Circulaire CSSF 21/788 : le rapport externe LBC/FT, qui le dépose et quand

Qui doit déposer le rapport externe 21/788, et qui en est exempté

Le rapport externe 21/788 concerne les GFI luxembourgeois et les fonds autogérés surveillés par la CSSF. Les fonds ayant désigné un GFI, établi au Luxembourg ou à l'étranger, en sont exemptés (section 1.2 de la circulaire). Les GFI luxembourgeois comprennent les sociétés de gestion d'OPCVM, les AIFM agréés et les AIFM enregistrés.

Un fonds doté d'une société de gestion doit-il déposer un rapport 21/788 ?

Non : un fonds ayant désigné un GFI, établi au Luxembourg ou à l'étranger, est exempté par la section 1.2 de la circulaire 21/788. Le GFI luxembourgeois entre, lui, dans le périmètre de la circulaire. L'exemption ne supprime pas les travaux du réviseur : pour les fonds exemptés, le réviseur doit tout de même effectuer des travaux LBC/FT selon l'article 49(1) du règlement CSSF 12-02, et les déficiences significatives sont signalées dans les lettres de recommandations.

Pour le SRRC, le fonds à GFI étranger se trouve dans une autre situation : il dépose lui-même son SRRC (et non son GFI étranger), mais n'a pas de rapport externe 21/788 à déposer. Notre guide du SRRC traite de ce dépôt.

FIAR et autres FIA surveillés par l'AED

Un FIAR est surveillé par l'AED en matière LBC/FT même si son AIFM est agréé par la CSSF : l'AIFM relève de la CSSF, le FIAR de l'AED. Le FIAR est donc hors du périmètre de la circulaire 21/788, alors que son AIFM luxembourgeois y entre en tant que GFI. La répartition entre la CSSF et l'AED est expliquée dans CSSF ou AED : qui surveille votre fonds.

Qui établit le rapport : le réviseur d'entreprises agréé

L'entité tenue de désigner un réviseur d'entreprises agréé (REA) pour l'audit de ses comptes annuels désigne ce même REA pour établir le rapport externe. Une entité sans cette obligation légale doit mandater un REA à cette fin. Nous recommandons aux AIFM enregistrés de vérifier tôt dans quel cas ils se trouvent. Le REA répond à des questions en principe fermées, qui ne donnent pas lieu à une opinion selon les normes d'audit, d'assurance ou de procédures convenues. La taille des échantillons est fixée par la CSSF selon une approche par les risques.

À notre avis, le rapport tient donc davantage de réponses structurées assorties de résultats de tests que de conclusions d'audit rédigées. Lorsque le même cabinet audite les comptes, nous recommandons de caler les travaux LBC/FT et leur calendrier dès la planification de l'audit.

Ce que contient le rapport externe LBC/FT 21/788

Le rapport comporte une section de corroboration des réponses de l'entité au questionnaire annuel en ligne de la CSSF et une section de tests par échantillonnage ou de travaux spécifiques. Le REA et l'entité peuvent commenter les résultats.

• Section de corroboration : le REA corrobore les réponses de l'entité au questionnaire annuel en ligne de la CSSF.
• Tests par échantillonnage ou travaux spécifiques : le REA réalise des tests ou des travaux spécifiques, la taille des échantillons étant fixée par la CSSF selon une approche par les risques.
• Commentaires : le REA et l'entité peuvent tous deux commenter les résultats.
• Lettres de recommandations : les déficiences significatives y sont signalées, y compris pour les fonds exemptés.

Nous recommandons que le RC inscrive chaque point soulevé dans le rapport ou dans la lettre de recommandations au registre des constats, avec son responsable, son action et sa date cible. Pour les entités qui déposent un SRRC, le registre des constats du modèle SRRC cite la lettre de recommandations du réviseur parmi ses sources, et les constats antérieurs gardent leur code de suivi.

La section de corroboration et les modèles AMLA

Dans notre pratique, le rapport externe 21/788 a été déposé en 2026 (exercices 2025) pour les AIFM enregistrés que nous suivons. La CSSF ayant remplacé cette année-là son questionnaire « Financial Crime » par les modèles AMLA, la section de corroboration des réponses n'a pas été réalisée.

