SRRC (circulaire CSSF 24/854) : préparer le rapport de synthèse du RC pas à pas

Le SRRC en un coup d'œil

Le SRRC est une remontée annuelle sur eDesk, établie au niveau de l'entité, construite autour des données clés dont la CSSF a besoin pour sa surveillance LBC/FT du secteur des OPC, dans le cadre de sa stratégie de surveillance fondée sur les données. Le tableau reprend les règles de la circulaire 24/854, de la FAQ SRRC de la CSSF (version 3 du 7 octobre 2024) et du guide utilisateur SRRC (version 1.0 du 29 février 2024).

Deux confusions reviennent souvent. Le SRRC est un rapport de synthèse, distinct de la collecte annuelle de données « criminalité financière » de la CSSF. Et il n'a pas de date fixe : l'échéance suit la clôture de chaque entité.

Qui doit déposer un SRRC, et qui en est dispensé

Toute entité entrant dans le périmètre de la circulaire 24/854 dépose un SRRC. Périmètre SRRC : tous les GFI luxembourgeois (y compris les AIFM enregistrés), les succursales luxembourgeoises de GFI étrangers et les fonds surveillés par la CSSF sans GFI luxembourgeois déposant pour eux (fonds autogérés, fonds à GFI étranger, ELTIF).

Le guide utilisateur traduit ce périmètre en trois types d'entité à sélectionner dans le modèle : GFI désigné, fonds autogéré et fonds géré par un GFI étranger. Les succursales luxembourgeoises de GFI étrangers entrent dans le périmètre de la circulaire, mais le guide ne dit pas quel type elles sélectionnent : vérifiez-le auprès de la CSSF avant de commencer le formulaire.

Les exclusions utiles en pratique

La circulaire (section 2), sur le fondement de l'article 42, paragraphe 7, du règlement CSSF 12-02, dispense les fonds luxembourgeois ayant désigné une société de gestion luxembourgeoise qui dépose ce rapport. La FAQ SRRC apporte quatre précisions :

• GFI étranger et GFI luxembourgeois prestataire d'administration d'OPC (FAQ 1C) : un fonds surveillé par la CSSF ayant désigné un GFI non luxembourgeois, mais aussi un GFI luxembourgeois fournissant des services d'administration d'OPC (UCIA), peut être considéré comme exempté.
• Changement de GFI avant le dépôt (FAQ 1E) : si le fonds, géré par un GFI étranger à la clôture, est géré par un GFI luxembourgeois à la date de dépôt, aucun SRRC n'est requis pour le fonds.
• Retrait de la liste officielle (FAQ 1F) : une entité qui n'est plus surveillée par la CSSF à la date de dépôt attendue n'a plus à déposer.
• ELTIF (FAQ 1D) : les ELTIF entrent dans le périmètre.

Fonds doté d'une ManCo : un seul rapport, au niveau du GFI

Un fonds géré par un GFI luxembourgeois ne dépose pas son propre SRRC : le GFI dépose un rapport unique et donne une évaluation globale du risque inhérent et résiduel pour l'ensemble des fonds qu'il gère. Le RC du fonds n'est pas pour autant dispensé : l'article 42, paragraphe 6, du règlement CSSF 12-02 lui impose un rapport de synthèse au moins annuel sur ses activités, remis au RR, à la direction autorisée et au conseil. La CSSF ne l'attend pas automatiquement mais peut le demander (FAQ 2A).

FIAR et FIA non réglementés : l'AED, pas la CSSF

Les FIAR ne déposent pas de SRRC. Surveillés par l'AED en matière LBC/FT, ils lui transmettent un rapport annuel du RC et un questionnaire ; voir notre guide sur le rapport du RC à l'AED pour les FIAR.

CSSF ou AED ? La CSSF surveille en matière LBC/FT tous les GFI luxembourgeois (sociétés de gestion OPCVM, AIFM agréés et enregistrés) et les fonds réglementés : OPCVM, OPC Partie II, FIS, SICAR et ELTIF. Un FIAR est surveillé par l'AED en matière LBC/FT même si son AIFM est agréé par la CSSF : l'AIFM relève de la CSSF, le FIAR de l'AED. Deux entités, deux autorités, deux jeux d'obligations. Un AIFM qui gère des FIS et des FIAR dépose donc un SRRC auprès de la CSSF, tandis que chaque FIAR répond séparément à l'AED. La logique complète est détaillée dans surveillance CSSF ou AED.

