Circulaire CSSF 21/768 — Circulaire CSSF

(2)et 49

(3)du Règlement CSSF N°12-02, tel que modifié, relatif à la lutte contre le blanchiment de capitaux et le financement du terrorisme. Il est à préciser que cette mise à jour de la circulaire CSSF 03/113 concerne uniquement le volet LBC/FT et qu’il est prévu que le reste de la circulaire CSSF 03/113 sera fondamentalement revu. 2. À partir de l’exercice se clôturant au 31 décembre 2020, la présente circulaire définit la partie 8 du compte rendu analytique de révision comme suit (voir l’annexe 1 pour le détail des modifications apportées à la circulaire CSSF 03/113) : « Le compte rendu analytique doit fournir une description des procédures établies dans l’entreprise d’investissement en vue de la prévention du blanchiment de capitaux et du financement du terrorisme, telles qu’exigées pour le respect de, respectivement définies dans: le chapitre 5 de la partie II de la loi relative au secteur financier, la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, le règlement grand-ducal du 1er février 2010 portant précision de certaines dispositions de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme (ci-après « Règlement grand-ducal »), le Règlement (UE) 2015/847 du Parlement européen et du Conseil du 20 mai 2015 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds, les actes internationaux en matière de lutte contre le financement du terrorisme portés à la connaissance des professionnels par voie de circulaires CSSF, les règlements CSSF en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et les circulaires CSSF en la matière. Le compte rendu analytique fournira en particulier les éléments suivants : • la description de la politique LBC/FT mise en place par le professionnel en vue de la prévention du blanchiment et du financement du terrorisme, la vérification de sa conformité aux dispositions du chapitre 5 de la partie II de la loi modifiée du 5 avril 1993 relative au secteur financier, de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et CIRCULAIRE CSSF 21/768 2/23 contre le financement du terrorisme, du Règlement grand-ducal, du Règlement (UE) 2015/847, des règlements et circulaires CSSF en matière de LBC/FT, et le contrôle de leur bonne application ; • l’appréciation de l’analyse faite par le professionnel des risques de blanchiment de capitaux et de financement du terrorisme auxquels il est exposé. Le réviseur d’entreprises agréé doit vérifier si les procédures, infrastructures et contrôles mis en place, ainsi que l’étendue des mesures prises en matière de LBC/FT, sont appropriés face aux risques de blanchiment et de financement du terrorisme auxquels le professionnel est exposé, notamment par ses activités, la nature de sa clientèle et les produits et services offerts ; • une déclaration sur la réalisation d’un contrôle régulier du respect de la politique LBC/FT du professionnel par la fonction d’audit interne et le responsable du contrôle du respect des obligations professionnelles tel que défini à l’article 1

(1)du Règlement CSSF 12-02 du 14 décembre 2012 ; • la vérification des mesures de formation et de sensibilisation des employés en matière de blanchiment de capitaux et de financement du terrorisme, et en particulier en ce qui concerne la détection des opérations de blanchiment et de financement du terrorisme ; • un historique statistique des transactions suspectes détectées, renseignant sur le nombre de déclarations de transactions suspectes faites par le professionnel à la CRF ainsi que le montant total des fonds impliqués ; • le contrôle de l’application par le professionnel, dans son rôle respectif, des dispositions du Règlement (UE) 2015/847 et le pourcentage des transferts de fonds pour lesquels les données sur le donneur d’ordre ou le bénéficiaire ont été manquantes ou incomplètes et des mesures prises par le professionnel dans ce contexte. Le réviseur d’entreprises agréé doit notamment contrôler si l’entreprise d’investissement précitée respecte ses obligations en matière d’identification des clients et des bénéficiaires effectifs. Le réviseur d’entreprises agréé doit indiquer sa méthode de sélection de l’échantillon des dossiers contrôlés et le taux de couverture de la population (nombre de dossiers contrôlés / nombre total de clients ; volume des avoirs des clients sélectionnés / volume total des avoirs des clients). En cas du constat d’une non-conformité avec les dispositions légales ou réglementaires ou de lacunes, le réviseur d’entreprises agréé doit donner des indications précises permettant à la CSSF de juger la situation (nombre de dossiers non complets en suspens qui est à rapporter également au nombre total de dossiers contrôlés, détail des lacunes constatées, etc.). (cf. également le chapitre V. « Communications à la CSSF en vertu de l’article 54

