Le KYC au Luxembourg, ce sont les mesures de vigilance à l'égard de la clientèle de l'article 3 de la loi du 12 novembre 2004 : identifier et vérifier le client et son bénéficiaire effectif, comprendre l'objet de la relation d'affaires, exercer une vigilance constante et conserver les justificatifs pendant cinq ans. Le règlement CSSF n° 12-02 fixe les données à recueillir pour les entités qu'il supervise.
Quand le KYC s'applique
L'article 3, paragraphe 1, déclenche la vigilance :
- à l'établissement d'une relation d'affaires ;
- pour une transaction occasionnelle d'au moins 15 000 euros, en une ou plusieurs opérations qui semblent liées ;
- pour un transfert de fonds ou de crypto-actifs supérieur à 1 000 euros ;
- en cas de soupçon de blanchiment ou de financement du terrorisme, quels que soient les seuils ;
- en cas de doute sur la véracité ou la pertinence des données d'identification déjà obtenues.
Les clients existants ne sont pas oubliés : la vigilance s'applique aussi, aux moments opportuns, à la clientèle existante selon l'appréciation des risques, ou lorsque les éléments pertinents de la situation d'un client changent (article 3, paragraphe 5).
Les quatre mesures de l'article 3, paragraphe 2
| Mesure | Contenu |
|---|---|
| a. Identifier et vérifier le client | Sur la base de documents, données ou informations de sources fiables et indépendantes, y compris les moyens d'identification électronique du règlement (UE) n° 910/2014 ou un autre processus sécurisé, électronique ou à distance, reconnu par les autorités nationales |
| b. Identifier le bénéficiaire effectif | Prendre des mesures raisonnables pour vérifier son identité et comprendre la structure de propriété et de contrôle du client |
| c. Comprendre l'objet de la relation | Évaluer l'objet et la nature envisagée de la relation d'affaires et, le cas échéant, obtenir des informations à ce sujet |
| d. Exercer une vigilance constante | Examiner les transactions pendant toute la relation, vérifier leur cohérence avec la connaissance du client et son profil de risque, tenir les documents à jour |
L'étendue des mesures c) et d) dépend de l'appréciation des risques. L'identification du client et du bénéficiaire effectif reste obligatoire dans tous les cas (article 3, paragraphe 2bis).
Les données à recueillir
| Personne | Données minimales (règlement CSSF 12-02, articles 16 et 21) |
|---|---|
| Client personne physique | Nom et prénoms, lieu et date de naissance, nationalité, adresse postale complète de la résidence principale, numéro d'identification national le cas échéant |
| Client personne morale ou construction juridique | Dénomination, forme juridique, adresse du siège et du principal lieu d'activité s'il est différent, numéro d'identification officiel le cas échéant, dirigeants impliqués dans la relation, dispositions régissant le pouvoir d'engager |
| Bénéficiaire effectif | Nom et prénoms, nationalité, date et lieu de naissance, adresse postale complète de la résidence principale ; le numéro d'identité national selon l'appréciation du professionnel |
Au moment de l'identification, le client déclare par écrit s'il agit pour son propre compte ou pour celui d'autrui et s'engage à communiquer sans délai tout changement de bénéficiaire effectif (article 17). Le professionnel s'assure de la crédibilité de cette déclaration. L'article 24 ajoute la collecte et l'analyse de l'origine des fonds du client et des types de transactions prévus, pour comprendre l'objet de la relation.
Vérifier avant d'entrer en relation
La vérification de l'identité du client et du bénéficiaire effectif a lieu avant l'établissement de la relation d'affaires ou l'exécution de la transaction (article 3, paragraphe 4). Elle peut avoir lieu pendant l'établissement de la relation s'il est nécessaire de ne pas interrompre l'activité normale et si le risque est faible, le plus tôt possible après le premier contact, avec des procédures de gestion des risques adaptées. Lorsqu'une nouvelle relation est nouée avec une société ou une construction juridique dont les bénéficiaires effectifs doivent être enregistrés, le professionnel recueille la preuve de l'enregistrement ou un extrait du registre et compare ses informations à celles du registre. Il ne s'appuie toutefois pas exclusivement sur les registres centraux (article 3, paragraphe 2bis). Notre article sur le bénéficiaire effectif et le RBE détaille ce point.