Délai SRRC : cinq mois après la clôture, exemples

Délai SRRC : dans les cinq mois suivant la clôture des comptes annuels, dépôt exclusivement via eDesk. Ce n'est pas une date fixe (31 mai uniquement pour une clôture au 31 décembre). Le rapport peut être modifié et redéposé jusqu'à l'échéance ; seul le dernier dépôt pour une clôture donnée est pris en compte, et aucune modification n'est possible une fois les cinq mois écoulés (guide utilisateur).

Les jalons J-120 et J-30 relèvent de la pratique recommandée par RC Insight, pas d'une échéance légale ; si un jalon tombe un week-end ou un jour férié, retenez le jour ouvré suivant. Avec plusieurs mandats et plusieurs clôtures, ajoutez les rapports externes 21/788 (six mois) et les échéances AED des FIAR (31 mai, date confirmée chaque année par l'AED) : un calendrier unique reste le seul contrôle fiable.

Le contenu du modèle SRRC, section par section

Le modèle SRRC compte 15 sections. Dans l'ordre du guide utilisateur de la CSSF : General Information, Risk Assessment, Investment Fund Managers, Funds, Investors, AML/CFT Blocked Investors, Third-party Distributors, Third-party Initiators, External Portfolio Managers, Intermediaries, Third-party Investment Advisors, PEPs, Assets, Branches/Subsidiaries et AML/CFT Findings.

Le modèle est conditionnel. La section General Information demande, pour chaque population, si vous êtes responsable des vigilances, combien de relations vous avez, si les vigilances sont externalisées, et si vous avez réalisé les vigilances et la surveillance des contrôles externalisés. Chaque « oui » ouvre une section détaillée. Les descriptions ci-dessous proviennent du guide utilisateur de la CSSF (sections 3 et 4, annexes I et II) ; les intitulés du modèle sont en anglais.

General Information

Cette section définit votre profil et conditionne le reste du rapport : type d'entité ; vigilance sur votre GFI (pour un fonds géré par un GFI étranger) ; fonds servis (initiés ou non par vous ou votre groupe, nombre, externalisation, vigilance et surveillance) ; investisseurs ; distributeurs tiers ; initiateurs tiers ; gérants de portefeuille externes ; conseillers en investissement tiers ; intermédiaires (« nominees ») ; PPE ; actifs ; succursales et filiales. Elle se termine par la confirmation du conseil décrite plus bas.

Trois règles de comptage de la CSSF expliquent la plupart des erreurs :

• Un investisseur se compte comme détenteur de compte. Sept positions, ou des positions dans plusieurs fonds, comptent pour un seul investisseur : on compte le nombre de dossiers KYC.
• « Tiers » signifie hors groupe. Les distributeurs, initiateurs et conseillers en investissement du groupe ne sont pas des tiers. Exception : le nombre de gérants de portefeuille externes inclut les entités du groupe.
• Les PPE se comptent à la fin de la période de référence, au niveau du détenteur de compte : l'investisseur compte si lui-même, son bénéficiaire effectif ou son représentant est une PPE.

Un fonds qui déclare en son nom propre indique 0 comme nombre de fonds servis.

Risk Assessment

Cette section remplace l'évaluation annuelle des risques transmise auparavant à la CSSF. Elle porte sur votre appétence au risque BC/FT, le risque inhérent et le risque résiduel globaux des fonds servis, et les éventuels déclencheurs ayant modifié le risque inhérent dans la période. La CSSF utilise une échelle à quatre niveaux : faible, moyen-faible, moyen-élevé, élevé. Si vous utilisez une échelle à trois niveaux, déclarez votre niveau moyen comme moyen-élevé. Les déclencheurs possibles : services aux fonds, géographie, licence, investisseurs, actifs, type de fonds, volume d'actifs, modèle d'affaires, autres (texte libre).

L'évaluation annuelle des risques BC/FT n'est plus à joindre au SRRC, mais elle doit toujours être réalisée et documentée. Le SRRC n'en reprend que les conclusions.