(3)de la loi relative au secteur financier » cidessous). » Remarque : Il est souligné que les réviseurs d’entreprises agréés sont appelés à avertir également la CSSF de tous les cas de dénonciation qu’ils font en vertu de l’article 5 de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme et CIRCULAIRE CSSF 21/768 3/23 qui concernent un professionnel du secteur financier tombant sous la surveillance de la CSSF. De même les réviseurs d’entreprises doivent avertir la CSSF des cas où ils estiment que le professionnel aurait dû faire une dénonciation et ne l’a pas fait. Si applicable, le compte rendu analytique référé ci-dessus doit englober les succursales et filiales détenues majoritairement par le professionnel à l’étranger. Il doit couvrir, notamment, le respect par les succursales et filiales détenues majoritairement des dispositions applicables en matière de prévention du blanchiment de capitaux et du financement du terrorisme et le compte rendu analytique doit comporter, à cet égard : • une analyse des risques encourus par les succursales et filiales détenues majoritairement en matière de blanchiment de capitaux et de financement du terrorisme. Ce point est à couvrir au point 10 « Succursales » respectivement soit à la partie IV « Compte rendu analytique consolidé de révision », soit dans la présente section ; • une description et une appréciation de la gestion des risques de blanchiment de capitaux et de financement du terrorisme dans les succursales et filiales détenues majoritairement. Ce point est à couvrir au point 10 « Succursales » respectivement soit à la partie IV « Compte rendu analytique consolidé de révision », soit dans la présente section ; • la vérification de l’implémentation et du respect de la politique LBC/FT du professionnel dans les succursales ou filiales détenues majoritairement. Ce point est à couvrir au point 10 « Succursales » respectivement soit à la partie IV « Compte rendu analytique consolidé de révision », soit dans la présente section. » 3. Finalement, la CSSF tient également à rendre attentif toutes les entreprises d’investissement et succursales luxembourgeoises d’entreprises d’investissement originaires d’un autre Etat membre que le paragraphe suivant a été rajouté au point 29 de la circulaire CSSF 07/325 suite aux changements apportés au Règlement CSSF 12-02 et à la publication de la circulaire CSSF 21/765 (voire l’annexe 2 de la circulaire CSSF 21/765 pour le détail des modifications apportées à la circulaire CSSF 07/325) : « Pour établir son rapport, le réviseur d’entreprises applique mutatis mutandis les dispositions applicables pour l’établissement du compte-rendu analytique annuel de révision en ce qui concerne le respect des obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme et des règles de conduite pour la prestation de services d'investissement. Le rapport du réviseur d’entreprises inclut une description des procédures et contrôles en place au sein de la succursale ainsi que l’appréciation du réviseur d’entreprises. Les parties descriptives des rapports sont mises à la disposition du réviseur d’entreprises par les succursales. » CIRCULAIRE CSSF 21/768 4/23 Veuillez recevoir, Mesdames, Messieurs, l’assurance de nos sentiments très distingués. Claude WAMPACH Directeur Marco ZWICK Directeur Françoise KAUTHEN Directeur Claude MARX Directeur général Jean-Pierre FABER Directeur Annexe 1: Circulaire CSSF 03/113 telle que modifiée par les circulaires CSSF 10/486 et CSSF 21/768 CIRCULAIRE CSSF 21/768 5/23 Annexe 1 - Circulaire CSSF 03/113 telle que modifiée par les circulaires CSSF 10/486 et CSSF 21/768 Concerne : Règles pratiques concernant la mission des réviseurs d’entreprises auprès des entreprises d’investissement Luxembourg, le 21 octobre 2003 A toutes les entreprises d’investissement et aux succursales d’entreprises d’investissement d’origine non communautaire Mesdames, Messieurs, La présente circulaire a pour objet de fixer des règles quant à la portée du mandat de révision et quant au contenu du rapport de révision des documents comptables annuels à établir en application de l’article 54

(1)de la loi modifiée du 5 avril 1993 relative au secteur financier (« loi relative au secteur financier »). Elle définit d’une manière générale le rôle et la mission des réviseurs d’entreprises dans le contexte du contrôle légal des comptes annuels et d’une manière plus précise elle spécifie les sujets qui doivent être analysés dans le rapport analytique de révision, sachant que celui-ci constitue une source importante d’informations tant pour la direction de la société dans le cadre de sa fonction de gestion que pour la Commission de Surveillance du Secteur Financier (« CSSF ») dans l’exercice de sa mission de surveillance. D’autre part, la présente circulaire tient compte de l’élargissement de la mission légale des réviseurs d’entreprises par l’introduction de la loi du 29 avril 1999 transposant la directive 95/26/CE (dite « directive post-BCCI »), qui attribue aux réviseurs d’entreprises la fonction de signaler à l’autorité de contrôle des situations nécessitant une intervention et un suivi particuliers et qui jette ainsi la base d’une nouvelle relation entre les réviseurs d’entreprises et la CSSF. Les dispositions de la présente circulaire sont applicables aux entreprises d’investissement et aux succursales d’entreprises d’investissement d’origine non communautaire. Dans la mesure où les succursales visées sont dispensées en principe de publier des comptes annuels se rapportant à leur propre activité, il y a lieu d’entendre dans le chef des succursales par « comptes annuels » les informations comptables annuelles définitives établies selon le schéma légal luxembourgeois des comptes annuels. La présente circulaire s’inscrit dans le contexte de la globalisation des activités financières et de l’expansion des entreprises d’investissement sur le plan international ainsi que de l’importance croissante des entreprises d’investissement par rapport aux autres intervenants du secteur financier. CIRCULAIRE CSSF 21/768 6/23 Sommaire I. Mandat II. Rapport sur les comptes annuels/comptes consolidés III. Compte rendu analytique annuel de révision A. Principes généraux B. Schéma du compte rendu analytique C. Commentaires relatifs au compte rendu analytique IV. V. Compte rendu analytique consolidé de révision Communications à la CSSF en vertu de l’article 54

(3)de la loi relative au secteur financier VI. Dispositions finales CIRCULAIRE CSSF 21/768 7/23 I. Mandat Les entreprises d’investissement doivent donner sous forme écrite à leur réviseur d'entreprises un mandat détaillé qui contient au moins les dispositions suivantes:

1. Le contrôle des comptes annuels doit être effectué selon les recommandations de travail émises par l'Institut des Réviseurs d'Entreprises luxembourgeois (IRE). En l’occurrence, l’IRE prévoit l’application des normes de révision internationales (« International Standards on Auditing », ISAs) publiées par l’IFAC (« International Federation of Accountants »), adaptées ou complétées au besoin à la législation ou la pratique nationales. Le contrôle doit s’étendre à tous les domaines spécifiés au point
2. ci-dessous, le cas échéant par application des principes de la norme internationale ISAE (« International Standard on Assurance Engagements ») de l’IFAC.
3. Le contrôle doit s'étendre à tous les domaines d'activités de l'entreprise d’investissement, que ces activités relèvent du bilan ou du hors-bilan. Le mandat conféré au réviseur d'entreprises ne peut pas exclure du champ du contrôle un type d'activités, une catégorie d'opérations ou une opération spécifique. Par ailleurs, le contrôle doit couvrir l’ensemble des risques liés aux activités de l'entreprise d’investissement ainsi que tous les aspects financiers, d’organisation et de contrôle interne.
4. Le mandat pour le contrôle annuel doit comporter expressément la mission de: « • vérifier le respect du chapitre 5 de la partie II de la loi relative au secteur financier, de la loi du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, du règlement grand-ducal du 1er février 2010 portant précision de certaines dispositions de la loi du 12 novembre 2004 relative à la lutte contre le blanchiment et le financement du terrorisme, du Règlement (CE) 17812015/2006 847 du Parlement européen et du Conseil du 15 novembre 200620 mai 2015 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds, des actes internationaux en matière de lutte contre le financement du terrorisme portés à la connaissance des établissements par voie de circulaires CSSF, des règlements CSSF en matière de lutte contre le blanchiment et le financement du terrorisme, des circulaires CSSF en la matière, ainsi que la bonne application des procédures internes pour la prévention du blanchiment et du financement du terrorisme » 1 ; • vérifier le respect des articles 36 et 36-1 de la loi relative au secteur financier concernant les règles prudentielles du secteur financier et notamment les principes arrêtés par la circulaire IML 91/78 en matière de séparation des avoirs ainsi que la bonne application des procédures internes en vigueur en cette matière ; • vérifier le respect de l’article 37 de la loi relative au secteur financier et des principes arrêtés par la circulaire CSSF 2000/15 concernant les règles de 1 Circulaire CSSF 10/486 CIRCULAIRE CSSF 21/768 8/23 conduite du secteur financier, ainsi que la bonne application des procédures internes pour l’application des règles de conduite ; • vérifier le respect de toutes les autres circulaires applicables aux entreprises d’investissement telles que citées dans la présente circulaire ; « • porter un jugement sur l’analyse par l’entreprise d’investissement des risques de blanchiment ou de financement du terrorisme auxquels elle fait face et vérifier si les procédures, les infrastructures et les contrôles en matière de lutte contre le blanchiment et le financement du terrorisme mis en place par l’entreprise d’investissement, ainsi que l’étendue des mesures prises par celle-ci, sont appropriés au vu des risques de blanchiment et de financement du terrorisme auxquels l’entreprise d’investissement est ou pourrait être exposée notamment de par ses activités, la nature de sa clientèle et les produits et services offerts. »2
5. Le mandat pour le contrôle annuel de l'entreprise d’investissement doit englober toutes ses succursales à l’étranger. Pour le contrôle du respect des normes luxembourgeoises en matière de « blanchiment et financement du terrorisme » 3 et des règles de conduite, le mandat doit englober également toutes les filiales de l'entreprise d’investissement à l’étranger. Les entreprises d’investissement sont priées de transmettre à la CSSF une copie du mandat confié à leur réviseur d’entreprises pour le contrôle des comptes annuels et, le cas échéant, des comptes consolidés. Les entreprises d’investissement sont également tenues d’informer la CSSF de toute modification apportée à ce mandat ou de tout renouvellement qui se ferait avec des modalités autres que celles qui ont été communiquées initialement à la CSSF.
6. Le contrôle des comptes annuels défini ci-dessus est à documenter d'une part par un rapport sur les comptes annuels (cf. chapitre II. ci-dessous) et d'autre part par un compte rendu analytique annuel de révision (cf. chapitre III. cidessous).
7. Au cas où l’entreprise d’investissement serait soumise à la surveillance sur base consolidée exercée par la CSSF, un compte rendu analytique annuel de révision consolidé basé sur la situation financière consolidée doit également être établi. En général, les entreprises d’investissement doivent immédiatement informer la CSSF du fait que leur réviseur d'entreprises dénonce son mandat avant l'échéance du terme ou qu'il envisage de ne pas faire proroger son mandat. 2 Circulaire CSSF 10/486 3 Circulaire CSSF 10/486 CIRCULAIRE CSSF 21/768 9/23 De même, les entreprises d’investissement sont appelées à notifier à la CSSF, motifs à l'appui, leur intention de dénoncer le mandat de leur réviseur d'entreprises ou de ne pas le proroger. La CSSF analysera, lors de toute demande de changement du réviseur d'entreprises, les raisons du changement envisagé et appréciera si l’entreprise d’investissement a, dans la procédure de choix du nouveau réviseur d'entreprises, évalué soigneusement l'adéquation des compétences et des ressources de ce dernier par rapport au type et au volume d’activités de l'entreprise d’investissement. II. Rapport sur les comptes annuels / comptes consolidés Le rapport sur les comptes annuels (consolidés) contient l'attestation du réviseur d'entreprises (auditor’s report ou short form report, Bestätigungsvermerk) ; il est soumis à la publication légale, ensemble avec les comptes annuels (consolidés) et le rapport (consolidé) de gestion sur lesquels il porte, conformément à l’article 55

(2)de la loi relative au secteur financier et à l’article 252

(1)(article 341) de la loi modifiée du 10 août 1915 concernant les sociétés commerciales (« loi sur les sociétés commerciales »). Dans le rapport sur les comptes annuels (consolidés), le réviseur d’entreprises émet son attestation suivant la norme ISA 7004 4 telle qu’adoptée par l’IRE. Le rapport sur les comptes annuels (consolidés) doit être accompagné des comptes annuels (consolidés) et du rapport (consolidé) de gestion. Conformément à l'article 205 (article 319) de la loi sur les sociétés commerciales, les comptes annuels (consolidés) comprennent le bilan (consolidé), le compte de profits et pertes (consolidé) ainsi que l'annexe ; ces documents forment un tout. Le rapport (consolidé) de gestion est défini à l’article 251 (article 339) de la loi précitée. Quand un réviseur d'entreprises annonce à l'entreprise d’investissement qu’il va émettre une attestation qualifiée ou refuser de certifier les comptes, l’entreprise d’investissement concernée doit immédiatement en avertir la CSSF (cf. également le chapitre V. Communications à la CSSF en vertu de l’article 54

