Circulaire CSSF 25/903 — Circulaire CSSF 25/903

Circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’autoévaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement Circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement À tous les PSF de support Luxembourg, le 23 décembre 2025 Mesdames, Messieurs, La présente circulaire a pour objet de modifier les dispositions relatives à la préparation et à la soumission annuelle du rapport descriptif ainsi que de ses annexes, des documents attendus dans le cadre de la clôture comptable (y inclus la lettre de recommandations du réviseur d’entreprises agréé), du questionnaire d’auto-évaluation et du rapport séparé des PSF de support et de leurs réviseurs d’entreprises agréés (« REA »). Les modifications apportées portent sur : - Le mode de transmission des documents requis à effectuer désormais via la plateforme eDesk de la CSSF ; - Une adaptation du plan de rotation des tests, prévoyant notamment un cycle de trois ans pour les entités classées à faible risque. Une version « suivi des modifications » de la circulaire CSSF 24/850 est disponible à l’Annexe de la présente circulaire. Claude WAMPACH Directeur Françoise KAUTHEN Directeur CIRCULAIRE CSSF 25/903 Marco ZWICK Directeur Jean-Pierre FABER Directeur Claude MARX Directeur général 2/29 Circulaire CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’autoévaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 2/29 Circulaire CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support Mission des réviseurs d’entreprises agréés des PSF de support et règles pratiques concernant la lettre de recommandations et le rapport séparé à établir annuellement À tous les PSF de support Luxembourg, le 19 janvier 2024 Mesdames, Messieurs, La présente circulaire a pour objet de définir les règles pratiques concernant la préparation ainsi que la soumission annuelle des documents décrits par après par les PSF de support et par leurs réviseurs d’entreprises agréés (« REA »). Plus particulièrement, la présente circulaire introduit, d’une part, un questionnaire d’auto-évaluation à remplir sur une base annuelle par les PSF de support (le « questionnaire d’auto-évaluation ») et à soumettre à la CSSF en remplacement du rapport d’analyse de risques (« RAR ») exigé par la circulaire CSSF 12/

Le questionnaire d’auto-évaluation est le résultat d'un réexamen approfondi de l'objectif et du contenu des informations que la CSSF souhaite obtenir concernant l’autoévaluation et la gestion par le PSF de support des risques qu’il peut faire courir au secteur financier. Il tient compte des développements réglementaires et des principaux points que la CSSF souhaite porter à l’attention des PSF de support. D’autre part, la présente circulaire précise de manière générale le rôle et la mission des REA dans le contexte du contrôle légal des comptes des PSF de support. Elle établit par ailleurs un cadre réglementaire spécifique à la lettre de recommandations et introduit également un rapport séparé (le « rapport séparé »). Le rapport séparé reprend des procédures spécifiques que la CSSF demande au REA d’effectuer par rapport au questionnaire d’auto-évaluation du PSF de support. Ces deux documents doivent être préparés par les REA des PSF de support sur une base annuelle. Enfin, la présente circulaire adapte et simplifie le rapport descriptif à fournir annuellement par les PSF de support et abroge les circulaires CSSF 12/544 et 19/7272 suite à l’introduction des nouveaux outils de surveillance mis en place par la présente circulaire. 1 Circulaire CSSF 12/544 relative à l'optimisation par une approche par les risques de la surveillance exercée sur les « PSF de support », abrogée par la présente circulaire. Circulaire CSSF 19/727 relative aux nouvelles modalités de transmission des documents requis par la circulaire CSSF 12/544, abrogée par la présente circulaire. 2 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 3/29 Table des matières
Champ d’application et base légale ............................................................................... 5
Approche basée sur les risques..................................................................................... 5
Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support...................................................................... 6 3.
Le rapport descriptif ................................................................................................. 6 3.
Le questionnaire d’auto-évaluation ............................................................................. 6
Règles pratiques concernant la mission des REA ............................................................. 8 4.
Le contrôle légal des comptes d’un PSF de support....................................................... 8 4.
La lettre de recommandations ................................................................................... 8 4.
Le rapport séparé .................................................................................................... 9
Obligation de signalement par le REA à la CSSF ............................................................ 11
Instructions pour la préparation et la transmission des documents attendus .................... 12 6.
Documents à transmettre et modalités de soumission ................................................ 12 6.
Modalités pratiques ................................................................................................ 14
Entrée en vigueur ..................................................................................................... 15 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 4/29
Champ d’application et base légale La présente circulaire s’adresse à tous les PSF exerçant une ou plusieurs activités de PSF de support, telles que définies dans les articles 29-1 à 29-6 de la loi du 5 avril 1993 relative au secteur financier (« la LSF ») et codifiés de type « I » par la CSSF. Les PSF de support sont tenus de se référer aux numéros signalétiques tels que publiés sur le site Internet de la CSSF à la rubrique des entités surveillées. Les exigences introduites par la présente circulaire se basent notamment sur les dispositions légales suivantes : - Le questionnaire d’auto-évaluation, tel que spécifié par la section 3.2 de la présente circulaire, est introduit en application de l’article 53, paragraphe

(1), point

(2), de la LSF qui permet à la CSSF de demander ou d’exiger des PSF de support la fourniture d’informations dans le cadre de l’exercice de ses fonctions ; - La définition du cadre réglementaire spécifique applicable à la lettre de recommandations à préparer par le REA, tel que spécifié par la section 4.2 de la présente circulaire, se fait en application de l’article 54, paragraphe

(1), de la LSF qui permet à la CSSF de fixer des règles quant à la portée du mandat de contrôle des documents comptables annuels des PSF de support et quant au contenu des rapports et commentaires écrits du REA ; - Le rapport séparé à préparer par le REA, tel que spécifié par la section 4.3 de la présente circulaire, est introduit : o en application de l’article 49 du règlement CSSF N° 12-02 du 14 décembre 2012 (« RCSSF 12-02 »)3 pour la partie du rapport séparé relative à la prévention du blanchiment et du financement du terrorisme (partie « Aspects LBC/FT ») ; o en application de l’article 54, paragraphe

(2), de la LSF qui permet à la CSSF de demander à un REA d’effectuer un contrôle portant sur un ou plusieurs aspects déterminés de l’activité et du fonctionnement des PSF de support, pour toutes les autres parties du rapport séparé.

