Chapitre 5 - Organisation administrative, comptable et

Chapitre 5. Organisation administrative, comptable et informatique

Sous-chapitre 5.1. L’organigramme et les ressources humaines

68. L'établissement doit disposer sur place de ressources humaines suffisantes en nombre et disposant de compétences professionnelles individuelles et collectives appropriées afin de prendre des décisions dans le cadre des politiques fixées par la direction autorisée et sur base de pouvoirs délégués, et afin d'exécuter les décisions prises dans le respect des procédures et de la réglementation existantes. L’organigramme et la description des tâches sont arrêtés par écrit et mis à la disposition de l'ensemble du personnel concerné sous une forme facilement accessible.

69. L'organigramme retient pour les différentes fonctions (commerciales, de support, de contrôle) ainsi que pour les différentes unités opérationnelles leur structure et les liens hiérarchiques et fonctionnels entre elles et avec la direction autorisée et l’organe de surveillance.

70. La description des tâches à remplir par le personnel exécutant explique la fonction, les pouvoirs et la responsabilité de chaque exécutant.

71. L'organigramme et la description des tâches sont établis sur base du principe de la séparation des tâches. En vertu de ce principe, les tâches et responsabilités doivent être attribuées de façon à éviter qu'elles ne soient incompatibles dans le chef d'une même personne. Le but poursuivi est d’écarter les conflits d’intérêts et de prévenir au moyen d'un environnement de contrôles réciproques qu'une personne puisse commettre des erreurs et irrégularités qui ne seraient pas découvertes.

72. Conformément à l’article 7, paragraphe 2 de la LSF, la direction autorisée a une responsabilité collective en ce qui concerne la gestion de l’établissement. Le principe de la séparation des tâches ne déroge pas à cette responsabilité conjointe. Cette dernière reste compatible avec la pratique suivant laquelle les membres de la direction autorisée se répartissent les tâches journalières du suivi rapproché des différentes activités. L’établissement doit organiser cette répartition de manière à éviter les conflits d’intérêts. Ainsi, un même membre de la direction autorisée ne peut se voir attribuer la charge ou la responsabilité à la fois de fonctions de prise de risque et de contrôle indépendant de ces mêmes risques. Par ailleurs, si dans un établissement de taille et d’activité limitées avec seulement deux directeurs agréés, il subsiste des conflits d’intérêt après l’attribution des fonctions de prises de risques et de contrôle entre ces deux directeurs et que ces conflits d’intérêt ne peuvent être mitigés de manière efficace, la nomination d’un troisième directeur autorisé est nécessaire.

16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860

73. L’établissement dispose d’un programme de formation professionnelle continue qui assure que les membres du personnel et de l’organe de direction restent compétents et comprennent le dispositif de gouvernance interne ainsi que leurs propres rôles et responsabilités à cet égard.

74. Chaque membre du personnel doit prendre annuellement au moins deux semaines calendaires consécutives de congés personnels. Il doit être assuré que chaque membre du personnel soit effectivement absent pendant ce congé et que son remplaçant prenne effectivement en charge le travail de la personne absente.

Sous-chapitre 5.2. Les procédures et la documentation interne

75. Les établissements documentent par écrit l’ensemble du dispositif en matière d’administration centrale et de gouvernance interne.

Cette documentation porte sur les stratégies, les principes directeurs, les politiques et les procédures relatifs à l’administration centrale et à la gouvernance interne. Elle comprend un manuel des procédures clair, complet, détaillé et accessible dont les procédures sont connues de l’ensemble du personnel concerné et qui est tenu à jour en continu.

76. La description des procédures pour assurer l'exécution correcte des activités porte sur les points suivants :

• les étapes successives et logiques du traitement des opérations, de leur initiation à l’archivage de leur documentation (« workflow »), et • les contrôles à réaliser, ainsi que les moyens pour s'assurer que ceux-ci ont été réalisés. 77. Les établissements documentent par écrit l’ensemble de leurs opérations, c’est-à-dire tout processus qui crée un engagement dans le chef de l'établissement ainsi que les décisions y relatives. La documentation doit être tenue à jour et conservée par l'établissement conformément à la loi. Elle doit être organisée de telle manière qu'elle puisse être aisément consultée par un tiers autorisé.

A titre d'illustration en ce qui concerne les opérations de crédit, une documentation complète des décisions d'accorder, de modifier ou de résilier les crédits se trouve dans les dossiers de l'établissement au Luxembourg, de même que les contrats et toutes pièces relatives au suivi du service de la dette et de l'évolution financière du débiteur.

