← Luxembourg

Publication of Circular CSSF 25/903

Published on 23 December 2025 Email this Share this on LinkedIn Share this on Facebook Communiqué Publication of Circular CSSF 25/903 Amendment of Circular CSSF 24/850 on the practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted on an annual basis by support PFS, as well as the engagement of the réviseurs d’entreprises agréés (approved statutory auditors) of support PFS and practical rules concerning the management letter and the separate report to be drawn up on an annual basis. The CSSF today published Circular CSSF 25/903 amending Circular CSSF 24/850 relating to support PSFs with respect to the practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted annually, as well as the engagement of the réviseurs d’entreprises agréés (“REA”, approved statutory auditors) of support PFS and, in particular, the practical rules regarding the letter of recommendation and the separate report to be drawn up on an annual basis (the “Circular”). The purpose of this Circular is to amend the provisions relating to the preparation and annual submission of the descriptive report and its annexes, the documents expected as part of the financial year-end closing (including the letter of recommendation from the approved statutory auditor), the self-assessment questionnaire, and the separate report by support PSFs and their approved statutory auditors. The amendments introduced concern : The method of transmission of the required documents, which must now be carried out via the CSSF’s eDesk platform; An adaptation of the testing rotation plan, notably providing for a three-year cycle for entities classified as low risk. New submission process The CSSF informs the Support PFS that all required documents and questionnaires must be uploaded and completed via the CSSF eDesk platform in the future. The questionnaires can be submitted to the CSSF through the following channels: An online solution via the eDesk procedure for manual input by the Support PFS. The Application Programming Interface (API) solution, based on the use of a structured exchange file (JSON format), to be transmitted to the CSSF via the S3 (“Simple Storage Service”) protocol. This file will then pre-fill the questionnaire available on the CSSF eDesk platform. The Support PFS will also be able to directly update in eDesk the data pre-filled through S

  1. Manual input of responses directly in the eDesk online form remains possible. A user guide detailing the procedures for creating an account and authenticating on the eDesk platform is also made available on the eDesk homepage. The portal for the financial year ending 31 December 2025 should be accessible in the following weeks. Any question relating to this communication or Circular CSSF 24/850 as amended should be addressed to psfsupport@cssf.lu by copying your usual point of contact at the CSSF. Any technical questions regarding the communication channels mentioned above should be addressed to eDesk@cssf.lu. 23 December 2025 Circular CSSF 25/903 Update of Circular CSSF 24/850 on the practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted on an annual basis by support PFS, as well as the engagement of the réviseurs d’entreprises agréés (approved statutory auditors)… CSSF circular PDF (281.48Kb) PDF (316.04Kb) 19 January 2024 - Updated on 23 December 2025 Circular CSSF 24/850 (as amended by Circular CSSF 25/903) Practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted on an annual basis by support PFS. Engagement of the réviseurs d’entreprises agréés (approved statutory auditors) of support PFS and practical rules concerning the management letter and… CSSF circular PDF (227.92Kb) PDF (205.14Kb) 23 December 2025 Structure of the descriptive report CSSF guidance PDF (148.69Kb) PDF (145.77Kb) 23 December 2025 Summary of expected documents related to Circular CSSF 24/850 List PDF (128.61Kb) PDF (128.65Kb) 23 December 2025 Test rotation plans for the separate report of support PFS grouped by activities/authorisations and risk classification CSSF guidance PDF (108.67Kb) Relevant for Support PFS Circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’autoévaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement Circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement À tous les PSF de support Luxembourg, le 23 décembre 2025 Mesdames, Messieurs, La présente circulaire a pour objet de modifier les dispositions relatives à la préparation et à la soumission annuelle du rapport descriptif ainsi que de ses annexes, des documents attendus dans le cadre de la clôture comptable (y inclus la lettre de recommandations du réviseur d’entreprises agréé), du questionnaire d’auto-évaluation et du rapport séparé des PSF de support et de leurs réviseurs d’entreprises agréés (« REA »). Les modifications apportées portent sur : - Le mode de transmission des documents requis à effectuer désormais via la plateforme eDesk de la CSSF ; - Une adaptation du plan de rotation des tests, prévoyant notamment un cycle de trois ans pour les entités classées à faible risque. Une version « suivi des modifications » de la circulaire CSSF 24/850 est disponible à l’Annexe de la présente circulaire. Claude WAMPACH Directeur Françoise KAUTHEN Directeur CIRCULAIRE CSSF 25/903 Marco ZWICK Directeur Jean-Pierre FABER Directeur Claude MARX Directeur général 2/29 Circulaire CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’autoévaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 2/29 Circulaire CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement À tous les PSF de support Luxembourg, le 19 janvier 2024 Mesdames, Messieurs, La présente circulaire a pour objet de définir les règles pratiques concernant la préparation ainsi que la soumission annuelle des documents décrits par après par les PSF de support et par leurs réviseurs d’entreprises agréés (« REA »). Plus particulièrement, la présente circulaire introduit, d’une part, un questionnaire d’auto-évaluation à remplir sur une base annuelle par les PSF de support (le « questionnaire d’auto-évaluation ») et à soumettre à la CSSF en remplacement du rapport d’analyse de risques (« RAR ») exigé par la circulaire CSSF 12/
  2. Le questionnaire d’auto-évaluation est le résultat d'un réexamen approfondi de l'objectif et du contenu des informations que la CSSF souhaite obtenir concernant l’autoévaluation et la gestion par le PSF de support des risques qu’il peut faire courir au secteur financier. Il tient compte des développements réglementaires et des principaux points que la CSSF souhaite porter à l’attention des PSF de support. D’autre part, la présente circulaire précise de manière générale le rôle et la mission des REA dans le contexte du contrôle légal des comptes des PSF de support. Elle établit par ailleurs un cadre réglementaire spécifique à la lettre de recommandations et introduit également un rapport séparé (le « rapport séparé »). Le rapport séparé reprend des procédures spécifiques que la CSSF demande au REA d’effectuer par rapport au questionnaire d’auto-évaluation du PSF de support. Ces deux documents doivent être préparés par les REA des PSF de support sur une base annuelle. Enfin, la présente circulaire adapte et simplifie le rapport descriptif à fournir annuellement par les PSF de support et abroge les circulaires CSSF 12/544 et 19/7272 suite à l’introduction des nouveaux outils de surveillance mis en place par la présente circulaire. 1 Circulaire CSSF 12/544 relative à l'optimisation par une approche par les risques de la surveillance exercée sur les « PSF de support », abrogée par la présente circulaire. Circulaire CSSF 19/727 relative aux nouvelles modalités de transmission des documents requis par la circulaire CSSF 12/544, abrogée par la présente circulaire. 2 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 3/29 Table des matières
  3. Champ d’application et base légale ............................................................................... 5
  4. Approche basée sur les risques..................................................................................... 5
  5. Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support...................................................................... 6 3.
  6. Le rapport descriptif ................................................................................................. 6 3.
  7. Le questionnaire d’auto-évaluation ............................................................................. 6
  8. Règles pratiques concernant la mission des REA ............................................................. 8 4.
  9. Le contrôle légal des comptes d’un PSF de support....................................................... 8 4.
  10. La lettre de recommandations ................................................................................... 8 4.
  11. Le rapport séparé .................................................................................................... 9
  12. Obligation de signalement par le REA à la CSSF ............................................................ 11
  13. Instructions pour la préparation et la transmission des documents attendus .................... 12 6.
  14. Documents à transmettre et modalités de soumission ................................................ 12 6.
  15. Modalités pratiques ................................................................................................ 14
  16. Entrée en vigueur ..................................................................................................... 15 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 4/29
  17. Champ d’application et base légale La présente circulaire s’adresse à tous les PSF exerçant une ou plusieurs activités de PSF de support, telles que définies dans les articles 29-1 à 29-6 de la loi du 5 avril 1993 relative au secteur financier (« la LSF ») et codifiés de type « I » par la CSSF. Les PSF de support sont tenus de se référer aux numéros signalétiques tels que publiés sur le site Internet de la CSSF à la rubrique des entités surveillées. Les exigences introduites par la présente circulaire se basent notamment sur les dispositions légales suivantes : - Le questionnaire d’auto-évaluation, tel que spécifié par la section 3.2 de la présente circulaire, est introduit en application de l’article 53, paragraphe

(1), point
(2), de la LSF qui permet à la CSSF de demander ou d’exiger des PSF de support la fourniture d’informations dans le cadre de l’exercice de ses fonctions ; - La définition du cadre réglementaire spécifique applicable à la lettre de recommandations à préparer par le REA, tel que spécifié par la section 4.2 de la présente circulaire, se fait en application de l’article 54, paragraphe
(1), de la LSF qui permet à la CSSF de fixer des règles quant à la portée du mandat de contrôle des documents comptables annuels des PSF de support et quant au contenu des rapports et commentaires écrits du REA ; - Le rapport séparé à préparer par le REA, tel que spécifié par la section 4.3 de la présente circulaire, est introduit : o en application de l’article 49 du règlement CSSF N° 12-02 du 14 décembre 2012 (« RCSSF 12-02 »)3 pour la partie du rapport séparé relative à la prévention du blanchiment et du financement du terrorisme (partie « Aspects LBC/FT ») ; o en application de l’article 54, paragraphe
(2), de la LSF qui permet à la CSSF de demander à un REA d’effectuer un contrôle portant sur un ou plusieurs aspects déterminés de l’activité et du fonctionnement des PSF de support, pour toutes les autres parties du rapport séparé.
  1. Approche basée sur les risques L’étendue du questionnaire d’auto-évaluation et de la liste des procédures spécifiques à effectuer par le REA varie en application du principe de proportionnalité et d’une approche de surveillance basée sur les risques. En pratique, un PSF de support considéré moins risqué devra répondre à un nombre restreint de questions et faire l’objet d’un nombre plus limité de procédures spécifiques à effectuer par son REA. Dans ce contexte, un système de notation est mis en place par la CSSF afin de déterminer le risque que chaque PSF de support fait courir au secteur financier. Ce système de notation repose sur plusieurs critères et prend notamment en compte la nature des activités prestées requérant un agrément de PSF de support, le chiffre d’affaires, les clients du secteur financier et la taille du PSF de support. Chaque année et au plus tard à la clôture de son exercice social, la CSSF communiquera au PSF de support la catégorie de risque qui lui a été attribuée (faible, modéré, élevé). Néanmoins, pour le premier exercice d’application, tel que spécifié au niveau de la section 7 de la présente circulaire, la Règlement CSSF N° 12-02 du 14 décembre 2012 relatif à la lutte contre le blanchiment et contre le financement du terrorisme, tel que modifié. 3 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 5/29 CSSF pourra exceptionnellement communiquer cette information au PSF de support au plus tard un mois après la publication de cette circulaire. Le PSF de support pourra demander à la CSSF des précisions sur les critères retenus afin d’établir la note de risque.
  2. Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support 3.
  3. Le rapport descriptif Un PSF de support doit fournir annuellement un rapport descriptif décrivant notamment son organisation administrative et comptable, son système de contrôle interne, son infrastructure informatique et ses activités prestées au secteur financier. La structure du rapport descriptif ainsi que la liste des documents attendus dans le cadre du rapport descriptif sont disponibles sur le site Internet de la CSSF. Lorsqu’un point déterminé de la structure ou un document attendu ne s’applique pas au PSF de support, celui-ci le mentionne explicitement. Le rapport descriptif comprend les informations demandées selon la structure prévue à l’annexe 1 de cette circulaire ainsi que les documents attendus dans le cadre du rapport descriptif précisés à l’annexe 2 de cette circulaire. Lorsqu’un point déterminé de la structure ou un document attendu ne s’applique pas au PSF de support, celui-ci le mentionne explicitement. 3.