Approche basée sur les risques L’étendue du questionnaire d’auto-évaluation et de la liste des procédures spécifiques à effectuer par le REA varie en application du principe de proportionnalité et d’une approche de surveillance basée sur les risques. En pratique, un PSF de support considéré moins risqué devra répondre à un nombre restreint de questions et faire l’objet d’un nombre plus limité de procédures spécifiques à effectuer par son REA. Dans ce contexte, un système de notation est mis en place par la CSSF afin de déterminer le risque que chaque PSF de support fait courir au secteur financier. Ce système de notation repose sur plusieurs critères et prend notamment en compte la nature des activités prestées requérant un agrément de PSF de support, le chiffre d’affaires, les clients du secteur financier et la taille du PSF de support. Chaque année et au plus tard à la clôture de son exercice social, la CSSF communiquera au PSF de support la catégorie de risque qui lui a été attribuée (faible, modéré, élevé). Néanmoins, pour le premier exercice d’application, tel que spécifié au niveau de la section 7 de la présente circulaire, la Règlement CSSF N° 12-02 du 14 décembre 2012 relatif à la lutte contre le blanchiment et contre le financement du terrorisme, tel que modifié. 3 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 5/29 CSSF pourra exceptionnellement communiquer cette information au PSF de support au plus tard un mois après la publication de cette circulaire. Le PSF de support pourra demander à la CSSF des précisions sur les critères retenus afin d’établir la note de risque.
Règles pratiques concernant le rapport descriptif et le questionnaire d’auto-évaluation à soumettre annuellement par les PSF de support 3.
Le rapport descriptif Un PSF de support doit fournir annuellement un rapport descriptif décrivant notamment son organisation administrative et comptable, son système de contrôle interne, son infrastructure informatique et ses activités prestées au secteur financier. La structure du rapport descriptif ainsi que la liste des documents attendus dans le cadre du rapport descriptif sont disponibles sur le site Internet de la CSSF. Lorsqu’un point déterminé de la structure ou un document attendu ne s’applique pas au PSF de support, celui-ci le mentionne explicitement. Le rapport descriptif comprend les informations demandées selon la structure prévue à l’annexe 1 de cette circulaire ainsi que les documents attendus dans le cadre du rapport descriptif précisés à l’annexe 2 de cette circulaire. Lorsqu’un point déterminé de la structure ou un document attendu ne s’applique pas au PSF de support, celui-ci le mentionne explicitement. 3.
Le questionnaire d’auto-évaluation La présente circulaire introduit un questionnaire d’auto-évaluation à remplir par les PSF de support pour chaque année ou période qui fait l’objet d’un contrôle légal des comptes. Le questionnaire d’auto-évaluation vise à demander aux PSF de support de procéder à une autoévaluation de certains risques, et de leur conformité par rapport à des exigences légales et réglementaires. Les thématiques des questions applicables pour un PSF de support sont d’abord déterminées selon les activités prestées au secteur financier, et donc selon les agréments dont les PSF de support disposent. Ainsi, le questionnaire d’auto-évaluation se divise en quatre parties que chaque PSF de support doit remplir en fonction de l’agrément dont il dispose selon l’attribution présentée dans le tableau 1 (« Allocation des parties du questionnaire d’auto-évaluation ») disponible ci-après. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 6/29 Tableau 1 - Allocation des parties du questionnaire d’auto-évaluation Partie Aspects liés aux TIC4 PSF de support concernés - Opérateurs de systèmes informatiques et de réseaux de communication du secteur financier (Art. 29-3 de la LSF). - Prestataires de services de dématérialisation du secteur financier (Art. 29-5 de la LSF). - Prestataires de services de conservation du secteur financier (Art. 29-6 de la LSF). Aspects opérationnels5 - Agents de communication à la clientèle (Art. 29-1 de la LSF). - Agents administratifs du secteur financier (Art. 29-2 de la LSF). Aspects transversaux - Agents de communication à la clientèle (Art. 29-1 de la LSF). (hors « LBC/FT ») - Agents administratifs du secteur financier (Art. 29-2 de la LSF). - Opérateurs de systèmes informatiques et de réseaux de communication du secteur financier (Art. 29-3 de la LSF). - Prestataires de services de dématérialisation du secteur financier (Art. 29-5 de la LSF). - Prestataires de services de conservation du secteur financier (Art. 29-6 de la LSF). Aspects liés à la lutte - Agents de communication à la clientèle (Art. 29-1 de la LSF). contre le blanchiment et le - Agents administratifs du secteur financier (Art. 29-2 de la LSF). financement du terrorisme - Opérateurs de systèmes informatiques et de réseaux de (« Aspects LBC/FT ») communication du secteur financier (Art. 29-3 de la LSF). - Prestataires de services de dématérialisation du secteur financier (Art. 29-5 de la LSF). - Prestataires de services de conservation du secteur financier (Art. 29-6 de la LSF). Par dérogation à ce qui précède : a) Lorsqu’un PSF de support agréé selon les articles 29-3, 29-5 ou 29-6 de la LSF dispose également d’un ou plusieurs agréments selon les articles 29-1 ou 29-2 de la LSF, il est tenu de remplir uniquement les parties « Aspects liés aux TIC », « Aspects transversaux » et « Aspects LBC/FT » ; il n’a donc pas l’obligation de couvrir les questions et procédures de la partie « Aspects opérationnels ». b) En fonction des activités prestées et du risque que le PSF de support fait courir au secteur financier, et contrairement à l’allocation des parties prévue dans le tableau 1, la CSSF pourra exceptionnellement demander à un PSF de support de répondre à une partie du questionnaire qui ne lui est pas alloué ou au contraire l’en dispenser. La CSSF communiquera les demandes selon le point b) ci-dessus aux PSF de support concernés au plus tard à la clôture de leur exercice social. Néanmoins, pour le premier exercice d’application, tel que spécifié au niveau de la section 7 de la présente circulaire, la CSSF pourra communiquer cette 4 Technologies de l’information et de la Communication À noter que les parties relatives aux aspects opérationnels et aux aspects transversaux comprennent également quelques questions relatives aux TIC. 5 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 7/29 demande aux PSF de support concernés au plus tard un mois après la publication de cette circulaire. En l’absence d’une telle communication, les PSF de support sont tenus de respecter l’allocation des parties prévue dans le tableau
Conformément à l’approche basée sur les risques présentée à la section 2 de la présente circulaire, le nombre de questions auxquelles un PSF de support doit répondre est fonction de la catégorie de risque que la CSSF lui a attribuée. Ainsi, deux PSF de support possédant le même agrément et devant remplir les mêmes parties du questionnaire d’auto-évaluation pourront avoir à répondre à un volume de questions différent selon leur catégorie de risque respective. Le questionnaire d’autoévaluation présentant les questions de chaque partie et leur allocation en fonction des différentes catégories de risque des PSF de support est disponible sur le site internet de la CSSF. En fonction des évolutions des exigences légales et réglementaires applicables aux PSF de support ainsi que des besoins de la surveillance prudentielle, le questionnaire d’auto-évaluation pourra faire l’objet d’adaptations au cours des années.
