Understand today.
Decide with confidence.

De la notification de l’inspection aux entretiens avec le régulateur : les dix piliers d’une préparation efficace, entre gouvernance, cartographie des risques, qualité des preuves, maîtrise des délégataires et responsabilité des dirigeants.

Une inspection sur place de la Commission de Surveillance du Secteur Financier (CSSF) représente un moment de vérité pour tout établissement réglementé. Elle confronte trois réalités qui devraient être alignées : ce que l’établissement affirme faire, ce que ses procédures prévoient et ce que ses équipes réalisent effectivement.

Une politique AML/CFT peut être parfaitement rédigée sans que les contrôles correspondants soient exécutés avec la régularité attendue. Un comité peut se réunir sans challenger les risques présentés. Un délégataire peut produire des rapports satisfaisants sans que le gestionnaire puisse démontrer une supervision suffisamment indépendante et critique.

La question centrale n’est donc plus seulement « Sommes-nous conformes ? », mais « Pouvons-nous démontrer, preuves à l’appui, que notre conformité fonctionne dans la durée ? »

Cette interrogation est particulièrement pertinente pour les gestionnaires de fonds d’investissement luxembourgeois (IFM), dont les modèles opérationnels reposent souvent sur des structures complexes, une forte délégation des activités et plusieurs niveaux de gouvernance. Voici dix piliers pour structurer une préparation efficace.

La préparation ne devrait pas commencer le jour de la réception de la notification de la CSSF. Une inspection peut, selon le cadre applicable, être annoncée ou intervenir sans préavis. La capacité de répondre doit donc être intégrée au fonctionnement ordinaire.

Pour un IFM, il convient de connaître et de maîtriser son périmètre réglementaire : loi du 12 juillet 2013, loi du 17 décembre 2010 lorsque pertinente, circulaire CSSF 18/698, législation AML/CFT et autres textes sectoriels applicables.

·        Évaluation périodique de la préparation aux inspections (« inspection readiness assessment »).

·        Cartographie des obligations et rapprochement avec les contrôles réellement exécutés.

·        Suivi formalisé des constats d’audit, recommandations et remédiations.

·        Simulations ciblées (« mock inspections ») et identification des propriétaires de processus.

Une organisation préparée n’attend pas l’inspection pour découvrir ses faiblesses.

L’inspection ne devrait pas devenir le projet exclusif de Compliance. Elle mobilise le Conseil d’administration, les Conducting Officers, les fonctions de contrôle interne, les équipes opérationnelles et, le cas échéant, les prestataires.

Dès la notification, une coordination centralisée doit définir les rôles, l’escalade des difficultés, les modalités de validation des réponses et les délais. Le coordinateur n’efface pas la responsabilité des propriétaires des processus.

Acteur

Responsabilité dominante

Conseil d’administration

Supervision et suivi des risques significatifs

Conducting Officers

Mobilisation des ressources et cohérence des réponses

Compliance / RC

Coordination réglementaire et challenge

Risk Management

Méthodologies, risques et contrôles

Opérations

Production des preuves et démonstration des processus

Legal / DPO / IT

Assistance juridique, confidentialité et systèmes

Délégataires

Informations et preuves relatives aux prestations

La gouvernance de l’inspection constitue elle-même un révélateur de la gouvernance de l’établissement.

La cartographie doit expliquer comment les risques sont identifiés, évalués, maîtrisés et suivis. Dans le contexte AML/CFT, cela inclut, selon le modèle d’activité, investisseurs, actifs, contreparties, structures de détention, juridictions et transactions.

Pour un AIFM exposé aux investissements de private equity, le test consiste à suivre la chaîne : identification des risques → classification motivée → mesures de diligence et de surveillance → contrôles d’efficacité → traitement des anomalies.

Une notation élevée sans mesures renforcées adaptées, ou une révision de notation sans justification traçable, peut révéler une rupture entre évaluation et maîtrise du risque.

La méthodologie n’est convaincante que si ses conséquences opérationnelles sont visibles.

Le volume de documentation disponible ne prouve pas, à lui seul, la conformité. L’enjeu consiste à retrouver la version applicable, le propriétaire, l’approbation, l’exécution et les résultats des contrôles.

Un « regulatory evidence pack » utile distingue la preuve de conception (contrôle défini), la preuve d’exécution (contrôle réalisé) et la preuve d’efficacité (anomalies détectées et corrigées). Chaque élément devrait être relié à une source, une période, un responsable et, lorsque nécessaire, une validation.

Domaine

Exemples de preuves

Gouvernance

Mandats, procès-verbaux, organigrammes, reporting

Compliance / AML/CFT

Politiques, risk assessments, contrôles, KYC/KYA, escalades

Délégataires

Contrats, due diligence, SLA, rapports et incidents

Risk Management

Méthodologies, limites et dépassements

Audit et formation

Plans, constats, suivi et attestations

ICT / DORA

Registres, incidents, prestataires et résilience

Il ne s’agit pas de produire davantage de documents, mais de rendre les preuves vérifiables et cohérentes.

L’inspection peut examiner comment les obligations se traduisent dans les dossiers et décisions : connaissance des relations d’affaires, surveillance, sanctions, PEP, bénéficiaires effectifs, escalades et suivi des alertes.

Une alerte sanctions clôturée comme faux positif doit comporter une justification exploitable. Une revue périodique clôturée doit démontrer la réévaluation des données et risques pertinents. Une exposition élevée devrait conduire aux diligences et approbations appropriées.

Les contrôles doivent rester proportionnés au risque, mais la proportionnalité ne justifie ni une absence de diligence ni une décision non traçable.

La qualité d’un dispositif AML/CFT se mesure à la pertinence des décisions et à leur traçabilité, pas simplement au nombre d’alertes clôturées.

Le recours à des portfolio managers, administrateurs, agents de registre, prestataires TIC et autres délégataires est structurel dans l’industrie des fonds. La délégation n’emporte toutefois pas transfert automatique des obligations de supervision de l’IFM.

Le gestionnaire doit pouvoir démontrer qu’il comprend suffisamment les fonctions déléguées pour identifier les défaillances et agir : due diligence initiale, contrats et responsabilités, indicateurs, revues périodiques, challenge des rapports, suivi des incidents et sous-délégation lorsque pertinente.

La robustesse du dispositif se juge particulièrement en cas d’incident : constatation, escalade, décision, remédiation et test d’efficacité.

Recevoir un rapport de délégataire n’est pas équivalent à exercer une surveillance.

Les entretiens permettent d’évaluer la compréhension des risques, des obligations et du fonctionnement des contrôles. L’objectif n’est pas de mémoriser des réponses standardisées, mais de savoir justifier les décisions relevant de chaque responsabilité.

Il vaut mieux indiquer qu’une information sera vérifiée et transmise que fournir une réponse approximative contredite ensuite par les pièces.

1.      Quels sont les trois risques réglementaires les plus significatifs ?

2.      Comment la cartographie des risques détermine-t-elle les contrôles ?

3.      Quels contrôles ont révélé des anomalies sur les douze derniers mois ?

4.      Comment le Conseil est-il informé des risques résiduels ?

5.      Quels arbitrages récents démontrent un challenge réel de la gouvernance ?

6.      Comment l’efficacité des délégataires est-elle vérifiée ?

7.      Quelles recommandations demeurent ouvertes et pourquoi ?

8.      Comment les conflits d’intérêts sont-ils identifiés et traités ?

9.      Quels sont les risques principaux liés aux données et aux prestataires TIC ?

10.  Comment démontrer la réelle efficacité des actions correctrices ?

La crédibilité repose autant sur la maîtrise des sujets que sur la transparence.

Les données alimentant les reportings, évaluations des risques et tableaux de bord doivent pouvoir être rapprochées des systèmes opérationnels. Un taux de réalisation des revues périodiques n’a de valeur que si l’on peut expliquer son dénominateur, sa période, la définition d’une revue achevée et les contrôles d’exhaustivité.

Lors de migrations d’outils KYC ou de surveillance, les vérifications doivent couvrir complétude, intégrité, correspondance des champs, relations entre entités, historique des décisions et réconciliation des données.

La qualité réglementaire d’un indicateur dépend de la fiabilité de son calcul et de sa reproductibilité.

Un registre centralisé doit associer à chaque demande un identifiant, une description, une date, un responsable, une échéance et un statut. Les documents devraient être contrôlés avant transmission : version, pertinence, complétude et respect des règles de confidentialité applicables.

Il faut éviter les corrections rétroactives opaques. Des mesures correctrices légitimes peuvent intervenir pendant l’inspection, mais elles doivent être datées et clairement distinguées de la situation historique.

Référence

Demande

Responsable

Statut

OSI-001

Organigramme et responsabilités

Legal / Compliance

À transmettre

OSI-002

Risk assessment AML/CFT

Compliance

En revue

OSI-003

Échantillon KYC

AML Team

En cours

OSI-004

Surveillance des délégataires

Conducting Officer

À transmettre

OSI-005

Suivi des recommandations

Audit / Compliance

En revue

Une inspection ne doit jamais conduire à reconstruire le passé.

La fin des travaux sur place ne clôt pas le processus. Chaque constat significatif doit être relié à une analyse des causes racines, au risque correspondant, à des actions correctrices, à un propriétaire, à une échéance et à des preuves de réalisation et d’efficacité.

Un défaut de traçabilité des validations ne se corrige pas uniquement en modifiant une procédure : il peut nécessiter des ajustements de l’outil, des responsabilités, une formation et un nouveau test sur échantillon.

Le Conseil d’administration et les Conducting Officers devraient recevoir une information proportionnée sur les risques, retards et résultats de remédiation.

Une recommandation est réellement résolue lorsque le contrôle corrigé fonctionne.

Lorsque le calendrier d’inspection le permet, le séquencement ci-dessous peut guider la coordination. Il ne correspond pas à un délai prescrit par la CSSF et doit être adapté à la notification reçue.

Période

Objectif et livrables

J-30 à J-21

Cadrer le périmètre, mobiliser les responsables, établir l’inventaire documentaire et détecter les lacunes

J-20 à J-11

Vérifier dossiers, reportings, preuves de contrôles, délégataires et remédiations

J-10 à J-6

Simuler les entretiens, demandes et extractions ; identifier les incohérences

J-5 à J-1

Valider les pièces, sécuriser les canaux et préparer les interlocuteurs

Jour J

Répondre de manière factuelle, cohérente et traçable

Dimension

Question de gouvernance

Design — Conception

Le dispositif est-il adapté aux exigences et aux risques ?

Implementation — Mise en œuvre

Les moyens, responsabilités et outils sont-ils déployés ?

Execution — Exécution

Les contrôles sont-ils effectivement réalisés ?

Effectiveness — Efficacité

Les anomalies sont-elles détectées et corrigées ?