16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860

78. Les dossiers, documents de travail et rapports de contrôle des fonctions de contrôle interne, des experts et des prestataires de services visés au sous- chapitre 6.2 ainsi que les rapports de révision établis par le réviseur d’entreprises agréé sont conservés pendant au moins cinq ans, sans préjudice d’autres législations applicables, dans l’établissement luxembourgeois afin de permettre à l’établissement de retracer les contrôles effectués, les problèmes, déficiences ou irrégularités relevés ainsi que les recommandations et conclusions. L’autorité compétente ainsi que le réviseur d’entreprises agréé doivent toujours pouvoir accéder à ces pièces.

79. Tous les ordres d'opérations initiées par l’établissement et toute la correspondance avec les clients ou leurs mandataires émanent de l'établissement ; toute la correspondance y est adressée. Au cas où l'établissement dispose d'une succursale à l'étranger, cette dernière constitue le point de contact pour sa propre clientèle.

Sous-chapitre 5.3. L'infrastructure administrative et technique

80. L'établissement se dote des fonctions de support, des moyens matériels et techniques nécessaires et suffisants à l'exécution de ses activités.

Section 5.3.1. L'infrastructure administrative des fonctions commerciales 81. Chaque fonction commerciale doit reposer sur une infrastructure administrative qui garantit la mise en œuvre des décisions commerciales prises et leur bonne exécution, ainsi que le respect des pouvoirs et des procédures pour le domaine en question.

Section 5.3.2. La fonction financière et comptable 82. L'établissement dispose d'un service comptable et financier dont la mission est d'assumer la gestion comptable et financière de l'établissement. Il est permis qu'à l'intérieur de l'établissement certaines parties de la fonction financière et comptable soient décentralisées sous condition toutefois que le service comptable et financier central centralise et contrôle l'ensemble des écritures passées dans les différents services et établisse les comptes globaux. Le service comptable et financier doit veiller à ce que l'intervention d'autres services se fasse dans le strict respect du plan comptable et des instructions y relatives. Le service central reste responsable de la préparation des comptes annuels et de la préparation des informations à fournir à l’autorité compétente.

Dans les établissements d’importance significative, le CFO est sélectionné, nommé et révoqué suivant une procédure interne écrite, avec approbation au préalable par l'organe de surveillance.

83. La fonction financière et comptable opère sur base de procédures écrites qui prévoient :

16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860

• d'identifier et d'enregistrer toutes les transactions entreprises par l'établissement ; • d'expliquer l'évolution des soldes comptables d'un arrêté à l'autre par la conservation des mouvements ayant affecté les postes comptables ; • d'établir les comptes par application des règles de comptabilisation et d'évaluation définies par la législation comptable et la réglementation y afférente ; • de s’assurer de la fiabilité et de la pertinence des prix de marché et justes valeurs (« fair values ») utilisés dans l’établissement des comptes et du reporting à l’autorité compétente ; • de produire et de communiquer des informations périodiques à l’autorité compétente, comprenant en premier lieu le reporting légal et réglementaire, et d’en assurer la fiabilité, notamment en matière de solvabilité, de liquidité, d’expositions de crédits non performants, de crédits restructurés et de grands risques ; • de conserver toutes les pièces comptables suivant les dispositions légales en vigueur ; • d'établir, le cas échéant, des comptes suivant le schéma comptable en vigueur dans le pays d'origine de l'actionnaire en vue de l'établissement des comptes consolidés ; • de réaliser les réconciliations des comptes et des écritures comptables ; • de produire une information de gestion correcte, complète, pertinente, compréhensible et disponible sans délais qui permet à la direction autorisée la prise de décisions informées et de suivre de près l'évolution de la situation financière de l'établissement et sa conformité aux données budgétaires. Cette information servira comme instrument de contrôle de gestion et sera d'autant plus efficace si elle est basée sur une comptabilité analytique ; • de s’assurer de la fiabilité du reporting financier.

84. Les établissements se dotent d'un contrôle de gestion qui est soit rattaché au service comptable et financier, soit rattaché dans l'organigramme directement à la direction autorisée de l'établissement.

85. Les tâches exercées au sein du service comptable et financier ne peuvent pas être cumulées avec d’autres tâches incompatibles, tant commerciales qu’administratives.

86. Dans le cadre de l'ouverture de comptes de tiers (bilan et hors-bilan), chaque établissement définit des règles précises d'enregistrement des comptes dans sa comptabilité. Il précise par ailleurs les conditions d’ouverture, de clôture et de fonctionnement de ces comptes.

16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860

L'établissement doit éviter d'avoir dans la comptabilité une multitude de comptes avec des contenus incontrôlables, qui se prêteraient à exécuter des opérations non autorisées voire frauduleuses ; une attention particulière devra être accordée aux comptes dormants. A cet effet, l'établissement mettra en place des procédures de vérification et de suivi appropriées.