Règles pratiques concernant la mission des REA Les PSF de support doivent, conformément à l’article 22, paragraphe

(1), de la LSF, faire l’objet d’un contrôle légal des comptes par un REA sur une base annuelle. Dans ce contexte, la présente circulaire définit, en application de l’article 54, paragraphe

(1), de la LSF, un cadre réglementaire spécifique applicable à la lettre de recommandations que le REA devra préparer à l’attention des responsables des PSF de support et de la CSSF. En outre, la présente circulaire introduit, en application de l’article 54, paragraphe

(2), de la LSF et de l’article 49 du RCSSF 12-02, un rapport séparé à préparer par le REA sur une base annuelle, en accord avec les spécifications fournies à la section 4.3 ci-après. 4.

Le contrôle légal des comptes d’un PSF de support Le contrôle légal des comptes d’un PSF de support doit être effectué, en application de l’article 33 de la loi du 23 juillet 2016 relative à la profession de l’audit, conformément aux normes d’audit internationales telles qu’adoptées par la CSSF. Sur cette base, le REA présente les résultats du contrôle légal des comptes dans un rapport d’audit comprenant son opinion d’audit. 4.
La lettre de recommandations La présente circulaire introduit un cadre réglementaire spécifique concernant la lettre de recommandations que les REA doivent préparer, pour chaque année ou période qui a fait l’objet d’un contrôle légal des comptes, à l’attention des responsables du PSF de support. La lettre de recommandations est à remplir par le REA à travers la plateforme eDesk.doit notamment présenter les recommandations sous forme d’un tableau dont le modèle à respecter est mis à disposition sur le site internet de la CSSF. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 8/29 Dans le cadre de la lettre de recommandations, le REA n'est pas tenu d'effectuer d'autres procédures que celles déjà réalisées lors du contrôle légal des comptes, référencé dans la section 4.1 de la présente circulaire. Le REA doit, conformément aux normes d’audit applicables, communiquer dans une lettre de recommandations adressée aux responsables du PSF de support, les faiblesses et les points à améliorer qu’il aura constatés lors de son contrôle légal des comptes du PSF de support, et qui, sur base du jugement professionnel du REA, sont d'une importance telle qu’ils méritent l'attention des responsables du PSF de support ou de la CSSF. La lettre de recommandations doit aussi reprendre le suivi des faiblesses ou des points d’amélioration soulevés dans les lettres de recommandations émises au cours des exercices précédents qui n'ont pas été « clôturés » dans la lettre de recommandations précédente, uniquement lorsque ces faiblesses ou points d’amélioration sont en rapport avec le contrôle légal des comptes. Les faiblesses et points d’amélioration qui ne sont pas en rapport avec le contrôle légal des comptes doivent être suivis en interne par le PSF de support et ne sont plus à mentionner dans la lettre de recommandations
Le REA doit considérer la faiblesse ou le point d’amélioration comme « clôturé » lorsque les mesures correctrices nécessaires ont été mises en place pour remédier à cette faiblesse ou point d’amélioration et que les responsables du PSF de support ont mis en place des mesures appropriées pour éviter la réapparition de ceux-ci à l'avenir. En outre, pour chaque faiblesse ou point d’amélioration relevé, doit être accompagné des commentaires dle REA veille à obtenirs les commentaires des responsables du PSF de support avant de transmettre la lettre de recommandations à travers la plateforme eDesk. Ces commentairesqui doivent obligatoirement contenir, notamment, les informations suivantes : - une explication détaillée des raisons et des circonstances relatives à la survenance de la faiblesse ou du point d’amélioration soulevé par le REA ; - une explication détaillée des mesures prises ou décidées afin de corriger la faiblesse ou le point d’amélioration et d'éviter qu’ils ne se reproduisent plus à l'avenir. Ces mesures doivent être accompagnées d’un plan de remédiation détaillé et d’un calendrier associé. Si les responsables du PSF de support n'ont pas répondu en temps utile et dans un délai raisonnable aux faiblesses ou points d’amélioration soulevés par le REA dans la lettre de recommandations, le REA émettra cette lettre de recommandations en spécifiant qu’il n’a pas obtenu de commentaires de la part des responsables du PSF de support sur les faiblesses ou points soulevés. Lorsque le REA n’a relevé aucun point devant être repris dans une lettre de recommandations, il émettra une attestation de non-émission d’une lettre de recommandations. 4.