  4. Le questionnaire d’auto-évaluation La présente circulaire introduit un questionnaire d’auto-évaluation à remplir par les PSF de support pour chaque année ou période qui fait l’objet d’un contrôle légal des comptes. Le questionnaire d’auto-évaluation vise à demander aux PSF de support de procéder à une autoévaluation de certains risques, et de leur conformité par rapport à des exigences légales et réglementaires. Les thématiques des questions applicables pour un PSF de support sont d’abord déterminées selon les activités prestées au secteur financier, et donc selon les agréments dont les PSF de support disposent. Ainsi, le questionnaire d’auto-évaluation se divise en quatre parties que chaque PSF de support doit remplir en fonction de l’agrément dont il dispose selon l’attribution présentée dans le tableau 1 (« Allocation des parties du questionnaire d’auto-évaluation ») disponible ci-après. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 6/29 Tableau 1 - Allocation des parties du questionnaire d’auto-évaluation Partie Aspects liés aux TIC4 PSF de support concernés - Opérateurs de systèmes informatiques et de réseaux de communication du secteur financier (Art. 29-3 de la LSF). - Prestataires de services de dématérialisation du secteur financier (Art. 29-5 de la LSF). - Prestataires de services de conservation du secteur financier (Art. 29-6 de la LSF). Aspects opérationnels5 - Agents de communication à la clientèle (Art. 29-1 de la LSF). - Agents administratifs du secteur financier (Art. 29-2 de la LSF). Aspects transversaux - Agents de communication à la clientèle (Art. 29-1 de la LSF). (hors « LBC/FT ») - Agents administratifs du secteur financier (Art. 29-2 de la LSF). - Opérateurs de systèmes informatiques et de réseaux de communication du secteur financier (Art. 29-3 de la LSF). - Prestataires de services de dématérialisation du secteur financier (Art. 29-5 de la LSF). - Prestataires de services de conservation du secteur financier (Art. 29-6 de la LSF). Aspects liés à la lutte - Agents de communication à la clientèle (Art. 29-1 de la LSF). contre le blanchiment et le - Agents administratifs du secteur financier (Art. 29-2 de la LSF). financement du terrorisme - Opérateurs de systèmes informatiques et de réseaux de (« Aspects LBC/FT ») communication du secteur financier (Art. 29-3 de la LSF). - Prestataires de services de dématérialisation du secteur financier (Art. 29-5 de la LSF). - Prestataires de services de conservation du secteur financier (Art. 29-6 de la LSF). Par dérogation à ce qui précède : a) Lorsqu’un PSF de support agréé selon les articles 29-3, 29-5 ou 29-6 de la LSF dispose également d’un ou plusieurs agréments selon les articles 29-1 ou 29-2 de la LSF, il est tenu de remplir uniquement les parties « Aspects liés aux TIC », « Aspects transversaux » et « Aspects LBC/FT » ; il n’a donc pas l’obligation de couvrir les questions et procédures de la partie « Aspects opérationnels ». b) En fonction des activités prestées et du risque que le PSF de support fait courir au secteur financier, et contrairement à l’allocation des parties prévue dans le tableau 1, la CSSF pourra exceptionnellement demander à un PSF de support de répondre à une partie du questionnaire qui ne lui est pas alloué ou au contraire l’en dispenser. La CSSF communiquera les demandes selon le point b) ci-dessus aux PSF de support concernés au plus tard à la clôture de leur exercice social. Néanmoins, pour le premier exercice d’application, tel que spécifié au niveau de la section 7 de la présente circulaire, la CSSF pourra communiquer cette 4 Technologies de l’information et de la Communication À noter que les parties relatives aux aspects opérationnels et aux aspects transversaux comprennent également quelques questions relatives aux TIC. 5 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 7/29 demande aux PSF de support concernés au plus tard un mois après la publication de cette circulaire. En l’absence d’une telle communication, les PSF de support sont tenus de respecter l’allocation des parties prévue dans le tableau
  5. Conformément à l’approche basée sur les risques présentée à la section 2 de la présente circulaire, le nombre de questions auxquelles un PSF de support doit répondre est fonction de la catégorie de risque que la CSSF lui a attribuée. Ainsi, deux PSF de support possédant le même agrément et devant remplir les mêmes parties du questionnaire d’auto-évaluation pourront avoir à répondre à un volume de questions différent selon leur catégorie de risque respective. Le questionnaire d’autoévaluation présentant les questions de chaque partie et leur allocation en fonction des différentes catégories de risque des PSF de support est disponible sur le site internet de la CSSF. En fonction des évolutions des exigences légales et réglementaires applicables aux PSF de support ainsi que des besoins de la surveillance prudentielle, le questionnaire d’auto-évaluation pourra faire l’objet d’adaptations au cours des années.
  6. Règles pratiques concernant la mission des REA Les PSF de support doivent, conformément à l’article 22, paragraphe
(1), de la LSF, faire l’objet d’un contrôle légal des comptes par un REA sur une base annuelle. Dans ce contexte, la présente circulaire définit, en application de l’article 54, paragraphe
(1), de la LSF, un cadre réglementaire spécifique applicable à la lettre de recommandations que le REA devra préparer à l’attention des responsables des PSF de support et de la CSSF. En outre, la présente circulaire introduit, en application de l’article 54, paragraphe
(2), de la LSF et de l’article 49 du RCSSF 12-02, un rapport séparé à préparer par le REA sur une base annuelle, en accord avec les spécifications fournies à la section 4.3 ci-après. 4.
  1. Le contrôle légal des comptes d’un PSF de support Le contrôle légal des comptes d’un PSF de support doit être effectué, en application de l’article 33 de la loi du 23 juillet 2016 relative à la profession de l’audit, conformément aux normes d’audit internationales telles qu’adoptées par la CSSF. Sur cette base, le REA présente les résultats du contrôle légal des comptes dans un rapport d’audit comprenant son opinion d’audit. 4.
  2. La lettre de recommandations La présente circulaire introduit un cadre réglementaire spécifique concernant la lettre de recommandations que les REA doivent préparer, pour chaque année ou période qui a fait l’objet d’un contrôle légal des comptes, à l’attention des responsables du PSF de support. La lettre de recommandations est à remplir par le REA à travers la plateforme eDesk.doit notamment présenter les recommandations sous forme d’un tableau dont le modèle à respecter est mis à disposition sur le site internet de la CSSF. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 8/29 Dans le cadre de la lettre de recommandations, le REA n'est pas tenu d'effectuer d'autres procédures que celles déjà réalisées lors du contrôle légal des comptes, référencé dans la section 4.1 de la présente circulaire. Le REA doit, conformément aux normes d’audit applicables, communiquer dans une lettre de recommandations adressée aux responsables du PSF de support, les faiblesses et les points à améliorer qu’il aura constatés lors de son contrôle légal des comptes du PSF de support, et qui, sur base du jugement professionnel du REA, sont d'une importance telle qu’ils méritent l'attention des responsables du PSF de support ou de la CSSF. La lettre de recommandations doit aussi reprendre le suivi des faiblesses ou des points d’amélioration soulevés dans les lettres de recommandations émises au cours des exercices précédents qui n'ont pas été « clôturés » dans la lettre de recommandations précédente, uniquement lorsque ces faiblesses ou points d’amélioration sont en rapport avec le contrôle légal des comptes. Les faiblesses et points d’amélioration qui ne sont pas en rapport avec le contrôle légal des comptes doivent être suivis en interne par le PSF de support et ne sont plus à mentionner dans la lettre de recommandations
  3. Le REA doit considérer la faiblesse ou le point d’amélioration comme « clôturé » lorsque les mesures correctrices nécessaires ont été mises en place pour remédier à cette faiblesse ou point d’amélioration et que les responsables du PSF de support ont mis en place des mesures appropriées pour éviter la réapparition de ceux-ci à l'avenir. En outre, pour chaque faiblesse ou point d’amélioration relevé, doit être accompagné des commentaires dle REA veille à obtenirs les commentaires des responsables du PSF de support avant de transmettre la lettre de recommandations à travers la plateforme eDesk. Ces commentairesqui doivent obligatoirement contenir, notamment, les informations suivantes : - une explication détaillée des raisons et des circonstances relatives à la survenance de la faiblesse ou du point d’amélioration soulevé par le REA ; - une explication détaillée des mesures prises ou décidées afin de corriger la faiblesse ou le point d’amélioration et d'éviter qu’ils ne se reproduisent plus à l'avenir. Ces mesures doivent être accompagnées d’un plan de remédiation détaillé et d’un calendrier associé. Si les responsables du PSF de support n'ont pas répondu en temps utile et dans un délai raisonnable aux faiblesses ou points d’amélioration soulevés par le REA dans la lettre de recommandations, le REA émettra cette lettre de recommandations en spécifiant qu’il n’a pas obtenu de commentaires de la part des responsables du PSF de support sur les faiblesses ou points soulevés. Lorsque le REA n’a relevé aucun point devant être repris dans une lettre de recommandations, il émettra une attestation de non-émission d’une lettre de recommandations. 4.
  4. Le rapport séparé La présente circulaire introduit un rapport séparé à remplir par les REA des PSF de support, chaque année ou période pour laquelle un questionnaire d’auto-évaluation a été soumis par le PSF de support. Ce rapport séparé, dont un modèle est disponible sur le site internet de la CSSF, a pour L’approche et les attentes exprimées dans ce paragraphe s’appliquent également aux faiblesses et points d’amélioration rapportés dans les attestations relatives au respect des lois, règlements et circulaires du secteur financier émises au cours des exercices précédents. 6 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 9/29 objet, notamment, de fiabiliser les réponses apportées par le PSF de support au questionnaire d’auto-évaluation et de répondre à un ensemble de questions déterminées par la CSSF. Le REA qui effectue les tests prévus selon le rapport séparé doit être le REA désigné par le PSF de support pour le contrôle légal des comptes, référencé dans la section 4.1 de la présente circulaire. La préparation d’un rapport séparé consiste en un ensemble de procédures définies par la CSSF à mettre en œuvre par le REA, réparties selon des thématiques prédéfinies. En application de l’article 49 du règlement CSSF N° 12-02, le rapport séparé couvre également le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT), en tenant notamment compte du niveau de risque « très faible » attribué au secteur des PSF de support en raison de la nature peu risquée de leurs activités. En fonction des activités d’un PSF de support, une procédure peut ne pas être applicable. Dans ce cas, le REA doit le mentionner explicitement dans son rapport séparé. Les procédures sont directement indiquées dans le rapport séparé. Elles consistent en des tests d’échantillons ou des vérifications à réaliser par le REA. Les tailles d’échantillon sont déterminées par la CSSF selon une approche basée sur les risques et doivent être détaillées dans le rapport séparé. À l’instar du nombre de questions posées au PSF de support dans le cadre du questionnaire d’autoévaluation, le nombre de procédures à réaliser par le REA est fonction de la catégorie de risque que la CSSF a attribuée au PSF de support. Ainsi, deux PSF de support possédant le même agrément et devant remplir les mêmes parties du questionnaire d’auto-évaluation pourront faire l’objet de rapports séparés comprenant un nombre de procédures spécifiques différent selon la catégorie de risque qui leur aura été attribuée. Un plan de rotation sera établi pour les tests à réaliser par le REA en fonction des activités et des catégories de risques des PSF de support, et l’attribution des procédures spécifiques en fonction des catégories de risques des PSF de support sera également directement intégrée sur la plateforme eDesk. Le REA d’un PSF de support agréé selon l’article 29-1 et/ou 29-2 de la LSF est tenu de réaliser chaque année les procédures spécifiques prévues pour les parties « Aspects opérationnels », « Aspects transversaux » et « Aspects LBC/FT ». Le REA d’un PSF de support agréé selon les articles 29-3, 29-5 et/ou 29-6 de la LSF est tenu de réaliser les procédures spécifiques conformément à un plan de rotation fixé par la CSSF. L’ensemble des procédures spécifiques du rapport séparé, leur allocation en fonction des différentes catégories de risque des PSF de support et le plan de rotation cité ci-dessus sont disponibles sur le site internet de la CSSF. En fonction des évolutions des exigences légales et réglementaires applicables aux PSF de support ainsi que des besoins de la surveillance prudentielle, les procédures qui devront être mises en œuvre par le REA ainsi que le plan de rotation des procédures spécifiques pourront faire l’objet d’adaptation au cours des années suivant les modifications qui seraient également faites au niveau du questionnaire d’auto-évaluation. Les résultats de ces procédures sont consignés par le REA dans le rapport séparé sous forme de réponses à un ensemble de questions ou de confirmations principalement de type fermé et ne donnent pas lieu à une opinion en application de normes d’audit, d’assurance ou de services connexes. Les commentaires apportés le cas échéant par le REA dans les champs libres de ce le rapport doivent être concis, clairs et répondre aux objectifs et aux questions posées. Le REA soumet le rapport auLe PSF de support qui doitpeut émettre des commentaires relatifs aux constatations CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 10/29 faites par le REA (il donne sa réponse (accord, désaccord), le cas échéant le plan d’action et la date de mise en œuvre) avant de transmettre le rapport via la plateforme eDesk.
