Le paquet anti-blanchiment de l'UE en 2026-2027 : AMLR, 6e directive et la nouvelle AMLA — sous l'angle Luxembourg/CSSF

La réforme anti-blanchiment de l'Union européenne est la réécriture la plus lourde de conséquences de l'architecture AML du bloc depuis une génération. Trois instruments — le règlement anti-blanchiment directement applicable (AMLR), la sixième directive anti-blanchiment (AMLD6) et le règlement instituant une autorité unique de lutte contre le blanchiment (AMLA) dont le siège est à Francfort — remplacent une mosaïque de directives transposées nationalement par un corpus de règles unique et, pour la première fois, par un superviseur européen doté de pouvoirs directs. Pour les Chief Compliance Officers des banques, des gérants de fortune indépendants (GFI) et des fintechs tournés vers l'UE, la question pratique n'est plus de savoir si leurs obligations changent, mais comment être prêts avant l'arrivée des échéances d'application progressive entre 2027 et 2028.

Cet article est un guide de préparation avec une focale Luxembourg/CSSF — la juridiction où une large part de l'activité transfrontalière de fonds et de banque privée de l'UE est administrée, et où de nombreuses institutions suisses maintiennent une présence. Il cadre aussi la réalité transfrontalière des institutions suisses qui feront tourner le régime suisse révisé (la loi sur le blanchiment, ou LBA ; l'ordonnance de la FINMA, ou OBA-FINMA ; et la loi sur la transparence LTPM) aux côtés du régime européen.

1. Le paquet en un coup d'œil : AMLR, AMLD6 et l'autorité AMLA

La réforme se comprend au mieux comme trois instruments qui remplissent trois fonctions distinctes. Les confondre est la source de confusion la plus fréquente, car ils diffèrent par leur nature juridique, par la manière dont ils atteignent un intermédiaire assujetti, et par le calendrier auquel ils mordent.

Le règlement anti-blanchiment (AMLR) est directement applicable. C'est un corpus de règles unique qui harmonise les obligations de fond — diligence à l'égard de la clientèle (CDD), diligence renforcée (EDD), identification des bénéficiaires effectifs, traitement des personnes politiquement exposées et plafond à l'échelle de l'UE sur les paiements en espèces importants — de sorte que les mêmes règles s'appliquent dans chaque État membre sans transposition nationale. C'est l'instrument qui modifiera le plus le travail quotidien de conformité.

La sixième directive anti-blanchiment (AMLD6) est transposée en droit national. Elle régit la tuyauterie institutionnelle : registres des bénéficiaires effectifs, cellules de renseignement financier (CRF), pouvoirs des superviseurs nationaux et règles d'accès et de coopération entre eux. Étant une directive, ses détails varieront encore quelque peu d'un État membre à l'autre.

L'autorité AMLA, instituée par son propre règlement et dont le siège est à Francfort, est la nouveauté structurelle. Elle combine une surveillance directe d'un nombre limité d'« entités assujetties sélectionnées » à haut risque et transfrontalières avec une surveillance indirecte des superviseurs nationaux et des CRF de toute l'Union. Pour la première fois, un organe européen examinera certains groupes lui-même plutôt que de laisser la surveillance entièrement aux autorités nationales.

Le séquençage compte. L'AMLR devient applicable dans l'UE en 2027, l'AMLA monte en puissance pour commencer la surveillance directe de la première cohorte d'entités sélectionnées à partir de 2028, et l'AMLD6 est transposée nationalement sur une voie parallèle. La fenêtre pour se préparer, c'est maintenant — pas à l'arrivée de la première lettre d'examen.

2. Ce que change opérationnellement l'harmonisation de la CDD, de l'EDD et du bénéficiaire effectif

La promesse de l'AMLR est la convergence : moins de fragmentation, moins de dérogations nationales, une seule interprétation. Pour une fonction conformité, la convergence coupe des deux côtés. La bonne nouvelle est qu'un groupe opérant dans plusieurs États membres peut, en principe, appliquer un seul standard de CDD au lieu d'en réconcilier une douzaine. La nouvelle inconfortable est que l'harmonisation nivelle plutôt par le haut : le corpus unique fixe un plancher exigeant, et un dossier qui satisfaisait auparavant une lecture nationale plus légère peut désormais être insuffisant.