Le rapport séparé La présente circulaire introduit un rapport séparé à remplir par les REA des PSF de support, chaque année ou période pour laquelle un questionnaire d’auto-évaluation a été soumis par le PSF de support. Ce rapport séparé, dont un modèle est disponible sur le site internet de la CSSF, a pour L’approche et les attentes exprimées dans ce paragraphe s’appliquent également aux faiblesses et points d’amélioration rapportés dans les attestations relatives au respect des lois, règlements et circulaires du secteur financier émises au cours des exercices précédents. 6 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 9/29 objet, notamment, de fiabiliser les réponses apportées par le PSF de support au questionnaire d’auto-évaluation et de répondre à un ensemble de questions déterminées par la CSSF. Le REA qui effectue les tests prévus selon le rapport séparé doit être le REA désigné par le PSF de support pour le contrôle légal des comptes, référencé dans la section 4.1 de la présente circulaire. La préparation d’un rapport séparé consiste en un ensemble de procédures définies par la CSSF à mettre en œuvre par le REA, réparties selon des thématiques prédéfinies. En application de l’article 49 du règlement CSSF N° 12-02, le rapport séparé couvre également le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT), en tenant notamment compte du niveau de risque « très faible » attribué au secteur des PSF de support en raison de la nature peu risquée de leurs activités. En fonction des activités d’un PSF de support, une procédure peut ne pas être applicable. Dans ce cas, le REA doit le mentionner explicitement dans son rapport séparé. Les procédures sont directement indiquées dans le rapport séparé. Elles consistent en des tests d’échantillons ou des vérifications à réaliser par le REA. Les tailles d’échantillon sont déterminées par la CSSF selon une approche basée sur les risques et doivent être détaillées dans le rapport séparé. À l’instar du nombre de questions posées au PSF de support dans le cadre du questionnaire d’autoévaluation, le nombre de procédures à réaliser par le REA est fonction de la catégorie de risque que la CSSF a attribuée au PSF de support. Ainsi, deux PSF de support possédant le même agrément et devant remplir les mêmes parties du questionnaire d’auto-évaluation pourront faire l’objet de rapports séparés comprenant un nombre de procédures spécifiques différent selon la catégorie de risque qui leur aura été attribuée. Un plan de rotation sera établi pour les tests à réaliser par le REA en fonction des activités et des catégories de risques des PSF de support, et l’attribution des procédures spécifiques en fonction des catégories de risques des PSF de support sera également directement intégrée sur la plateforme eDesk. Le REA d’un PSF de support agréé selon l’article 29-1 et/ou 29-2 de la LSF est tenu de réaliser chaque année les procédures spécifiques prévues pour les parties « Aspects opérationnels », « Aspects transversaux » et « Aspects LBC/FT ». Le REA d’un PSF de support agréé selon les articles 29-3, 29-5 et/ou 29-6 de la LSF est tenu de réaliser les procédures spécifiques conformément à un plan de rotation fixé par la CSSF. L’ensemble des procédures spécifiques du rapport séparé, leur allocation en fonction des différentes catégories de risque des PSF de support et le plan de rotation cité ci-dessus sont disponibles sur le site internet de la CSSF. En fonction des évolutions des exigences légales et réglementaires applicables aux PSF de support ainsi que des besoins de la surveillance prudentielle, les procédures qui devront être mises en œuvre par le REA ainsi que le plan de rotation des procédures spécifiques pourront faire l’objet d’adaptation au cours des années suivant les modifications qui seraient également faites au niveau du questionnaire d’auto-évaluation. Les résultats de ces procédures sont consignés par le REA dans le rapport séparé sous forme de réponses à un ensemble de questions ou de confirmations principalement de type fermé et ne donnent pas lieu à une opinion en application de normes d’audit, d’assurance ou de services connexes. Les commentaires apportés le cas échéant par le REA dans les champs libres de ce le rapport doivent être concis, clairs et répondre aux objectifs et aux questions posées. Le REA soumet le rapport auLe PSF de support qui doitpeut émettre des commentaires relatifs aux constatations CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 10/29 faites par le REA (il donne sa réponse (accord, désaccord), le cas échéant le plan d’action et la date de mise en œuvre) avant de transmettre le rapport via la plateforme eDesk.
Obligation de signalement par le REA à la CSSF Le REA a une obligation de signalement à la CSSF conformément à l’article 54, paragraphe 3, de la LSF. Un tel signalement doit concerner des effets négatifs non seulement à court terme (comme c’est le cas pour la certification des comptes annuels) mais également à moyen et long terme (objectif du contrôle prudentiel). Par conséquent, le REA doit communiquer à la CSSF les informations pertinentes du point de vue prudentiel et/ou susceptibles de requérir une action urgente de la CSSF, dont il aurait eu connaissance dans l’exercice du contrôle légal des comptes du PSF de support ou le cas échéant lors de toute autre mission légale ou réglementaire concernant le PSF de support. Les faits à prendre en considération sont, notamment, des éléments constituant une violation grave aux dispositions législatives, qui impactent la continuité du fonctionnement de l’établissement ou entraînent le refus de la certification des comptes ou l’émission de réserves y relatives. L’obligation légale de signaler « rapidement » à la CSSF les informations pertinentes n’exclut pas que le REA se concerte au préalable avec les responsables du PSF de support, à condition que ce dernier ne soit pas en conflit d’intérêt et que cette concertation ne retarde pas indûment la transmission des informations à la CSSF. Concernant les modalités de communication, il est entendu que : - les signalements du REA sont effectués spontanément, sous forme écrite ou orale ; en cas de problème majeur, il est recommandé qu’une communication orale soit suivie aussi rapidement que possible d’une confirmation écrite ; - la priorité devrait être donnée à la rapidité des signalements plutôt qu’à leur précision et exhaustivité dans un premier temps ; - dans les signalements à la CSSF, le REA doit informer explicitement des problèmes avérés ou potentiels constatés. Exemples de faits ou décisions relevant ou pouvant relever de l’obligation de signalement à la CSSF: - conflits majeurs au sein des organes de décision de l’établissement ; - départ imprévu d’un titulaire de fonctions clés ; - difficultés financières majeures dans une succursale ou filiale ; - déficiences graves dans le dispositif de contrôle interne ; - erreurs significatives dans le reporting prudentiel ; - octroi d’un dividende intérimaire alors que l’établissement dispose de fonds propres insuffisants ou à peine suffisants ; - incidents majeurs dans l’organisation ou dans l’infrastructure informatique ; - changement d’activité sans infrastructure adéquate ; - fraudes susceptibles d’entraîner des pertes importantes ; - litiges importants ; - évaluation inappropriée concernant un projet de fusion/scission d’entreprises. Pour rappel, l’article 54, paragraphe 4, de la LSF garantit que la divulgation de bonne foi à la CSSF par un REA de faits ou décisions visés au paragraphe 3 de cet article ne constitue pas une violation du secret professionnel, ni une violation d’une quelconque restriction à la divulgation d’informations imposée contractuellement et n’entraîne de responsabilité d’aucune sorte pour le REA. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 11/29
Instructions pour la préparation et la transmission des documents attendus 6.
Documents à transmettre et modalités de soumission L’ensemble des documents attendus sont à transmettre sous format électronique via la plateforme eDesk : • Le rapport descriptif ainsi que ses annexes ; • Les documents attendus dans le cadre de la clôture comptable (y inclus la lettre de recommandations du REA) ; • Le questionnaire d’auto-évaluation ; • Le rapport séparé. Le rapport descriptif et le questionnaire d’auto-évaluation doivent être approuvés et signés électroniquement par la direction autorisée avant transmission à la CSSF. Le rapport séparé et la lettre de recommandations du réviseur d’entreprises agréé doivent être signés électroniquement par l’associé en charge du mandat au sein du cabinet d’audit qu’il représente. Après signature, ces documents doivent être soumis par le PSF de support à la CSSF. L’ensemble des documents sont à transmettre au plus tard dans un délai de sept mois suivant la clôture de l’exercice social du PSF de support. Dès qu’il en a connaissance, le PSF de support informera la CSSF de tout retard annoncé en indiquant les raisons et la durée probable du retard. En cas de retrait / de radiation, au cours de l’année, du PSF de support de la liste officielle tenue par la CSSF, le questionnaire d’auto-évaluation et le rapport séparé couvrant la période depuis la dernière date de clôture jusqu’à la date de retrait / radiation sont, en principe, requis suivant le même délai de sept mois. Les délais de soumission, tels que repris ci-avant, pourront être revus par la CSSF pour les exercices subséquents.