Evidence — Démonstration

Les quatre dimensions précédentes peuvent-elles être prouvées ?

Cette grille constitue un outil d’analyse professionnel et non un référentiel officiel de la CSSF. Elle permet néanmoins de distinguer la conformité documentaire de la maîtrise effective des risques.

La préparation d’une inspection oblige l’établissement à confronter son organisation formelle à ses pratiques effectives, ses déclarations à ses preuves et ses responsabilités théoriques aux décisions prises. Cet exercice est particulièrement important pour les IFM luxembourgeois, dans un environnement de délégation étendue, de structures d’investissement

De l'obligation légale à la responsabilité des dirigeants : pourquoi la prévention du harcèlement doit devenir un véritable indicateur de l'efficacité de la gouvernance d'entreprise.

Luxembourg | Gouvernance d'entreprise · Compliance · Droit du travail · Gestion des risques

Introduction — Une entreprise peut-elle être conforme sur le papier et défaillante dans les faits ?

Une entreprise peut disposer d'un code de conduite exemplaire, d'une politique de tolérance zéro, d'un dispositif d'alerte interne, de formations obligatoires et d'une procédure disciplinaire parfaitement documentée.

Elle peut néanmoins être incapable de répondre à trois questions fondamentales :

Un salarié peut-il signaler un comportement de harcèlement sans craindre pour sa carrière ? Lorsqu'une alerte implique un dirigeant ou un collaborateur influent, peut-elle être examinée de manière véritablement indépendante ? Et comment l'entreprise démontre-t-elle que les mesures adoptées ont effectivement protégé la personne concernée ?

Ces questions révèlent une distinction essentielle entre conformité formelle et gouvernance effective.

Au Luxembourg, le dispositif juridique de protection contre le harcèlement au travail s'est progressivement renforcé, notamment avec la loi du 29 mars 2023 introduisant un cadre légal spécifique au harcèlement moral dans le Code du travail.

Mais le véritable enjeu de gouvernance dépasse désormais la simple existence d'un dispositif réglementaire.

Il réside dans la capacité de l'organisation à démontrer que ses engagements produisent des résultats concrets, que les responsabilités sont clairement attribuées et qu'aucune considération hiérarchique, commerciale ou réputationnelle ne peut neutraliser la protection des salariés.

Car une politique anti-harcèlement ne constitue pas, à elle seule, la preuve d'une entreprise protectrice. Elle constitue seulement le point de départ de sa responsabilité.

1. Le droit luxembourgeois impose déjà une responsabilité active à l'employeur

Le cadre juridique luxembourgeois repose principalement sur deux régimes complémentaires, dont les définitions et les mécanismes ne sont pas identiques.

Le harcèlement moral : une obligation de prévention, d'intervention et d'investigation

La loi du 29 mars 2023 a introduit les articles L.246-1 et suivants dans le Code du travail.

Le harcèlement moral y est défini par référence à une conduite qui, par sa répétition ou sa systématisation, porte atteinte à la dignité ou à l'intégrité psychique ou physique d'une personne.

Le champ de protection ne se limite pas au bureau : il peut englober les déplacements professionnels, les formations et les communications liées au travail, y compris en dehors des horaires habituels.

L'article L.246-3 impose à l'employeur une démarche qui comprend notamment la prévention, la mise à disposition de moyens d'assistance, l'investigation rapide et impartiale des faits et l'intervention pour faire cesser immédiatement les comportements de harcèlement dont il a connaissance.

Les mesures de prévention doivent être déterminées après information et consultation de la délégation du personnel ou, à défaut, de l'ensemble du personnel.

Il ne s'agit donc pas uniquement d'interdire des comportements. Il s'agit d'organiser les conditions dans lesquelles ces comportements peuvent être prévenus, détectés et traités.

Le harcèlement sexuel : une protection qui ne dépend pas nécessairement de la répétition

Les articles L.245-1 à L.245-8 du Code du travail encadrent spécifiquement le harcèlement sexuel.

Contrairement au régime du harcèlement moral, la qualification du harcèlement sexuel ne suppose pas nécessairement des agissements répétés.

Un comportement physique, verbal ou non verbal peut être concerné lorsqu'il réunit les conditions légales relatives à son caractère indésirable, à ses conséquences sur la dignité ou à son utilisation dans les décisions professionnelles.

L'employeur doit prévenir ces comportements, protéger la dignité des personnes et faire cesser immédiatement les faits de harcèlement sexuel dont il a connaissance, y compris lorsque ceux-ci impliquent des clients ou fournisseurs.

La conséquence en matière de gouvernance est majeure : la responsabilité de l'entreprise ne commence pas lorsqu'une victime introduit une procédure judiciaire. Elle commence bien avant, dans sa capacité à identifier les situations à risque et à intervenir dès qu'elle dispose d'informations pertinentes.

Une organisation qui attend une plainte formelle, une qualification juridique définitivement établie ou une décision de justice avant de prendre des mesures conservatoires proportionnées s'expose à une défaillance grave de son dispositif de protection.

2. Le paradoxe de la tolérance zéro : une politique peut exister sans être appliquée

L'expression « tolérance zéro » figure désormais dans de nombreuses chartes éthiques et politiques RH.

Elle présente cependant un risque : celui de devenir une affirmation institutionnelle qui ne correspond pas à la réalité vécue.

Une entreprise peut afficher une politique de tolérance zéro tout en tolérant implicitement certains comportements lorsqu'ils proviennent d'un dirigeant, d'un responsable commercial performant ou d'un collaborateur considéré comme indispensable.

C'est précisément à cet endroit que le harcèlement cesse d'être uniquement une problématique individuelle pour devenir un problème structurel de gouvernance.

Prenons un exemple.

Un responsable commercial fait régulièrement l'objet de signalements concernant des remarques humiliantes, des propos à connotation sexuelle ou des comportements intimidants.

La direction connaît ces difficultés, mais considère que ce responsable représente une contribution majeure au chiffre d'affaires.

Les alertes sont traitées informellement. Les collaborateurs concernés sont invités à faire preuve de compréhension. Les comportements se poursuivent.

Dans cette situation, le risque ne provient plus uniquement du comportement du manager.

Il résulte également de la décision de l'organisation de privilégier la performance économique au détriment de son obligation de protection.

Trois défaillances de gouvernance apparaissent alors :

• Une défaillance de responsabilité : les personnes ayant connaissance des faits n'interviennent pas de manière adéquate.
• Une défaillance de contrôle : aucun mécanisme indépendant ne remet en cause l'appréciation de la hiérarchie.
• Une défaillance culturelle : les salariés comprennent progressivement que les règles ne s'appliquent pas avec la même rigueur à tous.

Le véritable indicateur d'une politique de tolérance zéro n'est donc pas le nombre de déclarations institutionnelles.

C'est la capacité de l'entreprise à appliquer les mêmes principes de protection et d'impartialité, indépendamment du pouvoir, du statut ou de la performance de la personne mise en cause.

3. Lorsque le supérieur hiérarchique est mis en cause, la gouvernance doit pouvoir fonctionner sans lui

Une difficulté majeure des dispositifs anti-harcèlement réside dans la dépendance hiérarchique des salariés.

Dans de nombreuses organisations, la première étape recommandée consiste à signaler une difficulté au responsable direct.

Ce mécanisme peut être parfaitement adapté à certaines situations.

Il devient toutefois problématique lorsque le responsable direct est lui-même impliqué dans les faits rapportés.

Le salarié se retrouve alors confronté à un conflit structurel : celui qui exerce une autorité sur ses évaluations, ses promotions, ses responsabilités et parfois son maintien dans l'organisation devient également la personne qu'il devrait mettre en cause.

Cette asymétrie de pouvoir peut rendre théorique l'existence même d'un dispositif d'alerte.

Une gouvernance efficace doit par conséquent prévoir des voies alternatives permettant de contourner les conflits d'intérêts.

Celles-ci peuvent inclure une fonction RH indépendante de la ligne managériale concernée, une personne de confiance, un interlocuteur désigné, la délégation du personnel ou, lorsque les circonstances le justifient, un intervenant externe.

La confidentialité doit être préservée dans les limites nécessaires à une investigation équitable. Elle ne doit pas devenir un moyen de dissimuler les faits ou d'empêcher les personnes concernées d'exercer leurs droits.

Le principe devrait être clair :

Aucune personne mise en cause ne devrait pouvoir contrôler l'orientation, l'investigation ou la conclusion du signalement qui la concerne.

Cette exigence d'indépendance ne peut pas rester théorique. Elle doit être intégrée dans les règles de récusation, les modalités de désignation des enquêteurs et les mécanismes d'escalade.

4. Le conseil d'administration ne devrait plus considérer le harcèlement comme un sujet exclusivement RH

Historiquement, les situations de harcèlement sont fréquemment abordées comme des questions de ressources humaines, de discipline ou de relations interpersonnelles.

Cette approche apparaît aujourd'hui insuffisante.

Le harcèlement peut révéler des défaillances de gouvernance dans plusieurs dimensions de l'entreprise : culture managériale, gestion des risques psychosociaux, contrôle interne, organisation des responsabilités et efficacité des dispositifs d'alerte.

Il peut également générer des conséquences juridiques, sociales, réputationnelles et opérationnelles importantes.

Dès lors, la supervision de ce risque mérite une attention appropriée au niveau des organes dirigeants, selon la taille, la structure et la nature de l'organisation.

Cela ne signifie pas que le conseil d'administration doive intervenir directement dans chaque plainte individuelle.

Au contraire, son rôle devrait être de s'assurer que le dispositif fonctionne sans interférer dans l'indépendance des investigations.

Une supervision efficace pourrait notamment s'articuler autour de quatre questions :

Premièrement : l'entreprise a-t-elle identifié les situations où les risques de harcèlement sont particulièrement élevés ?

Certaines activités présentent des facteurs de vulnérabilité spécifiques : travail isolé, rapports hiérarchiques fortement asymétriques, dépendance à des clients importants, contrats précaires, objectifs commerciaux particulièrement exigeants ou interactions professionnelles dans des environnements peu supervisés.

Deuxièmement : les personnes chargées de traiter les alertes disposent-elles de l'indépendance, des compétences et des ressources nécessaires ?

Troisièmement : les incidents significatifs donnent-ils lieu à une analyse des causes organisationnelles, au-delà de la responsabilité individuelle ?

Quatrièmement : les mesures correctrices sont-elles effectivement appliquées et leur efficacité est-elle vérifiée ?

Une telle démarche s'inscrit dans une conception moderne de la gouvernance : celle où les dirigeants ne se limitent plus à approuver des politiques, mais cherchent à obtenir une assurance raisonnable sur leur fonctionnement réel.

Cette supervision relève d'une bonne pratique de gouvernance proportionnée ; elle ne doit pas être présentée comme une obligation légale identique pour tous les conseils d'administration luxembourgeois.

