Banking & Financial Services Regulation – Bertrand Mariaux https://bertrandmariaux.com Mastering Luxembourg's Asset Management Corporate Governance, Regulatory & Compliance Environment Tue, 14 Jul 2026 01:40:48 +0000 en-US hourly 1 https://wordpress.org/?v=7.1.1 https://bertrandmariaux.com/wp-content/uploads/2024/09/cropped-Bertrand-Mariaux-1-scaled-1-32x32.jpg Banking & Financial Services Regulation – Bertrand Mariaux https://bertrandmariaux.com 32 32 Strong Customer Authentication in Private Banking: Three Controls https://bertrandmariaux.com/strong-customer-authentication-in-private-banking/ https://bertrandmariaux.com/strong-customer-authentication-in-private-banking/#respond Fri, 26 Jun 2026 09:02:05 +0000 https://bertrandmariaux.com/?p=471 Article 105-3 of the amended Luxembourg law of 10 November 2009 on payment services, electronic money institutions and settlement finality in payment and securities settlement systems (hereafter, the “Payment Services Law of 2009”) requires strong customer authentication where the payer accesses its payment account online, initiates an electronic payment transaction, or carries out a remote-channel action which may imply payment fraud or other abuse risk.

Commission Delegated Regulation (EU) 2018/389 of 27 November 2017 supplementing Directive (EU) 2015/2366 with regard to regulatory technical standards for strong customer authentication and common and secure open standards of communication (hereafter, the “SCA Delegated Regulation”, SCA meaning Strong Customer Authentication) specifies the mechanics. Authentication must use at least two elements from knowledge, possession and inherence. For remote electronic payments, the authentication code must be dynamically linked to the amount and the payee.

Three Operational Controls

  • (i) Map the relevant actions with precision. Identify each customer journey and touchpoint where authentication may be triggered, such as online account access, payment initiation, beneficiary management, card usage and mobile interactions. Distinguish clearly between simple access, transaction execution and higher-risk operations. This structured mapping is essential to determine when strong customer authentication must apply and to avoid both gaps and unnecessary friction.
  • (ii) Govern and evidence exemptions under the SCA Delegated Regulation. Key cases include trusted beneficiaries, recurring payments, low-value transactions, transaction risk analysis and secure corporate payment protocols. Each exemption operates within a narrowly defined legal framework and can only be applied at specific stages of the payment process, typically at initiation or execution. Institutions should establish detailed internal policies setting out eligibility criteria, decision trees and escalation procedures. Real-time controls must verify that each transaction meets the applicable conditions before an exemption is granted. Comprehensive audit trails should record the rationale, data inputs and system decisions supporting each exemption. Continuous monitoring is particularly critical for transaction risk analysis, where fraud-rate thresholds must be respected and recalibrated as needed. Regular reviews, testing and governance oversight are necessary to ensure that exemptions remain compliant, proportionate and aligned with evolving fraud patterns and regulatory expectations.
  • (iii) Ensure that relationship-manager involvement is strictly framed and does not circumvent the requirements of the Payment Services Law of 2009. In practice, this requires a clear segregation between advisory support and execution of payment instructions. Relationship managers may assist clients in preparing or transmitting orders, but they must not replace or weaken the authentication process required at the point of payment initiation or confirmation. Institutions should define explicit procedures governing assisted transactions, including mandatory use of approved channels, traceability of instructions and verification of client intent. Controls should ensure that any manual intervention is logged, reviewed and subject to the same authentication standards as fully digital flows. Training and internal guidance are essential so that front-office staff understand both the legal boundaries and the operational risks. Ultimately, the objective is to preserve the integrity of strong customer authentication while maintaining a high level of client service.

In practice, private banks should test the client portal, mobile application, remote payment orders, card flows and holding-company accounts. This means that an exemption from strong customer authentication rules which is not properly documented and justified becomes a compliance, fraud and liability risk.

Connect with Bertrand Mariaux on LinkedIn. You can listen to the related podcast on ApplePodcast, Spotify, YouTube, or wherever you get your podcasts.

References:

]]> https://bertrandmariaux.com/strong-customer-authentication-in-private-banking/feed/ 0 Authentification forte du client en banque privée : trois contrôles https://bertrandmariaux.com/authentification-forte-du-client-en-banque-privee/ https://bertrandmariaux.com/authentification-forte-du-client-en-banque-privee/#respond Thu, 25 Jun 2026 21:27:04 +0000 https://bertrandmariaux.com/?p=468 L’authentification forte du client en banque privée s’inscrit dans une logique précise de sécurisation des paiements et ne relève pas d’une exigence générale applicable à toute relation client. L’article 105-3 de la loi modifiée du 10 novembre 2009 relative aux services de paiement, à l’activité d’établissement de monnaie électronique et au caractère définitif du règlement dans les systèmes de paiement et les systèmes de règlement des opérations sur titres (ci-après, la « Loi de 2009 sur les Services de Paiement ») impose cette authentification lorsque le payeur accède à son compte de paiement en ligne, initie une opération de paiement électronique ou exécute à distance une action présentant un risque de fraude de paiement. Le must-know : le déclencheur est le parcours de paiement, pas le statut patrimonial du client.