Diligence et diligence renforcée

L'AMLR énonce des attentes harmonisées pour identifier et vérifier le client, comprendre l'objet et la nature envisagée de la relation, et exercer une surveillance continue. Les déclencheurs de diligence renforcée — pays tiers à haut risque, relations de correspondance, certaines structures opaques ou de forte valeur, et personnes politiquement exposées — sont définis au niveau de l'UE plutôt que laissés à la guidance de chaque superviseur. La conséquence opérationnelle est que l'EDD ne peut plus être une surcouche locale discrétionnaire ; elle devient une étape documentée, fondée sur des règles, qu'un examinateur de tout État membre s'attend à voir appliquée de manière cohérente.

Bénéficiaire effectif : une définition, appliquée à la personne physique ultime

Le bénéficiaire effectif est le point où l'harmonisation a le tranchant opérationnel le plus net. L'AMLR ancre une définition commune bâtie autour d'un seuil de détention de 25 % et de tests fondés sur le contrôle, et impose aux institutions de remonter à travers les structures en couches jusqu'à la personne physique qui possède ou contrôle en dernier ressort le client — quel que soit le nombre de sociétés holdings, de fonds ou de véhicules intermédiaires dans la chaîne. C'est la même direction que la réforme suisse, et pour la même raison : s'arrêter à la première couche corporative n'est plus défendable.

Pour une banque ou un GFI qui onboarde une société détenue via deux ou trois véhicules répartis sur plusieurs juridictions, c'est exactement le travail qui fait céder le modèle manuel. Reconstituer une chaîne de détention à la main — demander des extraits de registre, les traduire, cartographier les participations et revérifier à chaque revue — est le type de tâche qui prend 2 à 4 heures par dossier et allonge l'onboarding complexe vers quatre à six semaines. Le faire de façon cohérente, en volume, face à un standard unique de l'UE est un problème de données avant d'être un problème juridique, raison pour laquelle automatiser la vérification des bénéficiaires effectifs est désormais une attente de surveillance et non un simple gain d'efficacité.

3. Le modèle de surveillance de l'AMLA et les « entités assujetties sélectionnées »

L'AMLA ne remplace pas les superviseurs nationaux ; c'est une nouvelle couche au-dessus et à côté d'eux, avec deux modes distincts.

La surveillance directe s'applique à un petit groupe d'entités assujetties sélectionnées — les établissements de crédit et financiers qui opèrent dans plusieurs États membres et remplissent des critères de risque définis. Pour cette cohorte, l'AMLA conduit les examens via des équipes de surveillance conjointes issues de l'AMLA et des autorités nationales concernées. Le nombre d'entités directement supervisées est délibérément limité au départ, mais ces entités sont précisément les grands groupes transfrontaliers pour lesquels le Luxembourg est un hub courant.

La surveillance indirecte couvre tous les autres. Ici, l'AMLA fixe des standards, publie des orientations, coordonne les superviseurs nationaux et intervient là où une autorité nationale est défaillante. L'effet pratique est la convergence : même une institution qui ne sera jamais directement supervisée par l'AMLA sera examinée par un superviseur national appliquant des attentes alignées sur l'AMLA. Il n'y a pas d'exemption de fond au motif d'« être trop petit pour l'AMLA ».

Pour les Chief Compliance Officers, la lecture stratégique est simple. Que votre groupe figure ou non sur la liste sélectionnée, vous devriez supposer que vous serez évalués au regard du standard harmonisé, avec la même exigence qui a déjà remodelé la surveillance suisse : les examinateurs veulent la preuve que les contrôles fonctionnent, et non simplement qu'ils existent. Un outil de screening activé, une politique de revue rédigée, une check-list d'onboarding signée — aucun de ces éléments, à lui seul, ne répond à la question que pose la surveillance à l'ère de l'AMLA : le contrôle a-t-il produit le bon résultat, au bon moment, sur ce dossier précis ?

4. L'angle Luxembourg/CSSF

Le Luxembourg concentre plusieurs des caractéristiques que vise précisément la réforme de l'UE : c'est une place de domiciliation de fonds d'investissement de premier plan, un centre de banque privée transfrontalière, et le domicile d'une large population d'administrateurs de fonds, de sociétés de gestion et de gérants de fortune servant des clients dans toute l'Union et au-delà. Cette combinaison — portée transfrontalière et structures de détention complexes — est ce qui rend la juridiction centrale dans la manière dont le paquet se fera sentir en pratique.

La CSSF comme superviseur

La Commission de Surveillance du Secteur Financier (CSSF) supervise la conformité LBC/FT de l'essentiel du secteur financier luxembourgeois, via ses règlements, circulaires et reportings AML/CFT périodiques. Sous la nouvelle architecture, la CSSF demeure le superviseur national et l'interlocuteur quotidien de la plupart des entités, tout en travaillant dans le cadre de convergence de l'AMLA et, pour les entités sélectionnées basées ou fortement actives au Luxembourg, aux côtés de l'AMLA au sein d'équipes de surveillance conjointes. En pratique, les groupes établis au Luxembourg doivent s'attendre à ce que les attentes de la CSSF et les standards de l'AMLA avancent au même pas.