La démarche disponible sur la plateforme eDesk précisera clairement les documents à déposer ; une liste exhaustive des documents requis sera par ailleurs publiée sur le site Iinternet de la CSSF. 6.
Le rapport descriptif et les documents attendus dans le cadre du rapport descriptif et de la clôture comptable Le rapport descriptif et les documents attendus dans le cadre du rapport descriptif, introduits en section 3.1 de la présente circulaire, ainsi que les documents attendus dans le cadre de la clôture comptable précisés à l’annexe 2 de cette circulaire7, doivent être transmis sous format électronique8, et dans le format d’origine du fichier mis à disposition par la CSSF pour certaines annexes (comme À l’exception des chiffres définitifs (préfixe CL-8 dans l’annexe 2) qui doivent être envoyés en utilisant les canaux de transmission habituels E-File ou SOFiE, au plus tard sept mois après la date de clôture de l’exercice social. 7 8 De préférence, dans une version permettant la sélection de texte CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 12/29 spécifié à l’annexe 2 de cette circulaire), au plus tard dans un délai de sept mois suivant la clôture de l’exercice social du PSF de support. Par ailleurs, tout document portant une signature manuscrite, et notamment la lettre d’accompagnement de ces documents, doit, en plus, être transmis sur support papier. À titre d’exemple, pour les rapports descriptifs, seules les pages signées doivent être transmises sur support papier. Pour chaque document reçu en version numérique, le nom du fichier doit comprendre le préfixe repris à l’annexe 2 de cette circulaire et en y ajoutant le numéro signalétique interne de la CSSF « Ixxx », ainsi que l’exercice concerné, au format « yyyy » ci-après. À titre d’exemple, le fichier contenant le rapport descriptif pour le PSF de support « I102 » pour l’exercice comptable clôturant au 31 décembre 2023 sera nommé « I102-2023-RD-0 ». D’autre part, le rapport descriptif doit être remis en deux versions : une version finale (sans annotations), et une version « suivi des modifications » présentant tous les changements par rapport à l’exercice précédent
Les documents seront transmis de manière sécurisée par dépôt auprès de la CSSF au moyen de son système MFT en ligne. Afin d’obtenir un identifiant permettant la connexion au système en ligne, le PSF de support renseignera à la CSSF par envoi à l’adresse email psfsupport@cssf.lu les informations suivantes : - Numéro signalétique attribué par la CSSF (de type « Ixxx ») - Nom de l’organisation - Nom et prénom de la personne de référence pour les envois - Adresse email de contact (seule une adresse email générique sera acceptée) - Téléphone de contact. Dès qu’il en a connaissance, le PSF de support informera la CSSF de tout retard annoncé en indiquant les raisons et la durée probable du retard. 6.
Le questionnaire d’auto-évaluation Avant la soumission du questionnaire d’auto-évaluation à la CSSF, les responsables du PSF de support sont tenus de procéder à une revue et une validation de son contenu. Le questionnaire d’auto-évaluation doit être transmis annuellement par les responsables du PSF de support à la CSSF au plus tard dans un délai de sept mois suivant la clôture de l’exercice social du PSF de support : - D’une part, via MFT dans le format d’origine du fichier mis à disposition par la CSSF ; - D’autre part, via MFT en format PDF comportant la signature numérique d’au moins deux responsables du PSF de support, ou le cas échéant, via courrier avec la signature manuscrite d’au moins deux responsables du PSF de support. Dès qu’il en a connaissance, le PSF de support informera la CSSF de tout retard annoncé en indiquant les raisons et la durée probable du retard. Version PDF du document équivalent à une impression reprenant les modifications et commentaires du mode « track changes ». 9 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 13/29 En cas de retrait / de radiation au cours de l’année du PSF de support de la liste officielle tenue par la CSSF, le questionnaire d’auto-évaluation couvrant la période depuis la dernière date de clôture jusqu’à la date de retrait / radiation est, en principe, requis suivant le même délai de sept mois. Les délais de soumission, tels que repris ci-avant, pourront être revus par la CSSF pour les exercices subséquents. 6.
La lettre de recommandations et le rapport séparé La lettre de recommandations (y inclus le tableau des recommandations) ou le cas échéant, l’attestation de non-émission d’une lettre de recommandations, et le rapport séparé doivent être transmis annuellement par les responsables du PSF de support à la CSSF au plus tard dans un délai de sept mois suivant la clôture de l’exercice social du PSF de support : - D’une part, via MFT dans le format d’origine du fichier mis à disposition par la CSSF ; - D’autre part, via MFT en format PDF comportant la signature numérique de l’associé chargé du mandat auprès du cabinet d’audit, ou le cas échéant, via courrier avec sa signature manuscrite. Dès qu’il en a connaissance, le PSF de support informera la CSSF de tout retard annoncé en indiquant les raisons et la durée probable du retard. En cas de retrait / de radiation au cours de l’année du PSF de support de la ou des listes officielles tenues par la CSSF, le rapport séparé couvrant la période depuis la dernière date de clôture jusqu’à la date de retrait / radiation est, en principe, requis suivant le même délai de sept mois. 6.
Modalités pratiques Les procédures et explications relatives aux modalités pratiques concernant la préparation et la transmission de l’ensemble des documents repris sous la section 6.
seront mises à la disposition des PSF de support et de leurs REA, sur le site Internet de la CSSF. Un guide utilisateur précisant les modalités de création de compte et d’authentification sur la plateforme eDesk est également mis à disposition sur la page d’accueil eDesk. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 14/29
Entrée en vigueur Les instructions de la présente circulaire sont à observer dans leur ensemble pour les exercices comptables clôturant au 31 décembre 20253 (premier exercice d’application) ou après le 31 décembre
Ainsi, toutes les clôtures à partir de cette date sont sous le champ d’application de cette circulaire. La présente circulaire abroge les circulaires CSSF 12/544 et 19/727 . CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 15/29 Annexe 1 : Structure du rapport descriptif
Evénements significatifs Le PSF de support indique le cas échéant les événements significatifs qui ont eu lieu au cours de l’exercice sous revue et susceptibles d’impacter sa situation. Il s’agit par exemple de décisions stratégiques, de réorganisations importantes, du lancement ou de l’arrêt d’une activité, d’opérations de fusion/acquisition ou de collaboration/partenariat. Les évènements significatifs pouvant faire apparaître des risques pour les clients professionnels financiers du PSF de support doivent être pris en compte dans le système de gestion des risques mentionné au point 2.5.