Le règlement délégué (UE) 2018/389 de la Commission du 27 novembre 2017 complétant la directive (UE) 2015/2366 par des normes techniques relatives à l’authentification forte du client et aux normes ouvertes communes et sécurisées de communication (ci-après, le « Règlement Délégué SCA », SCA signifiant Strong Customer Authentication, ou authentification forte du client) précise la mécanique. L’authentification repose sur au moins deux éléments relevant de la connaissance, de la possession ou de l’inhérence. Pour un paiement électronique à distance, le code doit être lié dynamiquement au montant et au bénéficiaire.

Trois contrôles opérationnels

  • (i) Cartographier les actes : accès au compte en ligne, initiation de virement, gestion des bénéficiaires, carte et canal mobile.
  • (ii) Documenter les exemptions prévues par le Règlement Délégué SCA, notamment les bénéficiaires de confiance, opérations récurrentes, faibles montants, analyses de risque et protocoles corporate sécurisés.
  • (iii) Vérifier que l’intervention du banquier privé ne contourne pas les exigences de la Loi de 2009 sur les Services de Paiement.

En pratique, la banque doit tester le portail client, l’application mobile, les ordres à distance, les cartes et les comptes de sociétés patrimoniales. Cela signifie qu’une dérogation aux règles d’authentification forte qui n’est pas correctement documentée et justifiée devient un risque de conformité, de fraude et de responsabilité.

Connectez-vous avec Bertrand Mariaux sur LinkedIn.

Vous pouvez écouter le podcast associé sur ApplePodcast, Spotify, YouTube ou sur votre plateforme d’écoute préférée.

Références :

]]> https://bertrandmariaux.com/authentification-forte-du-client-en-banque-privee/feed/ 0 PSD3 Private Banking Luxembourg: Payment Services Impacts https://bertrandmariaux.com/psd3-private-banking-luxembourg/ https://bertrandmariaux.com/psd3-private-banking-luxembourg/#respond Wed, 24 Jun 2026 20:46:11 +0000 https://bertrandmariaux.com/?p=459 As at 22 June 2026, the EU package is based on the draft Directive on payment services and electronic money services (“PSD3”) and the draft Payment Services Regulation (“PSR”), in their final compromise-text form. The applicable Luxembourg baseline remains the amended law of 10 November 2009 on payment services, electronic money institutions and settlement finality (“2009 Payment Services Law”).

Must-know point: for a private bank, the main operational impact is not PSD3 alone. It is the future PSR, because conduct, transparency, fraud and account-access rules move into a regulation.

PSD3 mainly addresses authorisation, supervision and prudential rules for payment institutions and electronic money institutions. The PSR carries the most visible operational changes: user information, rights and obligations, fee transparency, fraud prevention, account access and open banking. For a private bank, the practical consequences may affect several parts of the client journey. General terms and conditions for accounts and payment services should be checked to ensure that pre-contractual information, fees, execution times and user rights remain aligned with the new requirements. Digital interfaces and banking applications may also require changes to display certain information more clearly or to integrate new fraud-prevention controls. Operational teams should review procedures for payment processing, complaints and security incidents, while compliance and legal functions should monitor the rules on account access by third-party providers. For a private bank, the issue is therefore documentary, digital, operational and organisational rather than only institutional.

Three checks matter.

First, map the payment services actually provided. Cash accounts, cards, transfers, account-information access and digital journeys should be matched against the current obligations under the 2009 Payment Services Law.

Second, isolate the likely fraud-control changes. The PSD3 / PSR package strengthens several prevention and detection mechanisms. Points to monitor include fraud-related information sharing between providers, consistency checks between the beneficiary’s name and IBAN, fraud through impersonation of the payment service provider (“spoofing”), and certain adjustments to liability and reimbursement rules. For a private bank, these developments may affect internal controls, payment-validation journeys and information provided to clients.

Third, review fees, exchange rates, merchant-name visibility and open-banking access. At this stage, it is generally preferable not to draft a definitive new contractual clause immediately, because the European texts have not yet been finally adopted, PSD3 has not been transposed, and the PSR is not yet applicable. It is more useful to prepare an internal document identifying the differences, or gap register, between the current requirements under the 2009 Payment Services Law, the contracts currently used by the bank and the changes likely to result from the future PSD3 / PSR package. This work allows the bank to identify adaptations before the new rules effectively apply.

Connect with Bertrand Mariaux on LinkedIn. You can listen to the related podcast on ApplePodcast, Spotify, YouTube, or wherever you get your podcasts.