Le contexte est celui de la collecte annuelle LBC/FT de la CSSF. Pour sa campagne 2026 (année 2025), la CSSF a remplacé son questionnaire annuel « Financial Crime » par les modèles de collecte de l'AMLA (lettre circulaire du 12 février 2026), déposés sur eDesk par le RC ou le RR. Or la section de corroboration prévue par la circulaire porte sur les réponses de l'entité au questionnaire annuel en ligne de la CSSF. La collecte elle-même est traitée dans notre guide de la collecte annuelle LBC/FT de la CSSF.

Une question ouverte pour les prochains rapports

La question de savoir si les réviseurs devront corroborer les réponses aux modèles AMLA les années suivantes reste ouverte. Nous la présentons comme sujet de discussion entre RC, réviseurs et conseils. À notre avis, si les modèles AMLA deviennent l'exercice annuel de la CSSF, celle-ci pourrait demander aux réviseurs de corroborer ces réponses.

Rien n'était publié sur ce point au 4 octobre 2026. Nous ne faisons pas de pronostic. D'ici là, nous recommandons les précautions suivantes :

• Conserver les justificatifs de chaque réponse aux modèles AMLA comme si le réviseur pouvait les tester.
• Demander au REA, dès la réunion de planification de l'audit, quelles sections le prochain rapport devrait couvrir.
• Suivre les publications de la CSSF avant chaque saison de dépôt, et ajuster le planning dès que la CSSF se prononce.

Échéance et dépôt sur eDesk : le calendrier par date de clôture

Le délai de dépôt du rapport externe est de six mois suivant la clôture, exclusivement via eDesk. La circulaire 21/788 s'applique aux exercices clos à partir du 31 décembre 2021. Pour les rapports dus en 2027 et début 2028, la règle des six mois donne les dates suivantes.

Nous recommandons d'inscrire la date de chaque entité au calendrier de reporting dès le début de son exercice.

Le rapport externe n'est pas le SRRC, à déposer dans les cinq mois suivant la clôture des comptes annuels. Ce n'est pas non plus la collecte annuelle de la CSSF, dont les dates changent chaque année : celles de l'année de référence 2026 n'étaient pas publiées à la date de revue de ce guide.

Le rôle du RC : documents, commentaires et dépôt sur eDesk

Selon la circulaire, le rapport est déposé exclusivement via eDesk, par le RC, le RR ou un membre du conseil, sous la responsabilité du conseil : le RC peut donc le déposer de plein droit. Le RR se situe au niveau de la direction autorisée ou du conseil d'administration. En plus de la règle de la circulaire, notre pratique interne consiste à garder toute communication avec les autorités sous la responsabilité du RR, qui peut mandater le RC pour l'envoyer.

Nous recommandons que le RC prépare, avant le début des travaux, le dossier documentaire : procédures LBC/FT, dernière évaluation des risques, liste des dossiers de vigilance, suivi des délégataires et registre des constats. Nous recommandons aussi que le RC rédige les commentaires de l'entité sur les résultats et les fasse relire par le RR avant le dépôt. Lorsque le RR mandate le RC selon notre règle interne, nous recommandons de conserver ce mandat par écrit au dossier. La circulaire elle-même ne subordonne pas le dépôt par le RC à un mandat.

Que se passe-t-il en cas de non-dépôt ?

La CSSF a déjà sanctionné le non-dépôt. Par décision de la CSSF du 17 janvier 2024, publiée le 14 juin 2024, un AIFM a reçu une amende de 10 000 EUR pour non-dépôt du rapport externe 21/788 de l'exercice clos le 31 décembre 2022. Le même jour, la CSSF a infligé un blâme à trois autres AIFM ; cette décision figure dans les sources ci-dessous. Nous ne nommons pas l'entité sanctionnée par l'amende. Les autres décisions de la CSSF et de l'AED sur les dépôts LBC/FT sont présentées dans notre panorama des sanctions LBC/FT visant les fonds.

Comment RC Insight aide

Avec RC Insight, le plan de contrôle conserve chaque test avec ses preuves et suit les constats jusqu'à leur clôture. La piste d'audit enregistre chaque action avec son auteur et sa date : vous montrez au conseil ou au réviseur qui a fait quoi, et quand. Les questionnaires destinés à l'agent de transfert et aux autres délégataires partent par lien sécurisé, et les alertes et le calendrier du RC réunissent les dates de reporting de chaque entité dans la même vue. Voir notre page logiciel du responsable du contrôle.