  5. Obligation de signalement par le REA à la CSSF Le REA a une obligation de signalement à la CSSF conformément à l’article 54, paragraphe 3, de la LSF. Un tel signalement doit concerner des effets négatifs non seulement à court terme (comme c’est le cas pour la certification des comptes annuels) mais également à moyen et long terme (objectif du contrôle prudentiel). Par conséquent, le REA doit communiquer à la CSSF les informations pertinentes du point de vue prudentiel et/ou susceptibles de requérir une action urgente de la CSSF, dont il aurait eu connaissance dans l’exercice du contrôle légal des comptes du PSF de support ou le cas échéant lors de toute autre mission légale ou réglementaire concernant le PSF de support. Les faits à prendre en considération sont, notamment, des éléments constituant une violation grave aux dispositions législatives, qui impactent la continuité du fonctionnement de l’établissement ou entraînent le refus de la certification des comptes ou l’émission de réserves y relatives. L’obligation légale de signaler « rapidement » à la CSSF les informations pertinentes n’exclut pas que le REA se concerte au préalable avec les responsables du PSF de support, à condition que ce dernier ne soit pas en conflit d’intérêt et que cette concertation ne retarde pas indûment la transmission des informations à la CSSF. Concernant les modalités de communication, il est entendu que : - les signalements du REA sont effectués spontanément, sous forme écrite ou orale ; en cas de problème majeur, il est recommandé qu’une communication orale soit suivie aussi rapidement que possible d’une confirmation écrite ; - la priorité devrait être donnée à la rapidité des signalements plutôt qu’à leur précision et exhaustivité dans un premier temps ; - dans les signalements à la CSSF, le REA doit informer explicitement des problèmes avérés ou potentiels constatés. Exemples de faits ou décisions relevant ou pouvant relever de l’obligation de signalement à la CSSF: - conflits majeurs au sein des organes de décision de l’établissement ; - départ imprévu d’un titulaire de fonctions clés ; - difficultés financières majeures dans une succursale ou filiale ; - déficiences graves dans le dispositif de contrôle interne ; - erreurs significatives dans le reporting prudentiel ; - octroi d’un dividende intérimaire alors que l’établissement dispose de fonds propres insuffisants ou à peine suffisants ; - incidents majeurs dans l’organisation ou dans l’infrastructure informatique ; - changement d’activité sans infrastructure adéquate ; - fraudes susceptibles d’entraîner des pertes importantes ; - litiges importants ; - évaluation inappropriée concernant un projet de fusion/scission d’entreprises. Pour rappel, l’article 54, paragraphe 4, de la LSF garantit que la divulgation de bonne foi à la CSSF par un REA de faits ou décisions visés au paragraphe 3 de cet article ne constitue pas une violation du secret professionnel, ni une violation d’une quelconque restriction à la divulgation d’informations imposée contractuellement et n’entraîne de responsabilité d’aucune sorte pour le REA. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 11/29
  6. Instructions pour la préparation et la transmission des documents attendus 6.
  7. Documents à transmettre et modalités de soumission L’ensemble des documents attendus sont à transmettre sous format électronique via la plateforme eDesk : • Le rapport descriptif ainsi que ses annexes ; • Les documents attendus dans le cadre de la clôture comptable (y inclus la lettre de recommandations du REA) ; • Le questionnaire d’auto-évaluation ; • Le rapport séparé. Le rapport descriptif et le questionnaire d’auto-évaluation doivent être approuvés et signés électroniquement par la direction autorisée avant transmission à la CSSF. Le rapport séparé et la lettre de recommandations du réviseur d’entreprises agréé doivent être signés électroniquement par l’associé en charge du mandat au sein du cabinet d’audit qu’il représente. Après signature, ces documents doivent être soumis par le PSF de support à la CSSF. L’ensemble des documents sont à transmettre au plus tard dans un délai de sept mois suivant la clôture de l’exercice social du PSF de support. Dès qu’il en a connaissance, le PSF de support informera la CSSF de tout retard annoncé en indiquant les raisons et la durée probable du retard. En cas de retrait / de radiation, au cours de l’année, du PSF de support de la liste officielle tenue par la CSSF, le questionnaire d’auto-évaluation et le rapport séparé couvrant la période depuis la dernière date de clôture jusqu’à la date de retrait / radiation sont, en principe, requis suivant le même délai de sept mois. Les délais de soumission, tels que repris ci-avant, pourront être revus par la CSSF pour les exercices subséquents.
  8. La démarche disponible sur la plateforme eDesk précisera clairement les documents à déposer ; une liste exhaustive des documents requis sera par ailleurs publiée sur le site Iinternet de la CSSF. 6.
  9. Le rapport descriptif et les documents attendus dans le cadre du rapport descriptif et de la clôture comptable Le rapport descriptif et les documents attendus dans le cadre du rapport descriptif, introduits en section 3.1 de la présente circulaire, ainsi que les documents attendus dans le cadre de la clôture comptable précisés à l’annexe 2 de cette circulaire7, doivent être transmis sous format électronique8, et dans le format d’origine du fichier mis à disposition par la CSSF pour certaines annexes (comme À l’exception des chiffres définitifs (préfixe CL-8 dans l’annexe 2) qui doivent être envoyés en utilisant les canaux de transmission habituels E-File ou SOFiE, au plus tard sept mois après la date de clôture de l’exercice social. 7 8 De préférence, dans une version permettant la sélection de texte CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 12/29 spécifié à l’annexe 2 de cette circulaire), au plus tard dans un délai de sept mois suivant la clôture de l’exercice social du PSF de support. Par ailleurs, tout document portant une signature manuscrite, et notamment la lettre d’accompagnement de ces documents, doit, en plus, être transmis sur support papier. À titre d’exemple, pour les rapports descriptifs, seules les pages signées doivent être transmises sur support papier. Pour chaque document reçu en version numérique, le nom du fichier doit comprendre le préfixe repris à l’annexe 2 de cette circulaire et en y ajoutant le numéro signalétique interne de la CSSF « Ixxx », ainsi que l’exercice concerné, au format « yyyy » ci-après. À titre d’exemple, le fichier contenant le rapport descriptif pour le PSF de support « I102 » pour l’exercice comptable clôturant au 31 décembre 2023 sera nommé « I102-2023-RD-0 ». D’autre part, le rapport descriptif doit être remis en deux versions : une version finale (sans annotations), et une version « suivi des modifications » présentant tous les changements par rapport à l’exercice précédent
  10. Les documents seront transmis de manière sécurisée par dépôt auprès de la CSSF au moyen de son système MFT en ligne. Afin d’obtenir un identifiant permettant la connexion au système en ligne, le PSF de support renseignera à la CSSF par envoi à l’adresse email psfsupport@cssf.lu les informations suivantes : - Numéro signalétique attribué par la CSSF (de type « Ixxx ») - Nom de l’organisation - Nom et prénom de la personne de référence pour les envois - Adresse email de contact (seule une adresse email générique sera acceptée) - Téléphone de contact. Dès qu’il en a connaissance, le PSF de support informera la CSSF de tout retard annoncé en indiquant les raisons et la durée probable du retard. 6.
  11. Le questionnaire d’auto-évaluation Avant la soumission du questionnaire d’auto-évaluation à la CSSF, les responsables du PSF de support sont tenus de procéder à une revue et une validation de son contenu. Le questionnaire d’auto-évaluation doit être transmis annuellement par les responsables du PSF de support à la CSSF au plus tard dans un délai de sept mois suivant la clôture de l’exercice social du PSF de support : - D’une part, via MFT dans le format d’origine du fichier mis à disposition par la CSSF ; - D’autre part, via MFT en format PDF comportant la signature numérique d’au moins deux responsables du PSF de support, ou le cas échéant, via courrier avec la signature manuscrite d’au moins deux responsables du PSF de support. Dès qu’il en a connaissance, le PSF de support informera la CSSF de tout retard annoncé en indiquant les raisons et la durée probable du retard. Version PDF du document équivalent à une impression reprenant les modifications et commentaires du mode « track changes ». 9 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 13/29 En cas de retrait / de radiation au cours de l’année du PSF de support de la liste officielle tenue par la CSSF, le questionnaire d’auto-évaluation couvrant la période depuis la dernière date de clôture jusqu’à la date de retrait / radiation est, en principe, requis suivant le même délai de sept mois. Les délais de soumission, tels que repris ci-avant, pourront être revus par la CSSF pour les exercices subséquents. 6.
  12. La lettre de recommandations et le rapport séparé La lettre de recommandations (y inclus le tableau des recommandations) ou le cas échéant, l’attestation de non-émission d’une lettre de recommandations, et le rapport séparé doivent être transmis annuellement par les responsables du PSF de support à la CSSF au plus tard dans un délai de sept mois suivant la clôture de l’exercice social du PSF de support : - D’une part, via MFT dans le format d’origine du fichier mis à disposition par la CSSF ; - D’autre part, via MFT en format PDF comportant la signature numérique de l’associé chargé du mandat auprès du cabinet d’audit, ou le cas échéant, via courrier avec sa signature manuscrite. Dès qu’il en a connaissance, le PSF de support informera la CSSF de tout retard annoncé en indiquant les raisons et la durée probable du retard. En cas de retrait / de radiation au cours de l’année du PSF de support de la ou des listes officielles tenues par la CSSF, le rapport séparé couvrant la période depuis la dernière date de clôture jusqu’à la date de retrait / radiation est, en principe, requis suivant le même délai de sept mois. 6.
  13. Modalités pratiques Les procédures et explications relatives aux modalités pratiques concernant la préparation et la transmission de l’ensemble des documents repris sous la section 6.
  14. seront mises à la disposition des PSF de support et de leurs REA, sur le site Internet de la CSSF. Un guide utilisateur précisant les modalités de création de compte et d’authentification sur la plateforme eDesk est également mis à disposition sur la page d’accueil eDesk. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 14/29
  15. Entrée en vigueur Les instructions de la présente circulaire sont à observer dans leur ensemble pour les exercices comptables clôturant au 31 décembre 20253 (premier exercice d’application) ou après le 31 décembre
  16. Ainsi, toutes les clôtures à partir de cette date sont sous le champ d’application de cette circulaire. La présente circulaire abroge les circulaires CSSF 12/544 et 19/727 . CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 15/29 Annexe 1 : Structure du rapport descriptif
  17. Evénements significatifs Le PSF de support indique le cas échéant les événements significatifs qui ont eu lieu au cours de l’exercice sous revue et susceptibles d’impacter sa situation. Il s’agit par exemple de décisions stratégiques, de réorganisations importantes, du lancement ou de l’arrêt d’une activité, d’opérations de fusion/acquisition ou de collaboration/partenariat. Les évènements significatifs pouvant faire apparaître des risques pour les clients professionnels financiers du PSF de support doivent être pris en compte dans le système de gestion des risques mentionné au point 2.5.