5. La véritable innovation : passer d'une politique de prévention à un dispositif de protection démontrable

Dans les domaines de la conformité financière, de la lutte contre le blanchiment ou de la gestion des risques, un principe s'est progressivement imposé : une mesure de contrôle qui ne peut être démontrée demeure difficile à évaluer.

Ce raisonnement mérite d'être transposé, avec les adaptations nécessaires, à la prévention du harcèlement.

Il ne suffit plus de pouvoir affirmer que des formations ont été organisées ou qu'un canal de signalement existe.

L'organisation devrait pouvoir établir que les contrôles fonctionnent effectivement.

Cette approche repose sur trois niveaux distincts.

Les trois niveaux d'une protection démontrable

Niveau 1 — Le dispositif existe

Politique écrite, responsabilités, canaux de signalement, information et formation.

Niveau 2 — Le dispositif fonctionne

Alertes prises en charge, investigations impartiales, décisions motivées et mesures de protection adaptées.

Niveau 3 — Le dispositif protège effectivement

Absence de représailles identifiées, maîtrise du risque de récurrence, correction des défaillances et vérification de l'efficacité des actions.

Cette distinction est fondamentale.

Une formation suivie par 100 % des salariés démontre que la formation a été dispensée. Elle ne démontre pas que les salariés savent identifier un comportement inapproprié, qu'ils osent le signaler ou que l'entreprise répond efficacement.

De la même manière, une enquête clôturée ne signifie pas nécessairement que le risque a disparu.

La conformité mesure souvent la réalisation d'une action. La gouvernance efficace doit également s'intéresser aux effets réels de cette action.

6. L'enquête interne : le moment où se révèle la maturité de la gouvernance

Lorsqu'une entreprise reçoit une alerte, sa crédibilité se joue souvent dans les premières décisions prises.

Qui reçoit l'information ? Qui apprécie les mesures de protection immédiates ? Qui décide de l'ouverture d'une investigation ? Qui enquête ? Qui valide les conclusions ? Et qui vérifie que la personne ayant signalé les faits ne subit aucune conséquence défavorable ?

Ces décisions doivent être organisées avant la survenance d'une crise.

En matière de harcèlement moral, le droit luxembourgeois prévoit expressément une investigation rapide et impartiale parmi les mesures de prévention à déterminer par l'employeur.

L'enquête ne doit toutefois pas être confondue avec un mécanisme destiné à confirmer une conclusion préétablie.

Elle doit rechercher les faits, dans le respect des droits de l'ensemble des personnes concernées, y compris la personne mise en cause.

La présomption d'innocence lorsqu'elle est applicable, l'équité procédurale, la proportionnalité des mesures et la confidentialité constituent des éléments essentiels d'un traitement responsable.

Une organisation mature devrait également documenter les raisons de ses décisions : pourquoi tel enquêteur a été désigné, pourquoi telle mesure provisoire a été adoptée, quels éléments ont été examinés et quelles suites ont été données.

Cette traçabilité doit demeurer strictement proportionnée, avec un accès limité aux personnes habilitées, des durées de conservation justifiées et le respect du RGPD.

L'enjeu n'est pas d'accumuler des informations sensibles.

Il est de permettre une prise de décision fiable, équitable et vérifiable.

Le scénario le plus révélateur : l'alerte visant un dirigeant

Imaginons qu'une salariée signale des propos sexuels répétés, des invitations insistantes et des comportements intimidants de la part d'un membre de la direction.

Le responsable RH entretient une relation hiérarchique directe avec cette personne. Le dirigeant concerné participe également à l'évaluation de sa performance.

Une procédure formellement correcte pourrait alors devenir inefficace si elle confiait au responsable RH l'intégralité des décisions relatives à l'enquête, sans mécanisme de récusation ou d'escalade.

Une gouvernance robuste devrait permettre de confier l'examen de la situation à une personne indépendante, interne ou externe, selon les circonstances.

Ce n'est pas un détail procédural.

L'indépendance de celui qui examine une alerte peut déterminer la crédibilité de l'ensemble du système de protection.

7. Les représailles : le risque invisible qui peut neutraliser toute politique anti-harcèlement

Une entreprise peut traiter une alerte, sanctionner un comportement et néanmoins échouer à protéger la personne concernée.

Le risque de représailles ne prend pas toujours la forme d'une sanction disciplinaire explicite.

Il peut se manifester de manière plus diffuse : exclusion progressive de réunions, retrait de responsabilités, dégradation inexpliquée des évaluations, isolement professionnel ou modification défavorable des perspectives d'évolution.

Toutes ces situations ne constituent pas automatiquement des représailles illicites. Mais elles représentent des signaux susceptibles de justifier un examen circonstancié.

Le Code du travail luxembourgeois prévoit des protections contre les représailles dans les régimes du harcèlement moral et sexuel. Il interdit également que les mesures destinées à faire cesser les faits soient prises au détriment de la victime.

La question de gouvernance dépasse donc le simple traitement de l'incident initial.

Une entreprise devrait s'intéresser à ce qui se produit après l'alerte.

La personne concernée conserve-t-elle des conditions de travail équitables ? Les décisions managériales ultérieures sont-elles objectivement justifiées ? Les éventuels contacts professionnels avec la personne mise en cause sont-ils organisés de manière protectrice ?

Une mesure particulièrement pertinente consiste à mettre en place, lorsque la situation le justifie, un suivi confidentiel à échéances déterminées.

Ce suivi ne doit pas devenir une surveillance de la victime. Il doit permettre d'identifier d'éventuelles conséquences défavorables et d'intervenir rapidement.

Une entreprise ne démontre pas qu'elle protège un salarié simplement parce qu'elle a clôturé son dossier.

Elle commence à le démontrer lorsqu'elle peut établir que la personne a pu retrouver ou conserver un environnement professionnel sûr, sans subir de préjudice supplémentaire lié au signalement.

8. Les indicateurs que les dirigeants devraient réellement examiner

Si la prévention du harcèlement devient un sujet de gouvernance, elle devrait faire l'objet d'un suivi structuré.

Mais attention : la recherche d'indicateurs ne doit pas transformer une problématique humaine en exercice purement statistique.

Un faible nombre de plaintes ne constitue pas nécessairement une bonne nouvelle.

Il peut refléter un environnement respectueux. Il peut aussi révéler une absence de confiance dans les dispositifs de signalement.

De même, une augmentation des alertes peut indiquer une dégradation de la situation ou, au contraire, une amélioration de la confiance des salariés.

C'est pourquoi les indicateurs doivent être interprétés ensemble, dans leur contexte.

Voici un modèle de tableau de bord qui pourrait être utilisé par une direction générale ou un comité compétent.

Dimension

Indicateur proposé

Question de gouvernance

Private equity, dette privée, immobilier, infrastructures : derrière la sophistication des modèles de valorisation se pose une question fondamentale de gouvernance. Comment garantir l’indépendance d’une valeur lorsque ceux qui contribuent à sa détermination ont également un intérêt économique dans son évolution ?

Dans l’industrie luxembourgeoise des fonds d’investissement alternatifs, la valorisation des actifs est traditionnellement abordée sous un angle technique : méthodologies financières, modèles d’actualisation, multiples de marché, hypothèses économiques, contrôles comptables et détermination de la valeur nette d’inventaire (VNI). Cette approche est nécessaire. Mais elle est insuffisante.

Car derrière chaque valeur retenue se trouvent des décisions humaines : sélectionner une méthode, privilégier certains comparables, apprécier une prime de risque, maintenir des projections de croissance ou déterminer si une détérioration économique justifie une correction de valeur. Ces décisions peuvent être prises, proposées ou influencées par des acteurs dont la rémunération, la réputation professionnelle ou les intérêts économiques dépendent de la performance affichée.

Le risque ne réside pas nécessairement dans une valorisation incorrecte. Il réside aussi dans l’impossibilité de démontrer que la valorisation aurait été identique en l’absence d’intérêts économiques susceptibles de l’influencer.

Une valeur peut être techniquement plausible et méthodologiquement défendable tout en résultant d’un processus décisionnel insuffisamment indépendant. À l’inverse, une rémunération liée à la performance ne prouve pas, à elle seule, qu’un conflit d’intérêts est mal géré. Il faut distinguer l’intérêt économique, sa capacité à influencer une décision et l’efficacité des dispositifs qui préviennent cette influence.

Le 4 juin 2026, la CSSF a publié sa revue thématique consacrée aux dispositifs de valorisation des actifs moins liquides et illiquides. Elle attend des gestionnaires concernés une évaluation de leurs pratiques à la lumière des observations et recommandations publiées et, si nécessaire, des mesures correctrices. La valorisation figure également parmi les priorités de supervision de la CSSF en 2026.

Ce qui pouvait être considéré comme une problématique principalement technique réservée aux équipes Finance ou Valuation relève désormais pleinement de la gouvernance. La question n’est plus simplement de savoir si le fonds dispose d’une politique de valorisation, mais si cette architecture garantit un jugement indépendant lorsque les enjeux économiques deviennent significatifs.

Dans un fonds alternatif, la valorisation d’une participation non cotée peut influencer plusieurs dimensions :

·        La performance présentée aux investisseurs, notamment les indicateurs TVPI et IRR.

·        Les commissions de gestion, lorsque leur assiette dépend de la VNI.

·        La reconnaissance ou l’estimation d’une rémunération variable, selon les clauses contractuelles.

·        Les décisions de souscription, de rachat, de transfert ou de refinancement.

·        La réputation du gestionnaire et sa capacité à lever de nouveaux capitaux.

Tous les fonds ne rémunèrent pas leurs gestionnaires sur la VNI : en private equity, les commissions peuvent dépendre des engagements ou du capital investi et le carried interest obéit généralement à des mécanismes de distribution, de rendement et de réalisation. Même sans déclenchement immédiat d’un paiement, une performance latente favorable peut néanmoins influencer la communication commerciale, les évaluations internes ou certaines opérations futures.

Le conflit potentiel apparaît lorsque celui qui contribue à produire une valeur détient aussi un intérêt significatif dans ses conséquences, sans contrôle indépendant proportionné.

L’article 19 de la directive 2011/61/UE (AIFMD) prévoit que la fonction de valorisation peut être confiée à un évaluateur externe ou exercée par l’AIFM lui-même. Dans ce second cas, elle doit être fonctionnellement indépendante de la gestion de portefeuille ; les politiques de rémunération et les autres mesures doivent permettre d’atténuer les conflits d’intérêts.

Le règlement délégué (UE) n° 231/2013 précise ce cadre. Son article 71 vise, parmi les circonstances nécessitant une revue spécifique lorsque le risque de valorisation inappropriée est significatif, l’influence de parties liées, d’entités intéressées à la performance du fonds ou de personnes au sein de l’AIFM.

