← Luxembourg

Publication of Circular CSSF 24/850 defining the documents to be submitted annually by support PFS and their réviseurs d’entreprises agréés (approved

Published on 19 January 2024 Email this Share this on LinkedIn Share this on Facebook Communiqué Publication of Circular CSSF 24/850 defining the documents to be submitted annually by support PFS and their réviseurs d’entreprises agréés (approved statutory auditors) The CSSF informs the public that Circular CSSF 24/850 relating to support PFS with respect to the practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted on an annual basis and the engagement of the réviseurs d’entreprises agréés (approved statutory auditors) and in particular the practical rules concerning the management letter and the separate report to be drawn up on an annual basis (the “Circular”) were published today. The purpose of this circular is to inform the support PFS of the new arrangements to prepare and submit the documents, described below, by the support PFS and their réviseurs d’entreprises agréés (“REAs”). These new arrangements are the result of an in-depth review of the objective and content of the information the CSSF intends to receive in the framework of its supervision. The newly introduced tools introduced by this Circular have been defined according to a risk-based approach and with due regard to the principle of proportionality, taking notably into account the services offered by the support PFS to the financial sector. The Circular repeals Circulars CSSF 12/544 and CSSF 19/727, and it introduces a self-assessment questionnaire to be completed on an annual basis by support PFS and to be submitted to the CSSF as a replacement of the risk assessment report (RAR) previously required under Circular CSSF 12/

  1. It also simplifies the descriptive report to be provided on an annual basis by support PFS. Hence, support PFS must transmit on an annual basis: the self-assessment questionnaire; the descriptive report, adapted in accordance with Annex 1 to the Circular; all other documents expected as included in Annex 2 to the Circular (documents expected in the context of the descriptive report and of the financial year-end). Furthermore, this Circular broadly details the role and engagement of REAs in the context of the statutory audit of support PFS. As regards the engagement of REAs, it establishes a specific regulatory framework applicable to the management letter and introduces a separate report detailing all the test procedures defined by the CSSF. Both documents must be drawn up by the support PFS’ REAs on an annual basis. In practice, the application of the principle of proportionality and of the risk-based approach implies that the definition and volume of questions and tests applicable depend on the type of authorisation held and on the type of risk to which the support PFS may expose the financial sector. The REA of a support PFS authorised under Article 29-1 and/or 29-2 of the Law of 5 April 1993 on the financial sector (the “LFS”) is required to perform all the tests applicable to this type of support PFS every year. The REA of a support PFS authorised under Articles 29-3, 29-5 and/or 29-6 of the LFS must carry out the specific procedures in accordance with a rotation plan established by the CSSF (please refer to the document “Rotation plan” hereunder). For the first financial year, the CSSF will communicate to the support PFS, via its online MFT system, the content of the self-assessment questionnaire and of the applicable tests for the separate report according to its authorisations and the risk it represents for the financial sector. The requirements and regulatory framework mentioned above apply for the first time to the financial years closing on or after 31 December
  2. Any question relating to the Circular or the self-assessment questionnaire should be addressed to psfsupport@cssf.lu. 19 January 2024 - Updated on 23 December 2025 Circular CSSF 24/850 (as amended by Circular CSSF 25/903) Practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted on an annual basis by support PFS. Engagement of the réviseurs d’entreprises agréés (approved statutory auditors) of support PFS and practical rules concerning the management letter and… CSSF circular PDF (227.92Kb) PDF (205.14Kb) Relevant for Support PFS Circulaire CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’autoévaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement Circulaire CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement À tous les PSF de support Luxembourg, le 19 janvier 2024 Mesdames, Messieurs, La présente circulaire a pour objet de définir les règles pratiques concernant la préparation ainsi que la soumission annuelle des documents décrits par après par les PSF de support et par leurs réviseurs d’entreprises agréés (« REA »). Plus particulièrement, la présente circulaire introduit, d’une part, un questionnaire d’auto-évaluation à remplir sur une base annuelle par les PSF de support (le « questionnaire d’auto-évaluation ») et à soumettre à la CSSF en remplacement du rapport d’analyse de risques (« RAR ») exigé par la circulaire CSSF 12/544
  3. Le questionnaire d’auto-évaluation est le résultat d'un réexamen approfondi de l'objectif et du contenu des informations que la CSSF souhaite obtenir concernant l’autoévaluation et la gestion par le PSF de support des risques qu’il peut faire courir au secteur financier. Il tient compte des développements réglementaires et des principaux points que la CSSF souhaite porter à l’attention des PSF de support. D’autre part, la présente circulaire précise de manière générale le rôle et la mission des REA dans le contexte du contrôle légal des comptes des PSF de support. Elle établit par ailleurs un cadre réglementaire spécifique à la lettre de recommandations et introduit également un rapport séparé (le « rapport séparé »). Le rapport séparé reprend des procédures spécifiques que la CSSF demande au REA d’effectuer par rapport au questionnaire d’auto-évaluation du PSF de support. Ces deux documents doivent être préparés par les REA des PSF de support sur une base annuelle. Enfin, la présente circulaire adapte et simplifie le rapport descriptif à fournir annuellement par les PSF de support et abroge les circulaires CSSF 12/544 et 19/727 2 suite à l’introduction des nouveaux outils de surveillance mis en place par la présente circulaire. 1 Circulaire CSSF 12/544 relative à l'optimisation par une approche par les risques de la surveillance exercée sur les « PSF de support », abrogée par la présente circulaire. 2 Circulaire CSSF 19/727 relative aux nouvelles modalités de transmission des documents requis par la circulaire CSSF 12/544, abrogée par la présente circulaire. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 2/12 TABLE DES MATIÈRES
  4. Champ d’application et base légale ............................................................................... 4
  5. Approche basée sur les risques..................................................................................... 4
  6. Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support...................................................................... 5 3.
  7. Le rapport descriptif ................................................................................................. 5 3.
