Remédiation KYC au Luxembourg : le règlement AML de 2027

En savoir plus sur l'implémentation de l'IA au Luxembourg, et sur la façon dont les mêmes contrôles s'appliquent à l'IA dans les family offices luxembourgeois.

La plupart des professionnels luxembourgeois avec qui je parle ont un dossier KYC pour chaque client. Beaucoup moins ont des dossiers qui résisteraient à un contrôleur posant trois questions : qui sont exactement les bénéficiaires effectifs aujourd'hui, quand ce dossier a-t-il été passé pour la dernière fois contre les listes de sanctions, et où en est la preuve ? Les dossiers ouverts il y a des années ont été montés selon les règles de l'époque, et beaucoup n'ont été rouverts que lorsqu'un problème est apparu.

Je mène des projets d'automatisation documentaire et de conformité chez 20 More. Ce guide présente ce que change l'AMLR, qui contrôle qui au Luxembourg, et la méthode de remédiation que je recommande : un modèle de données par dossier client, une liste d'écarts, et l'automatisation des tâches répétitives. Ce sont des conseils pratiques, pas un avis juridique ; les lignes directrices de votre autorité et votre propre politique LBC/FT priment.

Quand l'AMLR s'applique-t-il, et de quoi s'agit-il ?

Le règlement (UE) 2024/1624 a été adopté le 31 mai 2024, est entré en vigueur le 9 juillet 2024 et s'applique à partir du 10 juillet 2027 ; pour les clubs et agents de football, il s'applique à partir du 10 juillet 2029 (article 90, EUR-Lex). C'est un règlement et non une directive : ses règles de vigilance s'appliquent telles quelles dans chaque État membre, et la directive (UE) 2015/849 est abrogée à la même date (synthèse EUR-Lex).

Il s'accompagne d'une nouvelle autorité européenne. L'AMLA, l'Autorité de lutte contre le blanchiment de capitaux et le financement du terrorisme, est installée à Francfort et a commencé ses activités à la mi-2025 (AMLA). À partir de 2028, elle surveillera directement un nombre limité de grands groupes financiers transfrontaliers (AMLA). Une fiduciaire ou un cabinet comptable luxembourgeois n'en fera pas partie : votre autorité de contrôle reste nationale, mais le corpus de règles qu'elle applique devient européen. La CSSF a publié sa propre présentation de ce paquet (CSSF).

Qu'est-ce qui change pour un dossier KYC le 10 juillet 2027 ?

Seuls les points que j'ai pu confirmer dans les textes officiels figurent dans ce tableau.

Deux détails comptent pour planifier la remédiation. D'abord, le projet de norme technique de l'AMLA sur la vigilance prévoit que les dossiers des clients existants soient mis en conformité selon une approche fondée sur le risque, dans un délai d'un an pour les clients à risque élevé et de cinq ans pour les autres, à compter de l'application de cette norme (rapport final AMLA, projet de RTS article 28(1)). Il reste un projet tant que la Commission ne l'a pas adopté : ne planifiez pas sur le calendrier exact, mais sur le principe, à savoir les dossiers à risque élevé d'abord. Ensuite, les considérants du même projet précisent que la consultation d'un registre des bénéficiaires effectifs est nécessaire mais pas suffisante pour vérifier les bénéficiaires effectifs. Une simple copie de l'extrait RBE ne suffira pas à clôturer un dossier.

Qui est concerné au Luxembourg, et qui contrôle qui ?

La loi de 2004 répartit la surveillance entre autorités de contrôle et organismes d'autorégulation (article 2-1, Legilux). L'AMLR conserve cette organisation nationale.

Les prestataires de services aux sociétés et fiducies doivent en outre s'enregistrer auprès de l'autorité de contrôle ou de l'organisme d'autorégulation dont ils relèvent (AED). Depuis le 1er octobre 2024, l'AED dispose d'un service dédié aux contrôles sur place en matière de blanchiment (AED).

Peut-on encore s'appuyer sur le RBE ?

On peut l'utiliser, mais pas s'y reposer. Après l'arrêt de la Cour de justice de l'UE du 22 novembre 2022 dans les affaires jointes C-37/20 et C-601/20, qui a jugé l'accès du grand public aux registres des bénéficiaires effectifs contraire à la Charte des droits fondamentaux (communiqué CJUE), le Luxembourg a suspendu l'accès public au Registre des bénéficiaires effectifs. L'accès a été rétabli à partir du 16 décembre 2022 pour les professionnels visés par la loi de 2004 qui en font la demande auprès de Luxembourg Business Registers, et pour les journalistes via le Conseil de presse (gouvernement luxembourgeois).

Concrètement : demandez l'accès professionnel si ce n'est pas fait, conservez chaque consultation du RBE avec sa date, et comparez-la avec ce que disent le client et l'extrait RCS. Lorsqu'ils divergent, la divergence est en soi un constat à documenter dans le dossier.

À quoi ressemble un projet de remédiation KYC ?

Les projets qui aboutissent traitent la remédiation d'abord comme un sujet de données, ensuite comme un sujet de papiers. Voici les étapes que je recommande.