  18. Lorsqu’il n’y a pas eu d’événements significatifs au cours de l’exercice sous revue, le PSF de support mentionnera ce fait expressément.
  19. Organisation et administration Le PSF de support fournira sous ce point une vue d’ensemble de sa structure opérationnelle, décisionnelle et de gouvernance. 2.
  20. Direction en charge de la gestion journalière Le PSF de support fournit une description des attributions de la direction en charge de la gestion journalière et le périmètre des pouvoirs nécessaires au bon accomplissement de sa mission que le conseil d’administration (ou conseil de gérance) lui aura délégué. Il précise notamment s’il y a lieu : - les limites éventuelles imposées par le conseil d’administration (ou conseil de gérance) aux décisions locales du PSF de support dans le contexte d’un groupe ; les décisions du conseil d’administration (ou conseil de gérance) imposées localement au PSF de support et qui peuvent aller à l’encontre de la réglementation luxembourgeoise. 2.
  21. Administration centrale Le PSF de support fournit une brève description de l’organisation de son administration centrale. 2.
  22. Organisation administrative Le PSF de support fournit une brève description de son organisation administrative. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 16/29 En cas de recours à un outsourcing de services administratifs, le PSF de support doit également en faire une brève description et précise la surveillance mise en place au niveau du PSF pour encadrer les services qui font l’objet d’un outsourcing. 2.
  23. Fonction comptable Le PSF de support doit donner une brève description du fonctionnement de sa fonction comptable. En cas de recours à un outsourcing de la fonction comptable, le PSF de support doit également en faire une brève description et précise la surveillance mise en place au niveau du PSF pour encadrer les services qui font l’objet d’un outsourcing. 2.
  24. Contrôle interne Le PSF de support fournit une description de la manière dont son système de contrôle interne est organisé. 2.5.
  25. Procédures internes Le PSF de support indique sous ce point l’existence d’un manuel de procédures couvrant l’ensemble des activités opérées au sein de la société et qui peuvent avoir un impact direct ou indirect sur les clients professionnels du secteur financier. Le PSF de support mentionne également si, conformément à ses obligations : - - il a bien mis en place un programme de formation de ses employés notamment au respect de la confidentialité des données des clients professionnels du secteur financier et à la prévention du blanchiment et du financement du terrorisme ; les contrats employés incluent bien une clause de confidentialité ainsi qu’une mention des poursuites pénales encourues en cas de violation du secret professionnel
  26. 2.5.
  27. Système de gestion des risques Le PSF de support indique les rôles et responsabilités des différentes parties prenantes (acteurs) à son système de gestion des risques
  28. Le PSF de support indique notamment : - 10 Le membre de la direction responsable de la gestion des risques ; Si la charge de la gestion des risques est confiée à une ou des personne(s) en interne. Ces personnes doivent jouir, d’un point de vue hiérarchique, de l’indépendance nécessaire pour pouvoir assumer leur responsabilité de façon adéquate ; . Tel qu’en dispose l’article 41, paragraphe
(1)de la LSF. Système de gestion des risques mis en place conformément aux exigences de la section 5 de la circulaire IML 98/143 relative au contrôle interne et de la circulaire CSSF 20/750 relative aux exigences en matière de gestion des risques liés aux technologies de l’information et de la communication et à la sécurité. 11 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 17/29 - Si la charge de la gestion des risques est confiée à un externe expert en matière de gestion des risques qui est alors à nommer. 2.5.
  1. Comité d’audit Dans l’hypothèse où le PSF de support dispose d’un comité d’audit 12 qui lui est propre (un éventuel comité d’audit au niveau groupe n’est pas concerné ici), il décrit la composition, les modalités de fonctionnement, la fréquence et l’ordre du jour des réunions de ce comité. 2.5.
  2. Audit interne Le PSF de support fournit une description de la fonction d’audit interne (in-house, soutien de la maison-mère, recours à un expert externe ou recours à des tiers professionnels auquel cas il y a lieu de décrire la coordination avec le responsable du suivi des travaux). 2.
  3. Systèmes informatiques à usage interne 2.6.
  4. Tableau de synthèse Le PSF de support fournit les informations attendues dans le tableau de synthèse mis à disposition par la CSSF pour les fonctions comptables et « Client Relationship Management ». 2.6.
  5. Architecture réseau et connexions externes Le PSF de support fournit une description et/ou un schéma de l’architecture réseau du PSF de support comportant les éléments principaux de sécurité (DMZ, firewalls, IDS, routers, proxy, etc.). Au cas où il ne serait pas possible ou utile de différencier l’architecture réseau nécessaire au fonctionnement interne du PSF de celle nécessaire aux activités prestées auprès du secteur financier, il peut être renvoyé au point 3.3.
  6. Le PSF de support liste les connexions utiles au fonctionnement interne vers ou depuis l’extérieur (y compris avec son groupe le cas échéant), en précisant le contrôle qu’il exerce sur ces accès (Active Directory séparé, ouverture/fermeture des lignes de communication, logs, etc.) et les mesures de redondance de ces connexions.
  7. Activités prestées auprès du secteur financier 3.
  8. Description des activités prestées Le PSF de support fournit une description précise du type et du volume de ses activités. Il faudra d’une part faire la distinction entre les activités prestées auprès du secteur financier, du secteur des Conformément au point 6 de la circulaire IML 98/143 et à l’article 74 de la loi du 18 décembre 2009 relative à la profession de l’audit. 12 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 18/29 assurances et les autres activités et d’autre part distinguer entre les activités qui requièrent un agrément en tant que PSF de support et celles qui ne le requièrent pas. Le PSF de support précise également le cas échéant le mode de prestation des services. A titre d’exemple : - - pour un agent administratif : services de type « Business Process Outsourcing » délivrés sur le site du PSF de support et sur son propre système informatique mutualisé ; pour un opérateur de systèmes informatiques et de réseaux de communications : mise à disposition et gestion d’une « Infrastructure as a Service » localisée dans ses locaux en mode dédié ou partagé, ou gestion du réseau sur le site du client ; pour un agent de communication à la clientèle : impression et mise sous pli de courriers à destination des clients du client professionnel financier, sur ses propres systèmes et dans ses propres locaux. Lorsqu’il y a eu un changement de la nature des activités, l’abandon d’une activité ou le lancement d’activités nouvelles ou encore lorsqu’il y a eu des événements exceptionnels ou significatifs au cours de l’exercice sous revue, il en sera rapporté au point
  9. « Evénements significatifs ». Le PSF de support fournit également une liste nominative de ses clients des secteurs financiers luxembourgeois ou étrangers pour lesquels il preste des services nécessitant un agrément PSF, précisant en outre pour chacun d’eux : - le secteur d’activité concerné (financier/assurances) ; le pays de résidence (Luxembourg/étranger) ; la nature de la prestation (activités principales prestées) ; la localisation de la prestation ; et si elle est offerte via une communication à distance ou sur site. 3.
  10. Partenariats / sous-traitance en cascade Le PSF de support indiquera l’existence éventuelle de partenariat ou de sous-traitance en cascade (avec des sociétés externes ou au sein du groupe) pour la prestation des activités au secteur financier et en précisera la nature (expertise, mise à disposition de profils, prestation requérant l’agrément). Il précisera également : a. les effectifs (en nombre d’ETP) alloués à la prestation de services au secteur financier (effectif dédié) ; b. les effectifs (en nombre d’ETP) de sous-contractants éventuels utilisés sur une base permanente par le PSF de support dans la prestation de services au secteur financier. 3.
  11. Systèmes informatiques à usage externe13 13 Référencés dans le questionnaire d’auto-évaluation comme « IT systems related to client activities ». CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 19/29 3.3.
  12. Tableau de synthèse Le PSF de support fournit les informations attendues dans le tableau de synthèse mis à disposition par la CSSF pour les systèmes informatiques à usage externe. Sont à considérer comme systèmes informatiques à usage externe :
  13. les systèmes qui supportent partiellement ou exclusivement les activités prestées pour les clients professionnels du secteur financier du PSF de support, indépendamment de leur appartenance au client ou au PSF ou de leur localisation,
  14. et pour lesquels le PSF de support a la responsabilité du bon fonctionnement vis-à-vis du client. Ces deux conditions sont cumulatives pour déterminer si un système est qualifié de système à usage externe. Le terme « système » peut ici se limiter à un logiciel si la prestation porte uniquement sur un logiciel. A titre d’exemple, un agent administratif qui offre des services de comptabilité de fonds à des professionnels du secteur financier sur son propre système comptable en ses locaux – système qu’il utilisait déjà auparavant et qu’il continue à utiliser pour sa propre activité – pourrait de prime abord considérer ce système comptable comme un système interne. Cependant, ce système est bien à considérer comme un système externe, puisqu’il supporte aussi une activité prestée auprès du secteur financier, que l’agent administratif est responsable de son bon fonctionnement et qu’il a le pouvoir de décider du système supportant la prestation. De même, un agent administratif qui offre des services de comptabilité de fonds à des professionnels du secteur financier sur son propre système comptable, mais qui sous-traite lui-même la gestion de son système à un tiers, doit considérer ce système comme concerné par cette section. En effet, indépendamment du recours à cette sous-traitance, l’agent administratif garde la responsabilité du fonctionnement du système vis-à-vis de ses clients et conserve éventuellement un pouvoir de décision quant au choix du système supportant la prestation. 3.3.
  15. Schéma fonctionnel des flux Les principaux liens (interfaces) qui existent entre les fonctions et, par conséquent, les systèmes renseignés conformément au point 3.3.1 seront décrits par le PSF de support dans un schéma fonctionnel des flux. Lorsque toutes les fonctions sont intégrées au sein d’un logiciel unique fonctionnant sur un seul matériel (p. ex. : cas d’un progiciel bancaire), il n’est pas nécessaire de détailler les flux internes, mais uniquement les flux entrants et sortants du système. 3.3.
  16. Architecture réseau et connexions externes Le PSF de support fournit une description et/ou un schéma de son architecture réseau comportant les éléments principaux de sécurité (DMZ, firewalls, IDS, routers, etc.). Il liste les connexions utiles au fonctionnement des activités prestées auprès du secteur financier vers ou depuis l’extérieur (y compris avec son groupe le cas échéant), en précisant le contrôle qu’il CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 20/29 exerce sur ces accès. Il fournit notamment une description brève des mécanismes de sécurité mis en place, tant au niveau physique (firewall, routeurs, etc.), qu’au niveau logique (détecteurs d’intrusions, anti-virus, authentification des clients, confidentialité des communications, intégrité et non-répudiation des transactions, etc.) et organisationnel (suivi des journaux/log, configuration des équipements de sécurité, génération des clés ou certificats d’authentification des clients, monitoring des systèmes, etc.). 3.3.
  17. Plan de continuité et de recouvrement (BCP/DRP) Le PSF de support fournit une description du plan de continuité qu’il a établi en cas de sinistre de ses propres locaux, respectivement en cas d’impossibilité d’accéder à ses propres locaux (solution groupe, firme spécialisée, tests réguliers, mesures de sécurité, …). Il décrit également les grandes lignes du plan d’urgence en place qui doit lui permettre de fonctionner normalement en cas de panne de son système informatique, y compris pour ce qui est des connexions externes (recours à plusieurs fournisseurs de lignes de communication, redondance des lignes). Lorsque les informations demandées ci-dessus ont déjà été renseignées dans le questionnaire d'auto-évaluation, le PSF devra uniquement indiquer les sections correspondantes.
  18. Relations avec les entreprises liées Le PSF de support s’engage à ce que les transactions intragroupes s’effectuent à des conditions de marché (« at arm’s length »). Sont à décrire et à commenter notamment : - le type d’opérations intragroupes effectuées ; les garanties émises en faveur/reçues de la part d’entreprises liées ; les prix facturés pour services rendus et obtenus ; etc. Toutes les transactions qui ne sont pas effectuées aux conditions de marché doivent être rapportées et détaillées.