References:

Council of the European Union, press release of 27 November 2025, Payment services: Council and Parliament agree to step up the fight against fraud and increase transparency (https://www.consilium.europa.eu/en/press/press-releases/2025/11/27/payment-services-council-and-parliament-agree-to-step-up-the-fight-against-fraud-and-increase-transparency/)

Council of the European Union, document ST 8220/26, Confirmation of the final compromise text with a view to agreement (https://data.consilium.europa.eu/doc/document/ST-8220-2026-INIT/en/pdf)

Council of the European Union, document ST 8222/26, draft PSD3 Directive (https://data.consilium.europa.eu/doc/document/ST-8222-2026-INIT/en/pdf)

Council of the European Union, document ST 8221/26, draft PSR Regulation (https://data.consilium.europa.eu/doc/document/ST-8221-2026-INIT/en/pdf)

Legilux, consolidated version of the amended law of 10 November 2009 on payment services (https://legilux.public.lu/eli/etat/leg/loi/2009/11/10/n1/consolide/20250411)

]]> https://bertrandmariaux.com/psd3-private-banking-luxembourg/feed/ 0 PSD3 banque privée Luxembourg : impacts sur les services de paiement https://bertrandmariaux.com/psd3-banque-privee-luxembourg/ https://bertrandmariaux.com/psd3-banque-privee-luxembourg/#respond Tue, 23 Jun 2026 07:58:14 +0000 https://bertrandmariaux.com/?p=456 Au 22 juin 2026, le paquet européen repose sur le projet de directive sur les services de paiement et les services de monnaie électronique (la « PSD3 ») et le projet de règlement sur les services de paiement (le « PSR »), dans leur version de compromis final. Le droit applicable au Luxembourg reste la loi modifiée du 10 novembre 2009 relative aux services de paiement, à l’activité d’établissement de monnaie électronique et au caractère définitif du règlement dans les systèmes de paiement et les systèmes de règlement des opérations sur titres (la « Loi de 2009 sur les Services de Paiement »).

À retenir : pour une banque privée, l’impact principal ne vient pas seulement de PSD3, mais surtout du futur PSR, qui concentre les règles de conduite, de transparence, de fraude et d’accès aux comptes.

La PSD3 traite surtout l’agrément, la surveillance et le cadre prudentiel des établissements de paiement et de monnaie électronique. Le PSR porte les changements opérationnels les plus visibles : information des utilisateurs, droits et obligations, transparence des frais, lutte contre la fraude, accès aux comptes et open banking. Pour une banque privée, les conséquences pratiques peuvent concerner plusieurs points du parcours client. Les conditions générales relatives aux comptes et aux services de paiement devront être revues afin de vérifier que les informations précontractuelles, les frais, les délais d’exécution et les droits des utilisateurs restent conformes aux nouvelles exigences. Les interfaces digitales et les applications bancaires pourraient également nécessiter des adaptations pour afficher certaines informations de manière plus claire ou pour intégrer de nouveaux contrôles liés à la prévention de la fraude. Les équipes opérationnelles devront examiner les procédures de traitement des paiements, des réclamations et des incidents de sécurité, tandis que les fonctions conformité et juridique devront suivre l’évolution des règles applicables à l’accès aux comptes par des prestataires tiers. Pour une banque privée, le sujet est donc moins institutionnel que documentaire, digital, opérationnel et organisationnel.

Trois contrôles s’imposent.

Premier contrôle : cartographier les services de paiement réellement fournis. Comptes espèces, cartes, virements, accès aux informations de compte et parcours digitaux doivent être reliés aux obligations actuelles de la Loi de 2009 sur les Services de Paiement.

Deuxième contrôle : isoler les changements probables sur la fraude. Le paquet PSD3 / PSR renforce plusieurs mécanismes de prévention et de détection. Les sujets à suivre incluent notamment le partage d’informations liées à la fraude entre prestataires, la vérification de cohérence entre le nom du bénéficiaire et l’IBAN, le traitement des fraudes par usurpation de l’identité du prestataire de services de paiement (« spoofing »), ainsi que certains ajustements des règles de responsabilité et de remboursement. Pour une banque privée, ces évolutions peuvent avoir des conséquences sur les contrôles internes, les parcours de validation des paiements et l’information fournie aux clients.

Troisième contrôle : revoir les frais, les taux de change, les libellés visibles par le client et les accès open banking. À ce stade, il est généralement préférable de ne pas rédiger immédiatement une nouvelle clause contractuelle définitive, car les textes européens ne sont pas encore pleinement finalisés et transposés. Il est plus utile de préparer un document interne recensant les différences (« registre d’écarts ») entre les exigences actuelles de la Loi de 2009 sur les Services de Paiement, les contrats actuellement utilisés par la banque et les changements susceptibles de résulter du futur paquet PSD3 / PSR. Ce travail permet d’identifier à l’avance les adaptations qui pourraient être nécessaires lorsque les nouvelles règles entreront effectivement en vigueur.

Connectez-vous avec Bertrand Mariaux sur LinkedIn. Vous pouvez écouter le podcast associé sur ApplePodcast, Spotify, YouTube ou sur votre plateforme d’écoute préférée.

