Règlement CSSF 12-02 : ce qu'il exige des professionnels supervisés par la CSSF

Le règlement CSSF n° 12-02 du 14 décembre 2012, modifié par le règlement CSSF n° 20-05 du 14 août 2020, est le texte opérationnel de la LBC/FT pour les professionnels que la CSSF supervise. Il précise comment appliquer la loi du 12 novembre 2004 : approche par les risques, vigilance à l'égard de la clientèle, organisation interne, formation, coopération avec les autorités et contrôle par le réviseur.

À qui il s'applique

Le règlement s'applique aux professionnels de l'article 2 de la loi qui sont surveillés, agréés ou enregistrés par la CSSF, y compris les succursales luxembourgeoises notifiées de professionnels étrangers et les professionnels étrangers notifiés qui fournissent des services au Luxembourg sans succursale (article 2, paragraphe 1). Les succursales et filiales majoritaires à l'étranger relèvent de l'article 4-1, paragraphe 3, de la loi, qui exige des mesures au moins équivalentes (article 2, paragraphe 2). Les réviseurs d'entreprises, réviseurs d'entreprises agréés et cabinets de révision ne sont pas visés par le règlement (article 2, paragraphe 3).

La structure du règlement

Les articles que les inspecteurs lisent en premier

L'appétence au risque (article 4, paragraphe 4). L'approche fondée sur les risques repose sur la définition de l'appétence au risque de blanchiment et de financement du terrorisme, approuvée par le conseil d'administration et mise en œuvre par la direction autorisée. Les politiques, procédures et contrôles s'alignent sur cette définition, communiquée à tout le personnel de façon précise et compréhensible.

La classification des clients (article 5). Les professionnels classent tous leurs clients selon des niveaux de risque, d'après le type de clients, les pays et zones géographiques, les produits, services et transactions, et les canaux de distribution. L'évaluation a lieu avant l'acceptation du client et s'adapte à tout changement significatif.

L'acceptation d'un nouveau client (articles 8 à 11). Une politique d'acceptation des clients adaptée à l'activité, une autorisation écrite d'un supérieur ou d'un organe désigné, un examen spécifique pour les clients à risque élevé, et la documentation de tout contact.

L'identification (articles 16 à 24). Pour une personne physique : nom et prénoms, lieu et date de naissance, nationalité, adresse postale complète de la résidence principale, numéro d'identification national le cas échéant. Pour une personne morale : dénomination, forme juridique, siège, dirigeants impliqués, pouvoirs d'engager la société. Les bénéficiaires effectifs sont identifiés et vérifiés, et le seul recours aux registres centraux ne suffit pas (article 22).

Les sanctions financières (article 33). La vigilance constante inclut la détection sans délai des États, personnes, entités ou groupes visés par des mesures restrictives en matière financière, l'application immédiate des mesures requises, l'information des autorités compétentes avec copie à la CSSF et la mise à jour sans délai du système de filtrage dès qu'une liste change.

Les deux responsables : RR et RC (articles 40 à 43)

Le professionnel désigne un responsable du respect des obligations professionnelles au niveau de la direction autorisée ou du conseil d'administration, et un responsable du contrôle du respect de ces obligations. Leurs noms, ainsi que toute information préalable à un changement, sont communiqués à la CSSF. Le responsable du contrôle prépare chaque année un rapport de synthèse sur son activité, que le responsable du respect transmet à la CSSF dans les cinq mois qui suivent la clôture de l'exercice (article 42, paragraphes 6 et 7). Les OPC qui ont désigné une société de gestion luxembourgeoise soumettant ce rapport en sont dispensés. Notre article sur le responsable du contrôle LBC/FT et le responsable du respect détaille leurs rôles.

La formation et le contrôle externe (articles 45, 46 et 49)

L'article 46, paragraphe 2, impose un programme de formation et de sensibilisation pour l'ensemble du personnel, documenté par écrit avec sa réalisation. L'article 49 confie au réviseur d'entreprises agréé la vérification du respect des obligations LBC/FT lors de l'audit des comptes annuels, y compris les mesures de formation et de sensibilisation des employés. Le programme attendu est décrit dans notre article sur la formation LBC/FT obligatoire.

Une version coordonnée, deux sources à citer

La CSSF publie un texte coordonné qui intègre les modifications du règlement 20-05. Pour citer une disposition dans un dossier, mentionnez le règlement et sa modification telle que publiée au Mémorial A (consultable sur Legilux), puis l'article concerné.

Passer de la règle à la pratique

Le règlement CSSF 12-02 s'inscrit dans un cadre à quatre niveaux : la loi, le règlement grand-ducal du 1er février 2010, le règlement CSSF et les circulaires. Regardez gratuitement la leçon 1.1 du cours, sans compte ni paiement : elle explique ce que chaque niveau contient et pourquoi la distinction compte.

Le cours complet AML/CFT et KYC en pratique au Luxembourg consacre une leçon au règlement 12-02 et à ses articles sur l'évaluation des risques, le contenu des procédures et le rapport du réviseur. Il compte 30 leçons en sept modules, avec transcriptions mot à mot et sources officielles liées, et coûte 99 € pour 12 mois d'accès. Cours en anglais, transcription mot à mot incluse.