La circulaire CSSF 18/698 compte 102 pages et 621 points numérotés. Voici les questions auxquelles elle répond le plus souvent pour ceux qui l'appliquent, chacune avec le point à vérifier dans le texte. Chaque réponse vient de la circulaire elle-même (CSSF 18/698). Pour la fonction de compliance lue dans son ensemble, voir notre guide de ce que la 18/698 demande à la deuxième ligne.
1. Qu'est-ce que la circulaire CSSF 18/698 ?
C'est la circulaire de la CSSF du 23 août 2018 relative à l'agrément et à l'organisation des gestionnaires de fonds d'investissement de droit luxembourgeois, avec des dispositions spécifiques en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme. Elle remplace la circulaire 12/546, et les circulaires 04/155 et IML 98/143 ne sont plus applicables aux GFI (lettre d'accompagnement). Le texte français prévaut sur la traduction anglaise.
2. À qui s'applique-t-elle ?
Aux sociétés de gestion luxembourgeoises du chapitre 15 de la Loi 2010, aux sociétés de gestion des articles 125-1 et 125-2 du chapitre 16, aux succursales luxembourgeoises de GFI du chapitre 17, aux sociétés d'investissement autogérées (SIAG), aux GFIA agréés selon le chapitre 2 de la Loi 2013 et aux FIA gérés de manière interne (FIAAG). Les GFI du chapitre 18 de la Loi 2010 sont hors champ (lettre d'accompagnement).
3. Combien d'administrateurs et de dirigeants faut-il ?
Au moins trois membres du conseil d'administration (l'« organe de direction/organe directeur » de la circulaire, point 59) et au moins deux dirigeants (point 78). Les dirigeants sont en principe présents en permanence au Luxembourg, et au moins deux sont salariés du GFI et y consacrent un temps plein (points 79 et 80). Sous 1,5 milliard d'euros d'actifs gérés, un dirigeant peut exercer au plus deux mandats de dirigeant de GFI ; au-delà, les deux dirigeants légalement requis ne peuvent en exercer aucun autre (points 81 et 82).
4. Combien de personnes le GFI doit-il employer au Luxembourg ?
Au moins trois personnes à temps plein au siège luxembourgeois, dédiées à des fonctions clés, et davantage selon la nature et la complexité de l'activité (point 123). Une délégation d'une ampleur telle que le GFI deviendrait une « boîte aux lettres » contrevient aux conditions de son agrément (points 413 et 414).
5. À quelle fréquence le conseil et le comité de direction se réunissent-ils ?
Le conseil se réunit au moins une fois par trimestre, avec un ordre du jour et des procès-verbaux écrits (points 74 et 75). Les dirigeants forment un comité de direction qui se réunit au Luxembourg au moins une fois par mois, lui aussi avec des procès-verbaux (points 90, 100 et 101). L'analyse de la Management Information y est présentée et discutée (point 345).
6. Que doit faire la fonction de compliance ?
Anticiper, détecter et évaluer les risques de compliance du GFI et aider les instances dirigeantes à les maîtriser, en continu (point 227). Concrètement : une charte de compliance approuvée par le conseil (points 229 à 232), un relevé des règles applicables, un classement des risques de compliance qui fonde un plan de contrôle en fonction du risque, une évaluation avant toute nouvelle activité ou nouveau produit (point 233), des contrôles réguliers (point 235), la centralisation des problèmes de compliance (point 236) et la formation du personnel (point 239).
7. La fonction de compliance peut-elle être externalisée ?
Seulement par dérogation. Un GFI dont l'agrément se limite à la gestion d'OPC peut demander à la CSSF, par une demande écrite préalable et justifiée, de déléguer l'exécution de la fonction à un expert externe (points 248 et 253). Un GFI qui fournit aussi les services de l'article 101(3) de la Loi 2010 ou de l'article 5(4) de la Loi 2013, comme la gestion discrétionnaire, ne le peut en principe pas (point 249). Dans tous les cas, le GFI garde parmi ses employés un Compliance Officer chargé de suivre l'expert, communiqué au préalable à la CSSF (point 254).