Références :

]]> https://bertrandmariaux.com/psd3-banque-privee-luxembourg/feed/ 0 Payment Account Information Duties: Three Framework-Contract Checks https://bertrandmariaux.com/payment-account-information-duties-private-banking/ https://bertrandmariaux.com/payment-account-information-duties-private-banking/#respond Sat, 20 Jun 2026 13:21:10 +0000 https://bertrandmariaux.com/?p=445 Payment account information duties in private banking should be tested through the framework contract and the related contractual documentation, not through a standalone commercial note. A payment account is an account held in the name of one or more payment service users and used for payment transactions under Article 1, point 5, of the Law of 10 November 2009 on payment services, on the activity of electronic money institution and settlement finality in payment and securities settlement systems, as amended (the “2009 Payment Services Law”). Operational rule: before the client is bound, the file must evidence clear information provided on a durable medium.

Three checks structure the analysis.

  1. Qualify the client. Article 59 of the 2009 Payment Services Law allows the parties to disapply all or part of Title III where the payment service user is not a consumer. The derogation must be contractual. It should not be inferred from the relationship.
  2. Check timing and medium. Article 70 of the 2009 Payment Services Law requires the information and conditions set out in Article 71 of the 2009 Payment Services Law to be provided on paper or another durable medium before the payment service user is bound by the framework contract or offer.
  3. Check content and evidence. Article 71 of the 2009 Payment Services Law covers, among other items, the provider, services, charges, rates, communication methods, safeguards, amendments, termination and complaints. Article 60-1 of the 2009 Payment Services Law places the burden of proof on the payment service provider.

Articles 72, 73 and 74 of the 2009 Payment Services Law add lifecycle controls: access to terms, amendment notices and termination. In private banking, this means ensuring that all client-facing documentation remains consistent throughout the life of the relationship, including the general terms and conditions, fee schedules, payment cut-off times, authentication and security procedures, fraud reporting and notification processes, contractual amendment mechanisms and account closure arrangements. The objective is to ensure that clients receive clear and coherent information at each stage of the payment account relationship and that the institution can demonstrate compliance with its ongoing information obligations.

The PSD3 / PSR package should also be monitored without changing the current Luxembourg analysis. The Council and the European Parliament announced a provisional political agreement on 27 November 2025 on the future EU payment-services framework. The Council then published final compromise texts in April 2026 for the Third Payment Services Directive (“PSD3”) and the Payment Services Regulation (“PSR”). PSD3 and PSR do not yet replace the checks applicable under the 2009 Payment Services Law. They do, however, confirm the EU trajectory towards greater harmonisation, transparency and security in payment services.

Connect with Bertrand Mariaux on LinkedIn.

You can listen to the related podcast on ApplePodcast, Spotify, YouTube, or wherever you get your podcasts.

References:

Law of 10 November 2009 on payment services, CSSF consolidated English version (https://www.cssf.lu/wp-content/uploads/L_101109_psd_eng.pdf)

Loi modifiée du 10 novembre 2009 relative aux services de paiement, Legilux consolidated version (https://legilux.public.lu/eli/etat/leg/loi/2009/11/10/n1/consolide/20250411)

Council press release of 27 November 2025 on the political agreement on PSD3 / PSR (https://www.consilium.europa.eu/en/press/press-releases/2025/11/27/payment-services-council-and-parliament-agree-to-step-up-the-fight-against-fraud-and-increase-transparency/)

Council document 8222/26 — PSD3 final compromise text (https://data.consilium.europa.eu/doc/document/ST-8222-2026-INIT/en/pdf)

Council document 8221/26 — PSR final compromise text (https://data.consilium.europa.eu/doc/document/ST-8221-2026-INIT/en/pdf)

]]> https://bertrandmariaux.com/payment-account-information-duties-private-banking/feed/ 0 Compte de paiement en banque privée : trois contrôles d’information du contrat-cadre https://bertrandmariaux.com/information-compte-paiement-banque-privee/ https://bertrandmariaux.com/information-compte-paiement-banque-privee/#respond Fri, 19 Jun 2026 22:39:35 +0000 https://bertrandmariaux.com/?p=440 L’information relative à un compte de paiement en banque privée doit être vérifiée à travers le contrat-cadre et l’ensemble de sa documentation contractuelle, et non au moyen d’une simple note commerciale. Un compte de paiement est un compte utilisé pour l’exécution d’opérations de paiement, au sens de l’article 1er, point 5, de la loi modifiée du 10 novembre 2009 relative aux services de paiement (la « Loi de 2009 sur les Services de Paiement »). Règle opérationnelle : le dossier doit prouver, avant l’engagement du client, la remise d’une information claire, durable et exploitable.

Trois contrôles structurent l’analyse.

  1. Qualifier le client. L’article 59 de la Loi de 2009 sur les Services de Paiement permet aux parties d’écarter tout ou partie du Titre III lorsque l’utilisateur de services de paiement n’est pas un consommateur. Cette dérogation doit ressortir du contrat. Elle ne doit pas être implicite.
  2. Contrôler le moment et le support. L’article 70 de la Loi de 2009 sur les Services de Paiement impose que les informations et conditions prévues à l’article 71 de la Loi de 2009 sur les Services de Paiement soient fournies sur papier ou sur un autre support durable avant que l’utilisateur soit lié par le contrat-cadre ou l’offre.
  3. Contrôler le contenu et la preuve. L’article 71 de la Loi de 2009 sur les Services de Paiement couvre notamment le prestataire, les services, les frais, les taux, les moyens de communication, les mesures de sécurité, les modifications, la résiliation et les réclamations. L’article 60-1 de la Loi de 2009 sur les Services de Paiement place la charge de la preuve sur le prestataire.