(3)de la loi relative au secteur financier ci-dessous). III. Compte rendu analytique annuel de révision III. A. Principes généraux Le compte rendu analytique (long form report, Prüfungsbericht) a pour objectif de rendre compte de manière descriptive et analytique des constatations concernant les aspects financiers et organisationnels que le réviseur d’entreprises a faites lors de son contrôle. Le compte rendu analytique de révision n’est pas destiné au public. Il est émis à l’usage exclusif des organes de direction et d’administration de l'entreprise d’investissement concernée ainsi que de la CSSF. 4 International Standard on Auditing n°700: The auditor’s report on financial statements CIRCULAIRE CSSF 21/768 10/23 « Le compte rendu analytique de révision doit être concis, clair et critique, reprenant pour chaque point énuméré dans le schéma ci-après, les constatations essentielles permettant un jugement précis et fondé sur l’organisation, le système de contrôle interne, la situation financière et les risques encourus par l’entreprise d’investissement contrôlée, y compris en matière de blanchiment et de financement du terrorisme. » 5 Le réviseur d'entreprises doit communiquer en détail les faiblesses et les points à améliorer qu’il aura constatés lors de son contrôle. Cette communication peut se faire dans le cadre du compte rendu analytique ou par l’intermédiaire d'une lettre de recommandations (management letter) adressée à la direction de l’entreprise d’investissement. Les constatations du réviseur d’entreprises doivent être accompagnées des commentaires de la direction de l'entreprise d’investissement. Dans le cas de l’émission d’une lettre de recommandations, celle-ci devra être annexée au compte rendu analytique. Lorsque le réviseur d’entreprises n’émet pas de lettre de recommandations, il doit l’indiquer expressément. Conformément à l’article 54

(1)de la loi relative au secteur financier, les entreprises d’investissement doivent communiquer spontanément à la CSSF, sans y être invitées spécifiquement, également tous les autres documents émis par le réviseur d'entreprises dans le cadre de son contrôle annuel. Le compte rendu analytique annuel de révision est à remettre à la CSSF au plus tard un mois après l'assemblée générale ordinaire de l'entreprise d’investissement. Les entreprises d’investissement soumises à la surveillance sur base consolidée de la CSSF remettent à celle-ci, au plus tard trois mois après leur assemblée générale ordinaire, le compte rendu analytique consolidé de révision ainsi que les comptes rendus analytiques de révision de leurs filiales comprises dans la surveillance sur base consolidée. III. B. Schéma du compte rendu analytique Le compte rendu analytique doit être établi suivant le schéma ci-dessous. Le schéma en question correspond aux informations minimales qui doivent être détaillées par le réviseur d’entreprises dans son rapport. Il pourra être adapté à la nature et à la complexité des activités ainsi qu’à la structure de l’entreprise contrôlée. Le cas échéant, le réviseur d’entreprises doit compléter le schéma indiqué par les points qu’il jugera nécessaires. Lorsqu’un point déterminé du schéma ne s’applique pas à l’entreprise d’investissement contrôlée, le réviseur d’entreprises devra le mentionner explicitement sous le point en question.

1. Mandat
2. Evénements significatifs
3. Organisation et administration 3.1 Description de l’actionnariat 3.2 Organes de direction et de gestion 5 Circulaire CSSF 10/486 CIRCULAIRE CSSF 21/768 11/23 3.3 Organigramme de la société 3.4 Organisation administrative et comptable 3.5 Système informatique 3.6 Contrôle interne
4. Activités et analyse des risques y liés
5. Rapports périodiques à communiquer à la CSSF
6. Coefficients prudentiels
7. Analyse des comptes annuels
8. Obligations professionnelles en matière de « prévention du blanchiment et du financement du terrorisme » 6
9. Obligations professionnelles en matière de règles de conduite
10. Succursales
11. Relations avec les entreprises liées
12. Suivi des problèmes soulevés dans les rapports précédents
13. Conclusion générale III. C. Commentaires relatifs au schéma du compte rendu analytique
14. Mandat Le réviseur d’entreprises fournit une brève description de son mandat de contrôle annuel. Le réviseur d’entreprises indiquera également toutes les prestations d’autres services que lui-même, sa firme ou son groupe, ont fournies auprès de l’entreprise d’investissement contrôlée.
15. Evénements significatifs Le compte rendu analytique reprend le cas échéant les événements significatifs qui ont eu lieu au cours de l’exercice sous revue. Il s’agit par exemple de décisions stratégiques du conseil d’administration et du comité de direction, du début ou de la fin de réorganisations importantes, du lancement ou de l’arrêt d’une activité, de la conclusion d’opérations exceptionnelles ou de négociations avec d’autres établissements ou groupes en matière de fusion/acquisition ou de collaboration. Lorsqu’il n’y a pas eu d’événements significatifs au cours de l’exercice sous revue, le réviseur d’entreprises mentionnera ce fait expressément.
16. Organisation et administration Le compte rendu analytique doit fournir une vue d’ensemble de la structure opérationnelle et décisionnelle de l'entreprise d’investissement ; il devra notamment permettre d’apprécier le respect des dispositions visées par les circulaires 95/120 relative à l’administration centrale et 96/126 relative à l’organisation administrative et comptable. 6 Circulaire CSSF 10/486 CIRCULAIRE CSSF 21/768 12/23 3.1 Description de l’actionnariat Le réviseur d’entreprises fournira une description de l’actionnariat direct de l’entreprise d’investissement ainsi que du groupe auquel elle appartient ; cette structure sera présentée sous forme d’un organigramme. 3.2 Organes de direction et de gestion Il y a lieu de décrire les pouvoirs des organes de direction en précisant particulièrement si les membres de la direction, qui sont agréés par la CSSF en vertu de l’article 19