Les sections par population

Chaque section suit la même trame : un test par échantillonnage a-t-il été réalisé dans la période ; si oui, quelle taille d'échantillon ; si non, à quand remonte le dernier (jamais, un, deux, trois ou plus de trois ans) ; dans la plupart des sections, quelle fréquence de revue des dossiers à risque résiduel élevé (annuelle ou moins, tous les deux ans, tous les trois ans ou plus) ; et vos travaux ont-ils produit des constats LBC/FT. La CSSF définit le test par échantillonnage comme une revue documentaire (pièces KYC, preuves de filtrage) et permet de compter dans l'échantillon tous les dossiers de vigilance LBC/FT réalisés ou revus pendant la période (FAQ 2E).

Pour les investisseurs bloqués, la CSSF admet la reprise des statistiques calculées auparavant pour le point 318, lettre f), de la circulaire 18/698. Si un plan de remédiation est impossible (investisseurs décédés, par exemple), expliquez-le en commentaire.

AML/CFT Findings

Cette section est le registre des constats LBC/FT de l'année. Vous y déclarez tous les constats des périodes antérieures encore ouverts pendant la période couverte, et tous les constats relevés pendant celle-ci, qu'ils soient ouverts ou clos (FAQ 2D). Sources : le RC, l'audit interne (rapports au conseil), le réviseur d'entreprises agréé (lettre de recommandations) et la CSSF (courriers adressés à l'entité). Pour chaque constat :

Conservez les codes de suivi d'une année sur l'autre. Par le canal S3, un renvoi à un constat antérieur introuvable est rejeté (code de validation SRRC013).

Confirmation du conseil

La section General Information se termine par la confirmation que les constats du rapport ont été présentés au conseil d'administration, au conseil de gérance ou à l'organe équivalent, qui en a pris connaissance. La prise de connaissance porte sur les constats du rapport de l'année et doit intervenir avant le dépôt : ne cochez la case que si le procès-verbal ou la résolution circulaire le prouve.

Préparer le SRRC : rétroplanning sur 120 jours

Comptez environ quatre mois lorsque les preuves sont chez les délégataires. La procédure ci-dessous part de l'échéance (J = date limite du SRRC) ; c'est celle que nous appliquons sur nos mandats.

1. J-120 : confirmer le périmètre et l'accès eDesk. Vérifiez le type d'entité au regard de la circulaire 24/854 et des FAQ 1A à 1F. Identifiez le déposant (utilisateur eDesk doté du rôle AML/CFT Responsible, dirigeant ou administrateur), contrôlez la validité LuxTrust et choisissez entre formulaire en ligne et dépôt S3.
2. J-110 : figer le périmètre de données à la clôture. Obtenez de l'agent de transfert ou du teneur de registre un extrait à la clôture : détenteurs de comptes dédoublonnés, nominees, PPE au niveau du détenteur, répartition par niveau de risque, comptes bloqués. Listez les fonds servis et chaque distributeur, initiateur, gérant externe et conseiller, en distinguant groupe et tiers.
3. J-100 : établir qui fait quoi. Pour chaque population, documentez si la vigilance est internalisée ou externalisée, et la surveillance exercée sur les contrôles externalisés. C'est ce qui ouvre les sections et ce que vous devrez justifier.
4. J-90 : mettre à jour l'évaluation des risques BC/FT. Confirmez l'appétence au risque, le risque inhérent et résiduel global sur l'échelle à quatre niveaux et les déclencheurs de l'année. Faites documenter et approuver l'évaluation sous-jacente.
5. J-75 : clôturer les tests par échantillonnage. Consolidez, par population, les dossiers revus, la taille d'échantillon, la date du dernier test, la fréquence de revue des dossiers à risque résiduel élevé et les résultats.
6. J-60 : constituer le registre des constats. Réunissez les constats du RC, les rapports d'audit interne, la lettre de recommandations du réviseur et les courriers CSSF. Reportez les constats ouverts avec leur code de suivi et renseignez origine, gravité, section, mesures et statut.
7. J-45 : rédiger le rapport interne du RC. Préparez les travaux complémentaires que le conseil et le RR peuvent exiger en plus du SRRC, sur les éléments absents du SRRC : déclarations d'opérations suspectes à la CRF, refus d'entrée en relation, formation. Ces données restent internes et ne sont pas transmises à la CSSF (FAQ 2B).
8. J-30 : présenter au RR et au conseil. Présentez les constats et les données du SRRC ; faites acter la prise de connaissance des constats de l'année, que la case de confirmation exige avant le dépôt.
9. J-14 : saisir et valider sur eDesk. Saisissez les données ou déposez le ZIP, lancez la validation et corrigez les erreurs. Sur S3, attendez le fichier de retour avant tout nouvel envoi pour la même entité.
10. J-7 : déposer et archiver. Déposez, vérifiez le statut « SUBMITTED », exportez le PDF et classez-le avec le dossier de preuves. Redéposez avant l'échéance si une correction s'impose.

