Section 6.2.4 - Organisation des fonctions de contrôle interne

Section 6.2.4. Organisation des fonctions de contrôle interne 118. Chaque fonction de contrôle interne est placée sous la responsabilité d’un chef de fonction distinct qui est sélectionné, nommé et révoqué suivant une procédure interne écrite. Les nominations et révocations des responsables des fonctions de contrôle interne sont approuvées au préalable par l’organe de surveillance et rapportées par écrit à l’autorité compétente dans le respect de la Procédure prudentielle telle que publiée par la CSSF sur son site internet.

119. Les responsables des trois fonctions de contrôle interne sont responsables vis- à-vis de la direction autorisée et, en dernier ressort, vis-à-vis de l’organe de surveillance pour l’exécution de leur mandat. A ce titre, ces responsables doivent pouvoir contacter directement et de leur propre initiative le président de l’organe de surveillance ou, le cas échéant, le comité spécialisé compétent.

Les responsables des trois fonctions de contrôle interne sont désignés par « Chief Risk Officer » pour la fonction de gestion des risques, « Chief Compliance Officer » pour la fonction compliance et « Chief Internal Auditor » pour la fonction d’audit interne.

120. Une externalisation de la fonction compliance et de la fonction de gestion des risques n'est pas admise.

Il est admissible que l’ensemble des tâches opérationnelles de la fonction d’audit interne soient externalisées par de petits établissements dont le profil de risque est faible et non complexe. Une telle externalisation n’est en principe pas acceptable dans le cas d’établissements qui ont des agences, des succursales ou des filiales.

L’organe de surveillance de l’établissement conserve la responsabilité finale des tâches de l’audit interne qui sont externalisées. Les prestataires de services auxquels les tâches de l’audit interne sont externalisées dépendent et rapportent directement au membre de la direction autorisée en charge de l’audit interne. Ils ont un accès direct à l’organe de surveillance ou, le cas échéant, au président du comité d’audit.

121. Les dispositions du point précédent n'excluent pas que les fonctions de contrôle interne aient ponctuellement recours à l’expertise et aux ressources humaines ou techniques externes ou que l’établissement externalise à un prestataire (faisant partie du même groupe que l’établissement ou non) certaines tâches.

122. Le recours ponctuel à des ressources externes est régi par une procédure interne qui doit permettre en particulier à la direction autorisée et à l’organe de surveillance d’apprécier les dépendances et les risques qui résultent pour l’établissement d’un recours significatif à ces ressources externes.

16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860

La direction autorisée sélectionne ces ressources externes sur base d’une analyse d’adéquation entre les besoins de l’établissement et les services, le niveau d’objectivité et d’indépendance et les compétences spécifiques offerts par ces experts, qui doivent être indépendants du réviseur d’entreprises et du cabinet de révision agréés de l’établissement ainsi que du groupe dont ces personnes relèvent. L’organe de surveillance approuve les ressources externes sélectionnées par la direction autorisée.

Tout recours ponctuel à des ressources externes doit se faire sur base d’un mandat écrit. Ces experts réalisent leurs travaux dans le respect des dispositions réglementaires et internes qui sont applicables à la fonction de contrôle interne et au domaine de contrôle en question. Ils doivent être placés sous la dépendance du responsable de la fonction de contrôle interne dont relève le domaine contrôlé. Ce responsable supervise les travaux de ces tiers.

123. Toute externalisation de tâches se fait dans le respect des dispositions de la circulaire CSSF 22/806 sur l’externalisation.

124. Lorsqu’en application du principe de proportionnalité, l’établissement peut démontrer qu’il n’est pas justifié de mettre en place une fonction distincte de gestion des risques et une fonction compliance ou de nommer deux responsables à temps plein à la tête de ces deux fonctions, l’établissement peut mettre en place une fonction combinée ou un poste à responsabilité combinée, moyennant accord préalable de l’autorité compétente.

L’application du principe de proportionnalité ne peut cependant conduire au cumul d’autres responsabilités dans le chef d’une personne combinant déjà la responsabilité pour la fonction de gestion des risques et la fonction compliance.

L’établissement qui désire créer une fonction combinée de gestion des risques et de compliance, cumuler les responsabilités pour ces deux fonctions dans le chef d’une seule personne ou combiner l’une de ces responsabilités avec d’autres tâches, doit adresser une demande à l’autorité compétente qui comprendra :

• une description de la fonction combinée ou du poste à responsabilité combinée, • l’analyse et ses conclusions justifiant la création d’une fonction combinée ou d’un poste à responsabilité combinée au vu de l’organisation de l’établissement, de la nature, de l’échelle et de la complexité de ses activités et risques, et • la décision de l’organe de surveillance approuvant l’analyse et ses conclusions.

16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860

125. L’établissement qui, en application du principe de proportionnalité, désire externaliser l’ensemble des tâches opérationnelles de la fonction d’audit interne, doit adresser une demande préalable à l’autorité compétente en utilisant le formulaire de notification d’externalisation de processus d’entreprise (Business Process Outsourcing/BPO) critique ou important de la CSSF 9. 126. Les fonctions de contrôle interne d'un établissement doivent également être mises en place au niveau du groupe, des entités juridiques et des succursales qui le composent. Ces parties constituantes doivent être dotées chacune de leurs propres fonctions de contrôle interne en tenant compte du principe de proportionnalité.

127. Pour les succursales, les fonctions de contrôle interne dépendent, d'un point de vue hiérarchique et fonctionnel, des fonctions de contrôle des entités juridiques dont elles font partie et auxquelles elles font rapport.

Pour les filiales, les fonctions de contrôle interne dépendent, d'un point de vue fonctionnel, des fonctions de contrôle de la tête de groupe. Les responsables des fonctions de contrôle de la tête de groupe doivent donner leur accord pour tout recrutement, licenciement et décisions importantes sur la rémunération des chefs des fonctions de contrôle des succursales et/ou filiales. Les rapports établis conformément aux dispositions de la présente circulaire sont soumis non seulement à la direction et à l’organe de surveillance local, mais également, en synthèse, aux fonctions de contrôle interne de la tête de groupe qui les analyse et qui fait rapport des points à relever, conformément au point 116.

En vertu du principe de proportionnalité, l’établissement qui a créé trois fonctions de contrôle interne permanentes et indépendantes peut renoncer à mettre en place auprès d’entités juridiques ou de succursales du groupe dont la taille et les activités sont limitées, des fonctions de contrôle interne propres. Dans ce cas, l’établissement veille à ce que ses fonctions de contrôle interne procèdent à des contrôles réguliers et fréquents, y compris des contrôles annuels sur place, auprès de ces entités.

Lorsque l’établissement n’est pas entreprise mère, l’établissement s’efforce d’obtenir une synthèse des rapports des fonctions de contrôle interne des entités juridiques en question et les fait analyser par ses propres fonctions de contrôle interne. Celles-ci font rapport des recommandations majeures, des principaux problèmes, déficiences et irrégularités relevés, des mesures correctrices décidées et du suivi effectif de ces mesures conformément au point 116.

9 Formulaire de notification d’externalisation de processus d’entreprise critique ou important

16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860

128. Les principes de la présente circulaire n’excluent pas que, pour des établissements luxembourgeois qui sont succursale ou filiale de professionnels financiers luxembourgeois ou non, disposant de fonctions de contrôle interne au niveau de ces professionnels, les fonctions de contrôle interne soient liées de façon fonctionnelle à celles du professionnel en question.