désormais accepter de répondre :

Si un salarié dénonçait demain des faits de harcèlement impliquant l'une des personnes les plus influentes de votre entreprise, pourriez-vous démontrer — et non simplement affirmer — que votre système le protégerait réellement ?

Références juridiques et institutionnelles

• Code du travail luxembourgeois, articles L.245-1 à L.245-8 : harcèlement sexuel à l'occasion des relations de travail.
• Loi du 29 mars 2023, articles L.246-1 et suivants du Code du travail : protection contre le harcèlement moral.
• ITM — Mesures de prévention du harcèlement moral.
• ITM — Obligations de l'employeur en matière de harcèlement sexuel.
• Guichet.lu — Obligations et responsabilités de l'employeur, mise à jour du 5 juin 2026.