Le registre des bénéficiaires effectifs (RBE)

Le Registre des Bénéficiaires Effectifs (RBE) luxembourgeois, tenu par le Luxembourg Business Registers, oblige déjà les entités à déclarer leurs bénéficiaires effectifs. Sous l'AMLD6, les registres des bénéficiaires effectifs de toute l'Union sont renforcés et mieux interconnectés. Pour une fonction conformité, cela relève la barre au lieu de l'abaisser : le registre est une seconde source de vérité à laquelle votre propre conclusion KYC doit être rapprochée. Une discordance entre ce que montre le RBE et ce que conclut votre dossier est une divergence que vous êtes censé détecter, résoudre et documenter — pas une affaire interne. Les institutions qui s'en sortent le mieux sont celles capables de reconstituer une chaîne de détention, de la comparer au RBE et de documenter la comparaison en quelques minutes plutôt qu'en jours.

L'activité transfrontalière comme facteur de sélection

Parce que les entités luxembourgeoises passeportent si souvent leurs services dans l'UE et gèrent des structures détenues à l'international, elles sont des candidates naturelles à l'empreinte multi-États qui alimente les critères d'entité sélectionnée de l'AMLA. Une banque privée ou une plateforme de fonds luxembourgeoise à clientèle réellement paneuropéenne devrait modéliser dès maintenant si elle pourrait relever de la surveillance directe, et préparer ses dossiers à un standard qui survivrait à un examen conduit par l'AMLA.

5. Suisse ↔ UE : faire tourner deux régimes sans dupliquer le travail

Pour les institutions suisses ayant une activité tournée vers l'UE — et pour les groupes présents à la fois en Suisse et au Luxembourg — la réforme crée une réalité à deux régimes. La Suisse n'est pas dans l'UE et n'appliquera pas l'AMLR, mais elle resserre ses propres règles sur un calendrier parallèle : la LBA et l'OBA-FINMA révisées, et la loi sur la transparence LTPM introduisant un registre fédéral des bénéficiaires effectifs à partir du 1er octobre 2026 (détaillée dans notre guide des changements AML suisses pour 2026). La tentation est de construire deux piles de conformité. La meilleure réponse est d'en construire une et de la mapper sur deux régimes.

Le dénominateur commun est frappant. Les deux régimes veulent la personne physique ultime identifiée à travers chaque couche, tous deux veulent cette conclusion rapprochée d'un registre, tous deux veulent une diligence documentée fondée sur les risques, et tous deux veulent des preuves produites sur demande plutôt que reconstituées pour un audit. Une institution qui bâtit son KYC autour de ces propriétés partagées satisfait l'essentiel des deux régimes à partir d'un seul modèle de données — et ne traite en exceptions que les différences réellement spécifiques à une juridiction, au lieu de maintenir deux opérations parallèles. La duplication est le mode d'échec coûteux ici, et il est évitable.

6. Une check-list de préparation pour 2027-2028

Ce qui suit est une check-list pratique pour combler l'écart avant l'arrivée des échéances progressives. Elle s'applique que votre centre de gravité soit une banque suisse, une plateforme de fonds luxembourgeoise, un GFI ou une fintech.

Cartographiez votre empreinte. Établissez dans quels États membres vous opérez et si votre activité transfrontalière pourrait vous faire entrer dans les critères d'entité sélectionnée de l'AMLA. Même dans le cas contraire, supposez que vous serez évalués au regard du standard harmonisé.

Menez une analyse d'écart face au plancher le plus élevé. Comparez vos procédures actuelles de CDD, d'EDD et de bénéficiaire effectif aux attentes harmonisées de l'AMLR, en traitant la lecture la plus exigeante comme référence. Retirez les dérogations nationales sur lesquelles vos dossiers reposaient discrètement.

Fixez le bénéficiaire effectif à la personne physique. Assurez-vous que chaque dossier remonte la détention à travers les structures en couches jusqu'à la personne physique ultime, enregistre les sources derrière chaque maillon et se rapproche du registre pertinent — le RBE au Luxembourg, le registre fédéral en Suisse, et leurs équivalents ailleurs.