  19. Succursales à l’étranger Le PSF de support fournit pour chaque succursale : - un organigramme ; une description des activités ; une description des procédures de contrôle interne ; les déficiences graves que l’audit interne a relevées le cas échéant auprès de la succursale ; une description de l’organisation administrative et comptable ; une indication sur l’existence de procédures relatives au respect des règles de conduite et à la prévention du blanchiment et du financement du terrorisme ; des explications sur l’intégration comptable de la succursale. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 21/29
  20. Filiales à l’étranger Le PSF de support devra fournir annuellement le rapport annuel ou, à défaut les comptes annuels des filiales ou participations majoritaires. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 22/29 Annexe 2 : Récapitulatif des documents attendus Remarque : le tableau ci-après reprend volontairement le format et les préfixes du tableau introduit dans la circulaire CSSF 19/
  21. Afin de faciliter la préparation des documents attendus, les modifications par rapport aux descriptions de la circulaire CSSF 19/727 sont indiquées en rouge. Par ailleurs, certains documents attendus dans la circulaire CSSF 19/727 (exemple : préfixe RD-6), ont été supprimés. Documents attendus dans le cadre du rapport descriptif Le rapport descriptif. Préfixe RD-0 Pour rappel : - Il doit être signé par les membres de la gestion journalière ; - Il doit être envoyé en deux versions (finale et « suivi des modifications »). Un exemplaire du rapport sur les comptes annuels et des comptes annuels de l’actionnaire majoritaire direct (ainsi que de son rapport de gestion lorsque ce dernier point est applicable). L’organigramme interne du personnel indiquant les lignes hiérarchiques et fonctionnelles ainsi que les effectifs par service. L'organigramme interne doit en outre indiquer : - - 14 RD-1 RD-2 le nom des administrateurs et, le cas échéant, l'identification du président du conseil d'administration ; le nom des directeurs autorisés et leur position hiérarchique au sein de l'entité ; tous les services et divisions, y compris les fonctions externalisées à des entités du groupe ou à des tiers, ainsi que les fonctions de contrôle telles que l'audit interne ou externe (et le comité d'audit le cas échéant), et les fonctions de support (informatique interne, comptabilité, etc.) ; pour chaque fonction externalisée, le nom de la personne responsable de la fonction (par exemple, le nom de la société qui effectue l'audit interne) et le nom du ou des directeurs autorisés chargés de la supervision de la fonction ; une distinction des fonctions externalisées par l'utilisation d'un code couleur différent ; pour chaque fonction non externalisée, le nombre d'employés ainsi que le nom du ou des directeurs autorisés chargés de la supervision de la fonction ; une distinction des lignes hiérarchiques et fonctionnelles par l'utilisation d'un code couleur différent ; la date de la dernière révision du document. Abrogée par la présente circulaire CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 23/29 L’organigramme récent du groupe indiquant le positionnement de votre société au sein du groupe et les liens capitalistiques. RD-3 Le rapport écrit de la direction sur l’état du contrôle interne. RD-4 Le rapport de synthèse sur les contrôles effectués par l’audit interne au cours de l’exercice écoulé. RD-5 En complément du rapport de synthèse sur les contrôles effectués par l’audit interne au cours de l’exercice écoulé (RD-5), le tableau des recommandations de l’audit interne dans le format imposé par la CSSF, en excluant les recommandations pour lesquelles le niveau de risque correspond au niveau le plus faible de l’échelle. RD-5.1 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 24/29 Documents attendus dans le cadre du rapport descriptif Préfixe Le plan pluriannuel d’audit interne entériné par la direction et/ou le conseil d’administration (alternativement, votre confirmation que celui-ci n'a pas été modifié depuis l'exercice précédent). RD-7 La charte d’audit interne (alternativement, votre confirmation que celle-ci n'a pas été modifiée depuis l'exercice précédent). RD-8 Un tableau concernant les personnes désignées comme responsables de certaines fonctions en vertu des circulaires de la CSSF. RD-9 Ce tableau devra inclure le « Responsable du Contrôle » et le « Responsable du Respect » selon le Règlement CSSF N° 20-
  22. Le tableau de synthèse des systèmes informatiques à usage interne, dans le format imposé par la CSSF. RD-11 Une description et/ou un schéma de l’architecture réseau de votre société (pour les connexions internes et externes). RD-12 La liste des connexions utiles au fonctionnement interne vers ou depuis l’extérieur. RD-13 La liste nominative des clients des secteurs financiers luxembourgeois ou étrangers pour lesquels vous prestez des services nécessitant un agrément PSF. RD-14 La copie d’un contrat client portant sur des prestations de service nécessitant un agrément PSF, et ce pour chaque agrément PSF différent dont vous disposez. RD-15 Le tableau de synthèse des systèmes informatiques à usage externe, dans le format imposé par la CSSF. RD-16 La liste des connexions utiles au fonctionnement des activités prestées auprès du secteur financier vers ou depuis l’extérieur. RD-17 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 25/29 Le schéma fonctionnel des flux (alternativement, votre confirmation que celui-ci n'a pas été modifié depuis l'exercice précédent). RD-18 Le rapport annuel ou à défaut, les comptes annuels de vos filiales ou participations majoritaires. RD-19 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 26/29 Documents attendus dans le cadre de la clôture comptable Préfixe Le rapport du réviseur d’entreprises agréé ainsi que les comptes annuels audités. CL -1 Le procès-verbal et la liste de présence de l’assemblée générale ordinaire des actionnaires approuvant les comptes annuels audités. CL -2 Le rapport de gestion du conseil d’administration pour l’exercice en question (si applicable). CL -3 Les chiffres définitifs de votre société à la date de la clôture comptable (pour rappel : à envoyer en utilisant les canaux de transmission habituels E-File ou SOFiE). CL-8 Le questionnaire d’auto-évaluation dans le format d’origine du fichier mis à disposition par la CSSF. CL-9 Le questionnaire d’auto-évaluation en format PDF comportant la signature numérique d’au moins deux responsables du PSF de support, ou le cas échéant, via courrier avec la signature manuscrite d’au moins deux responsables du PSF de support. CL-10 La lettre de recommandations dans le format d’origine du fichier mis à disposition par la CSSF, avec les commentaires du PSF de support relatifs aux constatations faites par le REA dans les colonnes prévues à cet effet. CL-11 La lettre de recommandations en format PDF comportant la signature numérique de l’associé chargé du mandat auprès du cabinet d’audit, ou le cas échéant, via courrier avec sa signature manuscrite. CL-12 Le rapport séparé dans le format d’origine du fichier mis à disposition par la CSSF, avec les éventuels commentaires du PSF de support relatifs aux constatations faites par le REA dans les colonnes prévues à cet effet. CL-13 Le rapport séparé en format PDF comportant la signature numérique de l’associé chargé du mandat auprès du cabinet d’audit, ou le cas échéant, via courrier avec sa signature manuscrite. CL-14 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 27/29 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 28/29 In case of discrepancies between the French and the English texts, the French text shall prevail. Circular CSSF 25/903 Update of Circular CSSF 24/850 Practical rules concerning the descriptive report and the selfassessment questionnaire to be submitted on an annual basis by support PFS Engagement of the réviseurs d'entreprises agréés (approved statutory auditors) of support PFS and practical rules concerning the management letter and the separate report to be drawn up on an annual basis CIRCULAR CSSF 25/903 1/25 In case of discrepancies between the French and the English texts, the French text shall prevail. Circular CSSF 25/903 Update of Circular CSSF 24/850 Practical rules concerning the descriptive report and the selfassessment questionnaire to be submitted on an annual basis by support PFS Engagement of the réviseurs d'entreprises agréés (approved statutory auditors) of support PFS and practical rules concerning the management letter and the separate report to be drawn up on an annual basis To all support PFS Luxembourg, 23 December 2025 Ladies and Gentlemen, The purpose of this circular is to amend the provisions relating to the preparation and annual submission of the descriptive report and its annexes, the documents required as part of the accounting year-end process (including the management letter from the approved statutory auditor), the self-assessment questionnaire, and the separate report prepared by support PFSs and their réviseur d’entreprises agréés (approved statutory auditors, “REAs”). The amendments concern: - The method of transmission of the required documents, which must now be carried out via the CSSF eDesk platform; - An adjustment to the test rotation plan, providing in particular for a three-year cycle for entities classified as low risk. A “tracked changes” version of Circular CSSF 24/850 is available in Annex to this circular. Claude WAMPACH Director Françoise KAUTHEN Director Annex Marco ZWICK Director Jean-Pierre FABER Director Claude MARX Director General Circular CSSF 24/850 as amended by Circular CSSF 25/903 CIRCULAR CSSF 25/903 2/25 Circular CSSF 24/850 as amended by Circular CSSF 25/903 Practical rules concerning the descriptive report and the selfassessment questionnaire to be submitted on an annual basis by support PFS Engagement of the réviseurs d'entreprises agréés (approved statutory auditors) of support PFS and practical rules concerning the management letter and the separate report to be drawn up on an annual basis CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 2/25 In case of discrepancies between the French and the English texts, the French text shall prevail. Circular CSSF 24/850 as amended by Circular CSSF 25/903 Practical rules concerning the descriptive report and the selfassessment questionnaire to be submitted on an annual basis by support PFS Engagement of the réviseurs d'entreprises agréés (approved statutory auditors) of support PFS and practical rules concerning the management letter and the separate report to be drawn up on an annual basis To all support PFS Luxembourg, 19 January 2024 Ladies and Gentlemen, The purpose of this circular is to define the practical rules concerning the preparation and annual submission of the below-mentioned documents by support PFS and their réviseurs d'entreprises agréés (approved statutory auditors, “REA”). More specifically, this circular introduces, on the one hand, a self-assessment questionnaire to be completed on an annual basis by support PFS (“self-assessment questionnaire”) and to be submitted to the CSSF as a replacement of the risk assessment report (“RAR”) required under Circular CSSF 12/
  23. The self-assessment questionnaire represents the result of an in-depth review of the objective and content of the information the CSSF requests to receive on the support PFS’ selfassessment and management of the risks to that it may expose the financial sector. It takes into account the regulatory developments and the main points that the CSSF intends to bring to the support PFS’ attention. On the other hand, this circular broadly details the role and engagement of REAs in the context of the statutory audit of support PFS. Moreover, it establishes a specific regulatory framework applicable to the management letter, and also introduces a separate report (“separate report”). The separate report includes the specific procedures that the CSSF requests the REA to perform in relation to the support PFS’ self-assessment questionnaire. Both documents must be drawn up by the support PFS’ REAs on an annual basis. Lastly, this circular adapts and simplifies the descriptive report to be provided on an annual basis by support PFS and repeals Circulars CSSF 12/544 and CSSF 19/727 2 following the introduction of the new supervisory tools by this circular. Circular CSSF 12/544 on the optimisation of the supervision exercised on the “support PFS” by a risk-based approach, repealed by this circular. 1 Circular CSSF 19/727 on new arrangements for the transmission of the documents required under Circular CSSF 12/544, repealed by this circular. 2 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 3/25 TABLE OF CONTENTS
  24. Scope and legal basis..................................................................................................... 5
  25. Risk-based approach...................................................................................................... 5
  26. Practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted by support PFS on an annual basis ......................................................................... 6 3.
  27. Descriptive report .................................................................................................... 6 3.
  28. Self-assessment questionnaire .................................................................................. 6
  29. Practical rules concerning the engagement of REAs ............................................................ 8 4.
  30. The statutory audit of a support PFS .......................................................................... 8 4.
  31. The management letter ............................................................................................ 8 4.