(2)de la loi relative au secteur financier (« quatre yeux »), ont des pouvoirs égaux et s’ils tiennent leurs pouvoirs directement du conseil d’administration. 3.3 Organigramme de la société L’organigramme de l’entreprise d’investissement doit distinguer entre la direction et les différents départements et comités, avec indication du nombre des effectifs respectifs, et représenter les lignes hiérarchiques et fonctionnelles correspondantes en indiquant également les délégations de pouvoirs générales et particulières. L’organigramme doit être présenté sous forme graphique avec, au besoin, des commentaires explicatifs à l’appui. 3.4 Organisation administrative et comptable Le réviseur d’entreprises doit donner une brève description de l’organisation administrative et comptable ainsi qu’une appréciation de son adéquation au regard du type et du volume des activités de l’entreprise d’investissement. Le réviseur indiquera notamment si les ressources humaines et techniques mises à disposition de l’entreprise sont suffisantes pour assurer la bonne exécution de ses activités. Dans ce contexte, le réviseur apprécie si l’entreprise d’investissement respecte le principe de la séparation des tâches eu égard à la taille de l’entreprise contrôlée. Le réviseur d’entreprises doit se prononcer sur l’adéquation des procédures mises en place au sein de l’entreprise d’investissement et sur le respect de ces procédures. Si l’établissement détient des succursales et/ou filiales, le compte rendu analytique fournit également une description et une appréciation de l’intégration des succursales ou filiales dans la structure organisationnelle, fonctionnelle et décisionnelle de l’entreprise d’investissement. 3.5 Système informatique Au niveau du système informatique, le réviseur d’entreprises donne une brève description des logiciels utilisés. Le réviseur d’entreprises est appelé à se prononcer sur l’adéquation du système informatique par rapport au volume et au type d’activités de l’entreprise d’investissement. Le réviseur d’entreprises doit vérifier si des mesures appropriées ont été mises en place pour sauvegarder la confidentialité des données traitées. Par ailleurs, il doit décrire les grandes lignes du plan d’urgence en place qui doit permettre à l’entreprise de fonctionner normalement en cas de panne de son système informatique. Le compte rendu analytique fournit le cas échéant une description du site Internet de l’entreprise en précisant sa nature (site informatif, consultatif, transactionnel). En cas de recours par l’établissement à un outsourcing du traitement de son système informatique, le compte rendu analytique doit apprécier si le transfert des activités en CIRCULAIRE CSSF 21/768 13/23 question est en conformité avec les dispositions prévues aux points 4.5.2.1 et 4.5.2.