Les articles 72, 73 et 74 de la Loi de 2009 sur les Services de Paiement ajoutent les contrôles de vie du contrat : accès aux conditions, notification des modifications et résiliation. En banque privée, cela impose d’aligner conditions générales, grille tarifaire, cut-off times, sécurité, fraude, modification et clôture du compte.

Le paquet PSD3 / PSR doit aussi être suivi sans modifier l’analyse actuelle. Le Conseil et le Parlement européen ont annoncé un accord politique provisoire le 27 novembre 2025 sur le futur cadre européen des services de paiement. Les textes de compromis finaux relatifs à la troisième directive sur les services de paiement (« PSD3 ») et au règlement sur les services de paiement (« PSR ») ont ensuite été publiés par le Conseil en avril 2026. PSD3 et PSR ne remplacent pas encore les contrôles applicables sous la Loi de 2009 sur les Services de Paiement. Ils confirment toutefois la trajectoire européenne vers davantage d’harmonisation, de transparence et de sécurité dans les services de paiement.

Connectez-vous avec Bertrand Mariaux sur LinkedIn.

Vous pouvez écouter le podcast associé sur ApplePodcast, Spotify, YouTube ou sur votre plateforme d’écoute préférée.

Références :

Loi modifiée du 10 novembre 2009 relative aux services de paiement, version consolidée Legilux (https://legilux.public.lu/eli/etat/leg/loi/2009/11/10/n1/consolide/20250411)

Law of 10 November 2009 on payment services, CSSF consolidated English version (https://www.cssf.lu/wp-content/uploads/L_101109_psd_eng.pdf)

Council press release of 27 November 2025 on the political agreement on PSD3 / PSR (https://www.consilium.europa.eu/en/press/press-releases/2025/11/27/payment-services-council-and-parliament-agree-to-step-up-the-fight-against-fraud-and-increase-transparency/)

Council document 8222/26 — PSD3 final compromise text (https://data.consilium.europa.eu/doc/document/ST-8222-2026-INIT/en/pdf)

Council document 8221/26 — PSR final compromise text (https://data.consilium.europa.eu/doc/document/ST-8221-2026-INIT/en/pdf)

]]> https://bertrandmariaux.com/information-compte-paiement-banque-privee/feed/ 0 Review Private-Banking Credit Card Terms Under CCD2 https://bertrandmariaux.com/ccd2-private-banking-credit-cards/ https://bertrandmariaux.com/ccd2-private-banking-credit-cards/#respond Tue, 16 Jun 2026 14:25:09 +0000 https://bertrandmariaux.com/?p=426 Information cut-off: 15 June 2026.

Directive (EU) 2023/2225 of 18 October 2023 on credit agreements for consumers (“CCD2”) requires each card to be classified before contractual terms are updated. CCD2 applies to credit granted to consumers, meaning natural persons acting outside their trade, business or profession. In Luxembourg, Bill of Law n°8708 transposes CCD2 into the Consumer Code.

Must-know: a card may be a payment instrument without a credit function, or a credit product. The legal answer depends on the actual mechanics: deferred debit, overdraft facility, overrun, instalment repayment or another credit mechanism.

Three key points:

  1. Scope. Start with how the card works in practice. With a deferred debit card, purchases are made during the month and the full balance is debited on a fixed date, rather than immediately after each transaction. For example, if a cardholder spends EUR 5,000 during the month and the full EUR 5,000 is automatically debited 30 days later, without interest and without any option to carry the balance forward, the arrangement may fall outside CCD2. Under Bill of Law n°8708, the exclusion based on Article 2(5) of CCD2 may apply where the cardholder must repay the full balance within 40 days, no interest is charged and only limited fees linked to the payment service are payable. If the card allows longer repayment, instalments, interest-bearing balances or another form of ongoing credit, CCD2 is more likely to apply.
  2. Documentation. Once the card has been classified, review all customer-facing documentation: card terms and conditions, tariff sheets, pre-contractual disclosures, annual percentage rate of charge calculations, marketing materials and digital application journeys. The objective is to ensure that the description of the card matches its real operation, that any credit cost is properly disclosed, and that a credit feature is not presented as an ordinary payment service.
  3. Controls. CCD2 does not stop at disclosures. Where the card includes a credit function, banks must maintain decision-making and monitoring controls. Under Article 18(1), (4), (8) and (10) of CCD2, lenders must assess the consumer’s creditworthiness before granting credit, document the procedures and information used, provide access to human review where automated processing is used, and perform a new assessment before any significant credit-limit increase.

In practice, private banks should first map each card feature to its legal qualification under CCD2. Priority areas include premium cards, card-linked overdrafts, credit-limit increases and ancillary insurance wording. These features are more likely to fall within scope or trigger specific consumer-credit obligations. They should be reviewed for disclosure requirements, creditworthiness controls and contractual compliance.