  32. The separate report ................................................................................................. 9
  33. Obligation of the REA to report to the CSSF .................................................................... 11
  34. Instructions for the preparation and filing of the expected documents ................................ 12 6.
  35. Documents to be submitted and submission modalities ............................................... 12 6.
  36. Practical modalities ................................................................................................ 14
  37. Entry into force ........................................................................................................... 14 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 4/25
  38. Scope and legal basis This circular applies to all PFS exercising one or several support PFS activities as defined in Articles 29-1 to 29-6 of the Law of 5 April 1993 on the financial sector (“LFS”) and classified as "I" by the CSSF. Support PFS must refer to the identification codes as published on the CSSF website in the “Search Entities” application. The requirements introduced by this circular are notably based on the following legal provisions: - the self-assessment questionnaire, as specified in Section 3.2 of this circular, is introduced pursuant to point
(2)of Article 53
(1)of the LFS which allows the CSSF to require or demand the provision of information from support PFS for the exercise of its functions; - the definition of the specific regulatory framework applicable to the management letter to be drawn up by the REA, as specified in Section 4.2 of this circular, results from Article 54
(1)of the LFS which allows the CSSF to set rules on the scope of the mandate for the audit of the annual accounting documents of support PFS and on the content of the reports and written comments issued by the REA; - the separate report to be drawn up by the REA, as specified in Section 4.3. of this circular, is introduced: o pursuant to Article 49 of CSSF Regulation No 12-02 of 14 December 2012 (“RCSSF 1202”)3 as regards the section of the separate report relating to the prevention of money laundering and terrorist financing (Section “AML/CFT Aspects”); o pursuant to Article 54
(2)of the LFS which allows the CSSF to instruct a REA to carry out audits on one or several specific aspects of the activity and operation of support PFS, as regards all the other sections of the separate report.
  1. Risk-based approach The extent of the self-assessment questionnaire and of the list of specific procedures to be performed by the REA is linked to the application of the principle of proportionality and of a risk-based supervisory approach. In practice, a support PFS that is considered to be less risky will have to respond to a limited number of questions and will be subject to a smaller number of specific procedures to be performed by its REA. In this context, a rating system is put in place by the CSSF in order to determine the risk to which every support PFS is exposing the financial sector. This rating system is based on several criteria and takes into account, in particular, the nature of the activities performed that require a support PFS authorisation, the turnover, the clients of the financial sector and the size of the support PFS. Each year, and at the latest at the closing of its financial year, the CSSF will inform the support PFS of the risk category that has been assigned to it (low, medium, high). However, for the first year of application, as defined in Section 7 of this circular, the CSSF may, on an exceptional basis, provide the support PFS with this information at the latest one month after the publication of this circular. The support PFS may request the CSSF to provide details on the criteria that have been selected for the risk rating. CSSF Regulation No 12-02 of 14 December 2012 on the fight against money laundering and terrorist financing, as amended 3 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 5/25
  2. Practical rules concerning the descriptive report and the self-assessment questionnaire to be submitted by support PFS on an annual basis 3.
  3. Descriptive report Support PFS must provide the descriptive report on an annual basis, describing in particular their administrative and accounting organisation, internal control system, IT infrastructure and the activities provided to the financial sector. The structure of the descriptive report, as well as the list of documents expected as part of the descriptive report, are available on the website of the CSSF. When a specific section of the structure or an expected document does not apply to the support PFS, the latter shall explicitly state it. The descriptive report includes the information that must be provided in accordance with the structure set out in Annex 1 of this circular as well as the documents expected in the context of the descriptive report as detailed in Annex 2 of this circular. Where a specific item of the structure or an expected document does not apply to the support PFS, the latter shall explicitly mention it. 3.
  4. Self-assessment questionnaire This circular introduces a self-assessment questionnaire to be completed by support PFS for each year or period subject to statutory audit. The objective of the self-assessment questionnaire is to request support PFS to perform a selfassessment of certain risks and of their compliance with regard to legal and regulatory requirements. The themes of the questions applicable to support PFS are determined in accordance with the activities provided to the financial sector, and thus in accordance with the authorisations held by the support PFS. The self-assessment questionnaire is split into four sections that each support PFS must fill in in accordance with the authorisation held, according to the allocation set out in Table 1 (“Allocation of the self-assessment questionnaire sections”) below. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 6/25 Table 1 - Allocation of the self-assessment questionnaire sections Section ICT-related aspects4 Support PFS concerned - IT systems and communication networks operators of the financial sector (Article 29-3 of the LFS) - Dematerialisation service providers of the financial sector (Article 295 of the LFS) - Conservation service providers of the financial sector (Article 29-6 of the LFS) Operational aspects5 - Client communication agents (Article 29-1 of the LFS) - Administrative agents of the financial sector (Article 29-2 of the LFS) Transversal aspects - Client communication agents (Article 29-1 of the LFS) (except “AML/CFT”) - Administrative agents of the financial sector (Article 29-2 of the LFS) - IT systems and communication networks operators of the financial sector (Article 29-3 of the LFS) - Dematerialisation service providers of the financial sector (Article 295 of the LFS) - Conservation service providers of the financial sector (Article 29-6 of the LFS) Anti-money - Client communication agents (Article 29-1 of the LFS) laundering and - Administrative agents of the financial sector (Article 29-2 of the LFS) counter-terrorist - IT systems and communication networks operators of the financial financing aspects (“AML/CFT aspects”) sector (Article 29-3 of the LFS) - Dematerialisation service providers of the financial sector (Article 295 of the LFS) - Conservation service providers of the financial sector (Article 29-6 of the LFS) By way of derogation from the foregoing: a) Where a support PFS authorised under Articles 29-3, 29-5 or 29-6 of the LFS also holds one or more authorisations under Articles 29-1 or 29-2 of the LFS, it must only fill in the sections “ICTrelated aspects”, “Transversal aspects” and “AML/CFT aspects”; it does thus not have to complete the questions and procedures under “Operational aspects”. b) Depending on the activities carried out and the risk to that the support PFS may expose the financial sector, and as opposed to the section allocation provided for in Table 1, the CSSF may request a support PFS, on an exceptional basis, to fill in a section of the questionnaire which has not been allocated to it or, on the contrary, exempt the support PFS from providing it. The CSSF will transmit the requests as per point (b) above to the support PFS concerned at the latest at the closing of their financial year. However, for the first year of application, as defined in Section 7 of this circular, the CSSF may transmit such request to the support PFS concerned at the 4 Information and Communication Technology (ICT) It should be noted that the sections covering the operational and transversal aspects also include a certain number of ICT-related questions. 5 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 7/25 latest one month after the publication of this circular. In the absence of such communication, support PFS must comply with the allocation as set out in Table
  5. In accordance with the risk-based approach detailed in Section 2 of this circular, the number of questions that a support PFS must answer depends on the risk category that has been assigned by the CSSF to this support PFS. Hence, two support PFS with the same authorisation and that have to fill in the same sections of the self-assessment questionnaire may have to respond to a different volume of questions based on their risk category. The self-assessment questionnaire detailing the questions for each section and their allocation in accordance with the different support PFS risk categories is available on the CSSF website. Depending on the developments of the legal and regulatory requirements applicable to support PFS as well as on the prudential supervision requirements, the self-assessment questionnaire may be adapted over the coming years.
  6. Practical rules concerning the engagement of REAs In accordance with Article 22
(1)of the LFS, support PFS must entrust the statutory audit of their accounts to a REA on an annual basis. In this context, this circular defines, pursuant to Article 54
(1)of the LFS, a specific regulatory framework applicable to the management letter that the REA will have to draw up to the attention of the persons responsible for the support PFS and the CSSF. Moreover, pursuant to Article 54
(2)of the LFS and Article 49 of RCSSF 12-02, this circular introduces a separate report to be drawn up by the REA on an annual basis, in compliance with the details provided in Section 4.3 below. 4.
  1. The statutory audit of a support PFS Pursuant to Article 33 of the Law of 23 July 2016 concerning the audit profession, the statutory audit of a support PFS must be carried out in compliance with the international auditing standards as adopted by the CSSF. On this basis, the REA presents the results of the statutory audit in an audit report which includes its audit opinion. 4.
  2. The management letter This circular introduces a specific legal framework for the management letter that REAs must draw up, for each year or period subject to a statutory audit, to the attention of the persons responsible for the support PFS. The management letter must include the recommendations in the form of a table. The template for this table, which must be complied with, is available on the CSSF website. be completed by the REA through the eDesk platform. In the context of the management letter, the REA is not required to carry out any further procedures other than those already performed during the statutory audit, as referred to in Section 4.1 of this circular. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 8/25 In accordance with the applicable auditing standards, the REA must report, in a management letter addressed to the persons responsible for the support PFS, the weaknesses and points needing improvement that it observed during its statutory audit of the support PFS, and that are, based on the REA’s professional judgement, of sufficient importance to be brought to the attention of the persons responsible for the support PFS or of the CSSF. The management letter must also include the follow-up of the weaknesses or points needing improvement raised in the management letters issued in preceding financial years and that have not been “closed” in the previous management letter, only where those weaknesses or points needing improvement relate to the statutory audit. The weaknesses and points needing improvement that are not related to the statutory audit must be followed up internally by the support PFS and must no longer be mentioned in the management letter
  3. The REA must consider the weakness or point needing improvement as “closed” where the necessary corrective measures have been put in place to remedy this weakness or point needing improvement and where the persons responsible for the support PFS have put in place appropriate measures to prevent such issues from arising in the future. Moreover, every for each weakness or point needing improvement , the REA must obtainbe accompanied by t the comments of the persons responsible for the support PFS before submitting the management letter through the eDesk platform. Such comments , which must mandatorily include, among others, the following information: - a detailed explanation of the reasons and circumstances relating to the occurrence of the weakness or point needing improvement identified by the REA; - a detailed explanation of the measures taken or decided in order to remedy the weakness or the point needing improvement and to prevent their recurrence in the future. These measures must be complemented by a detailed remediation plan and timetable. If the persons responsible for the support PFS doid not respond in a timely manner and within a reasonable time frame to the weaknesses or points needing improvement raised by the REA in the management letter , the REA will issue this management letter specifying that no comments have been received by the persons responsible for the support PFS on the weaknesses or points raised. Where the REA did not identify any issue to be included in the management letter, the REA issues a certificate of non-issuance of a management letter. 4.