  8. Le questionnaire d’auto-évaluation ............................................................................. 5
  9. Règles pratiques concernant la mission des REA ............................................................. 7 4.
  10. Le contrôle légal des comptes d’un PSF de support....................................................... 7 4.
  11. La lettre de recommandations ................................................................................... 7 4.
  12. Le rapport séparé .................................................................................................... 8
  13. Obligation de signalement par le REA à la CSSF .............................................................. 9
  14. Instructions pour la préparation et la transmission des documents attendus .................... 11 6.
  15. Documents à transmettre et modalités de soumission ................................................ 11 6.
  16. Modalités pratiques ................................................................................................ 11
  17. Entrée en vigueur ..................................................................................................... 12 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 3/12
  18. Champ d’application et base légale La présente circulaire s’adresse à tous les PSF exerçant une ou plusieurs activités de PSF de support, telles que définies dans les articles 29-1 à 29-6 de la loi du 5 avril 1993 relative au secteur financier (« la LSF ») et codifiés de type « I » par la CSSF. Les PSF de support sont tenus de se référer aux numéros signalétiques tels que publiés sur le site Internet de la CSSF à la rubrique des entités surveillées. Les exigences introduites par la présente circulaire se basent notamment sur les dispositions légales suivantes : - Le questionnaire d’auto-évaluation, tel que spécifié par la section 3.2 de la présente circulaire, est introduit en application de l’article 53, paragraphe 1, point

(2), de la LSF qui permet à la CSSF de demander ou d’exiger des PSF de support la fourniture d’informations dans le cadre de l’exercice de ses fonctions ; - La définition du cadre réglementaire spécifique applicable à la lettre de recommandations à préparer par le REA, tel que spécifié par la section 4.2 de la présente circulaire, se fait en application de l’article 54, paragraphe 1, de la LSF qui permet à la CSSF de fixer des règles quant à la portée du mandat de contrôle des documents comptables annuels des PSF de support et quant au contenu des rapports et commentaires écrits du REA ; - Le rapport séparé à préparer par le REA, tel que spécifié par la section 4.3 de la présente circulaire, est introduit : o en application de l’article 49 du règlement CSSF N° 12-02 du 14 décembre 2012 (« RCSSF 12-02 ») 3 pour la partie du rapport séparé relative à la prévention du blanchiment et du financement du terrorisme (partie « Aspects LBC/FT ») ; o en application de l’article 54, paragraphe 2, de la LSF qui permet à la CSSF de demander à un REA d’effectuer un contrôle portant sur un ou plusieurs aspects déterminés de l’activité et du fonctionnement des PSF de support, pour toutes les autres parties du rapport séparé. 2. Approche basée sur les risques L’étendue du questionnaire d’auto-évaluation et de la liste des procédures spécifiques à effectuer par le REA varie en application du principe de proportionnalité et d’une approche de surveillance basée sur les risques. En pratique, un PSF de support considéré moins risqué devra répondre à un nombre restreint de questions et faire l’objet d’un nombre plus limité de procédures spécifiques à effectuer par son REA. Dans ce contexte, un système de notation est mis en place par la CSSF afin de déterminer le risque que chaque PSF de support fait courir au secteur financier. Ce système de notation repose sur plusieurs critères et prend notamment en compte la nature des activités prestées requérant un agrément de PSF de support, le chiffre d’affaires, les clients du secteur financier et la taille du PSF de support. Règlement CSSF N° 12-02 du 14 décembre 2012 relatif à la lutte contre le blanchiment et contre le financement du terrorisme, tel que modifié. 3 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 4/12 Chaque année et au plus tard à la clôture de son exercice social, la CSSF communiquera au PSF de support la catégorie de risque qui lui a été attribuée (faible, modéré, élevé). Néanmoins, pour le premier exercice d’application, tel que spécifié au niveau de la section 7 de la présente circulaire, la CSSF pourra exceptionnellement communiquer cette information au PSF de support au plus tard un mois après la publication de cette circulaire. Le PSF de support pourra demander à la CSSF des précisions sur les critères retenus afin d’établir la note de risque. 3. Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support 3.1. Le rapport descriptif Un PSF de support doit fournir annuellement un rapport descriptif décrivant notamment son organisation administrative et comptable, son système de contrôle interne, son infrastructure informatique et ses activités prestées au secteur financier. La structure du rapport descriptif ainsi que la liste des documents attendus dans le cadre du rapport descriptif sont disponibles sur le site Internet de la CSSF. Lorsqu’un point déterminé de la structure ou un document attendu ne s’applique pas au PSF de support, celui-ci le mentionne explicitement. 3.2. Le questionnaire d’auto-évaluation La présente circulaire introduit un questionnaire d’auto-évaluation à remplir par les PSF de support pour chaque année ou période qui fait l’objet d’un contrôle légal des comptes. Le questionnaire d’auto-évaluation vise à demander aux PSF de support de procéder à une autoévaluation de certains risques, et de leur conformité par rapport à des exigences légales et réglementaires. Les thématiques des questions applicables pour un PSF de support sont d’abord déterminées selon les activités prestées au secteur financier, et donc selon les agréments dont les PSF de support disposent. Ainsi, le questionnaire d’auto-évaluation se divise en quatre parties que chaque PSF de support doit remplir en fonction de l’agrément dont il dispose selon l’attribution présentée dans le tableau 1 (« Allocation des parties du questionnaire d’auto-évaluation ») disponible ci-après. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 5/12 Tableau 1 - Allocation des parties du questionnaire d’auto-évaluation Partie PSF de support concernés Aspects liés aux TIC 4 - Opérateurs de systèmes informatiques et de réseaux de communication du secteur financier (Art. 29-3 de la LSF). - Prestataires de services de dématérialisation du secteur financier (Art. 29-5 de la LSF). - Prestataires de services de conservation du secteur financier (Art. 29-6 de la LSF). Aspects opérationnels 5 Aspects transversaux (hors « LBC/FT ») - Agents de communication à la clientèle (Art. 29-1 de la LSF). - Agents administratifs du secteur financier (Art. 29-2 de la LSF). - Agents de communication à la clientèle (Art. 29-1 de la LSF). - Agents administratifs du secteur financier (Art. 29-2 de la LSF). - Opérateurs de systèmes informatiques et de réseaux de communication du secteur financier (Art. 29-3 de la LSF). - Prestataires de services de dématérialisation du secteur financier (Art. 29-5 de la LSF). - Prestataires de services de conservation du secteur financier (Art. 29-6 de la LSF). Aspects liés à la lutte contre le blanchiment et le financement du terrorisme (« Aspects LBC/FT ») - Agents de communication à la clientèle (Art. 29-1 de la LSF). - Agents administratifs du secteur financier (Art. 29-2 de la LSF). - Opérateurs de systèmes informatiques et de réseaux de communication du secteur financier (Art. 29-3 de la LSF). - Prestataires de services de dématérialisation du secteur financier (Art. 29-5 de la LSF). - Prestataires de services de conservation du secteur financier (Art. 29-6 de la LSF). Par dérogation à ce qui précède :
  1. a)Lorsqu’un PSF de support agréé selon les articles 29-3, 29-5 ou 29-6 de la LSF dispose également d’un ou plusieurs agréments selon les articles 29-1 ou 29-2 de la LSF, il est tenu de remplir uniquement les parties « Aspects liés aux TIC », « Aspects transversaux » et « Aspects LBC/FT » ; il n’a donc pas l’obligation de couvrir les questions et procédures de la partie « Aspects opérationnels ».