RC et RR : qui fait quoi sur le SRRC

Le RC prépare le SRRC ; le RR le soumet et en reste responsable, même en cas de délégation technique du dépôt. Le conseil confirme avoir pris connaissance des constats.

La délégation du dépôt technique est admise au profit d'un utilisateur eDesk rattaché à l'entité et doté du rôle « AML/CFT responsible », à condition d'être documentée par écrit et tenue à la disposition de la CSSF (FAQ 3A). Lorsque le RC est un tiers externe, formalisez-la par exemple dans la lettre de mission du RC ou une résolution du conseil. Le RR reste responsable en dernier ressort.

Erreurs fréquentes et attentes de la CSSF

La CSSF a construit le SRRC autour de quelques questions de surveillance : connaissez-vous vos populations, contrôlez-vous ce que vous avez externalisé, testez-vous, corrigez-vous ce que vous trouvez. La plupart des erreurs que nous relevons viennent de réponses données sans les preuves correspondantes.

• Compter les positions au lieu des détenteurs de comptes. Un investisseur compte une seule fois, tous fonds confondus.
• Compter des entités du groupe comme tiers. Seuls les distributeurs, initiateurs et conseillers en investissement hors groupe comptent ; les gérants de portefeuille externes incluent les entités du groupe.
• Répondre « oui » à la surveillance sans dossier de surveillance. Recevoir les KPI de l'agent de transfert n'est pas surveiller. Conservez vos notes de revue, résultats d'échantillons et escalades.
• Un registre des constats incomplet. Oublier la lettre de recommandations du réviseur, les points d'audit interne ou les constats encore ouverts de l'an dernier.
• Rompre la chaîne de suivi. Ressaisir un ancien constat comme nouveau au lieu de reprendre son code.
• Des réponses incohérentes sur le risque. Un risque résiduel supérieur à l'appétence déclarée, sans constat ni plan d'action, appelle des questions.
• Cocher la case du conseil avant la réunion. Inscrivez le SRRC à l'ordre du jour du conseil qui arrête les comptes.
• Déposer en fin de fenêtre. Renouvellement LuxTrust, attribution des rôles, fichiers de retour S3 : tout prend du temps.
• Envoyer en plus un rapport du RC par courriel. La CSSF indique ne pas attendre de rapport supplémentaire par d'autres canaux de la part des entités dans le périmètre (FAQ 2B).

Veillez à la cohérence des chiffres du SRRC avec la collecte annuelle de la CSSF et avec le rapport externe 21/788 : les trois portent sur la même entité et le même exercice.

SRRC, rapport 21/788, collecte de données et évaluation des risques

Le SRRC n'est qu'un des livrables LBC/FT annuels, chacun avec son auteur, son destinataire et son échéance.

Circulaire CSSF 21/788 (17 décembre 2021) : rapport externe LBC/FT annuel établi par le réviseur d'entreprises agréé, à déposer dans les six mois suivant la clôture via eDesk. Les fonds ayant désigné un GFI, établi au Luxembourg ou à l'étranger, en sont exemptés (section 1.2).

Collecte annuelle CSSF « criminalité financière » : pour 2025, les GFI luxembourgeois et les fonds sans GFI luxembourgeois (autogérés ou à GFI étranger) ont complété les modèles de collecte AMLA sur eDesk (ouverts le 2 mars 2026). Échéances : 22 avril 2026 (échantillon AMLA) et 22 mai 2026 (autres). Les dates changent chaque année : vérifier la lettre circulaire CSSF.