Lorsqu’il n’y a pas eu d’événements significatifs au cours de l’exercice sous revue, le PSF de support mentionnera ce fait expressément.
Organisation et administration Le PSF de support fournira sous ce point une vue d’ensemble de sa structure opérationnelle, décisionnelle et de gouvernance. 2.
Direction en charge de la gestion journalière Le PSF de support fournit une description des attributions de la direction en charge de la gestion journalière et le périmètre des pouvoirs nécessaires au bon accomplissement de sa mission que le conseil d’administration (ou conseil de gérance) lui aura délégué. Il précise notamment s’il y a lieu : - les limites éventuelles imposées par le conseil d’administration (ou conseil de gérance) aux décisions locales du PSF de support dans le contexte d’un groupe ; les décisions du conseil d’administration (ou conseil de gérance) imposées localement au PSF de support et qui peuvent aller à l’encontre de la réglementation luxembourgeoise. 2.
Administration centrale Le PSF de support fournit une brève description de l’organisation de son administration centrale. 2.
Organisation administrative Le PSF de support fournit une brève description de son organisation administrative. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 16/29 En cas de recours à un outsourcing de services administratifs, le PSF de support doit également en faire une brève description et précise la surveillance mise en place au niveau du PSF pour encadrer les services qui font l’objet d’un outsourcing. 2.
Fonction comptable Le PSF de support doit donner une brève description du fonctionnement de sa fonction comptable. En cas de recours à un outsourcing de la fonction comptable, le PSF de support doit également en faire une brève description et précise la surveillance mise en place au niveau du PSF pour encadrer les services qui font l’objet d’un outsourcing. 2.
Contrôle interne Le PSF de support fournit une description de la manière dont son système de contrôle interne est organisé. 2.5.
Procédures internes Le PSF de support indique sous ce point l’existence d’un manuel de procédures couvrant l’ensemble des activités opérées au sein de la société et qui peuvent avoir un impact direct ou indirect sur les clients professionnels du secteur financier. Le PSF de support mentionne également si, conformément à ses obligations : - - il a bien mis en place un programme de formation de ses employés notamment au respect de la confidentialité des données des clients professionnels du secteur financier et à la prévention du blanchiment et du financement du terrorisme ; les contrats employés incluent bien une clause de confidentialité ainsi qu’une mention des poursuites pénales encourues en cas de violation du secret professionnel
2.5.
Système de gestion des risques Le PSF de support indique les rôles et responsabilités des différentes parties prenantes (acteurs) à son système de gestion des risques
Le PSF de support indique notamment : - 10 Le membre de la direction responsable de la gestion des risques ; Si la charge de la gestion des risques est confiée à une ou des personne(s) en interne. Ces personnes doivent jouir, d’un point de vue hiérarchique, de l’indépendance nécessaire pour pouvoir assumer leur responsabilité de façon adéquate ; . Tel qu’en dispose l’article 41, paragraphe

(1)de la LSF. Système de gestion des risques mis en place conformément aux exigences de la section 5 de la circulaire IML 98/143 relative au contrôle interne et de la circulaire CSSF 20/750 relative aux exigences en matière de gestion des risques liés aux technologies de l’information et de la communication et à la sécurité. 11 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 17/29 - Si la charge de la gestion des risques est confiée à un externe expert en matière de gestion des risques qui est alors à nommer. 2.5.

Comité d’audit Dans l’hypothèse où le PSF de support dispose d’un comité d’audit 12 qui lui est propre (un éventuel comité d’audit au niveau groupe n’est pas concerné ici), il décrit la composition, les modalités de fonctionnement, la fréquence et l’ordre du jour des réunions de ce comité. 2.5.
Audit interne Le PSF de support fournit une description de la fonction d’audit interne (in-house, soutien de la maison-mère, recours à un expert externe ou recours à des tiers professionnels auquel cas il y a lieu de décrire la coordination avec le responsable du suivi des travaux). 2.
Systèmes informatiques à usage interne 2.6.
Tableau de synthèse Le PSF de support fournit les informations attendues dans le tableau de synthèse mis à disposition par la CSSF pour les fonctions comptables et « Client Relationship Management ». 2.6.
Architecture réseau et connexions externes Le PSF de support fournit une description et/ou un schéma de l’architecture réseau du PSF de support comportant les éléments principaux de sécurité (DMZ, firewalls, IDS, routers, proxy, etc.). Au cas où il ne serait pas possible ou utile de différencier l’architecture réseau nécessaire au fonctionnement interne du PSF de celle nécessaire aux activités prestées auprès du secteur financier, il peut être renvoyé au point 3.3.
Le PSF de support liste les connexions utiles au fonctionnement interne vers ou depuis l’extérieur (y compris avec son groupe le cas échéant), en précisant le contrôle qu’il exerce sur ces accès (Active Directory séparé, ouverture/fermeture des lignes de communication, logs, etc.) et les mesures de redondance de ces connexions.
Activités prestées auprès du secteur financier 3.
Description des activités prestées Le PSF de support fournit une description précise du type et du volume de ses activités. Il faudra d’une part faire la distinction entre les activités prestées auprès du secteur financier, du secteur des Conformément au point 6 de la circulaire IML 98/143 et à l’article 74 de la loi du 18 décembre 2009 relative à la profession de l’audit. 12 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 18/29 assurances et les autres activités et d’autre part distinguer entre les activités qui requièrent un agrément en tant que PSF de support et celles qui ne le requièrent pas. Le PSF de support précise également le cas échéant le mode de prestation des services. A titre d’exemple : - - pour un agent administratif : services de type « Business Process Outsourcing » délivrés sur le site du PSF de support et sur son propre système informatique mutualisé ; pour un opérateur de systèmes informatiques et de réseaux de communications : mise à disposition et gestion d’une « Infrastructure as a Service » localisée dans ses locaux en mode dédié ou partagé, ou gestion du réseau sur le site du client ; pour un agent de communication à la clientèle : impression et mise sous pli de courriers à destination des clients du client professionnel financier, sur ses propres systèmes et dans ses propres locaux. Lorsqu’il y a eu un changement de la nature des activités, l’abandon d’une activité ou le lancement d’activités nouvelles ou encore lorsqu’il y a eu des événements exceptionnels ou significatifs au cours de l’exercice sous revue, il en sera rapporté au point
« Evénements significatifs ». Le PSF de support fournit également une liste nominative de ses clients des secteurs financiers luxembourgeois ou étrangers pour lesquels il preste des services nécessitant un agrément PSF, précisant en outre pour chacun d’eux : - le secteur d’activité concerné (financier/assurances) ; le pays de résidence (Luxembourg/étranger) ; la nature de la prestation (activités principales prestées) ; la localisation de la prestation ; et si elle est offerte via une communication à distance ou sur site. 3.