Connect with Bertrand Mariaux on LinkedIn.

You can listen to the related podcast on ApplePodcast, Spotify, YouTube, or wherever you get your podcasts.

References:

Directive (EU) 2023/2225 of 18 October 2023 on credit agreements for consumers (https://eur-lex.europa.eu/eli/dir/2023/2225/oj)

Bill of Law n°8708, filing document of 19 February 2026 (https://wdocs-pub.chd.lu/docs/Dossiers_parlementaires/8708/20260223_Depot.pdf)

]]> https://bertrandmariaux.com/ccd2-private-banking-credit-cards/feed/ 0 Réviser les conditions des cartes de crédit de banque privée au regard de CCD2 https://bertrandmariaux.com/cartes-credit-banque-privee-ccd2/ https://bertrandmariaux.com/cartes-credit-banque-privee-ccd2/#respond Mon, 15 Jun 2026 20:50:31 +0000 https://bertrandmariaux.com/?p=421 La directive (UE) 2023/2225 du 18 octobre 2023 relative aux contrats de crédit aux consommateurs (« CCD2 ») impose de qualifier chaque carte proposée en banque privée avant d’adapter les conditions contractuelles. Elle vise les crédits accordés à des consommateurs, c’est-à-dire à des personnes physiques agissant à des fins non professionnelles. Au Luxembourg, le projet de loi n°8708 transpose CCD2 dans le Code de la consommation.

Point essentiel : une carte peut être un instrument de paiement sans fonction de crédit ou un produit de crédit. Tout dépend de son fonctionnement réel : débit différé, facilité de découvert, dépassement, remboursement échelonné ou autre mécanisme de crédit.

Trois points clés :

  1. Champ d’application. Une carte à débit différé n’entre pas automatiquement dans le champ de CCD2. Selon le projet de loi n°8708, l’exclusion fondée sur l’article 2(5) de CCD2 pourrait s’appliquer si le crédit est remboursé dans un délai de 40 jours, sans intérêts et uniquement avec des frais limités liés au service de paiement.
  2. Documentation. Les conditions de carte, grilles tarifaires, informations précontractuelles, hypothèses de taux annuel effectif global (TAEG), publicités et parcours numériques doivent être vérifiés au regard des règles d’information CCD2.
  3. Contrôles. L’article 18(1), (4), (8) et (10) de CCD2 impose une évaluation de solvabilité, la documentation des procédures et informations utilisées, un droit à intervention humaine en cas de traitement automatisé et une nouvelle évaluation avant toute augmentation significative du crédit.

En pratique, les banques privées devraient traiter en priorité les cartes premium, les découverts liés aux cartes, les augmentations de limite et les assurances associées.

Connectez-vous avec Bertrand Mariaux sur LinkedIn.

Vous pouvez écouter le podcast associé sur ApplePodcast, Spotify, YouTube ou sur votre plateforme d’écoute préférée.

Références :

Directive (UE) 2023/2225 du 18 octobre 2023 relative aux contrats de crédit aux consommateurs (https://eur-lex.europa.eu/eli/dir/2023/2225/oj)

Projet de loi n°8708, document de dépôt du 19 février 2026 (https://wdocs-pub.chd.lu/docs/Dossiers_parlementaires/8708/20260223_Depot.pdf)

]]> https://bertrandmariaux.com/cartes-credit-banque-privee-ccd2/feed/ 0 MiFID II : Entre Gestion Discrétionnaire et Conseil en Investissement en banque privée https://bertrandmariaux.com/mifid-ii-banque-privee-luxembourg-gestion-conseil-adequation/ https://bertrandmariaux.com/mifid-ii-banque-privee-luxembourg-gestion-conseil-adequation/#respond Thu, 04 Jun 2026 22:05:17 +0000 https://bertrandmariaux.com/?p=370 Les articles 24-4 et 24-5 de la loi du 5 avril 1993 relative au secteur financier, telle que modifiée (la « LSF »), fixent deux voies centrales en banque privée. L’article 24-4 de la LSF vise la gestion de portefeuille. L’article 24-5 de la LSF vise le conseil en investissement. Les deux structurent la relation client.

La directive 2014/65/UE du 15 mai 2014 concernant les marchés d’instruments financiers (« MiFID II ») a été transposée en droit luxembourgeois. La loi du 30 mai 2018 relative aux marchés d’instruments financiers porte transposition de MiFID II et a modifié la LSF.

Gestion discrétionnaire, conseil en investissement et adéquation : les trois points clés de MiFID II en banque privée

• L’article 24-4 de la LSF vise la gestion de portefeuille. Le client donne à l’établissement le pouvoir de décider pour son compte. L’établissement ne demande pas d’accord préalable pour chaque transaction. Le service reste propre au client. Il porte sur son portefeuille individuel. Cette approche correspond aussi à l’article 4(1), point 8, et à la section A, point 4, de l’annexe I de MiFID II. Le portefeuille doit comprendre des instruments financiers au sens de l’article 4(1), point 15, et de l’annexe I, section C, de MiFID II. Cela exclut les seuls actifs non financiers, tels que l’immobilier, les œuvres d’art ou les biens de collection.