1. Délimiter par le risque. Exportez la liste des clients avec leur notation de risque actuelle et la date de dernière revue. Les dossiers à risque élevé, ceux jamais revus et les clients aux chaînes de détention complexes forment la première vague.
2. Définir un modèle de données par dossier. Chaque dossier doit répondre aux mêmes champs (tableau ci-dessous). Un champ qu'on ne peut pas remplir est un écart, pas une question d'appréciation.
3. Faire l'analyse des écarts. Comparez chaque dossier au modèle et à la liste de l'AMLR. Le résultat est une liste par dossier : pièce manquante, pièce d'identité expirée, chaîne de détention non remontée jusqu'aux personnes physiques, pas de justificatif d'origine du patrimoine, filtrage plus ancien que ne le permet votre politique.
4. Contacter les clients par vagues. Une demande claire par client, qui liste exactement ce qui manque, dans la langue du client, avec une échéance et des relances. Les clients à qui l'on demande tout d'un coup ont tendance à ne rien renvoyer.
5. Refiltrer tout le monde. Passez clients, bénéficiaires effectifs et signataires autorisés contre la liste consolidée des sanctions financières de l'UE (data.europa.eu) et votre source PPE, et enregistrez le résultat et la version de la liste. L'AED publie des informations sur les sanctions financières internationales pour les professionnels qu'elle surveille (AED).
6. Garder une piste d'audit. Pour chaque dossier : ce qui a été vérifié, sur quelle source, à quelle date, par qui, et ce qui a été décidé. Un contrôleur lit la piste avant le dossier.

Le modèle de données du dossier client :

Que peut-on automatiser, et que reste-t-il à l'humain ?

Le partage que j'applique est simple : le logiciel lit, compare et relance ; les personnes jugent.

C'est ce que fait notre Agent Run de remédiation des dossiers KYC sur un lot défini de dossiers : périmètre fixe, modèles hébergés dans l'UE, validation humaine de chaque modification et journal de ce qui a été vérifié. Pour un dispositif permanent dans vos propres outils, notre service de traitement documentaire convient mieux. Si vous utilisez aussi des outils d'IA dans un cadre surveillé par la CSSF, notre guide des cas d'usage de l'IA sous surveillance CSSF couvre le volet gouvernance.

Et le RGPD ?

Les dossiers KYC sont des données personnelles, souvent sensibles : pièces d'identité, structures familiales, patrimoine, parfois des informations sur des procédures pénales. Les lois anti-blanchiment fournissent la base légale du traitement, mais le RGPD continue de s'appliquer, y compris la minimisation des données (article 5, paragraphe 1, point c) du RGPD, EUR-Lex).

Trois règles que j'intègre à chaque remédiation :

• Collecter ce qu'exigent les règles LBC/FT, pas tout ce que le client envoie. Chaque document en trop dans un dossier est un risque en plus.
• La durée de conservation est de cinq ans après la fin de la relation, selon la loi de 2004 (article 3, paragraphe 6, Legilux) comme selon l'AMLR, qui impose ensuite la suppression des données personnelles sauf si une autre loi exige une conservation plus longue (article 77 AMLR, EUR-Lex). Inscrivez la date de fin de relation dans le modèle de données pour pouvoir planifier la suppression.
• Savoir où le traitement s'exécute. Si un outil lit les pièces d'identité de vos clients, vous devez savoir où il est hébergé, qui y a accès et si les données servent à entraîner quoi que ce soit. Cela figure dans votre registre des traitements et, pour une remédiation d'envergure, dans une courte analyse d'impact (AIPD).

Questions fréquentes

Qu'est-ce que la remédiation KYC ?

La remédiation KYC est la revue et la mise à jour des dossiers clients existants pour qu'ils respectent les règles de vigilance en vigueur. Elle couvre l'identité, les bénéficiaires effectifs, l'objet de la relation, l'origine des fonds ou du patrimoine si nécessaire, la notation du risque et le filtrage des sanctions, avec la preuve de chaque contrôle. Au Luxembourg, elle est aujourd'hui portée par le règlement européen anti-blanchiment applicable au 10 juillet 2027.

Quand le règlement AML (AMLR) s'applique-t-il au Luxembourg ?

Le règlement (UE) 2024/1624 s'applique à partir du 10 juillet 2027 dans tous les États membres, y compris le Luxembourg, sans transposition nationale (article 90, EUR-Lex). Seuls les clubs et agents de football ont jusqu'au 10 juillet 2029. Les autorités luxembourgeoises comme la CSSF, l'AED et l'OEC continueront de surveiller leurs professionnels selon les nouvelles règles.

Les experts-comptables et les fiduciaires doivent-ils faire du KYC au Luxembourg ?

Oui. Les experts-comptables sont des professionnels assujettis à la loi du 12 novembre 2004 et sont surveillés en matière de LBC/FT par l'Ordre des experts-comptables ; les autres professionnels de la comptabilité et les conseillers fiscaux relèvent de l'AED (guide AED). Les fiduciaires qui fournissent des services aux sociétés et fiducies sont également assujetties. Tous doivent identifier et vérifier clients et bénéficiaires effectifs, évaluer le risque et tenir les dossiers à jour.

À quelle fréquence faut-il revoir les dossiers KYC selon l'AMLR ?

L'AMLR fixe des délais maximums : au moins une fois par an pour les clients en vigilance renforcée et au moins tous les cinq ans pour tous les autres (article 26 AMLR). Un dossier doit aussi être revu lorsque la situation du client change, par exemple un nouveau bénéficiaire effectif. Votre évaluation des risques peut, et souvent doit, prévoir des intervalles plus courts.

Peut-on automatiser les contrôles KYC ?

Une grande partie du travail, oui : lecture des documents, extraction des données, construction des chaînes de détention à partir des extraits de registre, filtrage sanctions et PPE, rapports d'écarts et relances clients. La notation du risque, la décision d'accepter ou de garder un client et toute déclaration d'opération suspecte restent des décisions humaines. Un bon dispositif journalise chaque étape automatisée pour qu'une autorité puisse la suivre.

Si vous voulez savoir combien de temps prendrait la remédiation de vos dossiers, décrivez-nous brièvement votre clientèle et votre dispositif KYC actuel.