1. de la circulaire IML 96/
2. 3.6 Contrôle interne « Le compte rendu analytique doit fournir une description de l’organisation du système de contrôle interne et de la fonction d’audit interne ainsi qu’une appréciation de son adéquation au regard du type et du volume d’activités de l’entreprise d’investissement et des risques réels et potentiels auxquels elle est exposée en matière de blanchiment et de financement du terrorisme. » 7 Le réviseur d’entreprise se prononce notamment sur le suivi des recommandations émises par l’auditeur interne. Pour les entreprises d’investissement qui ont des succursales à l’étranger, le réviseur vérifie l’intégration de celles-ci dans le plan d’audit.
3. Activités et analyse des risques y liés Le compte rendu analytique fournit une description précise du type et du volume des activités poursuivies par l’entreprise d’investissement. Il devra mentionner expressément s’il y a eu un changement de la structure des activités, l’abandon d’une activité ou le lancement d’une activité nouvelle au cours de l’exercice sous revue. Le compte rendu analytique de révision doit préciser si l’entreprise d’investissement a mis en place un système adéquat de contrôle des risques et si le système en question couvre au moins les risques liés aux activités de l’entreprise d’investissement, tels que notamment: - risque de crédit/risque de contrepartie - risque de marché - risque légal - risque opérationnel - risque encouru sur instruments dérivés - risque de rentabilité - risque de réputation. « Le compte rendu analytique fournit une description et une appréciation de la manière dont l’établissement contrôle et gère son risque légal et de réputation, y compris en matière de blanchiment et de financement du terrorisme ». 8 Ainsi le compte rendu analytique doit indiquer si l’organisation de l’entreprise d’investissement permet un suivi adéquat des contrats et des pouvoirs délégués notamment aux gestionnaires dans le cadre de leurs relations avec la clientèle, mais également au regard des opérations traitées pour le compte des membres du personnel et de la direction des entreprises concernées. Le réviseur d’entreprises émettra par ailleurs un avis sur l'adéquation des procédures de hold mail, l’existence et le contrôle du respect de mandats écrits en cas de gestion de fortune discrétionnaire et le contrôle des performances de la gestion. 7 Circulaire CSSF 10/486 8 Circulaire CSSF 10/486 CIRCULAIRE CSSF 21/768 14/23 En cas d’existence de relations avec des apporteurs d’affaires, il y a lieu de décrire et d’apprécier les procédures de sélection ou d’acceptation de ces intermédiaires en question. Le compte rendu analytique doit également contenir une description et une appréciation du système d’information de la clientèle, dont notamment l’envoi des extraits de compte. D’une façon générale, le réviseur d’entreprises contrôle le respect du principe de la séparation des avoirs ; dans ce contexte, le compte rendu analytique mentionne si l’entreprise d’investissement dépose les avoirs de ses clients sur des comptes collectifs (omnibus account). Le réviseur d’entreprises indiquera par ailleurs l’origine géographique des banques dépositaires de l’entreprise d’investissement. Le réviseur d’entreprises devra également vérifier le respect par l’entreprise d’investissement du principe de la réconciliation mensuelle entre les comptes-clients ouverts auprès des banques dépositaires et sa propre comptabilité. Finalement, le compte rendu analytique se prononcera sur l’existence d’éventuels conflits d’intérêts susceptibles de nuire aux intérêts des clients.
4. Rapports périodiques à communiquer à la CSSF Le compte rendu analytique doit apprécier les mesures mises en place pour garantir que les données communiquées à la CSSF dans le cadre des rapports prudentiels périodiques sont complètes, correctes et établies selon les règles qui s’y appliquent. Le réviseur d’entreprises procédera à des tests par échantillonnage, dont il décrira la méthodologie et dont il commentera les résultats. Des informations sont à fournir le cas échéant sur l’intégration des données des succursales dans le reporting.
5. Coefficients prudentiels Le compte rendu analytique doit fournir une description et une appréciation du calcul du ratio des fonds propres et du respect des limites aux grands risques conformément aux dispositions de la circulaire CSSF 2000/
7. Analyse des comptes annuels Le compte rendu analytique doit fournir une analyse des comptes annuels, qui doit comprendre des commentaires précis sur les postes importants et les évolutions remarquables de la situation financière. Le compte rendu analytique indique également les éléments postérieurs à la clôture dont le réviseur d’entreprises a eu connaissance et qui peuvent influencer l’appréciation de la situation économique et financière de l’entreprise d’investissement. En ce qui concerne particulièrement l’activité de gestion de fortunes, le réviseur d’entreprises devra collecter des statistiques sur la rotation des portefeuilles des clients afin de juger de l’éventuelle présence de transactions conclues dans un but de « churning ». CIRCULAIRE CSSF 21/768 15/23 Lors de sa mission, le réviseur d’entreprises devra accorder une attention particulière aux commissions perçues par les entreprises d’investissement. Le cas échéant, le réviseur devra décrire la nature et le volume des rétrocessions encaissées respectivement payées par l’entreprise d’investissement, dont il aurait connaissance, notamment dans le cadre de ses relations avec les apporteurs d’affaires. En cas d’irrégularités ou de manquements, le réviseur d’entreprises devra donner des indications précises permettant à la CSSF de juger la situation.
8. Obligations professionnelles en matière de prévention du blanchiment et du financement du terrorisme Le compte rendu analytique doit fournir une description des procédures établies dans l’entreprise d’investissement en vue de la prévention du blanchiment de capitaux et du financement du terrorisme, telles qu’exigées pour le respect de, respectivement définies dans: le chapitre 5 de la partie II de la loi relative au secteur financier, la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, le règlement grand-ducal du 1er février 2010 portant précision de certaines dispositions de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme (ciaprès « Règlement grand-ducal »), le Règlement (UCE) 20151781/8472006 du Parlement européen et du Conseil du 15 novembre 200620 mai 2015 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds, les actes internationaux en matière de lutte contre le financement du terrorisme portés à la connaissance des professionnels par voie de circulaires CSSF, les règlements CSSF en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et les circulaires CSSF en la matière. Le compte rendu analytique fournira en particulier les éléments suivants : • la description de la politique LBC/FT mise en place par le professionnel en vue de la prévention du blanchiment et du financement du terrorisme, la vérification de sa conformité aux dispositions du chapitre 5 de la partie II de la loi modifiée du 5 avril 1993 relative au secteur financier, de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, du Règlement grand-ducal, du Règlement (UE) 2015/847, des règlements et circulaires CSSF en matière de LBC/FT, et le contrôle de leur bonne application une description de la politique d’acceptation des clients ; • l’appréciation de l’analyse faite par le professionnel des risques de blanchiment de capitaux et de financement du terrorisme auxquels il est exposé. Le réviseur d’entreprises agréé doit vérifier si les procédures, infrastructures et contrôles mis en place, ainsi que l’étendue des mesures prises en matière de LBC/FT, sont appropriés face aux risques de blanchiment et de financement du terrorisme auxquels le professionnel est exposé, notamment par ses activités, la nature de sa clientèle et les produits et services offerts une appréciation de l’adéquation des procédures internes de l’entreprise d’investissement propres à la prévention du blanchiment et du financement du terrorisme ainsi que leur conformité aux dispositions du chapitre 5 de la partie II de la loi relative au secteur financier, de la loi du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, du règlement grand-ducal du 1er février 2010 CIRCULAIRE CSSF 21/768 16/23 portant précision de certaines dispositions de la loi du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, du Règlement (CE) 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds, des actes internationaux en matière de lutte contre le financement du terrorisme portés à la connaissance des établissements par voie de circulaires CSSF, des règlements CSSF en matière en matière de lutte contre le blanchiment et le financement du terrorisme, des circulaires CSSF en la matière. Le réviseur d’entreprises se prononcera également sur la bonne application des procédures en question. Le résultat de ces contrôles est à présenter en outre en annexe dans le tableau « Mesures en matière de lutte contre le blanchiment et le financement du terrorisme et la prévention de l’utilisation du secteur financier à des fins de blanchiment ou de financement du terrorisme de l’IRE. Ce tableau établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter, le cas échéant, par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à d’autres endroits du compte rendu analytique ; • une déclaration sur la réalisation d’un contrôle régulier du respect de la politique LBC/FT du professionnel par la fonction d’ l'existence d'un contrôle régulier du respect des procédures par le service audit interne et le responsable du contrôle du respect des obligations professionnelles tel que défini à l’article 1