  2. b)En fonction des activités prestées et du risque que le PSF de support fait courir au secteur financier, et contrairement à l’allocation des parties prévue dans le tableau 1, la CSSF pourra 4 Technologies de l’information et de la Communication À noter que les parties relatives aux aspects opérationnels et aux aspects transversaux comprennent également quelques questions relatives aux TIC. 5 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 6/12 exceptionnellement demander à un PSF de support de répondre à une partie du questionnaire qui ne lui est pas alloué ou au contraire l’en dispenser. La CSSF communiquera les demandes selon le point
  3. b)ci-dessus aux PSF de support concernés au plus tard à la clôture de leur exercice social. Néanmoins, pour le premier exercice d’application, tel que spécifié au niveau de la section 7 de la présente circulaire, la CSSF pourra communiquer cette demande aux PSF de support concernés au plus tard un mois après la publication de cette circulaire. En l’absence d’une telle communication, les PSF de support sont tenus de respecter l’allocation des parties prévue dans le tableau 1. Conformément à l’approche basée sur les risques présentée à la section 2 de la présente circulaire, le nombre de questions auxquelles un PSF de support doit répondre est fonction de la catégorie de risque que la CSSF lui a attribuée. Ainsi, deux PSF de support possédant le même agrément et devant remplir les mêmes parties du questionnaire d’auto-évaluation pourront avoir à répondre à un volume de questions différent selon leur catégorie de risque respective. En fonction des évolutions des exigences légales et réglementaires applicables aux PSF de support ainsi que des besoins de la surveillance prudentielle, le questionnaire d’auto-évaluation pourra faire l’objet d’adaptations au cours des années. 4. Règles pratiques concernant la mission des REA Les PSF de support doivent, conformément à l’article 22, paragraphe 1, de la LSF, faire l’objet d’un contrôle légal des comptes par un REA sur une base annuelle. Dans ce contexte, la présente circulaire définit, en application de l’article 54, paragraphe 1, de la LSF, un cadre réglementaire spécifique applicable à la lettre de recommandations que le REA devra préparer à l’attention des responsables des PSF de support et de la CSSF. En outre, la présente circulaire introduit, en application de l’article 54, paragraphe 2, de la LSF et de l’article 49 du RCSSF 12-02, un rapport séparé à préparer par le REA sur une base annuelle, en accord avec les spécifications fournies à la section 4.3 ci-après. 4.1. Le contrôle légal des comptes d’un PSF de support Le contrôle légal des comptes d’un PSF de support doit être effectué, en application de l’article 33 de la loi du 23 juillet 2016 relative à la profession de l’audit, conformément aux normes d’audit internationales telles qu’adoptées par la CSSF. Sur cette base, le REA présente les résultats du contrôle légal des comptes dans un rapport d’audit comprenant son opinion d’audit. 4.2. La lettre de recommandations La présente circulaire introduit un cadre réglementaire spécifique concernant la lettre de recommandations que les REA doivent préparer, pour chaque année ou période qui a fait l’objet d’un contrôle légal des comptes, à l’attention des responsables du PSF de support. La lettre de recommandations est à remplir par le REA à travers la plateforme eDesk. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 7/12 Dans le cadre de la lettre de recommandations, le REA n'est pas tenu d'effectuer d'autres procédures que celles déjà réalisées lors du contrôle légal des comptes, référencé dans la section 4.1 de la présente circulaire. Le REA doit, conformément aux normes d’audit applicables, communiquer dans une lettre de recommandations adressée aux responsables du PSF de support, les faiblesses et les points à améliorer qu’il aura constatés lors de son contrôle légal des comptes du PSF de support, et qui, sur base du jugement professionnel du REA, sont d'une importance telle qu’ils méritent l'attention des responsables du PSF de support ou de la CSSF. La lettre de recommandations doit aussi reprendre le suivi des faiblesses ou des points d’amélioration soulevés dans les lettres de recommandations émises au cours des exercices précédents qui n'ont pas été « clôturés » dans la lettre de recommandations précédente, uniquement lorsque ces faiblesses ou points d’amélioration sont en rapport avec le contrôle légal des comptes. Les faiblesses et points d’amélioration qui ne sont pas en rapport avec le contrôle légal des comptes doivent être suivis en interne par le PSF de support et ne sont plus à mentionner dans la lettre de recommandations 6. Le REA doit considérer la faiblesse ou le point d’amélioration comme « clôturé » lorsque les mesures correctrices nécessaires ont été mises en place pour remédier à cette faiblesse ou point d’amélioration et que les responsables du PSF de support ont mis en place des mesures appropriées pour éviter la réapparition de ceux-ci à l'avenir. En outre, pour chaque faiblesse ou point d’amélioration relevé, le REA veille à obtenir les commentaires des responsables du PSF de support avant de transmettre la lettre de recommandations à travers la plateforme eDesk. Ces commentaires doivent obligatoirement contenir, notamment, les informations suivantes : - une explication détaillée des raisons et des circonstances relatives à la survenance de la faiblesse ou du point d’amélioration soulevé par le REA ; - une explication détaillée des mesures prises ou décidées afin de corriger la faiblesse ou le point d’amélioration et d'éviter qu’ils ne se reproduisent plus à l'avenir. Ces mesures doivent être accompagnées d’un plan de remédiation détaillé et d’un calendrier associé. Si les responsables du PSF de support n'ont pas répondu en temps utile et dans un délai raisonnable aux faiblesses ou points d’amélioration soulevés par le REA dans la lettre de recommandations, le REA émettra cette lettre de recommandations en spécifiant qu’il n’a pas obtenu de commentaires de la part des responsables du PSF de support sur les faiblesses ou points soulevés. 