Rendez la surveillance continue. Passez de revues périodiques rythmées par le calendrier à une surveillance déclenchée par les événements, afin que les changements de détention, les mises à jour de sanctions et la presse défavorable atteignent le dossier au moment où ils surviennent.

Construisez une seule piste d'audit. Assurez-vous que chaque décision — une note de risque, une alerte écartée, un bénéficiaire effectif accepté — soit traçable, horodatée et reliée à ses preuves, afin qu'un dossier complet puisse être produit sur demande pour un examinateur CSSF/AMLA comme FINMA.

Consolidez sur un seul modèle de données. Résistez à la construction de piles suisse et UE séparées. Structurez les données KYC une fois et mappez-les sur les spécificités de chaque régime.

7. Comment l'automatisation offre une conformité harmonisée et démontrable à travers les juridictions

La raison pour laquelle un modèle de données unique est réaliste — plutôt qu'une aspiration — est que la rapidité, la traçabilité et la preuve s'avèrent être la même capacité. Un système qui résout automatiquement une chaîne de bénéficiaires effectifs enregistre aussi comment il l'a fait. Un système qui écarte contextuellement une alerte de screening capture aussi pourquoi. L'efficacité démontrable, propriété qu'exigent désormais les régimes de l'UE comme suisse, est un sous-produit de l'automatisation et extrêmement coûteuse à fabriquer sans elle.

La mécanique est cohérente d'une juridiction à l'autre. Reconstituer un bénéficiaire effectif à la main prend 2 à 4 heures par dossier ; la résolution automatisée la ramène à quelques minutes, une économie d'environ 95 %. Un onboarding standard qui prend 15 à 21 jours manuellement — jusqu'à six semaines pour les structures complexes — se comprime à 2 à 3 heures lorsque la collecte de documents, l'extraction, le screening et le scoring de risque sont orchestrés plutôt que séquentiels. Le screening des sanctions et des PPE réalisé manuellement produit des taux de faux positifs de 90 à 99 %, chacun coûtant environ 30 à 60 minutes de temps d'analyste ; le scoring par IA réduit les faux positifs à 20 à 25 % — environ 75 points de moins — de sorte que la piste d'audit reflète de vraies décisions plutôt que du bruit. La revue périodique par dossier passe de 2 à 4 heures à 20 à 45 minutes, et le KYC perpétuel continu et déclenché par les événements élimine entièrement 70 à 90 % du travail de revue programmée.

L'effet de capacité amplifie tout cela : un analyste KYC traite 15 à 25 clients par mois manuellement et 80 à 120 avec l'automatisation — quatre à cinq fois plus — ce qui compte car un analyste chargé est une ressource rare, coûteuse et lente à recruter, tant à Zurich qu'au Luxembourg. Le coût par client onboardé passe de CHF 300–800 à CHF 50–150. Le ROI net typique de la première année pour ce type d'automatisation avoisine 200–260 %, avec un retour en trois à quatre mois. Mais sous le paquet de l'UE, l'argument le plus fort n'est pas le coût — c'est qu'une conformité harmonisée et démontrable à travers deux régimes n'est réellement atteignable que lorsque la preuve est générée automatiquement au fil du travail.

8. Comment Wecan Comply aide

Wecan Comply est conçu précisément autour des propriétés qu'exigent à la fois le paquet de l'UE et la réforme suisse. La résolution des bénéficiaires effectifs traverse automatiquement les structures en couches et se rapproche des données de registre — le RBE, le registre fédéral suisse et d'autres — de sorte que la personne physique ultime, et les preuves derrière cette conclusion, soit capturée et non reconstituée plus tard. La diligence clientèle et renforcée suit un flux structuré et fondé sur des règles qui se mappe sur les attentes harmonisées de l'AMLR comme sur celles de la FINMA, à partir d'un seul modèle de données plutôt que deux.

La surveillance est continue et déclenchée par les événements, de sorte que les changements de détention, les mises à jour de sanctions et la presse défavorable atteignent le dossier au moment où ils surviennent — transformant un modèle de revue rythmé par le calendrier en KYC perpétuel. Et parce que chaque action laisse une trace horodatée et reliée à ses sources, une piste d'audit complète pour tout dossier peut être produite sur demande, que l'examinateur siège à la CSSF, à l'AMLA ou à la FINMA. Pour les banques, les GFI et les fintechs affrontant deux régimes à la fois, c'est la définition pratique d'une conformité harmonisée et démontrable — et le terrain que l'automatisation a été conçue pour couvrir. La même logique s'applique que vous lisiez ceci en tant que banque suisse préparant un changement KYC/AML ou plateforme luxembourgeoise se préparant à l'AMLA.