Un modèle peut être exact d’un point de vue mathématique tandis que les hypothèses qui l’alimentent demeurent insuffisamment challengées. L’externalisation de la valorisation ne décharge pas non plus l’AIFM de ses responsabilités réglementaires.

L’indépendance n’est pas une qualité déclarée dans une politique : c’est une caractéristique du processus qui doit pouvoir être démontrée.

Supposons un portefeuille fictif générant des flux annuels de 10 millions d’euros pendant dix ans, sans valeur terminale, afin d’isoler l’effet du taux d’actualisation. À 9 %, sa valeur actualisée est d’environ 64,18 millions d’euros ; à 9,5 %, elle est d’environ 62,78 millions d’euros, soit un écart d’environ 1,40 million d’euros.

Un tel écart n’implique aucune fraude : les deux taux peuvent être argumentés sur la base de différentes hypothèses de marché. L’enjeu de gouvernance est de comprendre pourquoi une hypothèse prévaut, si une objection indépendante a été prise en compte et si l’arbitrage aurait été le même en l’absence d’intérêt économique.

Un contrôle indépendant ne choisit pas systématiquement la valeur la plus prudente : il permet de retenir la valeur la mieux justifiée.

Une équipe de valorisation peut dépendre hiérarchiquement de la gestion de portefeuille ; un comité peut être principalement composé de représentants de l’investissement ; un évaluateur externe peut s’appuyer presque exclusivement sur des projections fournies par le gestionnaire ; les objections du Risk Management peuvent être écartées sans motivation suffisante.

Aucune de ces circonstances ne constitue nécessairement une infraction prise isolément. Leur portée dépend du contexte et des protections existantes. Elles révèlent toutefois le risque d’une confusion entre la production, le contrôle et l’approbation de l’information.

Il convient de distinguer indépendance juridique, organisationnelle et effective. La dernière se mesure à la capacité réelle d’exercer un challenge et de faire modifier une proposition lorsqu’une correction est justifiée.

Question de gouvernance

Preuve attendue

Qui bénéficie de la valeur retenue ?

Cartographie des intérêts économiques et modalités de rémunération.

Qui détermine les hypothèses clés ?

Identification des contributeurs et droits de modification.

Qui peut contester la valeur ?

Avis indépendants et analyses alternatives.

Qui arbitre les désaccords ?

Procès-verbaux, décisions motivées et récusations éventuelles.

La valeur a-t-elle été confrontée à la réalité ?

Backtesting et analyses des écarts avec les réalisations.

Une interrogation particulièrement utile est la suivante : combien de propositions de valorisation ont été substantiellement modifiées après un challenge indépendant, et pourquoi ? L’absence de modifications n’est pas nécessairement une faiblesse, mais l’absence systématique de désaccords documentés mérite d’être comprise dans les portefeuilles complexes.

A. Cartographier les intérêts propres à la valorisation

Examiner les liens entre valorisation, carried interest, commissions, bonus, refinancements et opérations intragroupe.

B. Challenger les hypothèses et non seulement les calculs

Mettre à l’épreuve projections de revenus, marges, multiples, taux d’actualisation, paramètres de crédit et primes de liquidité.

C. Renforcer les contrôles lors des événements sensibles

Porter une attention accrue aux transactions entre parties liées, transferts vers des continuation funds, refinancements et déclenchements de rémunération.

D. Conserver la trace des désaccords

Documenter les hypothèses contestées, les arguments, les personnes impliquées et la justification de l’arbitrage.

E. Mesurer les écarts ex post

Utiliser backtesting et calibration pour réexaminer modèles, jugements et mécanismes décisionnels.

La Compliance n’a pas à déterminer le taux d’actualisation ou recalculer systématiquement les participations. Sa contribution consiste à évaluer l’identification et la gestion des conflits, les règles de récusation, l’application des procédures et la traçabilité des arbitrages. La valorisation elle-même demeure de la responsabilité des fonctions désignées dans l’organisation de l’AIFM, avec les contrôles appropriés, notamment ceux du Risk Management.

La Compliance n’a pas à certifier chaque valeur ; elle doit contribuer à vérifier que les dispositifs empêchant les influences indues fonctionnent effectivement.

Les tableaux de bord pourraient suivre les valorisations sensibles ayant reçu un challenge indépendant, les désaccords significatifs et leur résolution, les écarts entre valeurs estimées et prix de réalisation, les conflits potentiels lors de transferts entre véhicules liés et la qualité des justifications documentées.

Ces métriques ne doivent pas devenir des objectifs mécaniques : davantage de contestations ne signifie pas automatiquement une meilleure gouvernance. Elles servent à signaler les situations exigeant un approfondissement et peuvent enrichir le Management Information présenté aux Conducting Officers et aux administrateurs.

Imaginons qu’un gestionnaire propose une progression de 15 % de la valeur d’une participation et qu’une revue indépendante conclue que les hypothèses disponibles ne justifient que 5 %. Le dispositif permet-il à cette revue d’être défendue sans pression ? Le désaccord remonte-t-il au bon niveau ? Les personnes en conflit éventuel sont-elles identifiées ? La décision est-elle motivée et auditable ?

Surtout, les mêmes exigences auraient-elles été appliquées si l’ajustement proposé avait favorisé le gestionnaire ? L’indépendance ne signifie pas retenir systématiquement une valeur défavorable, mais appliquer la même rigueur à tous les scénarios.

À mesure que les marchés privés se développent, les prix observables se raréfient, le jugement gagne en importance et la gouvernance devient centrale pour la fiabilité de l’information financière. La maturité ne consiste pas à multiplier les politiques et les comités, mais à établir que les mécanismes de contrôle résistent précisément lorsque les intérêts économiques sont les plus puissants.

Le risque ne commence pas avec le seul intéressement à la performance. Il devient critique lorsque cet intérêt peut influencer la valeur sans qu’un mécanisme indépendant puisse réellement lui résister.

La question décisive est donc la suivante : notre gouvernance protège-t-elle réellement l’indépendance de la valorisation, ou protège-t-elle surtout la cohérence des décisions déjà prises ?

1.      Directive 2011/61/UE (AIFMD), article 19 — Valorisation des actifs des FIA.

2.      Règlement délégué (UE) n° 231/2013, notamment articles 30 à 36 et 67 à 74 — conflits d’intérêts, valorisation et contrôles. https://eur-lex.europa.eu/eli/reg_del/2013/231/oj

3.      Loi luxembourgeoise du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs, notamment article 17.

4.      CSSF, 4 juin 2026, Thematic Review — Valuation framework for less liquid and illiquid assets. https://www.cssf.lu/

5.      CSSF, The CSSF’s 2026 priorities for supervising the investment fund sector. https://www.cssf.lu/

Analyse professionnelle générale établie au 8 octobre 2026. Les propositions organisationnelles allant au-delà des obligations explicites constituent des bonnes pratiques à adapter à la nature, à la taille et à la complexité du gestionnaire.

Pendant longtemps, la qualité de la gouvernance bancaire s’est appréciée à travers son architecture : un Board, des comités spécialisés, trois lignes de défense, des politiques, des procédures, des délégations de pouvoirs et une multitude de reportings.

Cette architecture reste indispensable.

Mais elle ne suffit plus.

Le véritable enjeu qui se dessine aujourd’hui pour les banques luxembourgeoises est différent : peuvent-elles démontrer, pour chaque décision importante et chaque risque significatif, qui avait la responsabilité d’agir, qui devait challenger, qui contrôlait, quelle information était disponible au moment de la décision et comment une défaillance aurait dû être escaladée ?

C’est là que la gouvernance cesse d’être un organigramme pour devenir une chaîne démontrable de responsabilité.

Et c’est probablement l’une des évolutions les plus importantes introduites par le nouveau cadre prudentiel européen.

De la gouvernance organisée à la gouvernance démontrable

Le Luxembourg part déjà d’un cadre particulièrement structuré.

La circulaire CSSF 12/552 impose aux établissements de crédit une organisation claire, des responsabilités définies, des processus efficaces d’identification, de gestion et de suivi des risques ainsi qu’un dispositif robuste de contrôle interne. La CSSF rappelle plus largement que la gouvernance doit préciser comment les responsabilités et les pouvoirs sont alloués, comment fonctionnent les lignes de reporting et comment le dispositif de contrôle interne est effectivement organisé.

Mais CRD VI franchit un pas supplémentaire.

L'article 88, paragraphe 3, de la CRD prévoit désormais que les établissements établissent, maintiennent et mettent à jour des relevés individuels des rôles et fonctions ainsi qu'une cartographie des fonctions, comprenant notamment les lignes de reporting et les lignes de responsabilité. Ces documents doivent pouvoir être mis à disposition des autorités compétentes.

La nuance est considérable.

La question prudentielle n'est donc progressivement plus seulement :

« Disposez-vous d'une organisation adéquate ? »

Elle devient :

« Montrez-nous précisément qui répond de quoi. »

Cette évolution peut sembler documentaire.

Elle est en réalité profondément substantielle.

Le prochain risque de gouvernance : la zone grise

Dans une organisation bancaire complexe, les problèmes les plus difficiles ne naissent pas toujours d'une absence de procédure.

Ils apparaissent souvent dans les espaces situés entre plusieurs responsabilités.

Le métier considère qu'un contrôle appartient à Compliance.

Compliance considère que le premier niveau doit l'effectuer.

Risk estime qu'il s'agit principalement d'un sujet opérationnel.

Le comité reçoit l'information mais ne prend pas explicitement de décision.

Le Board a approuvé le framework mais n'a jamais été informé de l'exception.

Une activité est externalisée et chacun considère implicitement que le prestataire ou une autre entité du groupe contrôle le risque.

Individuellement, chaque intervenant peut avoir une justification raisonnable.

Collectivement, pourtant, personne ne paraît clairement accountable.

C'est cette zone grise qui devient dangereuse.

Car lorsqu'un incident survient, la question du superviseur n'est généralement pas abstraite.

Elle devient chronologique :

Qui connaissait le risque ?

Quand l'a-t-il connu ?

Quelle information avait-il reçue ?

Qui pouvait décider ?

Qui devait challenger ?

Quel contrôle devait détecter l'anomalie ?

L'exception a-t-elle été escaladée ?

Qui a accepté le risque résiduel ?

Une gouvernance robuste doit être capable de répondre à chacune de ces questions sans reconstruire l'histoire plusieurs mois après l'événement.

Gouvernance : passer du « RACI » à la chaîne d'accountability

Beaucoup d'établissements disposent déjà de matrices RACI.

Elles sont utiles.

Mais une matrice indiquant qu'une fonction est « Responsible », « Accountable », « Consulted » ou « Informed » ne constitue pas nécessairement la preuve qu'une responsabilité est effectivement exercée.

L'enjeu est désormais de relier cinq éléments.

Le mandat.

Qui possède juridiquement et organisationnellement la compétence ?