4.3. Le rapport séparé La présente circulaire introduit un rapport séparé à remplir par les REA des PSF de support, chaque année ou période pour laquelle un questionnaire d’auto-évaluation a été soumis par le PSF de support. Ce rapport séparé a pour objet, notamment, de fiabiliser les réponses apportées par le PSF de support au questionnaire d’auto-évaluation et de répondre à un ensemble de questions déterminées par la CSSF. 6 L’approche et les attentes exprimées dans ce paragraphe s’appliquent également aux faiblesses et points d’amélioration rapportés dans les attestations relatives au respect des lois, règlements et circulaires du secteur financier émises au cours des exercices précédents. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 8/12 Le REA qui effectue les tests prévus selon le rapport séparé doit être le REA désigné par le PSF de support pour le contrôle légal des comptes, référencé dans la section 4.1 de la présente circulaire. La préparation d’un rapport séparé consiste en un ensemble de procédures définies par la CSSF à mettre en œuvre par le REA, réparties selon des thématiques prédéfinies. En application de l’article 49 du règlement CSSF N° 12-02, le rapport séparé couvre également le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT), en tenant notamment compte du niveau de risque « très faible » attribué au secteur des PSF de support en raison de la nature peu risquée de leurs activités. En fonction des activités d’un PSF de support, une procédure peut ne pas être applicable. Dans ce cas, le REA doit le mentionner explicitement dans son rapport séparé. Les procédures sont directement indiquées dans le rapport séparé. Elles consistent en des tests d’échantillons ou des vérifications à réaliser par le REA. Les tailles d’échantillon sont déterminées par la CSSF selon une approche basée sur les risques et doivent être détaillées dans le rapport séparé. À l’instar du nombre de questions posées au PSF de support dans le cadre du questionnaire d’autoévaluation, le nombre de procédures à réaliser par le REA est fonction de la catégorie de risque que la CSSF a attribuée au PSF de support. Ainsi, deux PSF de support possédant le même agrément et devant remplir les mêmes parties du questionnaire d’auto-évaluation pourront faire l’objet de rapports séparés comprenant un nombre de procédures spécifiques différent selon la catégorie de risque qui leur aura été attribuée. Un plan de rotation sera établi pour les tests à réaliser par le REA en fonction des activités et des catégories de risques des PSF de support, et l’attribution des procédures spécifiques en fonction des catégories de risques des PSF de support sera également directement intégrée sur la plateforme eDesk. En fonction des évolutions des exigences légales et réglementaires applicables aux PSF de support ainsi que des besoins de la surveillance prudentielle, les procédures qui devront être mises en œuvre par le REA ainsi que le plan de rotation des procédures spécifiques pourront faire l’objet d’adaptation au cours des années suivant les modifications qui seraient également faites au niveau du questionnaire d’auto-évaluation. Les résultats de ces procédures sont consignés par le REA dans le rapport séparé sous forme de réponses à un ensemble de questions ou de confirmations principalement de type fermé et ne donnent pas lieu à une opinion en application de normes d’audit, d’assurance ou de services connexes. Les commentaires apportés le cas échéant par le REA dans le rapport doivent être concis, clairs et répondre aux objectifs et aux questions posées. Le PSF de support doit émettre des commentaires relatifs aux constatations faites par le REA (il donne sa réponse (accord, désaccord), le cas échéant le plan d’action et la date de mise en œuvre) avant de transmettre le rapport via la plateforme eDesk. 5. Obligation de signalement par le REA à la CSSF Le REA a une obligation de signalement à la CSSF conformément à l’article 54, paragraphe 3, de la LSF. Un tel signalement doit concerner des effets négatifs non seulement à court terme (comme c’est le cas pour la certification des comptes annuels) mais également à moyen et long terme (objectif du contrôle prudentiel). Par conséquent, le REA doit communiquer à la CSSF les informations pertinentes du point de vue prudentiel et/ou susceptibles de requérir une action urgente de la CSSF, dont il aurait eu connaissance dans l’exercice du contrôle légal des comptes du PSF de CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 9/12 support ou le cas échéant lors de toute autre mission légale ou réglementaire concernant le PSF de support. Les faits à prendre en considération sont, notamment, des éléments constituant une violation grave aux dispositions législatives, qui impactent la continuité du fonctionnement de l’établissement ou entraînent le refus de la certification des comptes ou l’émission de réserves y relatives. L’obligation légale de signaler « rapidement » à la CSSF les informations pertinentes n’exclut pas que le REA se concerte au préalable avec les responsables du PSF de support, à condition que ce dernier ne soit pas en conflit d’intérêt et que cette concertation ne retarde pas indûment la transmission des informations à la CSSF. Concernant les modalités de communication, il est entendu que : - les signalements du REA sont effectués spontanément, sous forme écrite ou orale ; en cas de problème majeur, il est recommandé qu’une communication orale soit suivie aussi rapidement que possible d’une confirmation écrite ; - la priorité devrait être donnée à la rapidité des signalements plutôt qu’à leur précision et exhaustivité dans un premier temps ; - dans les signalements à la CSSF, le REA doit informer explicitement des problèmes avérés ou potentiels constatés. Exemples de faits ou décisions relevant ou pouvant relever de l’obligation de signalement à la CSSF: - conflits majeurs au sein des organes de décision de l’établissement ; - départ imprévu d’un titulaire de fonctions clés ; - difficultés financières majeures dans une succursale ou filiale ; - déficiences graves dans le dispositif de contrôle interne ; - erreurs significatives dans le reporting prudentiel ; - octroi d’un dividende intérimaire alors que l’établissement dispose de fonds propres insuffisants ou à peine suffisants ; - incidents majeurs dans l’organisation ou dans l’infrastructure informatique ; - changement d’activité sans infrastructure adéquate ; - fraudes susceptibles d’entraîner des pertes importantes ; - litiges importants ; - évaluation inappropriée concernant un projet de fusion/scission d’entreprises. Pour rappel, l’article 54, paragraphe 4, de la LSF garantit que la divulgation de bonne foi à la CSSF par un REA de faits ou décisions visés au paragraphe 3 de cet article ne constitue pas une violation du secret professionnel, ni une violation d’une quelconque restriction à la divulgation d’informations imposée contractuellement et n’entraîne de responsabilité d’aucune sorte pour le REA. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 10/12 6. Instructions pour la préparation et la transmission des documents attendus 6.1. Documents à transmettre et modalités de soumission L’ensemble des documents attendus sont à transmettre sous format électronique via la plateforme eDesk : • Le rapport descriptif ainsi que ses annexes ; • Les documents attendus dans le cadre de la clôture comptable (y inclus la lettre de recommandations du REA) ; • Le questionnaire d’auto-évaluation ; • Le rapport séparé. Le rapport descriptif et le questionnaire d’auto-évaluation doivent être approuvés et signés électroniquement par la direction autorisée avant transmission à la CSSF. Le rapport séparé et la lettre de recommandations du réviseur d’entreprises agréé doivent être signés électroniquement par l’associé en charge du mandat au sein du cabinet d’audit qu’il représente. Après signature, ces documents doivent être soumis par le PSF de support à la CSSF. L’ensemble des documents sont à transmettre au plus tard dans un délai de sept mois suivant la clôture de l’exercice social du PSF de support. Dès qu’il en a connaissance, le PSF de support informera la CSSF de tout retard annoncé en indiquant les raisons et la durée probable du retard. En cas de retrait / de radiation au cours de l’année du PSF de support de la liste officielle tenue par la CSSF, le questionnaire d’auto-évaluation et le rapport séparé couvrant la période depuis la dernière date de clôture jusqu’à la date de retrait / radiation sont, en principe, requis suivant le même délai de sept mois. Les délais de soumission, tels que repris ci-avant, pourront être revus par la CSSF pour les exercices subséquents. La démarche disponible sur la plateforme eDesk précisera clairement les documents à déposer ; une liste exhaustive des documents requis sera par ailleurs publiée sur le site Internet de la CSSF. 6.2. Modalités pratiques Les procédures et explications relatives aux modalités pratiques concernant la préparation et la transmission de l’ensemble des documents repris sous la section 6.1. seront mises à la disposition des PSF de support et de leurs REA, sur le site Internet de la CSSF. Un guide utilisateur précisant les modalités de création de compte et d’authentification sur la plateforme eDesk est également mis à disposition sur la page d’accueil eDesk. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 11/12 7. Entrée en vigueur Les instructions de la présente circulaire sont à observer dans leur ensemble pour les exercices comptables clôturant au 31 décembre 2025 ou après le 31 décembre 2025. Ainsi, toutes les clôtures à partir de cette date sont sous le champ d’application de cette circulaire. La présente circulaire abroge les circulaires CSSF 12/544 et 19/727. Claude WAMPACH Directeur Marco ZWICK Directeur Françoise KAUTHEN Directeur CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 Jean-Pierre FABER Directeur Claude MARX Directeur général 12/12 In case of discrepancies between the French and the English texts, the French text shall prevail. Circular CSSF 24/850 as amended by Circular CSSF 25/903 Practical rules concerning the descriptive report and the selfassessment questionnaire to be submitted on an annual basis by support PFS Engagement of the réviseurs d'entreprises agréés (approved statutory auditors) of support PFS and practical rules concerning the management letter and the separate report to be drawn up on an annual basis CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 1/11 In case of discrepancies between the French and the English texts, the French text shall prevail. Circular CSSF 24/850 as amended by Circular CSSF 25/903 Practical rules concerning the descriptive report and the selfassessment questionnaire to be submitted on an annual basis by support PFS Engagement of the réviseurs d'entreprises agréés (approved statutory auditors) of support PFS and practical rules concerning the management letter and the separate report to be drawn up on an annual basis To all support PFS Luxembourg, 19 January 2024 Ladies and Gentlemen, The purpose of this circular is to define the practical rules concerning the preparation and annual submission of the below-mentioned documents by support PFS and their réviseurs d'entreprises agréés (approved statutory auditors, “REA”). More specifically, this circular introduces, on the one hand, a self-assessment questionnaire to be completed on an annual basis by support PFS (“self-assessment questionnaire”) and to be submitted to the CSSF as a replacement of the risk assessment report (“RAR”) required under Circular CSSF 12/544 1. The self-assessment questionnaire represents the result of an in-depth review of the objective and content of the information the CSSF requests to receive on the support PFS’ selfassessment and management of the risks to that it may expose the financial sector. It takes into account the regulatory developments and the main points that the CSSF intends to bring to the support PFS’ attention. On the other hand, this circular broadly details the role and engagement of REAs in the context of the statutory audit of support PFS. Moreover, it establishes a specific regulatory framework applicable to the management letter, and also introduces a separate report (“separate report”). The separate report includes the specific procedures that the CSSF requests the REA to perform in relation to the support PFS’ self-assessment questionnaire. Both documents must be drawn up by the support PFS’ REAs on an annual basis. Lastly, this circular adapts and simplifies the descriptive report to be provided on an annual basis by support PFS and repeals Circulars CSSF 12/544 and CSSF 19/727 2 following the introduction of the new supervisory tools by this circular. Circular CSSF 12/544 on the optimisation of the supervision exercised on the “support PFS” by a risk-based approach, repealed by this circular. 