• L’article 24-5 de la LSF vise le conseil en investissement. Une recommandation personnelle adressée à un client déterminé fait entrer le service dans le périmètre du conseil. Cette approche correspond aussi à l’article 4(1), point 4, et à la section A, point 5, de l’annexe I de MiFID II. Cette qualification déclenche des obligations MiFID II spécifiques, notamment en matière d’adéquation, de documentation et de gouvernance du service.

La distinction avec la gestion de portefeuille est essentielle. Dans le conseil, l’établissement formule des recommandations personnelles. Le client décide ensuite de les suivre ou non. Dans la gestion de portefeuille, l’établissement prend directement les décisions d’investissement. Il agit dans le cadre d’un mandat discrétionnaire.

La simple information reste exclue. Une description factuelle de produit, un commentaire de marché général ou un contenu pédagogique ne suffit pas. La frontière se situe dans la recommandation personnelle.

• La catégorie du client module le niveau de protection. MiFID II ne vise pas seulement les clients de détail. Les clients professionnels restent aussi dans le cadre. Les définitions figurent à l’article 4(1), points 10 et 11, de MiFID II. L’article 29a de MiFID II confirme aussi la pertinence particulière de la gestion de portefeuille et du conseil en investissement pour les clients professionnels. Le service doit toujours être qualifié, autorisé et documenté.

Le modèle de service détermine le dossier de conformité. La gestion discrétionnaire exige un mandat. Le conseil exige un cadre de recommandation. Les deux exigent un contrôle d’adéquation, notamment au titre de l’article 25(2) de MiFID II.

Un mauvais classement peut exposer à des mesures administratives CSSF. L’article 63-2a de la LSF prévoit notamment des sanctions et mesures administratives. Un cadre déficient fragilise aussi la défense du dossier client.

Un aparté fonds évite la confusion. La gestion collective de portefeuille n’est pas la gestion de portefeuille en banque privée. Un gestionnaire peut obtenir des permissions supplémentaires de type MiFID. Pour les sociétés de gestion d’organismes de placement collectif en valeurs mobilières (OPCVM), la référence est l’article 101(3) de la loi du 17 décembre 2010 concernant les organismes de placement collectif. Pour les gestionnaires de fonds d’investissement alternatifs autorisés, la référence est l’article 5(4) de la loi du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs. Les praticiens parlent souvent d’« extension MiFID » (MiFID top-up). Cette extension ne crée pas un statut complet d’entreprise d’investissement MiFID.

La Commission de Surveillance du Secteur Financier (la « CSSF ») supervise ce cadre. En banque privée, la question pratique est simple. La banque gère-t-elle le portefeuille, conseille-t-elle le client, ou fournit-elle seulement une information ?

Il convient de qualifier correctement le service fourni. Il faut également vérifier que l’établissement dispose de l’agrément requis et conserver une documentation appropriée. En banque privée, les articles 24-4 et 24-5 de la LSF sont le point de départ.

Connectez-vous avec Bertrand Mariaux sur LinkedIn.

Vous pouvez écouter le podcast associé sur Apple Podcasts, Spotify, YouTube ou sur votre plateforme d’écoute préférée.

Références :

• Articles 24-4, 24-5 et 63-2a de la loi du 5 avril 1993 relative au secteur financier, telle que modifiée (https://www.cssf.lu/wp-content/uploads/L_050493_lsf.pdf)

• Loi du 30 mai 2018 relative aux marchés d’instruments financiers (https://www.cssf.lu/wp-content/uploads/L_300518_MiFID.pdf)

• Directive 2014/65/UE du 15 mai 2014 concernant les marchés d’instruments financiers (MiFID II), article 4(1), points 4, 8, 10, 11 et 15, article 25(2), article 29a, annexe I, section A, points 4 et 5, et annexe I, section C (https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:02014L0065-20250117)

• Article 101(3) de la loi du 17 décembre 2010 concernant les organismes de placement collectif (https://www.cssf.lu/wp-content/uploads/L_171210_UCI.pdf)

• Article 5(4) de la loi du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs (https://www.cssf.lu/wp-content/uploads/L_120713_AIFM_eng.pdf)

• Page CSSF sur les entreprises d’investissement (https://www.cssf.lu/en/investment-firms/)

• Page CSSF sur l’agrément d’une société de gestion — chapitre 15 (https://www.cssf.lu/en/authorisation-of-a-management-company-chapter-15/)

• FAQ AIFMD 20 May 2025 Version 24 (https://www.cssf.lu/wp-content/uploads/FAQ-AIFMD_200525.pdf)

• Page CSSF MiFID II — MiFIR — PRIIPs (https://www.cssf.lu/en/mifid-ii-mifir-priips/)

]]> https://bertrandmariaux.com/mifid-ii-banque-privee-luxembourg-gestion-conseil-adequation/feed/ 0 MiFID II: Portfolio Management and Investment Advice in Private Banking https://bertrandmariaux.com/mifid-ii-luxembourg-portfolio-management-investment-advice/ https://bertrandmariaux.com/mifid-ii-luxembourg-portfolio-management-investment-advice/#respond Wed, 03 Jun 2026 20:28:36 +0000 https://bertrandmariaux.com/?p=362 Articles 24-4 and 24-5 of the Luxembourg law of 5 April 1993 on the financial sector, as amended (the “LFS”) set two core private-banking routes. Article 24-4 covers portfolio management. Article 24-5 covers investment advice. Both shape the client relationship.