8. Peut-on cumuler compliance, gestion des risques et audit interne ?
La compliance et la gestion des risques peuvent être cumulées (point 201). La compliance et l'audit interne ne peuvent pas être assurés par la même personne (point 169), pas plus que la gestion des risques et l'audit interne (point 201). Le dirigeant en charge de l'audit interne ne peut pas être aussi Compliance Officer, RC en matière de LBC/FT ou responsable de la fonction de gestion des risques (point 97).
9. Que faut-il envoyer chaque année à la CSSF ?
Dans les cinq mois suivant la clôture de l'exercice :
- le rapport de synthèse de la fonction de compliance (point 258) ;
- le rapport de la fonction de gestion des risques sur l'adéquation et l'efficacité de la gestion des risques (point 212) ;
- le rapport de synthèse de l'audit interne (point 301) ;
- la liste de tous les délégataires (point 425) ;
- le tableau à jour des mandats des administrateurs et des dirigeants (point 107) ;
- pour les sociétés de gestion du chapitre 15 et les GFIA du chapitre 2 de la Loi 2013, une mise à jour de la procédure de gestion des risques (point 217).
10. Que contient le rapport de synthèse de la compliance ?
La CSSF recommande au minimum : l'organisation de la fonction et ses moyens, les travaux de l'exercice dont la veille réglementaire, le plan de contrôle (« Compliance Monitoring Plan ») fondé sur les risques avec les activités contrôlées, le risque évalué pour chacune et un agenda pluriannuel, ainsi que les principales recommandations et déficiences encore ouvertes, notamment en matière de LBC/FT et de suivi des délégataires (point 259). Le point 260 cite d'autres domaines, comme les erreurs de VNI, les non-respects des restrictions d'investissement, les réclamations et le whistleblowing. Le rapport est approuvé par le conseil (point 257).
11. Un GFI peut-il déléguer la gestion de portefeuille, et que doit-il garder ?
Oui, dans certaines limites. La CSSF est notifiée au préalable de toute délégation de la gestion de portefeuille, de la gestion des risques, de l'administration d'OPC ou de l'évaluation (point 424), et chaque délégataire fait l'objet d'une due diligence initiale écrite préalable (point 441). Certaines tâches restent au GFI, dont le choix des délégataires et « le suivi et le contrôle des fonctions déléguées » (point 417). Le suivi des activités déléguées ne peut en aucun cas être délégué (point 451). Notre article sur ce que la CSSF a constaté en 2025 sur le suivi des délégataires détaille ce point.
12. La 18/698 couvre-t-elle la LBC/FT ?
Oui, dans la sous-partie 5.4. Chaque GFI est soumis à la loi relative à la lutte contre le blanchiment et contre le financement du terrorisme, au règlement CSSF 12-02 et aux circulaires de la CSSF en la matière (point 305). Il désigne un responsable du respect des obligations professionnelles au niveau des instances dirigeantes et un responsable du contrôle du respect des obligations professionnelles (RC), tous deux présents en permanence au Luxembourg et communiqués à la CSSF (points 313 à 315).
Où se place Klavius
La plupart de ces réponses débouchent sur un document : une charte, un plan de contrôle, un rapport, un dossier de due diligence. Klavius garde ceux de la compliance et de la délégation dans un même dossier. Il prépare l'évaluation des risques de compliance et le plan de contrôle à partir des documents fournis par le Compliance Officer, chaque recommandation sourcée, et gère les questionnaires de due diligence, les relances et les escalades pour les délégataires. Vos responsables valident et signent. Voir la page Compliance et la page Delegate Oversight.
Sources
- CSSF, Circulaire CSSF 18/698 relative à l'agrément et à l'organisation des gestionnaires de fonds d'investissement de droit luxembourgeois, 23 août 2018. Page de publication.