Partenariats / sous-traitance en cascade Le PSF de support indiquera l’existence éventuelle de partenariat ou de sous-traitance en cascade (avec des sociétés externes ou au sein du groupe) pour la prestation des activités au secteur financier et en précisera la nature (expertise, mise à disposition de profils, prestation requérant l’agrément). Il précisera également : a. les effectifs (en nombre d’ETP) alloués à la prestation de services au secteur financier (effectif dédié) ; b. les effectifs (en nombre d’ETP) de sous-contractants éventuels utilisés sur une base permanente par le PSF de support dans la prestation de services au secteur financier. 3.
Systèmes informatiques à usage externe13 13 Référencés dans le questionnaire d’auto-évaluation comme « IT systems related to client activities ». CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 19/29 3.3.
Tableau de synthèse Le PSF de support fournit les informations attendues dans le tableau de synthèse mis à disposition par la CSSF pour les systèmes informatiques à usage externe. Sont à considérer comme systèmes informatiques à usage externe :
les systèmes qui supportent partiellement ou exclusivement les activités prestées pour les clients professionnels du secteur financier du PSF de support, indépendamment de leur appartenance au client ou au PSF ou de leur localisation,
et pour lesquels le PSF de support a la responsabilité du bon fonctionnement vis-à-vis du client. Ces deux conditions sont cumulatives pour déterminer si un système est qualifié de système à usage externe. Le terme « système » peut ici se limiter à un logiciel si la prestation porte uniquement sur un logiciel. A titre d’exemple, un agent administratif qui offre des services de comptabilité de fonds à des professionnels du secteur financier sur son propre système comptable en ses locaux – système qu’il utilisait déjà auparavant et qu’il continue à utiliser pour sa propre activité – pourrait de prime abord considérer ce système comptable comme un système interne. Cependant, ce système est bien à considérer comme un système externe, puisqu’il supporte aussi une activité prestée auprès du secteur financier, que l’agent administratif est responsable de son bon fonctionnement et qu’il a le pouvoir de décider du système supportant la prestation. De même, un agent administratif qui offre des services de comptabilité de fonds à des professionnels du secteur financier sur son propre système comptable, mais qui sous-traite lui-même la gestion de son système à un tiers, doit considérer ce système comme concerné par cette section. En effet, indépendamment du recours à cette sous-traitance, l’agent administratif garde la responsabilité du fonctionnement du système vis-à-vis de ses clients et conserve éventuellement un pouvoir de décision quant au choix du système supportant la prestation. 3.3.
Schéma fonctionnel des flux Les principaux liens (interfaces) qui existent entre les fonctions et, par conséquent, les systèmes renseignés conformément au point 3.3.1 seront décrits par le PSF de support dans un schéma fonctionnel des flux. Lorsque toutes les fonctions sont intégrées au sein d’un logiciel unique fonctionnant sur un seul matériel (p. ex. : cas d’un progiciel bancaire), il n’est pas nécessaire de détailler les flux internes, mais uniquement les flux entrants et sortants du système. 3.3.
Architecture réseau et connexions externes Le PSF de support fournit une description et/ou un schéma de son architecture réseau comportant les éléments principaux de sécurité (DMZ, firewalls, IDS, routers, etc.). Il liste les connexions utiles au fonctionnement des activités prestées auprès du secteur financier vers ou depuis l’extérieur (y compris avec son groupe le cas échéant), en précisant le contrôle qu’il CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 20/29 exerce sur ces accès. Il fournit notamment une description brève des mécanismes de sécurité mis en place, tant au niveau physique (firewall, routeurs, etc.), qu’au niveau logique (détecteurs d’intrusions, anti-virus, authentification des clients, confidentialité des communications, intégrité et non-répudiation des transactions, etc.) et organisationnel (suivi des journaux/log, configuration des équipements de sécurité, génération des clés ou certificats d’authentification des clients, monitoring des systèmes, etc.). 3.3.
Plan de continuité et de recouvrement (BCP/DRP) Le PSF de support fournit une description du plan de continuité qu’il a établi en cas de sinistre de ses propres locaux, respectivement en cas d’impossibilité d’accéder à ses propres locaux (solution groupe, firme spécialisée, tests réguliers, mesures de sécurité, …). Il décrit également les grandes lignes du plan d’urgence en place qui doit lui permettre de fonctionner normalement en cas de panne de son système informatique, y compris pour ce qui est des connexions externes (recours à plusieurs fournisseurs de lignes de communication, redondance des lignes). Lorsque les informations demandées ci-dessus ont déjà été renseignées dans le questionnaire d'auto-évaluation, le PSF devra uniquement indiquer les sections correspondantes.
Relations avec les entreprises liées Le PSF de support s’engage à ce que les transactions intragroupes s’effectuent à des conditions de marché (« at arm’s length »). Sont à décrire et à commenter notamment : - le type d’opérations intragroupes effectuées ; les garanties émises en faveur/reçues de la part d’entreprises liées ; les prix facturés pour services rendus et obtenus ; etc. Toutes les transactions qui ne sont pas effectuées aux conditions de marché doivent être rapportées et détaillées.