Directive 2014/65/EU of 15 May 2014 on markets in financial instruments (“MiFID II”) was transposed into Luxembourg law. The law of 30 May 2018 on markets in financial instruments amended the LFS directly.

Private banking under MiFID II: three practical checks

Before analysing documentation or suitability, private banks should first determine precisely which regulated service they are providing. Three questions usually determine the correct MiFID II classification and the applicable compliance framework.

• Article 24-4 of the LFS covers portfolio management. The client gives the firm authority to make investment decisions on the client’s behalf. The firm does not seek prior approval for each transaction. The service is tailored to the individual client’s circumstances, objectives and risk profile. It relates to assets held for that specific client rather than assets pooled with those of other investors. As reflected in Section A(4) of Annex I to Directive 2014/65/EU (MiFID II), portfolio management involves the management of portfolios under mandates granted by clients. The mandate gives the firm discretionary authority to take investment decisions. Those decisions are made on a client-by-client basis rather than for a collective pool of investors. The portfolio must include one or more instruments that qualify as “financial instruments” under MiFID II, such as shares, bonds, units in investment funds or derivatives, rather than only non-financial assets such as real estate, art, wine or other collectibles. The focus is therefore on the ongoing management of an individual client’s portfolio within the limits set by the mandate.

• Article 24-5 of the LFS covers investment advice. The key distinction is whether the communication amounts to a personal recommendation addressed to a specific client or presented as suitable for that client’s circumstances. A recommendation may concern the purchase, sale, subscription, exchange, redemption, holding or disposal of a financial instrument. Once a personal recommendation is made, the activity falls within the investment-advice perimeter and triggers the corresponding MiFID II obligations, including suitability requirements. This distinction is particularly relevant in private banking because relationship managers regularly discuss investment opportunities with clients. The legal classification of those discussions determines whether the institution is merely providing information or is delivering a regulated investment service requiring specific controls, documentation and client-protection measures. By contrast, generic market commentary, factual product descriptions, investment research distributed to a broad audience, or purely educational information do not in themselves constitute investment advice. Mere information remains outside the perimeter.

• The client category affects the protection level. MiFID II is not limited to retail clients. Professional clients also remain within the framework. The service still needs classification, licensing and documentation.

The service model drives the compliance file. In practice, discretionary portfolio management must be documented through a management mandate, while investment advice must be supported by a process for making and recording personal recommendations. Both require suitability discipline.

A fund-management aside helps avoid confusion. Collective portfolio management is not private-banking portfolio management. A fund manager may obtain additional MiFID-type permissions. This is not limited to UCITS management companies. Authorised Alternative Investment Fund Managers may also be concerned. Practitioners often call this a “MiFID top-up”. That top-up does not create full MiFID investment-firm status.

The Commission de Surveillance du Secteur Financier (the “CSSF”) supervises this framework. In private banking, the key practical issue is identifying which service the bank is actually providing. Is the bank making investment decisions on behalf of the client (portfolio management), giving personalised recommendations (investment advice), or simply supplying information without making recommendations?

Classify the service. Confirm the licence. Keep appropriate records and documentation. In private banking, Articles 24-4 and 24-5 of the LFS are the starting point.

Connect with Bertrand Mariaux on LinkedIn.

You can listen to the related podcast on Apple Podcasts, Spotify, YouTube, or wherever you get your podcasts.

References:

• Articles 24-4 and 24-5 of the Luxembourg law of 5 April 1993 on the financial sector, as amended (https://www.cssf.lu/wp-content/uploads/L_050493_lfs.pdf)

• Law of 30 May 2018 on markets in financial instruments (https://www.cssf.lu/wp-content/uploads/L_300518_MiFID_eng.pdf)

• Directive 2014/65/EU of 15 May 2014 on markets in financial instruments (MiFID II) (https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32014L0065)

• CSSF investment firms page (https://www.cssf.lu/en/investment-firms/)

• CSSF authorisation of a management company — Chapter 15 (https://www.cssf.lu/en/authorisation-of-a-management-company-chapter-15/)

• FAQ AIFMD 20 May 2025 Version 24 (https://www.cssf.lu/wp-content/uploads/FAQ-AIFMD_200525.pdf)

• Law of 12 July 2013 on alternative investment fund managers (https://www.cssf.lu/wp-content/uploads/L_120713_AIFM_eng.pdf)

• CSSF MiFID II — MiFIR — PRIIPs page (https://www.cssf.lu/en/mifid-ii-mifir-priips/)

]]> https://bertrandmariaux.com/mifid-ii-luxembourg-portfolio-management-investment-advice/feed/ 0