(1)du Règlement CSSF 12-02 du 14 décembre 2012 ; • la vérification des les mesures de formation et de sensibilisationd’information des employés en matière de blanchiment de capitaux et de financement du terrorisme, et en particulier en ce qui concerne la de détection des opérations de blanchiment et de financement du terrorisme ; • un historique statistique des transactions suspectes détectées, renseignant sur le nombre des cas de déclarations de transactions suspectes faites par l’entreprise d’investissement au Procureur d'Etat (Cellule de Renseignement Financier)le professionnel à la CRF, ainsi que le montant total des fonds impliquésengagés ; • le contrôle de l’application par le professionnel, dans son rôle respectif, des dispositions du Règlement (UE) 2015/847 et le pourcentage des transferts de fonds pour lesquels les données sur le donneur d’ordre ou le bénéficiaire ont été manquantes ou incomplètes et des mesures prises par le professionnel dans ce contexteune appréciation de l’analyse par l’entreprise d’investissement des risques de blanchiment ou de financement de terrorisme auxquels elle fait face. Le réviseur doit vérifier si les procédures, les infrastructures et les contrôles en matière de lutte contre le blanchiment et le financement du terrorisme mis en place par l’entreprise d’investissement, ainsi que l’étendue des mesures prises par celle-ci, sont appropriés au vu des risques de blanchiment et de financement du terrorisme auxquels l’entreprise d’investissement est ou pourrait être exposée, notamment de par ses activités, la nature de sa clientèle et les produits et services offerts. CIRCULAIRE CSSF 21/768 17/23 Le réviseur d’entreprises agréé doit notamment contrôler si l’entreprise d’investissement précitée respecte ses obligations en matière d’identification des clients et des bénéficiaires effectifs. Le réviseur d’entreprises agréé doit indiquer sa méthode de sélection de l’échantillon des dossiers contrôlés et le taux de couverture de la population (nombre de dossiers contrôlés / nombre total de clients ; volume des avoirs des clients sélectionnés / volume total des avoirs des clients). En cas du constat d’une non-conformité avec les dispositions légales ou réglementaires ou de lacunes, le réviseur d’entreprises agréé doit donner des indications précises permettant à la CSSF de juger la situation (nombre de dossiers non complets en suspens qui est à rapporter également au nombre total de dossiers contrôlés, détail des lacunes constatées, etc.). (cf. également le chapitre V. « Communications à la CSSF en vertu de l’article 54

(3)de la loi relative au secteur financier » ci-dessous). » Remarque : Il est souligné que les réviseurs d’entreprises agréés sont appelés à avertir également la CSSF de tous les cas de dénonciation qu’ils font en vertu de l’article 5 de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme et qui concernent un professionnel du secteur financier tombant sous la surveillance de la CSSF. 9 De même les réviseurs d’entreprises doivent avertir la CSSF des cas où ils estiment que le professionnel aurait dû faire une dénonciation et ne l’a pas fait. Si applicable, le compte rendu analytique référé ci-dessus doit englober les succursales et filiales détenues majoritairement par le professionnel à l’étranger. Il doit couvrir, notamment, le respect par les succursales et filiales détenues majoritairement des dispositions applicables en matière de prévention du blanchiment de capitaux et du financement du terrorisme et le compte rendu analytique doit comporter, à cet égard : • une analyse des risques encourus par les succursales et filiales détenues majoritairement en matière de blanchiment de capitaux et de financement du terrorisme. Ce point est à couvrir au point 10 « Succursales » respectivement soit à la partie IV « Compte rendu analytique consolidé de révision », soit dans la présente section ; • une description et une appréciation de la gestion des risques de blanchiment de capitaux et de financement du terrorisme dans les succursales et filiales détenues majoritairement. Ce point est à couvrir au point 10 « Succursales » respectivement soit à la partie IV « Compte rendu analytique consolidé de révision », soit dans la présente section ; • la vérification de l’implémentation et du respect de la politique LBC/FT du professionnel dans les succursales ou filiales détenues majoritairement. Ce point est à couvrir au point 10 « Succursales » respectivement soit à la partie IV 9 Circulaire CSSF 10/486 CIRCULAIRE CSSF 21/768 18/23 « Compte rendu analytique consolidé de révision », soit dans la présente section.