L'information.

Cette personne disposait-elle réellement des informations nécessaires pour exercer cette compétence ?

Le challenge.

Quelqu'un a-t-il effectivement contesté, analysé ou testé les hypothèses présentées ?

La décision.

Peut-on identifier ce qui a été décidé, par qui et sur quelle base ?

Le suivi.

Les actions décidées ont-elles été exécutées, contrôlées et, lorsque nécessaire, réescaladées ?

Cette chaîne constitue ce que l'on pourrait appeler une accountability trail.

Elle devrait devenir à la gouvernance ce que l'audit trail est depuis longtemps aux systèmes et aux opérations : la capacité de reconstituer de manière fiable le chemin allant du risque à la décision.

Un Board informé n'est pas nécessairement un Board qui supervise

C'est probablement l'une des distinctions les plus importantes.

Recevoir de l'information ne signifie pas exercer une supervision.

Un Board peut recevoir des centaines de pages de reporting chaque trimestre tout en disposant d'une vision insuffisante du risque.

Le véritable indicateur de gouvernance n'est donc pas le volume d'information remonté, mais sa capacité à déclencher une compréhension, un challenge ou une décision.

Un reporting de gouvernance véritablement utile devrait permettre au Board d'identifier rapidement :

• ce qui a changé depuis la dernière réunion ;
• ce qui dépasse l'appétit au risque ;
• quels contrôles ont échoué ;
• quelles exceptions sont anciennes ou répétitives ;
• quelles décisions sont attendues ;
• quels risques ont été acceptés ;
• quelles actions sont en retard ;
• et quel responsable porte chacune d'elles.

Le rôle du secrétariat de gouvernance, de Risk et de Compliance ne devrait donc pas consister à produire toujours davantage de données.

Il devrait être de transformer la donnée en capacité de supervision.

La question à poser n'est plus :

« Le sujet a-t-il été présenté au Board ? »

mais :

« Le Board disposait-il de suffisamment d'information pour comprendre le risque, le challenger et exercer sa responsabilité ? »

Le procès-verbal devient une pièce de gouvernance

Cette évolution a une conséquence souvent sous-estimée : l'importance des minutes de Board et de comités.

Un procès-verbal indiquant simplement :

« The Committee discussed the matter and took note »

peut être formellement correct tout en étant presque inutile lorsqu'il s'agit de démontrer l'exercice effectif de la gouvernance.

Les minutes les plus utiles sont celles qui permettent de retrouver :

le problème,

le challenge exprimé,

la décision prise,

le responsable désigné,

l'échéance convenue,

et, lorsque cela est pertinent, le risque résiduel accepté.

Il ne s'agit évidemment pas de produire une transcription intégrale des débats.

Il s'agit de conserver la preuve du raisonnement de gouvernance.

Cette différence est essentielle.

Une bonne minute ne documente pas seulement qu'une réunion a eu lieu.

Elle démontre qu'une fonction de supervision a été exercée.

Les fonctions de contrôle doivent pouvoir démontrer leur challenge

La même évolution concerne Compliance, Risk Management et Internal Audit.

Leur indépendance organisationnelle est fondamentale. CRD VI renforce d'ailleurs les attentes relatives aux fonctions de contrôle indépendantes et prévoit notamment qu'elles disposent de l'autorité, du statut, des ressources et de l'accès nécessaires à l'organe de direction.

Mais l'indépendance ne constitue que le point de départ.

Une fonction de contrôle réellement efficace doit pouvoir démontrer :

ce qu'elle a identifié ;

ce qu'elle a challengé ;

ce qu'elle a recommandé ;

ce que le management a décidé ;

ce qui reste ouvert ;

et ce qui a été escaladé.

Il existe ici une différence fondamentale entre review et challenge.

Une fonction Compliance peut avoir examiné un dossier sans avoir véritablement contesté une hypothèse.

Risk peut avoir reçu une décision sans avoir évalué sa cohérence avec l'appétit au risque.

Internal Audit peut identifier une faiblesse, mais son impact dépendra ensuite de la qualité du suivi et de l'escalade.

Le superviseur de demain ne cherchera probablement pas uniquement à constater l'existence des trois lignes de défense.

Il voudra comprendre si elles fonctionnent réellement comme trois lignes distinctes.

Le paradoxe des comités : plus de gouvernance peut produire moins d'accountability

Les établissements financiers ont parfois répondu à la complexification réglementaire en créant de nouveaux comités.

Risk Committee.

Compliance Committee.

AML Committee.

Outsourcing Committee.

ICT Committee.

DORA governance.

Product governance.

New Business Committee.

ESG Committee.

Cette spécialisation peut être parfaitement justifiée.

Mais elle crée un risque rarement mesuré : la fragmentation de l'accountability.

Plus une décision circule entre plusieurs forums, plus il peut devenir difficile de déterminer lequel était réellement compétent pour la prendre.

Le phénomène peut conduire à ce que chacun soit impliqué, mais que personne ne soit véritablement responsable.

La bonne question n'est donc pas :

« Avons-nous un comité pour ce risque ? »

Elle est :

« Quel organe possède le decision right final, et où cette décision est-elle enregistrée ? »

Un comité ne devrait jamais devenir un espace dans lequel la responsabilité individuelle ou managériale se dissout derrière une responsabilité collective abstraite.

CRD VI prend précisément soin de maintenir la responsabilité collective de l'organe de direction tout en exigeant une meilleure identification des rôles individuels.

C'est probablement l'un des équilibres les plus délicats du nouveau cadre.

Externaliser une activité n'externalise jamais l'accountability

Ce principe devient encore plus critique dans les modèles bancaires fortement externalisés.

Cloud.

ICT.

KYC utilities.

Screening.

Transaction monitoring.

Data management.

Payment processing.

Internal group services.

L'établissement peut déléguer l'exécution d'une activité.

Il ne peut pas déléguer sa responsabilité prudentielle.

DORA et les exigences européennes relatives à la résilience opérationnelle renforcent encore cette logique : les dépendances technologiques doivent être gouvernées comme des risques de l'établissement et non comme de simples relations fournisseurs.

Cela change profondément la définition d'un bon dispositif d'outsourcing.

Le contrôle d'un prestataire ne peut plus se résumer à :

un contrat + un SLA + une revue annuelle.

Il faut pouvoir démontrer :

• qui possède le risque ;
• qui analyse les incidents ;
• qui évalue la performance du prestataire ;
• qui décide de l'acceptation d'une déviation ;
• qui déclenche l'escalade ;
• qui peut exiger une remediation ;
• et dans quelles circonstances l'établissement activerait son exit strategy.

Là encore, la question fondamentale reste identique :

qui répond ?

Le Fit & Proper évolue lui aussi : être compétent ne suffit plus

Le changement est également visible dans le régime du fit & proper.

CRD VI renforce la responsabilité première des établissements quant à l'aptitude des membres de leurs organes de direction et exige que cette aptitude soit appréciée non seulement avant la prise de fonction mais également de manière continue et périodique.

Cela introduit une conception plus dynamique de la gouvernance.

Un administrateur peut avoir été parfaitement qualifié lors de sa nomination.

Mais la question devient ensuite :

dispose-t-il encore du temps, de l'information, de la connaissance et de l'indépendance d'esprit nécessaires pour exercer réellement son mandat ?

La compétence théorique n'est donc pas suffisante.

Elle doit pouvoir être convertie en capacité effective de supervision.

Pour une banque, cela implique notamment de pouvoir démontrer la qualité de l'onboarding, la formation continue, l'accès à l'information, le traitement des conflits d'intérêts et l'adéquation entre les responsabilités attribuées et les compétences de chaque membre.

Un nouveau concept devrait entrer dans les frameworks : le « Governance Evidence »

Les établissements consacrent déjà beaucoup d'énergie à leurs frameworks de gouvernance.

Mais une question supplémentaire mériterait désormais d'être systématiquement posée :

Si le superviseur sélectionnait aujourd'hui dix décisions importantes prises au cours des douze derniers mois, pourrions-nous reconstruire rapidement et sans ambiguïté la chaîne complète de responsabilité pour chacune d'elles ?

Pour chaque décision, l'établissement devrait idéalement pouvoir identifier :

1. Le Risk Owner

Qui portait le risque ?

2. Le Decision Owner

Qui avait l'autorité de décider ?

3. Le Control Owner

Qui devait vérifier que le dispositif fonctionnait ?

4. Le Challenger

Quelle fonction indépendante devait exercer un regard critique ?

5. L'Escalation Owner

Qui devait faire remonter une déviation ?

6. L'Approving Body

Quel comité ou organe devait valider la décision lorsque nécessaire ?

7. L'Evidence

Où se trouve la preuve de chacune de ces étapes ?

Cette approche permettrait de transformer une architecture organisationnelle abstraite en un véritable Governance Evidence Framework.

Le meilleur test de gouvernance tient peut-être en une seule question

Imaginons qu'un incident important survienne demain.

Une défaillance AML.

Une cyberattaque.

Une violation de limite de risque.

Un incident lié à un prestataire critique.

Une erreur de reporting réglementaire.

Un défaut dans un modèle.

Une décision commerciale créant une exposition non anticipée.

Le superviseur entre dans la banque et demande :

« Montrez-moi qui était responsable de ce risque et comment cette responsabilité a été exercée. »

Combien de temps faudrait-il à l'établissement pour répondre ?

Cinq minutes ?

Une heure ?

Deux jours ?

Trois semaines et vingt échanges d'e-mails ?

Cette durée constitue peut-être à elle seule un excellent indicateur de maturité de gouvernance.

Car lorsque la responsabilité n'apparaît qu'après une reconstruction complexe, elle n'était probablement pas suffisamment claire au moment où elle devait être exercée.

Le véritable enjeu de CRD VI n'est donc peut-être pas documentaire

Au premier regard, les nouvelles exigences de cartographie des fonctions et de descriptions individuelles pourraient être considérées comme une nouvelle obligation réglementaire à documenter.

Ce serait probablement manquer l'essentiel.

L'enjeu n'est pas de créer une nouvelle série de fiches de fonction ou une matrice supplémentaire.

Il est de réduire les zones de responsabilité implicite.

Une cartographie parfaitement remplie mais déconnectée de la réalité quotidienne n'améliorera pas la gouvernance.

Une banque véritablement mature cherchera au contraire à aligner :

l'organigramme,

les délégations de pouvoirs,

les Terms of Reference des comités,

les job descriptions,

les risk ownerships,

les policies,

les workflows,

les systèmes d'escalade,

et les minutes de gouvernance.

C'est dans la cohérence entre ces différents éléments que réside la véritable valeur du dispositif.

Pour les banques luxembourgeoises, le prochain chantier est donc moins réglementaire qu'organisationnel

Le Luxembourg dispose déjà d'un cadre de gouvernance bancaire particulièrement développé.