1 2 Circular CSSF 19/727 on new arrangements for the transmission of the documents required under Circular CSSF 12/544, repealed by this circular. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 2/11 TABLE OF CONTENTS 1. Scope and legal basis..................................................................................................... 4 2. Risk-based approach...................................................................................................... 4 3. Practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted by support PFS on an annual basis ......................................................................... 5 3.1. Descriptive report .................................................................................................... 5 3.2. Self-assessment questionnaire .................................................................................. 5 4. Practical rules concerning the engagement of REAs............................................................ 7 4.1. The statutory audit of a support PFS .......................................................................... 7 4.2. The management letter ............................................................................................ 7 4.3. The separate report ................................................................................................. 8 5. Obligation of the REA to report to the CSSF ...................................................................... 9 6. Instructions for the preparation and filing of the expected documents ................................ 10 6.1. Documents to be submitted and submission modalities............................................... 10 6.2. Practical modalities ................................................................................................ 11 7. Entry into force ........................................................................................................... 11 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 3/11 1. Scope and legal basis This circular applies to all PFS exercising one or several support PFS activities as defined in Articles 29-1 to 29-6 of the Law of 5 April 1993 on the financial sector (“LFS”) and classified as "I" by the CSSF. Support PFS must refer to the identification codes as published on the CSSF website in the “Search Entities” application. The requirements introduced by this circular are notably based on the following legal provisions: - the self-assessment questionnaire, as specified in Section 3.2 of this circular, is introduced pursuant to point
(2)of Article 53
(1)of the LFS which allows the CSSF to require or demand the provision of information from support PFS for the exercise of its functions; - the definition of the specific regulatory framework applicable to the management letter to be drawn up by the REA, as specified in Section 4.2 of this circular, results from Article 54
(1)of the LFS which allows the CSSF to set rules on the scope of the mandate for the audit of the annual accounting documents of support PFS and on the content of the reports and written comments issued by the REA; - the separate report to be drawn up by the REA, as specified in Section 4.3. of this circular, is introduced: o pursuant to Article 49 of CSSF Regulation No 12-02 of 14 December 2012 (“RCSSF 1202”) 3 as regards the section of the separate report relating to the prevention of money laundering and terrorist financing (Section “AML/CFT Aspects”); o pursuant to Article 54
(2)of the LFS which allows the CSSF to instruct a REA to carry out audits on one or several specific aspects of the activity and operation of support PFS, as regards all the other sections of the separate report.
  1. Risk-based approach The extent of the self-assessment questionnaire and of the list of specific procedures to be performed by the REA is linked to the application of the principle of proportionality and of a risk-based supervisory approach. In practice, a support PFS that is considered to be less risky will have to respond to a limited number of questions and will be subject to a smaller number of specific procedures to be performed by its REA. In this context, a rating system is put in place by the CSSF in order to determine the risk to which every support PFS is exposing the financial sector. This rating system is based on several criteria and takes into account, in particular, the nature of the activities performed that require a support PFS authorisation, the turnover, the clients of the financial sector and the size of the support PFS. Each year, and at the latest at the closing of its financial year, the CSSF will inform the support PFS of the risk category that has been assigned to it (low, medium, high). However, for the first year of application, as defined in Section 7 of this circular, the CSSF may, on an exceptional basis, provide the support PFS with this information at the latest one month after the publication of this circular. The support PFS may request the CSSF to provide details on the criteria that have been selected for the risk rating. 3 CSSF Regulation No 12-02 of 14 December 2012 on the fight against money laundering and terrorist financing, as amended CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 4/11
  2. Practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted by support PFS on an annual basis 3.
  3. Descriptive report Support PFS must provide the descriptive report on an annual basis, describing in particular their administrative and accounting organisation, internal control system, IT infrastructure and the activities provided to the financial sector. The structure of the descriptive report, as well as the list of documents expected as part of the descriptive report, are available on the website of the CSSF. When a specific section of the structure or an expected document does not apply to the support PFS, the latter shall explicitly state it. 3.