Comment RC Insight vous aide

RC Insight est un logiciel conçu pour le RC. Il consolide les preuves de l'année sur l'ensemble de vos mandats (KPI de l'agent de transfert, filtrage, notations de risque, tests par échantillonnage, surveillance des délégataires, registre des constats avec codes de suivi pérennes) et les transforme en un rapport du RC prêt pour le conseil, aligné sur le modèle SRRC. Chaque réponse renvoie à sa preuve, et le calendrier suit chaque clôture et chaque échéance SRRC, 21/788 et AED de vos fonds.

Demander une démo pour voir un SRRC préparé à partir d'une année de travail du RC.

FAQ

Qu'est-ce que le SRRC ?

Le SRRC (AML/CFT Summary Report RC) est le modèle annuel obligatoire de la CSSF pour le rapport de synthèse du responsable du contrôle dans le secteur des OPC, régi par la circulaire 24/854 du 29 février 2024. Déposé sur eDesk, il couvre les populations, l'externalisation, les tests, l'évaluation des risques et les constats LBC/FT.

Quel est le délai de dépôt du SRRC ?

Le SRRC est dû dans les cinq mois suivant la clôture des comptes annuels. Ce n'est pas une date fixe : le 31 mai ne vaut que pour une clôture au 31 décembre, le 30 novembre pour une clôture au 30 juin. Le rapport peut être corrigé et redéposé jusqu'à l'échéance, jamais après.

Qui dépose le SRRC ?

Le RC prépare le SRRC et le RR le dépose via eDesk. Le RR peut déléguer le dépôt technique à un autre utilisateur eDesk habilité, mais il en reste responsable en dernier ressort. La circulaire 24/854 n'admet aucun autre canal que la plateforme eDesk de la CSSF.

Un fonds doté d'une ManCo dépose-t-il son propre SRRC ?

Non. Un fonds luxembourgeois ayant désigné une société de gestion luxembourgeoise qui dépose le rapport est exclu de la circulaire 24/854 ; le GFI dépose un SRRC unique pour les fonds qu'il gère. Le RC du fonds doit néanmoins établir le rapport de synthèse interne prévu à l'article 42(6) du règlement CSSF 12-02.

Faut-il joindre l'évaluation des risques au SRRC ?

Non. La FAQ de la CSSF confirme que l'évaluation annuelle des risques LBC/FT n'est plus transmise, son contenu étant intégré à la section Risk Assessment du SRRC. L'évaluation doit néanmoins être réalisée, documentée et approuvée chaque année : ses conclusions déterminent les réponses du SRRC sur l'appétence et le risque.

Le SRRC s'applique-t-il aux FIAR ?

Non. Les FIAR sont surveillés par l'AED en matière LBC/FT, même lorsque leur AIFM est agréé par la CSSF. Ils déposent le questionnaire LBC/FT annuel et un rapport du RC signé au plus tard le 31 mai. L'AIFM luxembourgeois dépose, lui, son propre SRRC auprès de la CSSF.

Que se passe-t-il en cas de retard ?

Manquer l'échéance du SRRC constitue un manquement à l'obligation de dépôt de la circulaire 24/854, et le rapport ne peut plus être modifié sur eDesk une fois les cinq mois écoulés. À titre d'illustration sur d'autres dépôts LBC/FT, la CSSF a infligé une amende de 10 000 EUR à neuf AIFM pour non-dépôt du questionnaire LBC/FT 2024.

Sources

• Circulaire CSSF 24/854 (29 février 2024) : https://www.cssf.lu/wp-content/uploads/cssf24_854eng.pdf
• FAQ CSSF sur le SRRC, version 3 du 7 octobre 2024 : https://www.cssf.lu/wp-content/uploads/FAQ-on-the-AML-CFT-summary-report-RC-SRRC.pdf
• Guide utilisateur CSSF du SRRC, version 1.0 du 29 février 2024 : https://www.cssf.lu/wp-content/uploads/User-Guide-AML-CFT-Summary-Report-RC.pdf
• Règlement CSSF n° 12-02 (articles 40 et 42) : https://www.cssf.lu/wp-content/uploads/RCSSF_No12-02eng.pdf
• Circulaire CSSF 21/788 : https://www.cssf.lu/wp-content/uploads/cssf21_788eng.pdf
• AED, rapport du RC des FIAR : https://pfi.public.lu/fr/blanchiment/sf/fiar/rcreport.html
• AED, surveillance LBC/FT des FIAR : https://pfi.public.lu/fr/blanchiment/sf/fiar.html