1. Obligations professionnelles en matière de règles de conduite Le compte rendu analytique doit donner une description et une appréciation du respect de l’article 37 de la loi relative au secteur financier et des principes arrêtés par la circulaire CSSF 2000/15 concernant les règles de conduite du secteur financier, ainsi que de la bonne application des procédures internes pour l’application des règles de conduite.
2. Succursales Les succursales de l’entreprise d’investissement sont à englober par le réviseur d’entreprises dans son contrôle annuel. « Ce contrôle est à traiter dans un chapitre à part du compte rendu analytique pour chaque succursale prise séparément et doit couvrir tant les aspects prudentiels (situation financière, risques, organisation) que le respect des dispositions applicables en matière de prévention du blanchiment et du financement du terrorisme, ainsi que des règles de conduite et doit fournir les informations suivantes : » 10 • un organigramme de la succursale, • une description des activités de la succursale, • une description et une appréciation des procédures en matière de contrôle interne appliquées dans la succursale, l’existence d’une fonction d’audit interne propre et les modalités de l’intégration de la succursale dans le plan d’inspection du service audit interne du siège, • les déficiences graves que le contrôle de l’audit interne auprès de la succursale a révélées le cas échéant, • une appréciation de l’adéquation de l’organisation administrative et comptable, «• la mise en œuvre et la vérification du respect des procédures en matière de prévention du blanchiment et du financement du terrorisme dans la succursale. » 11 • la mise en œuvre et la vérification du respect des procédures luxembourgeoises en matière des règles de conduite dans la succursale, • l’intégration de la succursale au point de vue comptable, • l’intégration des systèmes et traitements informatiques de la succursale dans les systèmes et traitements informatiques du siège, «• une analyse des risques encourus par la succursale, y compris en matière de blanchiment et de financement du terrorisme,» 12 • une description et une appréciation de la gestion des risques dans la succursale, y compris en matière de blanchiment et de financement du terrorisme, • la vérification de l’implémentation et du respect de la politique LBC/FT du professionnel dans la succursale.
3. Relations avec les entreprises liées 10 Circulaire CSSF 10/486 11 Circulaire CSSF 10/486 12 Circulaire CSSF 10/486 CIRCULAIRE CSSF 21/768 19/23 Le réviseur d’entreprises doit attester qu’il a examiné les transactions intragroupes et spécifier si celles-ci s’effectuent à des conditions de marché. Sont à décrire et à commenter notamment : - la politique et les objectifs poursuivis par l’entreprise d’investissement dans ses relations avec les entreprises liées, - le type d’opérations intragroupes effectuées, - les garanties émises en faveur/reçues de la part d’entreprises liées, - la part des intérêts perçus de la part d’entreprises liées, respectivement la part des intérêts payés aux entreprises liées, - les prix facturés pour services rendus ou obtenus.
4. Suivi des problèmes soulevés dans les rapports précédents Le réviseur d’entreprises fait le suivi des irrégularités et faiblesses graves constatées lors des contrôles précédents et qui sont détaillées soit dans un compte rendu analytique précédent, soit dans une lettre de recommandation séparée adressée à la direction.
5. Conclusion générale Dans la conclusion générale, le réviseur d’entreprises doit prendre position sur tous les points essentiels de son contrôle, de façon à donner une vue d’ensemble sur la situation de l’entreprise d’investissement contrôlée. De manière plus générale, le réviseur d'entreprises doit résumer les principales remarques et conclusions figurant dans son rapport. Il indiquera également les principales recommandations et observations adressées à la direction de l’entreprise d’investissement dans le cadre du contrôle des comptes annuels ainsi que la réaction de celle-ci y relative. Si le réviseur d’entreprises adresse une lettre de recommandations séparée à la direction, il suffit que la conclusion générale fasse référence au document en question, qui doit alors figurer en annexe du compte rendu analytique. Le réviseur d'entreprises décrira l'existence d'éventuels problèmes de l’établissement avec des autorités de surveillance étrangères dont il aurait connaissance. IV. Compte rendu analytique consolidé de révision Le compte rendu analytique consolidé de révision est à établir selon les mêmes principes et suivant le même schéma que le compte rendu annuel de révision. Il doit toutefois se concentrer sur les informations spécifiques à la situation consolidée. Le compte rendu analytique consolidé de révision doit détailler le périmètre de consolidation et les changements éventuels du périmètre au cours de l’exercice sous revue, ainsi que la liste des participations qui ne sont pas incluses dans la consolidation, avec indication des motifs. Pour chaque entreprise consolidée, il y a lieu d’indiquer la méthode de consolidation. CIRCULAIRE CSSF 21/768 20/23 Si l’entreprise d’investissement soumise au contrôle consolidé de la CSSF est exemptée de publier des comptes consolidés ou lorsque le périmètre de consolidation de la publication de comptes consolidés diffère du périmètre de consolidation de la surveillance sur une base consolidée, le compte rendu analytique consolidé de révision doit être basé sur la situation comptable consolidée correspondant au périmètre du contrôle consolidé exercé par la CSSF. « L’objectif du compte rendu analytique consolidé de révision est de procurer une vue d’ensemble sur la situation du groupe et de donner des indications sur la gestion, l’organisation et les activités du groupe ainsi que sur la structure des risques du groupe, y compris en matière de blanchiment et de financement du terrorisme ». 13 Le compte rendu analytique consolidé de révision reprendra brièvement les différents points du schéma pour chaque filiale consolidée. Pour les filiales détenues majoritairement, le compte rendu analytique consolidé doit en outre inclure : • une analyse des risques encourus par la filiale en matière de blanchiment et de financement du terrorisme ; • une description et une appréciation de la gestion des risques en matière de blanchiment et de financement du terrorisme dans la filiale ; • la vérification de l’implémentation et du respect de la politique LBC/FT du professionnel dans la filiale. V. Communications à la CSSF en vertu de l’article 54

(3)de la loi relative au secteur financier Conformément au paragraphe

(3)de l’article 54 de la loi relative au secteur financier, le réviseur d’entreprises est tenu de signaler à la CSSF rapidement tout fait ou décision dont il a pris connaissance dans l’exercice du contrôle des documents comptables annuels d’un professionnel du secteur financier ou d’une autre mission légale, lorsque ce fait ou cette décision: • concerne ce professionnel du secteur financier et • est de nature à - constituer une violation grave des dispositions de la loi relative au secteur financier ou des dispositions réglementaires prises pour son exécution, ou - porter atteinte à la continuité de l’exploitation du professionnel, ou - entraîner le refus de la certification des comptes ou l’émission de réserves y relatives. Le réviseur d’entreprises est également tenu de signaler rapidement à la CSSF tout fait ou décision répondant à l’un des trois critères mentionnés ci-dessus, dont il a eu connaissance dans l’exercice du contrôle des documents comptables annuels ou d’une autre mission légale auprès d’une entreprise liée par un lien de contrôle au professionnel du secteur financier auprès duquel il effectue une mission légale. 13 Circulaire CSSF 10/486 CIRCULAIRE CSSF 21/768 21/23 Le réviseur est en outre tenu de fournir à la CSSF tous les renseignements ou certifications que celle-ci requiert sur les points dont le réviseur d’entreprises a ou doit avoir connaissance dans le cadre de sa mission. En contrepartie de l’obligation de communication à la CSSF, le paragraphe

(4), de l’article 54 de la loi relative au secteur financier garantit au réviseur d'entreprises qui révèle de bonne foi un renseignement confidentiel en application du paragraphe

(3), la protection contre d’éventuels recours en responsabilité. VI. Dispositions finales La CSSF peut, sur demande écrite dûment justifiée, dispenser une entreprise d’investissement de l’établissement d’un compte rendu analytique annuel de révision ou d’un compte rendu analytique consolidé de révision en fonction de la nature et des risques de ses activités. Les instructions de la présente circulaire sont à observer dans leur ensemble pour les comptes annuels des exercices comptables clôturant après le 31 décembre 2003. Veuillez recevoir, Mesdames, Messieurs, l’assurance de nos sentiments très distingués. COMMISSION de SURVEILLANCE du SECTEUR FINANCIER Charles KIEFFER Directeur CIRCULAIRE CSSF 21/768 Arthur PHILIPPE Directeur Jean-Nicolas SCHAUS Directeur Général 22/23 Commission de Surveillance du Secteur Financier 283, route d’Arlon L-2991 Luxembourg (+352) 26 25 1-1 direction@cssf.lu www.cssf.lu CIRCULAIRE CSSF 21/768 62/23