  4. The separate report This circular introduces a separate report to be completed by the REAs of support PFS, for each year or period for which a self-assessment questionnaire has been submitted by the support PFS. The purpose of the separate report, a model of which is available on the CSSF website, is notably to ensure the reliability of the answers provided by the support PFS in the self-assessment questionnaire and to provide answers to a set of questions determined by the CSSF. The REA that performs the tests provided for in the separate report must be the REA appointed by the support PFS to carry out the statutory audit, as referred to in Section 4.1 of this circular. The approach and the expectations described in this paragraph also apply to the weaknesses and points needing improvement indicated in the reports relating to the compliance with financial sector laws, regulations and circulars issued in previous financial years. 6 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 9/25 The drawing-up of a separate report consists of a set of procedures, defined by the CSSF, to be implemented by the REA and that are broken down into predefined topics. Pursuant to Article 49 of RCSSF 12-02, the separate report also covers matters relating to antimoney laundering and countering the financing of terrorism (AML/CFT), taking notably into account the “very low” risk level allocated to the support PFS sector due to the low-risk nature of their activities. Depending on the activities of a support PFS, a procedure may not be applicable. In this case, the REA must explicitly indicate this in the separate report. The procedures are directly indicated in the separate report and consist in sample testing or verifications to be carried out by the REA. The sizes of the samples are determined by the CSSF based on a risk-based approach and they must be detailed in the separate report. Similarly to the number of questions asked to support PFS as part of the self-assessment questionnaire, the number of procedures to be carried out by the REA depends on the risk category that has been assigned by the CSSF to the support PFS. Hence, two support PFS with the same authorisation and that have to fill in the same sections of the self-assessment questionnaire may have to provide separate reports with a different number of specific procedures depending on the risk category assigned to them. A rotation plan will be established for the tests to be performed by the REA based on the activities and risk categories of the support PFS, and the allocation of specific procedures according to the risk categories of the support PFS will also be directly integrated into the eDesk platform.. The REA of a support PFS authorised under Articles 29-1 and/or 29-2 of the LFS must carry out the specific procedures provided for in the sections “Operational aspects”, “Transversal aspects” and “AML/CFT aspects” every year. The REA of a support PFS authorised under Articles 29-3, 29-5 and/or 29-6 of the LFS must carry out the specific procedures in accordance with a rotation plan established by the CSSF. All the specific procedures of the separate report, their allocation in accordance with the different risk categories of support PFS and the above-mentioned rotation plan are available on the CSSF website. Depending on the developments of the legal and regulatory requirements applicable to support PFS as well as on the prudential supervision requirements, the procedures to be implemented by the REA and the rotation plan of the specific procedures may be adapted over the coming years, following the amendments that might also be made to the self-assessment questionnaire. The results of these procedures are reported by the REA in the separate report in the form of answers to a set of mainly closed-ended questions or confirmations and they do not result in an opinion in accordance with auditing, insurance or any related services standards. Any comments provided, where applicable, by the REA in the empty text fields of this the report must be concise, clear and meet the objectives and provide answers to the questions asked. The REA submits the report to the support PFS, which mustay issue comments on the observations made by the REA (providing its response – agreement or disagreement – and, where applicable, the action plan and the implementation date) before transmitting the report through the eDesk platform. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 10/25
  5. Obligation of the REA to report to the CSSF The REA is required to report to the CSSF pursuant to Article 54
(3)of the LFS. Such reporting shall not only relate to adverse effects in the short term (as it is the case for the certification of annual accounts) but also in the medium and long term (objective of the prudential supervision). Consequently, the REA shall communicate to the CSSF the information of which s/he became aware while carrying out the statutory audit of a support PFS, or, where applicable, while performing any other legal or regulatory mission concerning the support PFS, and which is relevant from a prudential point of view and/or likely to require an urgent action by the CSSF. The facts to be considered are, among others, items constituting a material infringement of legislation, affecting the continuous functioning of the institution or leading to refusal to certify the accounts or to reservations thereto. The legal requirement to “promptly” report the relevant information to the CSSF does not prevent the REA from consulting first the persons responsible for the support PFS, provided that the latter are not conflicted and that the discussion does not unduly delay the transmission of information to the CSSF. As regards the communication modalities, it is understood that: - the reporting of the REA is carried out spontaneously, in written or oral form; in case of serious problems, it is recommended that the oral communications be followed by a written confirmation as quickly as possible; - the priority should be given to timely rather than precise and complete reporting in the first place; - in the reporting to the CSSF, the REA shall explicitly inform on the actual or possible problems noted. Examples of facts or decisions falling or likely to fall under the reporting obligation to the CSSF include, among others, the following: - major conflicts within the decision-making bodies of the institution; - unexpected departure of a key function holder; - major financial difficulties in a branch or subsidiary; - serious deficiencies in the internal control framework; - significant errors in the prudential reporting; - granting of an interim dividend while the institution has insufficient or barely sufficient own funds; - major incidents in the IT organisation or infrastructure; - activity change without appropriate infrastructure; - frauds likely to generate important losses; - important legal disputes; - inappropriate assessment in relation to a merger/split project of undertakings. As a reminder, Article 54
(4)of the LFS guarantees that the disclosure in good faith to the CSSF by a REA of any fact or decision as referred to in paragraph 3 of that Article shall not constitute a violation of the obligation of professional secrecy or a breach of any restriction on disclosure of information imposed by contract, and shall not expose that REA to liability of any kind. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 11/25
  1. Instructions for the preparation and filing of the expected documents 6.
  2. Descriptive report and documents expected in the context of the descriptive report and of the financial yearendDocuments to be submitted and submission modalities All documents to be submitted in the context of this cCircular must be transmitted in electronic form through the eDesk platform: - The descriptive report and its annexes ; - The documents required in the context of the financial year-end (including the REA’s management letter) ; - The self-assessment questionnaire ; - The separate report. The descriptive report and the self-assessment questionnaire must be electronically approved and signed by the authorised management prior to their transmission to the CSSF. The separate report and the management letter issued by the REA must be electronically signed by the partner in charge of the mandate within the audit firm s/he represents. Once signed, these documents must be submitted by the support PFS to the CSSF. All documents must be transmitted at the latest within seven months following the closing date of the financial year of the support PFS. As soon as it comes to their attention, the support PFS must inform the CSSF of any reported delay and indicate the reasons for and the probable duration of the delay. In case of withdrawal or deregistration of the support PFS from the official list held by the CSSF during the year, the self-assessment questionnaire and the separate report covering the period from the last financial year-end to the date of withdrawal or deregistration will, in principle, be required within the same seven-month time frame. The above-mentioned submission deadlines may be reviewed by the CSSF for subsequent financial years. The procedure available on the eDesk platform will clearly specify the documents to be submitted; an exhaustive list of the required documents will also be published on the CSSF website. 6.
  3. Descriptive report and documents expected in the context of the descriptive report and of the financial yearend The descriptive report and the documents expected in the context of the descriptive report, as introduced in Section 3.1 of this circular, as well as the documents expected in the context of the CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 12/25 financial year-end as detailed in Annex 2 of this circular7 must be transmitted in electronic form8, and in the original file format made available by the CSSF for certain annexes (as detailed in Annex 2 of this circular) within seven months after the closure of the support PFS’ financial year, at the latest. Moreover, any document with a handwritten signature, and, in particular, the cover letter accompanying these documents, must also be transmitted on paper. For instance, for descriptive reports, only the signed pages must be transmitted on paper. For each document received in digital form, the name of the file must include the prefix set out in Annex 2 of this circular and the internal CSSF “Ixxx” identification number must be added, as well as the year concerned, formatted as “yyyy” here below. For instance, the file including the descriptive report for support PFS “I102” for the financial year closing on 31 December 2023 will be named “I102-2023-RD-0”. Moreover, the descriptive report must be submitted in two versions: a final version (without comments) and a “track changes”9 version identifying all the changes as compared to the previous financial year. The documents must be transmitted in a secured way and deposited with the CSSF through its online MFT system. To obtain an ID allowing to connect to the online system, the support PFS concerned must provide the following information to the CSSF, at the email address psfsupport@cssf.lu: - Identification number allocated by the CSSF (“Ixxxx”) - Name of the company - Last name and first name of the contact person for the transmission - Contact email address (only a generic email address will be accepted) - Contact phone number. As soon as it comes to their attention, the support PFS must inform the CSSF of any reported delays and indicate the reasons for and the probable duration of the delay. 6.
  4. Self-assessment questionnaire Before submitting the self-assessment questionnaire to the CSSF, the persons responsible for the support PFS must review and validate its content. The self-assessment questionnaire must be submitted to the CSSF by the persons responsible for the support PFS on an annual basis, within seven months of the closing of the support PFS’ financial year at the latest: - via MFT in the original file format made available by the CSSF; and With the exception of the final figures (prefix CL-8 in Annex 2) which must be transmitted through the usual EFile or SOFiE transmission channels, within seven months of the closing of the financial year, at the latest. 7 8 Preferably in a version allowing text selection. PDF version of the document corresponding to a printed version including the changes and comments in “track changes”. 9 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 13/25 - via MFT in PDF format including the electronic signature of at least two persons responsible for the support PFS or, where applicable, via mail with a handwritten signature of at least two persons responsible for the support PFS. As soon as it comes to their attention, the support PFS must inform the CSSF of any reported delays and indicate the reasons for and the probable duration of the delay. In case of withdrawal/deregistration of the support PFS from the official list held by the CSSF during the year, the self-assessment questionnaire covering the period from the last year-end to the date of withdrawal/deregistration will be required, in principle, within the same time frame of seven months. The above-mentioned submission deadlines may be reviewed by the CSSF over the coming years. 6.
  5. Management letter and separate report The management letter (including the table with the recommendations) or the certificate of nonissuance of a management letter, as the case may be, and the separate report must be submitted to the CSSF by the persons responsible for the support PFS on an annual basis, within seven months of the closing of the support PFS’ financial year at the latest: - via MFT in the original file format made available by the CSSF; and - via MFT in PDF format including the electronic signature of the partner in charge of the mandate with the audit firm or, where applicable, via mail with his/her handwritten signature. As soon as it comes to their attention, the support PFS must inform the CSSF of any identified delay and indicate the reasons for and the probable duration of the delay. In case of withdrawal/deregistration of the support PFS from the official list(s) held by the CSSF during the year, the separate report covering the period from the last year-end to the date of withdrawal/deregistration will be required, in principle, within the same time frame of seven months. 6.
  6. Practical modalities The procedures and explanations relating to the practical modalities regarding the preparation and transmission of all documents referred to under Section 6.1 will be made available to the support PFS and their REA on the website of the CSSF. A user guide detailing the account creation and authentication procedures on the eDesk platform is also made available on the eDesk homepage.
  7. Entry into force The instructions of this circular must be complied with in their entirety for the financial years closing on 31 December 20253 (first year of application) or after 31 December
  8. All financial years closing as from the above-mentioned date will thus fall within the scope of this circular. This circular repeals Circulars CSSF 12/544 and CSSF 19/
  9. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 14/25 Claude WAMPACH Director Françoise KAUTHEN Director CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 Marco ZWICK Director Jean-Pierre FABER Director Claude MARX Director General 15/25 Annex 1: Structure of the descriptive report
  10. Significant events The support PFS shall indicate, where applicable, the significant events which took place during the year under review and which may impact its situation. These events represent, for example, decisions on strategies, important reorganisation, launch or discontinuation of activities, merger/acquisition operations or collaboration/partnership. Significant events which may trigger risks for financial professional clients of the support PFS shall be included in the risk management system under point 2.5.
  11. The support PFS shall specify where no significant events took place during the year under review.
  12. Organisation and administration The support PFS shall provide under this item an overview of its operational, decisional and governance structure. 2.
  13. Management in charge of the day-to-day management The support PFS shall describe the responsibilities of the management in charge of the day-to-day management and the scope of powers necessary for the good performance of its mission that the board of directors (or management board) has conferred on it. It shall specify, among others, if applicable: - possible limits imposed on the local decisions of the support PFS by the board of directors (or management board) involving a group; - the decisions of the board of directors (or management board) locally imposed on support PFS and which may infringe the Luxembourg laws and regulations. 2.
  14. Central administration The support PFS shall briefly describe the organisation of its central administration. 2.
  15. Administrative organisation The support PFS shall briefly describe its administrative organisation. In case the support PFS outsources the administrative services, it shall also briefly describe the outsourced services and specify the supervision in place at the PFS to monitor the outsourced services. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 16/25 2.
  16. Accounting function The support PFS shall briefly describe the operation of the accounting function. In case the support PFS outsources the accounting function, it shall also briefly describe the outsourced services and specify the supervision in place at the PFS to monitor the outsourced services. 2.
  17. Internal control The support PFS shall describe the way in which its internal control system is organised. 2.5.
  18. Internal procedures The support PFS shall indicate under this item if there is a procedure manual covering all the activities carried out within the company and which may directly or indirectly impact on the financial sector professional clients. The support PFS shall also mention if, pursuant to its obligations: - there is indeed a training programme in place for its employees, notably in relation to the compliance with the confidentiality of the financial sector professional clients' data and the prevention of money laundering and terrorist financing; - the contracts used indeed include a confidentiality clause, as well as a reference to criminal proceedings incurred in case of violation of the professional secrecy
  19. 2.5.
  20. Risk management system The support PFS shall provide the roles and responsibilities of the various stakeholders (actors) to this system
  21. The support PFS shall notably indicate: - the member of the authorised management responsible for risk management; - if the risk management function is internally entrusted to one or more person(s). These persons must have the necessary independence, from a hierarchical point of view, in order to adequately take on the responsibility; - if the risk management function is entrusted to an external expert in risk management and the latter's name. 10 As laid down in Article 41
(1)of the LFS. Risk management system implemented in accordance with the requirements of Section 5 of Circular IML 98/143 on internal control and of Circular CSSF 20/750 on the requirements regarding information and communication technology (ICT) and security risk management. 11 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 17/25 2.5.