Pour préparer la prochaine saison, téléchargez le playbook gratuit :

FAQ

Qu'est-ce que le rapport externe LBC/FT 21/788 ?

C'est le rapport LBC/FT annuel établi par le réviseur d'entreprises agréé selon la circulaire CSSF 21/788 du 17 décembre 2021, déposé via eDesk dans les six mois suivant la clôture. Il comporte une section de corroboration des réponses de l'entité au questionnaire annuel en ligne de la CSSF et une section de tests par échantillonnage ou de travaux spécifiques.

Un fonds doté d'une société de gestion doit-il déposer un rapport 21/788 ?

Non. Les fonds ayant désigné un GFI, établi au Luxembourg ou à l'étranger, sont exemptés par la section 1.2 de la circulaire 21/788. Leur réviseur doit tout de même effectuer des travaux LBC/FT selon l'article 49(1) du règlement CSSF 12-02, et les déficiences significatives sont signalées dans les lettres de recommandations. Le GFI luxembourgeois, lui, entre dans le périmètre.

Qui établit le rapport externe 21/788 ?

L'entité tenue de faire auditer ses comptes annuels désigne ce même réviseur d'entreprises agréé ; une entité sans cette obligation légale doit mandater un REA à cette fin. Le REA répond à des questions en principe fermées, qui ne donnent pas lieu à une opinion selon les normes d'audit, d'assurance ou de procédures convenues.

Quand le rapport 21/788 est-il dû ?

Le rapport est à déposer dans les six mois suivant la clôture, via eDesk. Pour des clôtures au 31/12/2026, 31/03/2027, 30/06/2027 et 30/09/2027, les échéances tombent au 30/06/2027, 30/09/2027, 30/12/2027 et 30/03/2028. La circulaire s'applique aux exercices clos à partir du 31 décembre 2021. Le SRRC, lui, est à déposer dans les cinq mois suivant la clôture des comptes annuels.

Qui dépose le rapport sur eDesk ?

Le rapport est déposé exclusivement via eDesk, par le RC, le RR ou un membre du conseil, sous la responsabilité du conseil ; le RC peut le déposer de plein droit. En plus de cette règle, notre pratique interne consiste à garder toute communication avec les autorités sous la responsabilité du RR, qui peut mandater le RC pour l'envoyer.

Le rapport a-t-il été déposé après le remplacement du questionnaire par les modèles AMLA ?

Dans notre pratique, oui : il a été déposé en 2026 (exercices 2025) pour les AIFM enregistrés que nous suivons. La CSSF ayant remplacé cette année-là son questionnaire « Financial Crime » par les modèles AMLA, la section de corroboration n'a pas été réalisée. Que les réviseurs doivent ou non corroborer à l'avenir les réponses aux modèles AMLA reste une question ouverte.

Que se passe-t-il en cas de non-dépôt ?

La CSSF a sanctionné le non-dépôt. Par décision du 17 janvier 2024, publiée le 14 juin 2024, elle a infligé une amende de 10 000 EUR à un AIFM pour non-dépôt du rapport 21/788 de l'exercice clos le 31 décembre 2022, et un blâme à trois autres AIFM. La circulaire place le dépôt sous la responsabilité du conseil.

Sources

• Circulaire CSSF 21/788 (17 décembre 2021), sections 1.1 à 1.6 : https://www.cssf.lu/wp-content/uploads/cssf21_788eng.pdf
• Règlement CSSF n° 12-02 (article 49(1)) : https://www.cssf.lu/wp-content/uploads/RCSSF_No12-02eng.pdf
• Lettre circulaire CSSF du 12 février 2026 (modèles de collecte de l'AMLA) : https://www.cssf.lu/wp-content/uploads/circular_letter_120226_AML_CFT.pdf
• Lettre circulaire CSSF du 16 mars 2026 (échéances 2026) : https://www.cssf.lu/wp-content/uploads/circular_letter_170326_AML_CFT.pdf
• Circulaire CSSF 24/854 (SRRC) : https://www.cssf.lu/wp-content/uploads/cssf24_854eng.pdf
• Décision de la CSSF du 17 janvier 2024, publiée le 14 juin 2024 (blâmes à trois AIFM) : https://www.cssf.lu/wp-content/uploads/S_67_GFI_X_2024.01.17_en.pdf
• AED, surveillance LBC/FT des FIAR : https://pfi.public.lu/fr/blanchiment/sf/fiar.html