La loi du 5 mai 2026 a transposé CRD VI et la CSSF a expressément attiré l'attention des établissements sur ses implications en matière de gouvernance interne et de fit & proper. La CSSF a également annoncé qu'elle adapterait la circulaire 12/552 afin d'assurer son alignement avec le cadre européen révisé.

Mais la prochaine étape ne devrait pas consister simplement à attendre le prochain texte.

Les établissements peuvent déjà commencer à tester leur gouvernance à travers quelques questions simples :

Existe-t-il une responsabilité sans véritable pouvoir de décision ?

Existe-t-il un pouvoir de décision sans responsabilité clairement documentée ?

Deux fonctions pensent-elles contrôler le même risque — ou, plus dangereusement, chacune pense-t-elle que l'autre le contrôle ?

Les Terms of Reference des comités correspondent-ils encore à leur fonctionnement réel ?

Les décisions importantes peuvent-elles être reliées à une personne ou à un organe clairement identifiable ?

Les minutes démontrent-elles le challenge ou seulement la présence des participants ?

Depuis DORA, subir un incident informatique n’est pas nécessairement un échec réglementaire. En revanche, être incapable de démontrer quand l’incident a été détecté, comment il a été évalué, pourquoi il a été classé comme majeur, ou non, et dans quels délais il a été notifié peut rapidement le devenir.

Un serveur tombe.

Une application devient indisponible.

Un prestataire informatique informe l’entreprise d’un incident de cybersécurité.

Des données deviennent temporairement inaccessibles.

Une activité critique est perturbée pendant plusieurs heures.

Dans les premières minutes, les équipes cherchent naturellement à résoudre le problème.

C’est indispensable.

Mais depuis l’entrée en application de DORA, le 17 janvier 2025, une deuxième horloge tourne en parallèle.

Une horloge réglementaire.

Elle ne mesure pas seulement le temps nécessaire pour restaurer les systèmes.

Elle mesure le temps nécessaire pour :

• détecter ;
• documenter ;
• classifier ;
• escalader ;
• notifier ;
• mettre à jour ;
• et expliquer.

C’est précisément là que se situe probablement l’un des risques DORA les plus sous-estimés.

Le risque n’est plus simplement :

« Avons-nous subi un incident informatique ? »

La question devient :

« Pourrions-nous démontrer, six mois plus tard devant la CSSF, exactement ce que nous savions à chaque moment critique et pourquoi nous avons pris la décision de notifier — ou de ne pas notifier ? »

La distinction est fondamentale.

1. DORA n’exige pas l’absence d’incidents. Il exige leur maîtrise.

Aucune infrastructure informatique sérieuse ne peut raisonnablement garantir qu’aucun incident ne surviendra jamais.

DORA ne repose d’ailleurs pas sur cette fiction.

Le règlement européen organise au contraire un cadre permettant aux entités financières d’identifier, gérer, enregistrer, classifier et, lorsque les critères sont atteints, notifier les incidents majeurs liés aux technologies de l’information et de la communication.

Pour les entités relevant de DORA, l’incident devient donc un objet réglementaire.

À partir du moment où un événement survient, plusieurs questions commencent immédiatement à produire des conséquences :

Quand l’entité en a-t-elle eu connaissance ?

Quand a-t-elle disposé d’informations suffisantes pour l’évaluer ?

Quels critères de classification ont été examinés ?

Quand l’incident a-t-il été considéré comme majeur ?

Qui a pris cette décision ?

Sur quelles informations ?

Quand l’autorité compétente a-t-elle été informée ?

Ces questions ne sont pas théoriques.

Elles déterminent directement le respect des délais de notification.

2. Le détail qui change tout : le délai ne commence pas uniquement avec la notification

Le règlement délégué (UE) 2025/301 fixe désormais très précisément les délais applicables.

La notification initiale d’un incident majeur doit être effectuée le plus tôt possible, et en tout état de cause dans les quatre heures suivant sa classification comme incident majeur, sans dépasser 24 heures à compter du moment où l’entité financière a pris connaissance de l’incident.

Le rapport intermédiaire doit ensuite être transmis au plus tard 72 heures après la notification initiale, même lorsque la situation n’a pas évolué.

Le rapport final doit, en principe, être soumis au plus tard un mois après le rapport intermédiaire ou, le cas échéant, après sa dernière mise à jour.

Cette mécanique réglementaire crée une difficulté particulièrement intéressante.

Il existe au moins deux moments différents à documenter :

T0 : awareness of the incident

et

T1 : classification as major.

Entre les deux se déroule tout le processus d’analyse.

Et c’est précisément cette période qui peut devenir extrêmement sensible lors d’une inspection.

Car une question évidente peut apparaître :

Pourquoi l’incident n’a-t-il été classé comme majeur qu’à 17h42 alors que vos équipes en avaient connaissance depuis 09h15 ?

Pour répondre correctement, une entreprise doit disposer de beaucoup plus qu’un formulaire de notification.

Elle doit disposer de la preuve de son raisonnement.

3. Le véritable risque DORA pourrait donc être le “decision gap”

Prenons un cas volontairement simple.

À 08h47, un prestataire ICT informe l’entreprise qu’un service utilisé par plusieurs fonctions est indisponible.

À 09h05, IT ouvre un ticket.

À 09h30, le problème est considéré comme technique et temporaire.

À 11h15, l’indisponibilité continue.

À 13h40, les équipes réalisent que certaines opérations critiques ne peuvent plus être exécutées.

À 15h10, Compliance et Risk sont informés.

À 16h00, une première évaluation DORA est réalisée.

À 18h00, l’incident est classé comme majeur.

La question du superviseur pourrait ne pas porter uniquement sur la notification effectuée après 18h00.

Elle pourrait porter sur les neuf heures précédentes.

Pourquoi Compliance n’a-t-elle été informée qu’à 15h10 ?

Quels critères de matérialité étaient disponibles à 11h15 ?

Existe-t-il une règle claire permettant à IT de savoir quand déclencher l’analyse réglementaire ?

Quelqu’un a-t-il documenté à 13h40 le fait qu’une fonction critique était impactée ?

Qui disposait de l’autorité permettant de classifier l’incident ?

Pourquoi la classification a-t-elle nécessité près de deux heures supplémentaires ?

Toutes ces questions examinent la même chose :

la qualité du processus de décision.

4. Un incident bien géré mais mal documenté peut devenir un mauvais dossier réglementaire

Imaginons maintenant que les équipes aient réagi de manière excellente.

Le système est isolé.

Les utilisateurs sont informés.

Le fournisseur est challengé.

Le business continuity plan est activé.

Le service est restauré.

Aucune donnée n’est perdue.

Aucun investisseur ne subit de préjudice.

Opérationnellement, l’incident a été remarquablement géré.

Mais six mois plus tard, lors d’une inspection, personne n’est capable de déterminer avec certitude :

quand l’incident a été détecté ;

quand le management en a eu connaissance ;

quand il a été considéré comme potentiellement majeur ;

quels critères réglementaires ont été testés ;

qui a validé la classification ;

pourquoi certains seuils ont été considérés comme atteints ou non atteints.

L’entreprise dispose de centaines d’e-mails.

De messages Teams.

De tickets IT.

De rapports du prestataire.

De captures d’écran.

Mais pas d’une chronologie réglementaire consolidée.

C’est là que le problème apparaît.

L’organisation possède de l’information.

Mais elle ne possède pas nécessairement de preuve.

5. Sous DORA, l’horodatage devient presque aussi important que le contenu

Dans beaucoup de processus de compliance traditionnels, il est essentiel de démontrer ce qui a été décidé.

Dans la gestion des incidents DORA, il devient tout aussi important de démontrer quand cette décision a été prise.

Prenons une phrase apparemment anodine :

« The incident was assessed as major. »

Elle est insuffisante.

Il faut potentiellement être capable de démontrer :

18:02 — les derniers éléments nécessaires à la classification sont reçus ;

18:07 — l’évaluation des critères DORA est complétée ;

18:14 — Risk confirme que les seuils sont atteints ;

18:19 — Compliance confirme l’obligation de reporting ;

18:24 — le responsable autorisé valide la classification ;

18:37 — préparation de la notification ;

19:03 — transmission à l’autorité compétente.

Cette chronologie transforme une affirmation en preuve.

Elle permet surtout de répondre à la question réglementaire la plus importante :

L’organisation a-t-elle agi sans retard injustifié dès qu’elle disposait de l’information pertinente ?

6. Le 29 septembre 2026, la CSSF a envoyé un signal particulièrement clair

Le sujet est devenu encore plus actuel au Luxembourg.

Le 29 septembre 2026, soit moins d’une semaine avant la rédaction du présent article, la CSSF a publié des instructions opérationnelles complémentaires concernant la notification des incidents majeurs liés aux TIC dans le cadre de DORA.

La CSSF rappelle notamment les instructions opérationnelles publiées par les autorités européennes de supervision et précise que ces orientations doivent permettre d’améliorer la qualité des informations communiquées, d’harmoniser les pratiques de notification et de réduire les échanges ultérieurs avec les autorités.

Le message mérite d’être lu au-delà de sa dimension technique.

Le superviseur ne s’intéresse pas seulement au fait qu’un rapport ait été transmis.

Il s’intéresse à la qualité de ce qui est transmis.

Autrement dit :

reporting effectué ne signifie pas nécessairement reporting maîtrisé.

La notification devient elle-même un processus de contrôle réglementaire.

Toute la mécanique repose sur une étape particulièrement délicate :

la qualification de l’incident.

Tous les incidents ICT ne sont évidemment pas des incidents majeurs au sens de DORA.

Le processus de classification doit donc être suffisamment robuste pour distinguer :

un événement technique mineur ;

un incident ICT ;

un incident présentant un impact matériel ;

et un incident répondant aux critères réglementaires de major incident.

Mais cette analyse doit également être reproductible.

Une organisation mature ne devrait jamais se trouver dans une situation où la conclusion dépend essentiellement de la personne présente ce jour-là.

Deux personnes différentes confrontées au même événement devraient parvenir à une conclusion réglementaire raisonnablement comparable.

Cela suppose :

des critères clairement documentés ;

des sources de données identifiées ;

des responsabilités définies ;

une méthodologie commune ;

et une gouvernance d’escalade.

Sinon, le risque apparaît immédiatement :

le même incident pourrait être “major” le lundi et “non-major” le vendredi selon la personne réalisant l’analyse.

Ce n’est pas un problème informatique.

C’est un problème de gouvernance.

8. La décision de ne pas reporter doit être aussi documentée que celle de reporter

Voici probablement l’un des points les plus importants.

Les organisations ont naturellement tendance à documenter soigneusement les incidents ayant fait l’objet d’une notification.

Mais qu’en est-il des incidents analysés puis considérés comme non reportables ?