  4. Self-assessment questionnaire This circular introduces a self-assessment questionnaire to be completed by support PFS for each year or period subject to statutory audit. The objective of the self-assessment questionnaire is to request support PFS to perform a selfassessment of certain risks and of their compliance with regard to legal and regulatory requirements. The themes of the questions applicable to support PFS are determined in accordance with the activities provided to the financial sector, and thus in accordance with the authorisations held by the support PFS. The self-assessment questionnaire is split into four sections that each support PFS must fill in in accordance with the authorisation held, according to the allocation set out in Table 1 (“Allocation of the self-assessment questionnaire sections”) below. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 5/11 Table 1 - Allocation of the self-assessment questionnaire sections Section ICT-related aspects 4 Support PFS concerned - IT systems and communication networks operators of the financial sector (Article 29-3 of the LFS) - Dematerialisation service providers of the financial sector (Article 295 of the LFS) - Conservation service providers of the financial sector (Article 29-6 of the LFS) Operational aspects 5 - Client communication agents (Article 29-1 of the LFS) - Administrative agents of the financial sector (Article 29-2 of the LFS) Transversal aspects - Client communication agents (Article 29-1 of the LFS) (except “AML/CFT”) - Administrative agents of the financial sector (Article 29-2 of the LFS) - IT systems and communication networks operators of the financial sector (Article 29-3 of the LFS) - Dematerialisation service providers of the financial sector (Article 295 of the LFS) - Conservation service providers of the financial sector (Article 29-6 of the LFS) Anti-money - Client communication agents (Article 29-1 of the LFS) laundering and - Administrative agents of the financial sector (Article 29-2 of the LFS) counter-terrorist - IT systems and communication networks operators of the financial financing aspects (“AML/CFT aspects”) sector (Article 29-3 of the LFS) - Dematerialisation service providers of the financial sector (Article 295 of the LFS) - Conservation service providers of the financial sector (Article 29-6 of the LFS) By way of derogation from the foregoing: a) Where a support PFS authorised under Articles 29-3, 29-5 or 29-6 of the LFS also holds one or more authorisations under Articles 29-1 or 29-2 of the LFS, it must only fill in the sections “ICTrelated aspects”, “Transversal aspects” and “AML/CFT aspects”; it does thus not have to complete the questions and procedures under “Operational aspects”. b) Depending on the activities carried out and the risk to that the support PFS may expose the financial sector, and as opposed to the section allocation provided for in Table 1, the CSSF may request a support PFS, on an exceptional basis, to fill in a section of the questionnaire which has not been allocated to it or, on the contrary, exempt the support PFS from providing it. The CSSF will transmit the requests as per point (b) above to the support PFS concerned at the latest at the closing of their financial year. However, for the first year of application, as defined in Section 7 of this circular, the CSSF may transmit such request to the support PFS concerned at the 4 Information and Communication Technology (ICT) It should be noted that the sections covering the operational and transversal aspects also include a certain number of ICT-related questions. 5 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 6/11 latest one month after the publication of this circular. In the absence of such communication, support PFS must comply with the allocation as set out in Table
  5. In accordance with the risk-based approach detailed in Section 2 of this circular, the number of questions that a support PFS must answer depends on the risk category that has been assigned by the CSSF to this support PFS. Hence, two support PFS with the same authorisation and that have to fill in the same sections of the self-assessment questionnaire may have to respond to a different volume of questions based on their risk category. Depending on the developments of the legal and regulatory requirements applicable to support PFS as well as on the prudential supervision requirements, the self-assessment questionnaire may be adapted over the coming years.
  6. Practical rules concerning the engagement of REAs In accordance with Article 22
(1)of the LFS, support PFS must entrust the statutory audit of their accounts to a REA on an annual basis. In this context, this circular defines, pursuant to Article 54
(1)of the LFS, a specific regulatory framework applicable to the management letter that the REA will have to draw up to the attention of the persons responsible for the support PFS and the CSSF. Moreover, pursuant to Article 54
(2)of the LFS and Article 49 of RCSSF 12-02, this circular introduces a separate report to be drawn up by the REA on an annual basis, in compliance with the details provided in Section 4.3 below. 4.
  1. The statutory audit of a support PFS Pursuant to Article 33 of the Law of 23 July 2016 concerning the audit profession, the statutory audit of a support PFS must be carried out in compliance with the international auditing standards as adopted by the CSSF. On this basis, the REA presents the results of the statutory audit in an audit report which includes its audit opinion. 4.
  2. The management letter This circular introduces a specific legal framework for the management letter that REAs must draw up, for each year or period subject to a statutory audit, to the attention of the persons responsible for the support PFS. The management letter must be completed by the REA through the eDesk platform. In the context of the management letter, the REA is not required to carry out any further procedures other than those already performed during the statutory audit, as referred to in Section 4.1 of this circular. In accordance with the applicable auditing standards, the REA must report, in a management letter addressed to the persons responsible for the support PFS, the weaknesses and points needing improvement that it observed during its statutory audit of the support PFS, and that are, based on CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 7/11 the REA’s professional judgement, of sufficient importance to be brought to the attention of the persons responsible for the support PFS or of the CSSF. The management letter must also include the follow-up of the weaknesses or points needing improvement raised in the management letters issued in preceding financial years and that have not been “closed” in the previous management letter, only where those weaknesses or points needing improvement relate to the statutory audit. The weaknesses and points needing improvement that are not related to the statutory audit must be followed up internally by the support PFS and must no longer be mentioned in the management letter
  3. The REA must consider the weakness or point needing improvement as “closed” where the necessary corrective measures have been put in place to remedy this weakness or point needing improvement and where the persons responsible for the support PFS have put in place appropriate measures to prevent such issues from arising in the future. Moreover, for each weakness or point needing improvement, the REA must obtain the comments of the persons responsible for the support PFS before submitting the management letter through the eDesk platform. Such comments must mandatorily include, among others, the following information: - a detailed explanation of the reasons and circumstances relating to the occurrence of the weakness or point needing improvement identified by the REA; - a detailed explanation of the measures taken or decided in order to remedy the weakness or the point needing improvement and to prevent their recurrence in the future. These measures must be complemented by a detailed remediation plan and timetable. If the persons responsible for the support PFS do not respond in a timely manner and within a reasonable time frame to the weaknesses or points needing improvement raised by the REA in the management letter, the REA will issue this management letter specifying that no comments have been received by the persons responsible for the support PFS on the weaknesses or points raised. 4.