87. L'ouverture et la clôture des comptes internes dans la comptabilité doivent être validées par le service comptable et financier. En cas d’ouverture de comptes, cette validation doit intervenir avant que ces comptes ne commencent à devenir opérationnels. L'établissement fixe des règles concernant l'utilisation de pareils comptes et les pouvoirs pour leur ouverture et leur clôture. Le service comptable et financier veille à ce que les comptes internes soient soumis périodiquement à une procédure de justification de leur nécessité.

Il y a lieu de veiller à ne pas tenir ouverts des comptes internes et des comptes de passage qui ne répondraient plus à une utilisation définie par les règles fixées.

88. Les écritures ayant un effet rétroactif ne peuvent servir qu’à des fins de régularisation.

Les écritures ayant un effet rétroactif ainsi que les écritures en matière d’extournes sont à autoriser et surveiller à la fois au sein des services qui sont à l’origine de ces écritures et par le service comptable et financier.

89. L'ensemble de l'organisation et des procédures comptables sont décrites dans un manuel des procédures comptables.

Dans la définition et la mise en œuvre de ces procédures, les établissements veillent au respect du principe d’intégrité afin d’éviter en particulier que le système comptable ne puisse être utilisé à des fins frauduleuses.

Section 5.3.3. La fonction informatique 90. Les établissements organisent leur fonction informatique de manière à en avoir le contrôle et à en assurer la robustesse, l’efficacité, la cohérence et l’intégrité conformément au chapitre 3 de cette partie. Pour ce faire, ils respectent les exigences de la circulaire CSSF 20/750 relative aux exigences en matière de gestion des risques liés aux technologies de l’information et de la communication et à la sécurité.

91. Les établissements qui, en matière de fonction informatique, recourent à des prestataires de services respectent en particulier les conditions prévues dans la circulaire CSSF 22/806 dédiée à l’externalisation.

16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860

Section 5.3.4. Le dispositif de communication et d’alerte interne et externe 92. Le dispositif de communication interne assure que les stratégies, politiques et procédures de l’établissement ainsi que les décisions et mesures prises par l’organe de direction, directement ou par voie de délégation, sont communiquées de manière claire et exhaustive à tous les membres du personnel de l’établissement en tenant compte de leurs besoins d'information et de leurs responsabilités au sein de l'établissement. Le dispositif de communication interne permet au personnel un accès aisé et permanent à ces informations.

93. Le système d’information de gestion assure que toute l’information de gestion, en temps normal et en situation de crise, est communiquée de manière claire, exhaustive et sans délais à tous les membres de l’organe de direction et du personnel de l’établissement en tenant compte de leurs besoins d'information, de leurs responsabilités au sein de l'établissement et de l’objectif d’assurer une gestion saine et prudente des activités.

94. Les établissements maintiennent un dispositif interne d'alerte (« whistleblowing ») qui permet à l’ensemble du personnel de l’établissement d’attirer l'attention sur des préoccupations légitimes liées à la gouvernance interne, aux exigences internes ou au cadre réglementaire national et de l’Union. Ce dispositif respecte la confidentialité de l’identité tant des personnes qui soulèvent de telles préoccupations que des personnes qui sont présumées responsables de violations. Le dispositif prévoit la possibilité de soulever ces préoccupations en dehors des lignes hiérarchiques établies ainsi qu’au niveau de l’organe de surveillance. Il en garantit le suivi approprié et la conservation des dossiers. Les alertes données de bonne foi n’entraînent aucune responsabilité ou retombée défavorable d’aucune sorte dans le chef des personnes qui les ont données.

95. La CSSF met également à disposition sur son site internet un outil et une procédure permettant la déclaration d’incidents directement à la CSSF. (https://whistleblowing.apps.cssf.lu/index.html?language=fr).

Section 5.3.5. Le dispositif de gestion de crises

96. Le dispositif de gestion de crises repose sur des ressources (ressources humaines, infrastructure administrative et technique et documentation) qui doivent être aisément accessibles et disponibles en cas d’urgence.

97. Le dispositif de gestion de crises garantit qu’en situation de crise, les établissements de crédit fournissent au public les informations visées par les lignes directrices du CEBS publiées le 26 avril 2010 (« Principles for disclosures in times of stress (Lessons learnt from the financial crisis) »).

98. Le dispositif de gestion de crises comprend un plan de redressement qui est conforme aux exigences du chapitre 2 de la partie IV de la LSF.

16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860

99. Le dispositif de gestion de crises fait l’objet de tests réguliers et de mises à jour en vue d’assurer et de maintenir son efficacité.