Ce sont parfois eux qui présentent le risque réglementaire le plus important.

Pourquoi ?

Parce qu’un superviseur peut parfaitement sélectionner a posteriori un incident figurant dans le registre interne et demander :

« Pourquoi cet incident n’a-t-il pas été notifié ? »

Une réponse telle que :

« Nous avions considéré qu’il n’était pas suffisamment important »

est extrêmement fragile.

Une réponse robuste serait plutôt :

« Nous avons appliqué les critères de classification DORA le 14 avril à 10h35. Les critères A et B étaient satisfaits, mais les seuils X, Y et Z ne l’étaient pas sur la base des données disponibles à cette date. L’évaluation a été revue à 15h00 après réception d’informations complémentaires et la conclusion est restée inchangée. Voici l’analyse, les données sources et les validations. »

La différence entre les deux est immense.

La première est une opinion.

La seconde est une position réglementaire démontrable.

C’est probablement ici que les organisations financières peuvent faire évoluer leur dispositif.

Chaque incident présentant une matérialité suffisante devrait pouvoir être reconstitué à travers un dossier standardisé que l’on pourrait appeler :

DORA Incident Evidence Pack

Il ne s’agirait pas d’ajouter de la bureaucratie.

Il s’agirait de transformer des informations dispersées en chaîne de preuve cohérente.

Le dossier devrait notamment permettre de retrouver immédiatement :

1. Detection

Quand l’incident est-il apparu ?

Quand a-t-il été détecté ?

Par quel système ou quelle personne ?

2. Awareness

Quand l’organisation en a-t-elle eu connaissance ?

Quelle fonction était informée ?

Existe-t-il une preuve horodatée ?

3. Initial assessment

Quelle était l’information disponible au départ ?

Quelles hypothèses ont été formulées ?

4. DORA classification

Quels critères réglementaires ont été évalués ?

Quels seuils étaient atteints ?

Lesquels ne l’étaient pas ?

5. Decision

Qui a décidé de classer l’incident comme majeur ou non majeur ?

À quelle heure ?

6. Escalation

Quand IT, Risk, Compliance, le senior management ou les organes de gouvernance concernés ont-ils été informés ?

7. Regulatory reporting

Quand la notification initiale a-t-elle été envoyée ?

Quand les rapports intermédiaires ont-ils été transmis ?

Le rapport final ?

8. Remediation

Quelles mesures ont été prises ?

Quelles actions restent ouvertes ?

9. Root cause

Quelle était la cause profonde ?

Interne ?

Prestataire ?

Configuration ?

Erreur humaine ?

Cyberattaque ?

10. Lessons learned

Qu’a changé l’organisation à la suite de l’incident ?

Sans cette dernière étape, l’organisation gère des événements.

Elle ne construit pas nécessairement de résilience.

De nombreuses organisations disposent aujourd’hui d’un incident register.

Date.

Description.

Impact.

Owner.

Status.

Cela constitue un bon point de départ.

Mais le simple enregistrement des incidents ne suffit pas.

Un véritable framework doit permettre de reconstruire la dynamique de décision.

Le registre devrait donc intégrer des informations beaucoup plus significatives :

Detection timestamp

Awareness timestamp

Classification started

Classification completed

Major / non-major

Rationale

Decision maker

Regulatory notification required

Initial notification timestamp

Intermediate report timestamp

Final report timestamp

Critical function impacted

ICT third party involved

Root cause

Financial impact

Remediation

Closure validation

Le changement semble subtil.

Il est en réalité majeur.

On passe d’un incident log à un regulatory decision log.

11. Le rôle des prestataires ICT crée un autre risque : “nous attendions leur analyse”

Imaginons qu’un incident survienne chez un prestataire critique.

L’entité financière demande des informations.

Le prestataire répond :

« Investigation ongoing. »

Deux heures plus tard :

« No further information available. »

Six heures plus tard :

« Root cause still under investigation. »

Le danger serait de considérer que l’horloge réglementaire est suspendue jusqu’à ce que le prestataire ait terminé son analyse.

Ce raisonnement peut être problématique.

L’entité financière reste responsable de ses propres obligations DORA.

Elle doit donc disposer d’un mécanisme permettant d’évaluer l’incident sur la base des informations disponibles à chaque moment, quitte à mettre à jour ensuite son appréciation.

Le principe devrait être simple :

L’incertitude du fournisseur ne doit jamais devenir l’absence de décision de l’entité financière.

C’est précisément pour cette raison que les contrats, mécanismes d’escalade, SLA, obligations de notification et accès aux informations des prestataires ICT deviennent stratégiques.

La gouvernance mérite également d’évoluer.

Un Board ou un senior management ne gagne pas nécessairement beaucoup à recevoir :

« 14 incidents ICT ce trimestre. »

Ce chiffre ne dit presque rien.

Un reporting DORA beaucoup plus mature présenterait par exemple :

14 incidents ICT identifiés

dont

3 incidents ayant déclenché une analyse formelle DORA

dont

1 classifié comme majeur

avec

100 % des notifications effectuées dans les délais réglementaires

temps médian entre detection et awareness : X

temps médian entre awareness et classification : Y

2 incidents impliquant un ICT third-party provider

Dans l’environnement réglementaire actuel, la question n’est plus de savoir si l’AIFM dispose d’une politique de délégation. La véritable question est de savoir s’il peut produire, dossier après dossier, une chaîne de preuves démontrant que ses délégataires sont sélectionnés, compris, surveillés, challengés et, lorsque nécessaire, remis en cause.

Pour un AIFM luxembourgeois, déléguer n’a jamais signifié transférer sa responsabilité.

Mais en 2026, cette affirmation prend une dimension beaucoup plus concrète.

La CSSF a expressément identifié la gestion des risques liés aux prestataires tiers comme l’une de ses priorités de supervision du secteur des fonds. Elle a annoncé qu’elle examinerait auprès d’un échantillon d’Investment Fund Managers la conformité de leurs dispositifs avec les principes européens relatifs aux risques liés aux tiers ainsi qu’avec les exigences de délégation de la circulaire CSSF 18/698. L’analyse doit notamment porter sur l’intégration d’un cadre complet et effectif de third-party risk management dans le dispositif global de gestion des risques de l’IFM.

Le signal est important.

La supervision ne s’intéresse plus uniquement à l’existence juridique de la délégation.

Elle s’intéresse à sa maîtrise réelle.

Et cela change profondément la question qu’un AIFM devrait aujourd’hui se poser :

Si la CSSF sélectionnait demain trois de mes délégataires et me demandait de démontrer, preuves à l’appui, comment je sais que leurs activités restent effectivement sous contrôle, combien de temps me faudrait-il pour constituer le dossier ?

Si la réponse implique plusieurs jours de recherches, des échanges d’e-mails pour retrouver des documents ou la reconstitution a posteriori de contrôles qui auraient dû être immédiatement traçables, le problème n’est probablement pas documentaire.

Il est plus fondamental.

C’est un problème de gouvernance.

1. La délégation ne transfère jamais la responsabilité réglementaire de l’AIFM

L’article 20 de la directive AIFM pose le principe central : lorsqu’un AIFM délègue certaines fonctions, il doit pouvoir démontrer que le délégataire est qualifié et capable d’exercer les fonctions concernées, qu’il a été sélectionné avec toute la diligence requise et que l’AIFM demeure en mesure de surveiller effectivement l’activité déléguée, de donner des instructions au délégataire et, lorsque cela est nécessaire dans l’intérêt des investisseurs, de mettre fin à la délégation.

Le texte ajoute une obligation essentielle : les services fournis par chaque délégataire doivent faire l’objet d’une revue continue.

Le règlement délégué (UE) n°231/2013 va dans la même direction.

L’AIFM doit mettre en place des méthodes et procédures permettant de revoir de manière continue les services fournis. Il doit disposer à tout moment des compétences et ressources nécessaires pour superviser les fonctions déléguées et gérer les risques associés. Les droits d’information, d’inspection, d’accès, d’instruction et de monitoring doivent être effectivement prévus.

Autrement dit :

la délégation peut déplacer l’exécution d’une fonction ; elle ne peut pas déplacer la responsabilité de savoir ce qui se passe.

Un AIFM qui reçoit simplement des reportings sans être capable de les interpréter ne contrôle pas nécessairement son délégataire.

Un AIFM qui organise annuellement une due diligence sans relier ses conclusions aux incidents rencontrés pendant l’année ne contrôle pas nécessairement son délégataire.

Un AIFM qui dispose d’un contrat lui accordant un droit d’audit qu’il n’a jamais envisagé d’exercer ne démontre pas nécessairement un contrôle effectif.

Le sujet n’est donc pas seulement celui de la documentation.

Il est celui de la capacité de surveillance effective.

2. La circulaire CSSF 18/698 utilise un terme particulièrement exigeant : « effectively monitor »

La circulaire CSSF 18/698 apporte ici une précision fondamentale.

Le dispositif de l’IFM doit permettre aux dirigeants et aux équipes opérationnelles de surveiller effectivement et de manière continue les activités du délégataire afin que leur exercice et leur qualité soient contrôlés comme si ces activités étaient réalisées en interne.

La procédure doit notamment déterminer la nature, l’étendue et la fréquence des due diligences périodiques sur la base d’une approche par les risques.

Elle doit également prévoir les mécanismes d’escalade et de décision applicables en matière de délégation. La circulaire précise surtout que le monitoring des activités déléguées ne peut lui-même être délégué : l’IFM doit conserver au Luxembourg des ressources suffisamment nombreuses et qualifiées pour exercer cette surveillance.

Cette exigence mérite d’être prise au pied de la lettre.

« Effectively monitor » ne signifie pas :

recevoir des informations.

Cela signifie être capable de transformer ces informations en jugement, puis le jugement en action lorsque cela est nécessaire.

Il existe une différence considérable entre :

« Nous recevons le KPI report du délégataire tous les trimestres »

et :

« Nous avons défini les indicateurs que nous considérons comme significatifs, fixé leurs seuils de tolérance, analysé les variations, investigué les dépassements, documenté les explications reçues, demandé des mesures correctrices lorsque nécessaire et présenté les sujets matériels à l’organe de gouvernance compétent. »

La première phrase décrit un processus administratif.

La seconde décrit un dispositif de contrôle.

3. Le véritable changement de paradigme : passer de la conformité documentaire à la conformité par la preuve

Pendant longtemps, la qualité d’un dispositif de délégation pouvait être appréciée essentiellement à travers ses éléments structurels :

existence d’un contrat, politique de délégation, due diligence initiale, questionnaire périodique, reporting du délégataire et revue annuelle.

Ces éléments restent indispensables.

Mais ils ne suffisent plus à démontrer la maîtrise du risque.