  4. The separate report This circular introduces a separate report to be completed by the REAs of support PFS, for each year or period for which a self-assessment questionnaire has been submitted by the support PFS. The purpose of the separate report is notably to ensure the reliability of the answers provided by the support PFS in the self-assessment questionnaire and to provide answers to a set of questions determined by the CSSF. The REA that performs the tests provided for in the separate report must be the REA appointed by the support PFS to carry out the statutory audit, as referred to in Section 4.1 of this circular. The drawing-up of a separate report consists of a set of procedures, defined by the CSSF, to be implemented by the REA and that are broken down into predefined topics. Pursuant to Article 49 of RCSSF 12-02, the separate report also covers matters relating to antimoney laundering and countering the financing of terrorism (AML/CFT), taking notably into account 6 The approach and the expectations described in this paragraph also apply to the weaknesses and points needing improvement indicated in the reports relating to the compliance with financial sector laws, regulations and circulars issued in previous financial years. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 8/11 the “very low” risk level allocated to the support PFS sector due to the low-risk nature of their activities. Depending on the activities of a support PFS, a procedure may not be applicable. In this case, the REA must explicitly indicate this in the separate report. The procedures are directly indicated in the separate report and consist in sample testing or verifications to be carried out by the REA. The sizes of the samples are determined by the CSSF based on a risk-based approach and they must be detailed in the separate report. Similarly to the number of questions asked to support PFS as part of the self-assessment questionnaire, the number of procedures to be carried out by the REA depends on the risk category that has been assigned by the CSSF to the support PFS. Hence, two support PFS with the same authorisation and that have to fill in the same sections of the self-assessment questionnaire may have to provide separate reports with a different number of specific procedures depending on the risk category assigned to them. A rotation plan will be established for the tests to be performed by the REA based on the activities and risk categories of the support PSF, and the allocation of specific procedures according to the risk categories of the support PSF will also be directly integrated into the eDesk platform. Depending on the developments of the legal and regulatory requirements applicable to support PFS as well as on the prudential supervision requirements, the procedures to be implemented by the REA and the rotation plan of the specific procedures may be adapted over the coming years, following the amendments that might also be made to the self-assessment questionnaire. The results of these procedures are reported by the REA in the separate report in the form of answers to a set of mainly closed-ended questions or confirmations and they do not result in an opinion in accordance with auditing, insurance or any related services standards. Any comments provided, where applicable, by the REA in the report must be concise, clear and meet the objectives and provide answers to the questions asked. The support PFS must issue comments on the observations made by the REA (providing its response – agreement or disagreement – and, where applicable, the action plan and the implementation date) before transmitting the report through the eDesk platform.
  5. Obligation of the REA to report to the CSSF The REA is required to report to the CSSF pursuant to Article 54
(3)of the LFS. Such reporting shall not only relate to adverse effects in the short term (as it is the case for the certification of annual accounts) but also in the medium and long term (objective of the prudential supervision). Consequently, the REA shall communicate to the CSSF the information of which s/he became aware while carrying out the statutory audit of a support PFS or, where applicable, while performing any other legal or regulatory mission concerning the support PFS, and which is relevant from a prudential point of view and/or likely to require an urgent action by the CSSF. The facts to be considered are, among others, items constituting a material infringement of legislation, affecting the continuous functioning of the institution or leading to refusal to certify the accounts or to reservations thereto. The legal requirement to “promptly” report the relevant information to the CSSF does not prevent the REA from consulting first the persons responsible for the support PFS, provided that the latter are not conflicted and that the discussion does not unduly delay the transmission of information to the CSSF. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 9/11 As regards the communication modalities, it is understood that: - the reporting of the REA is carried out spontaneously, in written or oral form; in case of serious problems, it is recommended that the oral communications be followed by a written confirmation as quickly as possible; - the priority should be given to timely rather than precise and complete reporting in the first place; - in the reporting to the CSSF, the REA shall explicitly inform on the actual or possible problems noted. Examples of facts or decisions falling or likely to fall under the reporting obligation to the CSSF include, among others, the following: - major conflicts within the decision-making bodies of the institution; - unexpected departure of a key function holder; - major financial difficulties in a branch or subsidiary; - serious deficiencies in the internal control framework; - significant errors in the prudential reporting; - granting of an interim dividend while the institution has insufficient or barely sufficient own funds; - major incidents in the IT organisation or infrastructure; - activity change without appropriate infrastructure; - frauds likely to generate important losses; - important legal disputes; - inappropriate assessment in relation to a merger/split project of undertakings. As a reminder, Article 54
(4)of the LFS guarantees that the disclosure in good faith to the CSSF by a REA of any fact or decision as referred to in paragraph 3 of that Article shall not constitute a violation of the obligation of professional secrecy or a breach of any restriction on disclosure of information imposed by contract, and shall not expose that REA to liability of any kind.
  1. Instructions for the preparation and filing of the expected documents 6.
  2. Documents to be submitted and submission modalities All documents to be submitted in the context of this circular must be transmitted in electronic form through the eDesk platform: - The descriptive report and its annexes; - The documents required in the context of the financial year-end (including the REA’s - The self-assessment questionnaire; - The separate report. management letter); The descriptive report and the self-assessment questionnaire must be electronically approved and signed by the authorised management prior to their transmission to the CSSF. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 10/11 The separate report and the management letter issued by the REA must be electronically signed by the partner in charge of the mandate within the audit firm s/he represents. Once signed, these documents must be submitted by the support PSF to the CSSF. All documents must be transmitted at the latest within seven months following the closing date of the financial year of the support PFS. As soon as it comes to their attention, the support PFS must inform the CSSF of any reported delay and indicate the reasons for and the probable duration of the delay. In case of withdrawal or deregistration of the support PFS from the official list held by the CSSF during the year, the self-assessment questionnaire and the separate report covering the period from the last financial year-end to the date of withdrawal or deregistration will, in principle, be required within the same seven-month time frame. The above-mentioned submission deadlines may be reviewed by the CSSF for subsequent financial years. The procedure available on the eDesk platform will clearly specify the documents to be submitted; an exhaustive list of the required documents will also be published on the CSSF website. 6.
  3. Practical modalities The procedures and explanations relating to the practical modalities regarding the preparation and transmission of all documents referred to under Section 6.1 will be made available to the support PFS and their REA on the website of the CSSF. A user guide detailing the account creation and authentication procedures on the eDesk platform is also made available on the eDesk homepage.
  4. Entry into force The instructions of this circular must be complied with in their entirety for the financial years closing on 31 December 2025 or after 31 December
  5. All financial years closing as from the abovementioned date will thus fall within the scope of this circular. This circular repeals Circulars CSSF 12/544 and CSSF 19/
  6. Claude WAMPACH Director Françoise KAUTHEN Director CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 Marco ZWICK Director Jean-Pierre FABER Director Claude MARX Director General 11/11

🔗 Vers la source officielle

AI explanation based on the official legal text. Indicative, not a substitute for legal advice.