Succursales à l’étranger Le PSF de support fournit pour chaque succursale : - un organigramme ; une description des activités ; une description des procédures de contrôle interne ; les déficiences graves que l’audit interne a relevées le cas échéant auprès de la succursale ; une description de l’organisation administrative et comptable ; une indication sur l’existence de procédures relatives au respect des règles de conduite et à la prévention du blanchiment et du financement du terrorisme ; des explications sur l’intégration comptable de la succursale. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 21/29
Filiales à l’étranger Le PSF de support devra fournir annuellement le rapport annuel ou, à défaut les comptes annuels des filiales ou participations majoritaires. CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 22/29 Annexe 2 : Récapitulatif des documents attendus Remarque : le tableau ci-après reprend volontairement le format et les préfixes du tableau introduit dans la circulaire CSSF 19/
Afin de faciliter la préparation des documents attendus, les modifications par rapport aux descriptions de la circulaire CSSF 19/727 sont indiquées en rouge. Par ailleurs, certains documents attendus dans la circulaire CSSF 19/727 (exemple : préfixe RD-6), ont été supprimés. Documents attendus dans le cadre du rapport descriptif Le rapport descriptif. Préfixe RD-0 Pour rappel : - Il doit être signé par les membres de la gestion journalière ; - Il doit être envoyé en deux versions (finale et « suivi des modifications »). Un exemplaire du rapport sur les comptes annuels et des comptes annuels de l’actionnaire majoritaire direct (ainsi que de son rapport de gestion lorsque ce dernier point est applicable). L’organigramme interne du personnel indiquant les lignes hiérarchiques et fonctionnelles ainsi que les effectifs par service. L'organigramme interne doit en outre indiquer : - - 14 RD-1 RD-2 le nom des administrateurs et, le cas échéant, l'identification du président du conseil d'administration ; le nom des directeurs autorisés et leur position hiérarchique au sein de l'entité ; tous les services et divisions, y compris les fonctions externalisées à des entités du groupe ou à des tiers, ainsi que les fonctions de contrôle telles que l'audit interne ou externe (et le comité d'audit le cas échéant), et les fonctions de support (informatique interne, comptabilité, etc.) ; pour chaque fonction externalisée, le nom de la personne responsable de la fonction (par exemple, le nom de la société qui effectue l'audit interne) et le nom du ou des directeurs autorisés chargés de la supervision de la fonction ; une distinction des fonctions externalisées par l'utilisation d'un code couleur différent ; pour chaque fonction non externalisée, le nombre d'employés ainsi que le nom du ou des directeurs autorisés chargés de la supervision de la fonction ; une distinction des lignes hiérarchiques et fonctionnelles par l'utilisation d'un code couleur différent ; la date de la dernière révision du document. Abrogée par la présente circulaire CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 23/29 L’organigramme récent du groupe indiquant le positionnement de votre société au sein du groupe et les liens capitalistiques. RD-3 Le rapport écrit de la direction sur l’état du contrôle interne. RD-4 Le rapport de synthèse sur les contrôles effectués par l’audit interne au cours de l’exercice écoulé. RD-5 En complément du rapport de synthèse sur les contrôles effectués par l’audit interne au cours de l’exercice écoulé (RD-5), le tableau des recommandations de l’audit interne dans le format imposé par la CSSF, en excluant les recommandations pour lesquelles le niveau de risque correspond au niveau le plus faible de l’échelle. RD-5.1 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 24/29 Documents attendus dans le cadre du rapport descriptif Préfixe Le plan pluriannuel d’audit interne entériné par la direction et/ou le conseil d’administration (alternativement, votre confirmation que celui-ci n'a pas été modifié depuis l'exercice précédent). RD-7 La charte d’audit interne (alternativement, votre confirmation que celle-ci n'a pas été modifiée depuis l'exercice précédent). RD-8 Un tableau concernant les personnes désignées comme responsables de certaines fonctions en vertu des circulaires de la CSSF. RD-9 Ce tableau devra inclure le « Responsable du Contrôle » et le « Responsable du Respect » selon le Règlement CSSF N° 20-
Le tableau de synthèse des systèmes informatiques à usage interne, dans le format imposé par la CSSF. RD-11 Une description et/ou un schéma de l’architecture réseau de votre société (pour les connexions internes et externes). RD-12 La liste des connexions utiles au fonctionnement interne vers ou depuis l’extérieur. RD-13 La liste nominative des clients des secteurs financiers luxembourgeois ou étrangers pour lesquels vous prestez des services nécessitant un agrément PSF. RD-14 La copie d’un contrat client portant sur des prestations de service nécessitant un agrément PSF, et ce pour chaque agrément PSF différent dont vous disposez. RD-15 Le tableau de synthèse des systèmes informatiques à usage externe, dans le format imposé par la CSSF. RD-16 La liste des connexions utiles au fonctionnement des activités prestées auprès du secteur financier vers ou depuis l’extérieur. RD-17 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 25/29 Le schéma fonctionnel des flux (alternativement, votre confirmation que celui-ci n'a pas été modifié depuis l'exercice précédent). RD-18 Le rapport annuel ou à défaut, les comptes annuels de vos filiales ou participations majoritaires. RD-19 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 26/29 Documents attendus dans le cadre de la clôture comptable Préfixe Le rapport du réviseur d’entreprises agréé ainsi que les comptes annuels audités. CL -1 Le procès-verbal et la liste de présence de l’assemblée générale ordinaire des actionnaires approuvant les comptes annuels audités. CL -2 Le rapport de gestion du conseil d’administration pour l’exercice en question (si applicable). CL -3 Les chiffres définitifs de votre société à la date de la clôture comptable (pour rappel : à envoyer en utilisant les canaux de transmission habituels E-File ou SOFiE). CL-8 Le questionnaire d’auto-évaluation dans le format d’origine du fichier mis à disposition par la CSSF. CL-9 Le questionnaire d’auto-évaluation en format PDF comportant la signature numérique d’au moins deux responsables du PSF de support, ou le cas échéant, via courrier avec la signature manuscrite d’au moins deux responsables du PSF de support. CL-10 La lettre de recommandations dans le format d’origine du fichier mis à disposition par la CSSF, avec les commentaires du PSF de support relatifs aux constatations faites par le REA dans les colonnes prévues à cet effet. CL-11 La lettre de recommandations en format PDF comportant la signature numérique de l’associé chargé du mandat auprès du cabinet d’audit, ou le cas échéant, via courrier avec sa signature manuscrite. CL-12 Le rapport séparé dans le format d’origine du fichier mis à disposition par la CSSF, avec les éventuels commentaires du PSF de support relatifs aux constatations faites par le REA dans les colonnes prévues à cet effet. CL-13 Le rapport séparé en format PDF comportant la signature numérique de l’associé chargé du mandat auprès du cabinet d’audit, ou le cas échéant, via courrier avec sa signature manuscrite. CL-14 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 27/29 CIRCULAIRE CSSF 24/850 telle que modifiée par la circulaire CSSF 25/903 28/29

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.