Les principes publiés par l’ESMA en juin 2025 sur la supervision des risques liés aux tiers renforcent cette logique. Ils couvrent non seulement la délégation, mais également l’outsourcing et d’autres formes de recours à des prestataires tiers. Leur objectif est notamment de permettre aux autorités de s’assurer que les entités supervisées disposent de structures de gouvernance et de gestion des risques appropriées et qu'elles ne deviennent pas des structures dépourvues de substance réelle.

La question réglementaire devient donc progressivement :

« Montrez-moi comment votre dispositif fonctionne réellement. »

Et non plus uniquement :

« Montrez-moi votre procédure. »

Cette évolution peut être résumée par une équation simple :

Policy + execution + evidence + challenge + remediation = effective oversight.

Une politique décrit ce qui devrait se produire.

Une preuve démontre que cela s’est produit.

Et c’est précisément cet écart entre les deux qui représente aujourd’hui l’un des risques réglementaires les plus sous-estimés des AIFM.

4. Imaginons maintenant que la CSSF sélectionne un délégataire

Prenons l’hypothèse suivante.

Lors d’une inspection, la CSSF choisit un Investment Manager auquel une partie de la gestion de portefeuille a été déléguée.

La question n’est probablement pas simplement :

« Avez-vous effectué une due diligence ? »

Le niveau suivant de questionnement pourrait être beaucoup plus révélateur :

Pourquoi ce délégataire a-t-il été sélectionné ?

Quels risques spécifiques aviez-vous identifiés au moment de son onboarding ?

Quel niveau de risque lui avez-vous attribué ?

Comment ce rating influence-t-il la fréquence et la profondeur du monitoring ?

Quels KPI et KRI suivez-vous ?

Pourquoi ceux-là ?

Quels incidents avez-vous observés au cours des douze derniers mois ?

Quelles anomalies avez-vous challengées ?

Pouvez-vous me montrer la réponse du délégataire ?

Qui l’a analysée ?

Quelle conclusion avez-vous tirée ?

Cette conclusion a-t-elle été documentée ?

A-t-elle entraîné une modification du monitoring ?

L’incident a-t-il été présenté au Conducting Officer compétent ?

À quel moment le Board ou un comité aurait-il dû être informé ?

Existe-t-il des sous-délégations ?

Savez-vous lesquelles ?

Quand avez-vous testé pour la dernière fois la capacité du délégataire à respecter ses obligations ?

Quand avez-vous effectué une visite sur site ?

Que se passerait-il demain si la relation devait être interrompue ?

La force d’un dispositif de délégation apparaît rarement dans la réponse à une seule de ces questions.

Elle apparaît dans la cohérence entre toutes les réponses.

5. Le dossier idéal de délégataire devrait raconter une histoire réglementaire complète

Un dossier robuste ne devrait pas être une accumulation de fichiers.

Il devrait permettre à une personne indépendante de comprendre, sans devoir interroger les collaborateurs ayant réalisé les contrôles, l’histoire complète de la relation.

Cette histoire commence par une justification.

Pourquoi cette activité est-elle déléguée ?

Pourquoi à ce prestataire ?

Pourquoi cette localisation ?

Pourquoi cette organisation ?

Elle se poursuit par une évaluation des risques.

Quels risques opérationnels, réglementaires, juridiques, financiers, de réputation, de concentration, ICT ou de continuité ont été identifiés ?

Puis vient la décision.

Qui a validé le délégataire ?

Sur la base de quelles informations ?

Des réserves existaient-elles ?

Ensuite commence la phase la plus importante : la surveillance.

Quels reportings sont reçus ?

Quels contrôles sont effectués ?

Quels incidents sont identifiés ?

Quelles conclusions sont tirées ?

Quels plans d’action sont ouverts ?

Et enfin vient la question rarement suffisamment préparée :

que se passe-t-il si la relation doit cesser ?

La circulaire CSSF 18/698 exige précisément que le dispositif traite de la continuité des opérations en cas de retrait du mandat.

Un véritable dispositif de delegation oversight doit donc être capable de documenter le cycle complet :

selection → risk assessment → appointment → monitoring → challenge → escalation → remediation → re-assessment → exit readiness.

Si une seule de ces étapes existe uniquement dans les habitudes de travail d’une personne et non dans les preuves institutionnelles de l’AIFM, une faiblesse existe.

6. Le piège du questionnaire annuel

L’une des erreurs les plus fréquentes consiste à confondre due diligence périodique et ongoing oversight.

Un questionnaire envoyé une fois par an peut constituer un élément utile du dispositif.

Mais un questionnaire annuel ne constitue pas, à lui seul, une surveillance continue.

Imaginez un délégataire dont la dernière due diligence a été jugée satisfaisante en janvier.

En mars, son responsable compliance quitte l’entreprise.

En avril, plusieurs incidents opérationnels apparaissent.

En juin, une fonction critique est sous-déléguée.

En septembre, le prestataire subit une cyberattaque.

En novembre, un régulateur étranger publie une décision à son encontre.

Si l’AIFM découvre l’ensemble de ces éléments au questionnaire de janvier suivant, son processus annuel fonctionne peut-être.

Mais son ongoing monitoring a échoué.

Le contrôle effectif doit donc intégrer différents horizons temporels.

Certains contrôles peuvent être annuels.

D’autres trimestriels.

D’autres permanents.

Et certains doivent être déclenchés par un événement.

C’est précisément là que le risk-based approach prend tout son sens.

Tous les délégataires ne doivent pas nécessairement être surveillés de manière identique.

Mais chaque différence d’intensité devrait pouvoir être expliquée.

7. Un modèle mature ne surveille pas seulement les prestataires : il surveille ses propres dépendances

La prochaine étape de maturité consiste à dépasser l’analyse individuelle de chaque délégataire.

Un AIFM peut avoir quinze prestataires individuellement acceptables et néanmoins présenter un risque global de dépendance élevé.

Pourquoi ?

Parce que plusieurs fonds peuvent dépendre du même groupe.

Parce que plusieurs fonctions critiques peuvent reposer sur le même fournisseur.

Parce qu’une part importante de la chaîne opérationnelle peut être concentrée dans la même juridiction.

Parce que différents prestataires peuvent eux-mêmes utiliser le même sous-traitant technologique.

Le risque ne se situe donc plus uniquement au niveau du prestataire.

Il se situe dans l’architecture globale de dépendance de l’AIFM.

Les principes ESMA relatifs aux third-party risks invitent précisément les superviseurs à examiner l’exposition globale et les concentrations découlant du recours aux tiers.

Un AIFM mature devrait donc être capable de répondre à une question beaucoup plus ambitieuse :

« Où se trouvent nos principales concentrations de dépendance opérationnelle ? »

Cette cartographie peut révéler des risques que quinze due diligences individuelles ne montreront jamais.

8. AIFMD II rend cette démonstration encore plus structurelle

AIFMD II renforce également la visibilité du superviseur sur les dispositifs de délégation.

Le cadre européen prévoit davantage d’informations sur les délégataires, les fonctions déléguées, les ressources humaines et techniques conservées par l’AIFM pour effectuer ses propres tâches et superviser les activités déléguées, ainsi qu’une description des mesures de due diligence périodique mises en œuvre.

Le message réglementaire est difficile à manquer.

Le superviseur ne souhaite pas seulement savoir ce qui a été délégué.

Il souhaite comprendre :

ce qui reste dans l’AIFM, qui contrôle la délégation, avec quelles ressources, selon quelles méthodes et avec quelle capacité réelle d’intervention.

AIFMD II rappelle d’ailleurs que les données quantitatives relatives aux actifs gérés dans le cadre de délégations ne doivent pas être considérées isolément comme la preuve d'une substance suffisante ou insuffisante : l’analyse de l’efficacité de l’oversight reste fondamentalement qualitative.

C’est une distinction essentielle.

Un AIFM n’est pas substantiel uniquement parce qu’il emploie un certain nombre de personnes.

Il est substantiel s’il possède les connaissances, les ressources, l’autorité et les informations lui permettant de prendre des décisions réelles sur les activités dont il demeure responsable.

9. Le meilleur indicateur d’un dispositif de contrôle n’est peut-être pas le nombre de due diligences réalisées

De nombreux dashboards indiquent encore :

100 % des due diligences réalisées.

C’est rassurant.

Mais ce KPI mesure essentiellement l’exécution d’un calendrier.

Il ne mesure pas nécessairement l’efficacité du contrôle.

Un dashboard plus mature pourrait suivre la qualité du dispositif lui-même :

le nombre d’incidents matériels détectés ;

le nombre de KPI ayant dépassé les seuils définis ;

le nombre de plans de remédiation ouverts ;

leur ancienneté ;

les actions échues ;

les changements significatifs intervenus chez les délégataires ;

les sous-délégations nouvelles ;

les résultats des visites sur site ;

les concentrations critiques ;

les délégataires présentant une détérioration de leur profil de risque ;

et surtout la capacité du management à identifier les situations nécessitant une décision.

Il existe ainsi une différence fondamentale entre :

« tous nos contrôles ont été réalisés »

et :

« nos contrôles démontrent que nos délégataires restent effectivement maîtrisés ».

Le premier indicateur mesure l’activité de Compliance ou d’oversight.

Le second mesure le risque.

10. La preuve ultime du contrôle : être capable de challenger

Un dispositif de supervision dans lequel aucun délégataire n’est jamais challengé mérite paradoxalement d’être interrogé.

Non pas parce qu’un problème devrait nécessairement exister.

Mais parce qu’un véritable mécanisme de surveillance devrait, tôt ou tard, produire :

une question ;

une divergence ;

une demande complémentaire ;

une recommandation ;

une remédiation ;

ou une décision.

Le challenge constitue l’une des meilleures preuves que l’AIFM n’est pas simplement un récepteur passif d’informations.

Prenons un exemple.

Le reporting trimestriel d’un délégataire indique depuis trois périodes une augmentation des erreurs opérationnelles.

Une surveillance faible archive le reporting.

Une surveillance intermédiaire demande une explication.

Une surveillance mature analyse la tendance, identifie la cause, évalue l’impact potentiel sur les fonds, exige lorsque nécessaire un plan de remédiation, définit un délai, suit sa mise en œuvre puis réévalue le risque résiduel.

Ce dernier niveau correspond véritablement à ce que signifie oversight.

La preuve n’est alors plus le reporting du délégataire.

La preuve est ce que l’AIFM en a fait.

11. Le « CSSF evidence test » : dix questions à poser aujourd’hui à votre organisation

Un AIFM souhaitant tester la maturité réelle de son modèle pourrait sélectionner demain matin trois délégataires matériels et tenter de répondre, documents à l’appui, aux questions suivantes :

1. Pouvons-nous expliquer en moins de cinq minutes pourquoi l’activité a été déléguée et pourquoi ce prestataire a été retenu ?
2. Pouvons-nous montrer l’évaluation initiale des risques et le niveau de risque actuel du délégataire ?