CSSF 26/906 · Sommaire
← Panorama de la loi
Partie I - Définitions et champ d’application
Partie I - Définitions et champ d’application
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie II - Dispositif en matière d’administration centrale, de
Partie III - Entrée en vigueur
Conseil Luxgap · DPO & CISO
Comment se conformer
Le piège classique La CSSF ne sanctionne pas l'absence de contrôle quotidien : elle sanctionne l'absence de preuve que ce contrôle a bien eu lieu. Le point 107 impose que les exécutants controlent quotidiennement leurs propres tâches pour détecter erreurs et omissions au plus tot. En pratique, ce premier niveau de contrôle (le self-control opérationnel) reste souvent purement déclaratif : personne ne trace qui a vérifié quoi, ni quand, ni avec quel résultat. Lors d'une inspection sur place, la CSSF exige la piste d'audit de ces contrôles de premier niveau, et son absence est un constat récurrent de faiblesse du dispositif de contrôle interne.
Les pièges spécifiques du contrôle de premier niveau Le contrôle quotidien existe dans la procédure mais n'est jamais horodaté ni signé : impossible à prouver a posteriori. Les taches externalisées échappent au contrôle : l'établissement suppose que le prestataire contrôle, sans clause CSSF 22/806 imposant un reporting de contrôle. Les erreurs détectées ne sont pas consignées dans un registre, donc pas d'analyse de récurrence ni d'escalade vers le contrôle de second niveau. Aucune séparation claire entre l'exécution de la tâche et son contrôle, ce qui vide le premier niveau de sa substance. Le seuil de matérialité déclenchant une remontée n'est pas défini : les incidents mineurs s'accumulent sans traçabilité. Le test attendu par la CSSF est simple : pour n'importe quelle journée choisie au hasard, pouvez-vous démontrer que le contrôle quotidien a été réalisé, par qui, et quelles anomalies ont été traitées ? Si la réponse tient dans un fichier Excel non horodaté, le dispositif est réputé insuffisant.
Comment Luxgap automatise ce risque Notre Luxgap Daily Control Attestor transforme le contrôle quotidien déclaratif en piste d'audit opposable, sans ajouter de charge à vos exécutants. L'outil s'intègre à vos systèmes opérationnels (Sage BOB 50, core banking, M365, Odoo, workflows Sopra) et capture automatiquement l'exécution et l'attestation de chaque contrôle de premier niveau, avec horodatage et signature cryptographique liée à l'identité Active Directory de l'opérateur.
Génère chaque matin la checklist des contrôles quotidiens attendus par processus, dérivée de vos procédures de contrôle interne, et la pousse à l'exécutant concerné via Teams ou email. Capture l'attestation horodatée et scellée de chaque contrôle réalisé, avec l'identité de l'exécutant issue de l'Active Directory, et détecte les contrôles manquants en temps réel. Consigne automatiquement les anomalies détectées dans un registre structuré et déclenche l'escalade vers le contrôle de second niveau au-delà du seuil de matérialité défini. Surveille les taches externalisées en vérifiant la réception du reporting de contrôle du prestataire conforme aux exigences de la circulaire CSSF 22/806, et alerte en cas de reporting manquant ou en retard. Produit un rapport PDF horodaté et cryptographiquement scellé, opposable lors d'une inspection sur place CSSF, démontrant l'exhaustivité et la régularité des contrôles quotidiens sur toute période choisie. Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur vos processus réels, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.
Besoin d'aide sur cet article ?
Notre équipe (juristes + ingénieurs cyber) vous fournit le concret. Réponse sous 24 h ouvrées.
📄 Demander un modèle type
🤝 Aide pour vous mettre en conformité
🔎 Demander une revue