Si le professionnel ne peut pas satisfaire aux mesures a) à c), il n'exécute pas la transaction, n'établit pas la relation, met fin à la relation existante et envisage de transmettre une déclaration d'opération suspecte à la CRF. La tenue de comptes anonymes ou sous des noms manifestement fictifs est interdite.
Adapter l'intensité au risque
Le professionnel classe ses clients selon leur niveau de risque avant de les accepter (règlement CSSF 12-02, article 5). Un risque moins élevé permet la vigilance simplifiée (article 3-1), un risque plus élevé impose la vigilance renforcée (article 3-2), par exemple pour les personnes politiquement exposées et les pays à haut risque. Les articles sur l'approche fondée sur les risques et les personnes politiquement exposées en détaillent les mécanismes.
Conserver et protéger les données
Les professionnels conservent une copie des documents, données et informations de vigilance, ainsi que les justificatifs de transactions, pendant cinq ans après la fin de la relation d'affaires ou après la date de la transaction occasionnelle (article 3, paragraphe 6). Les données personnelles sont traitées uniquement aux fins de prévention du blanchiment, et les nouveaux clients reçoivent les informations RGPD des articles 13 et 14 avant l'entrée en relation (article 3, paragraphe 6bis).
Ce que change le règlement (UE) 2024/1624
À partir du 10 juillet 2027, les mêmes mesures figurent aux articles 19 à 26, avec un seuil de 10 000 euros pour les transactions occasionnelles (article 19), une liste détaillée des données d'identification (article 22) et une mise à jour des données au plus tous les cinq ans, chaque année pour les clients à risque élevé (article 26).
Passer de la règle à la pratique
La leçon 1.2 du cours, La loi du 12 novembre 2004 et ce qu'elle exige vraiment, est gratuite, sans compte : elle montre où l'article 3 s'insère dans la loi. Le cours complet AML/CFT et KYC en pratique au Luxembourg consacre son module 3 à la vigilance : l'évaluation des risques, l'identification du client et de la chaîne qui le contrôle, le bénéficiaire effectif et le registre, les personnes politiquement exposées et l'onboarding à distance. Il compte 30 leçons en sept modules, avec transcriptions et sources officielles, et coûte 99 € pour 12 mois d'accès. Cours en anglais, transcription mot à mot incluse.
Questions fréquentes
Que signifie KYC dans la réglementation luxembourgeoise ?
Le KYC correspond aux mesures de vigilance à l'égard de la clientèle de l'article 3 de la loi du 12 novembre 2004 : identifier et vérifier le client et son bénéficiaire effectif, comprendre l'objet de la relation d'affaires et exercer une vigilance constante.
Peut-on vérifier l'identité après avoir noué la relation ?
En principe non : la vérification a lieu avant la relation ou la transaction. Elle peut avoir lieu pendant l'établissement de la relation s'il faut ne pas interrompre l'activité normale et si le risque de blanchiment est faible, le plus tôt possible après le premier contact (article 3, paragraphe 4).
Que faire si le KYC ne peut pas être complété ?
Le professionnel n'exécute pas la transaction, n'établit pas la relation d'affaires, met fin à la relation existante et envisage de transmettre une déclaration d'opération suspecte à la CRF (article 3, paragraphe 4).
Peut-on se limiter à consulter le registre des bénéficiaires effectifs ?
Non. Les professionnels ne s'appuient pas exclusivement sur les registres centraux pour remplir leurs obligations de vigilance (article 3, paragraphe 2bis, de la loi ; article 22 du règlement CSSF 12-02).
Sources officielles
- Loi du 12 novembre 2004, art. 3 (Legilux, version consolidée applicable au 08/08/2026)
- Règlement CSSF n° 12-02 du 14 décembre 2012 modifié par le règlement CSSF n° 20-05, art. 8 à 11, 16, 17, 21, 22 et 24 (texte coordonné CSSF)
- Règlement (UE) 2024/1624, art. 19, 20, 22 et 26 (EUR-Lex)
- Primary Source, cours AML/CFT et KYC en pratique au Luxembourg (page servie le 11/10/2026)