Approche fondée sur les risques en LBC/FT : évaluer, documenter, proportionner

L'approche fondée sur les risques consiste à identifier, évaluer et comprendre vos risques de blanchiment et de financement du terrorisme, puis à proportionner vos mesures à ces risques. Au Luxembourg, elle repose sur l'article 2-2 de la loi du 12 novembre 2004 pour l'évaluation de l'entité et sur l'article 3, paragraphe 2bis, pour la vigilance appliquée à chaque client.

Trois niveaux d'évaluation qui s'emboîtent

Les deux premiers niveaux alimentent le troisième : le professionnel intègre à sa propre évaluation les informations de l'évaluation nationale et supranationale ou communiquées par les autorités de contrôle et les autorités européennes de surveillance (article 2-2, paragraphe 2).

L'évaluation de l'entité (article 2-2)

Le professionnel prend des mesures appropriées pour identifier, évaluer et comprendre ses risques, en tenant compte des facteurs liés à ses clients, aux pays ou zones géographiques, aux produits, aux services, aux transactions et aux canaux de distribution. Ces mesures sont proportionnées à sa nature et à sa taille. Il envisage tous les facteurs pertinents avant de déterminer le niveau de risque global, puis le niveau et le type de mesures à appliquer.

L'évaluation est documentée, tenue à jour et mise à la disposition des autorités de contrôle et des organismes d'autorégulation. Une autorité peut décider que des évaluations individuelles documentées ne sont pas obligatoires lorsque les risques propres au secteur sont clairement identifiés et compris. Avant de lancer un produit, une pratique commerciale ou une technologie nouvelle, le professionnel évalue ses risques et prend des mesures pour les atténuer (paragraphe 3).

Les sources à intégrer (règlement CSSF 12-02, article 4)

Les procédures de gestion des risques intègrent des sources variées : l'évaluation supranationale de la Commission européenne, l'évaluation nationale des risques, les évaluations sous-sectorielles, les orientations conjointes des trois autorités européennes de surveillance sur les facteurs de risque et les publications de la CSSF. La circulaire CSSF 25/878 du 8 avril 2025 reprend les orientations révisées de l'Autorité bancaire européenne sur les facteurs de risque de BC/FT.

L'article 4, paragraphe 4, ajoute que l'approche repose sur la définition de l'appétence au risque, approuvée par le conseil d'administration et mise en œuvre par la direction autorisée. Les politiques, procédures et contrôles s'alignent sur cette définition, communiquée à tout le personnel.

Du risque de l'entité au risque du client (article 5)

Les professionnels classent tous leurs clients selon des niveaux de risque, d'après le type de clients (client, mandataire, bénéficiaire effectif), les pays et zones géographiques, les produits, services et transactions, et les canaux de distribution. Cette classification fait l'objet d'une révision périodique, intervient avant l'acceptation du client et s'adapte à tout changement significatif.

Trois annexes de la loi guident les facteurs :

Les listes des annexes III et IV sont des listes minimales : le professionnel y ajoute les facteurs qu'il juge pertinents (règlement 12-02, article 5, paragraphe 2). La vigilance simplifiée doit pouvoir être justifiée et démontrée aux autorités luxembourgeoises.

Ce qu'un dossier solide contient

Un dossier d'approche fondée sur les risques réunit quatre pièces : l'évaluation de l'entité, datée et approuvée par la direction ; la méthode de classification des clients, avec les facteurs retenus dans chacune des quatre catégories de l'article 5 ; la preuve que la classification a précédé l'acceptation de chaque client ; et les révisions successives, déclenchées par un changement significatif ou par un risque nouveau. Ces pièces répondent directement à l'exigence de l'article 3, paragraphe 2bis, de pouvoir démontrer l'adéquation des mesures.

Pouvoir démontrer

Les professionnels doivent pouvoir démontrer aux autorités de contrôle que les mesures qu'ils appliquent sont appropriées au regard des risques identifiés (article 3, paragraphe 2bis). Les autorités fondent la fréquence et l'intensité de leurs contrôles sur le profil de risque du professionnel ou de son groupe (article 8-1, paragraphe 4) : une évaluation datée, cohérente avec la classification des clients et suivie d'effets constitue la première pièce du dossier.

Ce que change le règlement (UE) 2024/1624

L'article 10 reprend l'évaluation à l'échelle de l'entité (business-wide risk assessment) : documentée, tenue à jour, régulièrement révisée, mise à disposition des superviseurs, rédigée par le compliance officer et approuvée par l'organe de direction. Elle couvre aussi les risques de non-mise en œuvre et de contournement des sanctions financières ciblées. L'article 20 demande d'individualiser l'étendue des mesures de vigilance selon les risques du client et les variables de l'annexe I du règlement.

Passer de la règle à la pratique

Regardez gratuitement la leçon 1.1 du cours, sans compte : elle situe l'évaluation des risques dans le cadre des quatre textes luxembourgeois. Le cours complet AML/CFT et KYC en pratique au Luxembourg y consacre la leçon 3.1, sur l'approche fondée sur les risques et ce que vous devez pouvoir montrer. Il compte 30 leçons en sept modules, avec transcriptions et sources officielles liées, et coûte 99 € pour 12 mois d'accès. Cours en anglais, transcription mot à mot incluse.