  1. Audit committee In the event the support PFS has its own audit committee12 (a possible audit committee at group level is not concerned here), it shall describe the composition, functioning modalities, frequency and agenda of this committee's meetings. 2.5.
  2. Internal audit The support PFS shall describe the internal audit function (in-house, support of the parent company, use of an external expert or of a professional third party, in which case the coordination with the person responsible for the follow-up shall be described). 2.
  3. Information systems for internal use 2.6.
  4. Summary table The support PFS shall provide the expected information in the summary table made available by the CSSF for the accounting and client relationship management functions. 2.6.
  5. Network architecture and external connections The support PFS shall provide a description and/or a scheme of its network architecture comprising the main security elements (DMZ, firewalls, IDS, routers, proxy, etc.). In case it is impossible or useless to differentiate the network architecture required for the internal functioning of the PFS from that required for the activities carried out in the financial sector, please refer to point 3.3.
  6. The support PFS shall list the connections useful for the internal functioning to or from the exterior (including with its group, where applicable), by specifying the control that it exercises over these accesses (separate Active Directory, opening/closing of the communication lines, logs, etc.) and the redundancy measures of these connections.
  7. Activities carried out in the financial sector 3.
  8. Description of the activities carried out The support PFS shall precisely describe the type and volume of its activities. A distinction shall be made, on the one hand, between the activities carried out in the financial sector, insurance sector and other activities and, on the other hand, between the activities requiring an authorisation as support PFS and those which do not. In accordance with point 6 of Circular IML 98/143 and Article 74 of the Law of 18 December 2009 concerning the audit profession. 12 CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 18/25 The support PFS shall also specify, where appropriate, the mode of service provision. For example: - for an administrative agent: "Business Process Outsourcing" services delivered on the support PFS' premises and on its own mutualised IT system; - for an IT systems and communication networks operator: making available and managing an "Infrastructure as a Service" located on its premises in a dedicated or shared mode, or managing the network on the client’s premises; - for a client communication agent: printing and sending letters to clients of the financial professional client on its own systems and premises. A change in the activities' nature, the cessation of an activity or the start of new activities or exceptional or significant events during the year under review should be reported under point
  9. "Significant events". The support PFS shall also provide a nominative list of its financial sector clients from Luxembourg or abroad for which it provides services requiring a PFS authorisation and specifying for each one of them: - the activity sector concerned (finance/insurance); - the country of residence (Luxembourg/abroad); - the nature of the provision (main activities carried out); - the location of the provision; - and if it is offered through off-site or on-site communication. 3.
  10. Partnerships/cascade outsourcing The support PFS shall indicate the existence of any partnership or cascade outsourcing (with external companies or within the group) for carrying out activities in the financial sector and specify the nature (expertise, availability of profiles, provision requiring authorisation). It shall also specify: a. the staff (in number of FTE) allocated to the provision of services in the financial sector (dedicated staff); b. the staff (in number of FTE) of any subcontractors permanently used by the support PFS for the service provision in the financial sector. 3.
  11. Information systems for external use13 3.3.
  12. Summary table The support PFS shall provide the expected information in the summary table made available by the CSSF for the IT systems for external use. 13 Referred to in the self-assessment questionnaire as “IT systems related to client activities”. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 19/25 The following shall be considered as information systems for external use:
  13. systems that partially or exclusively support the activities carried out for the financial sector professional clients of the support PFS, irrespective of their belonging to the client or PFS or of their location;
  14. and for which the support PFS is responsible as regards the sound functioning in relation to the client. These two conditions are cumulative in order to determine if a system is qualified as system for external use. The term "system" may be limited here to a software if the provision only concerns a software. For example, an administrative agent which provides asset accounting services to professionals of the financial sector on its own accounting system and on its own premises - system which it already used and continues to use for its own activity - may, at first sight, consider this accounting system as an internal system. However, this system shall indeed be considered as an external system since it also supports the activity carried out in the financial sector, the administrative agent is responsible of its sound functioning and it has the power to decide on the system supporting the provision. Similarly, an administrative agent which provides asset accounting services to professionals of the financial sector on its own accounting system, but which outsources the management of its system to a third party, shall consider this system as falling under this section. Indeed, irrespective of the use of outsourcing, the administrative agent remains responsible towards its clients as regards the functioning of the system and may retain a decision-making power relating to the choice of the system supporting the provision. 3.3.
  15. Functional scheme of the flows The main links (interfaces) which exist between the functions and, consequently, the reported systems pursuant to point 3.3.1 shall be described in a functional scheme of flows by the support PFS. Where all functions are included within one single software functioning on a single hardware (for example, a banking software package), it is not necessary to detail the internal flows but only the flows entering and coming out of the system. 3.3.
  16. Network architecture and external connections The support PFS shall provide a description and/or a scheme of the network architecture comprising the main security elements (DMZ, firewalls, IDS, routers, proxy, etc.). It shall list the useful connections according to the activities carried out in the financial sector towards or from outside (including with its group, where applicable), by specifying the control it exercises on these accesses. It shall briefly describe the security mechanisms implemented on physical (firewall, router, etc.) as well as on logical (intruder detector, anti-virus, client authentication, communication confidentiality, integrity and non-renouncing the transactions, etc.) and organisational (monitoring log history, configuration of the security equipment, generating keys or authentication certificates of client, monitoring systems, etc.) level. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 20/25 3.3.
  17. Business Continuity Plan and Disaster Recovery Plan (BCP/DRP) The support PFS shall describe the business continuity plan that it set up in case of disaster on its own premises or in case the access to its premises is impossible (group solution, specialised undertaking, regular tests, security measures, etc.). It shall also describe the broad outline of the emergency plan in place which shall allow normal functioning in case of breakdown of its IT system, including as regards external connections (use of several communication lines providers, line redundancy). Where the above information has already been provided in the self-assessment questionnaire, the PFS shall only specify the corresponding sections.
  18. Relations with affiliated undertakings The support PFS shall commit itself to ensuring that the intra-group transactions are carried out at arm's length. The following shall notably be described and commented upon: - the type of intra-group transactions executed; - the guarantees issued to the benefit of/received by the affiliated undertakings; - the prices charged for services provided and received; - etc. All the transactions not executed under market conditions shall be reported and detailed.
  19. Branches abroad The support PFS shall provide for each branch: - an organisation chart; - a description of the activities; - a description of the internal control procedures; - if applicable, the serious deficiencies that the internal audit identified at the branch; - a description of the administrative and accounting organisation; - an indication on the existence of procedures regarding compliance with the rules of conduct and prevention of money laundering and terrorist financing; - explanations on the accounting integration of the branch.
  20. Subsidiaries abroad The support PFS shall provide an annual report or, otherwise the annual accounts of the subsidiaries or majority holdings on a yearly basis. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 21/25 Annex 2: Summary of expected documents Note: the table below is presented in the same format and uses the same prefixes as the table introduced by Circular CSSF 19/
  21. In order to facilitate the preparation of the expected documents, the amendments to the descriptions of Circular CSSF 19/727 have been marked in red. Moreover, some of the expected documents mentioned in Circular CSSF 19/727 (for example: Prefix RD-6) have been deleted. Documents expected in the context of the descriptive report Descriptive report. Prefix RD-0 As a reminder: - It must be signed by the members in charge of the authorised management; - It must be sent in two versions (final and track changes). A copy of the report on annual accounts and of the annual accounts of the direct RD-1 majority shareholder (as well as of its management report, where applicable). The internal organisation chart indicating hierarchical and functional lines and the RD-2 number of employees per department. The internal organisation chart must also indicate: - - - the name of the directors and, where applicable, the identification of the chairman of the Board of Directors; the name of the authorised managers and their hierarchical position within the entity; all departments and divisions, including the functions that are outsourced to entities of the group or to third parties, as well as the control functions, such as the internal or external audit (and, where applicable, the audit committee), and the support functions (internal IT, accounting, etc.); for each outsourced function, the name of the person responsible for the function (for example, the name of the company that carries out the internal audit) and the name of the authorised manager(s) in charge of the supervision of the function; the outsourced functions, identified through the use of different colour codes; for each function that is not outsourced, the number of employees as well as the name of the authorised manager(s) in charge of the supervision of the function; the hierarchical and functional lines, identified through the use of different colour codes; the date of the last revision of the document. The recent organisation chart of the group showing the position of your company RD-3 within the group and the capital links. The written report of the management on the state of the internal control. RD-4 The summary report on the controls carried out by the internal audit during the RD-5 previous financial year. In addition to the summary report on the controls carried out by the internal audit RD-5.1 during the previous financial year (RD-5), the table including the recommendations by the internal audit in the format imposed by the CSSF, excluding the lowest risklevel recommendations. 14 Repealed by this circular CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 22/25 Documents expected in the context of the descriptive report Prefix The multi-annual programme of the internal audit approved by the authorised RD-7 management and/or the Board of Directors (alternatively, your confirmation that the programme has not been modified since the previous financial year). The internal audit charter (alternatively, your confirmation that the latter has not RD-8 been modified since the previous financial year). A table relating to the persons designated as responsible for certain functions RD-9 pursuant to the CSSF circulars. This table must include the “Person in charge of the control of compliance with the professional obligations” (responsable du contrôle) and the “Person responsible for compliance” (responsable du respect) pursuant to CSSF Regulation No 20-
  22. The summary table of information systems for internal use, in the format imposed RD-11 by the CSSF. A description and/or scheme of the network architecture of your company (for RD-12 internal and external connections). The list of connections useful to the internal functioning to or from the exterior. RD-13 The nominative list of Luxembourg or foreign financial sector clients for which you RD-14 provide services requiring a PFS authorisation. The copy of a client agreement on the service provisions requiring a PFS RD-15 authorisation, for each different PFS authorisation that you hold. The summary table of information systems for external use, in the format imposed RD-16 by the CSSF. The list of connections useful to the functioning of the activities carried out in the RD-17 financial sector to or from the exterior. The functional scheme of the flows (alternatively, your confirmation that the latter RD-18 has not been modified since the previous financial year). The annual report or, otherwise, the annual accounts of your subsidiaries or majority RD-19 holdings. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 23/25 Documents expected in the context of the financial year-end Prefix The report of the réviseur d'entreprises agréé (approved statutory auditor, “REA”) CL -1 and the audited annual accounts. The minutes and attendance list of the ordinary general meeting of shareholders CL -2 approving the audited annual accounts. The management report of the Board of Directors for the financial year concerned CL -3 (where applicable). Your company's final figures at the accounting closing date (as a reminder: to be CL-8 sent via the usual E-File or SOFiE transmission channels). The self-assessment questionnaire in the original file format made available by the CL-9 CSSF. The self-assessment questionnaire in PDF format including the electronic signature CL-10 of at least two persons responsible for the support PFS or, where applicable, via mail with the handwritten signature of at least two persons responsible for the support PFS. The management letter in the original file format made available by the CSSF, with CL-11 the comments of the support PFS on the observations made by the REA in the columns provided for to that effect. The management letter in PDF format including the electronic signature of the CL-12 partner in charge of the mandate with the audit firm or, where applicable, via mail with his/her handwritten signature. The separate report in the original file format made available by the CSSF, including CL-13 any comments of the support PFS on the observations made by the REA in the columns provided for to that effect. The separate report in PDF format including the electronic signature of the partner CL-14 in charge of the mandate with the audit firm or, where applicable, via mail with his/her handwritten signature. CIRCULAR CSSF 24/850 as amended by Circular CSSF 25/903 24/25 Circulaire CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’autoévaluation à soumettre annuelle

🔗 Vers la source officielle

AI explanation based on the official legal text. Indicative, not a substitute for legal advice.