Section 6.2.6 - La fonction compliance
CSSF Circular 12/552 on central administration, internal governance and risk management · CSSF 12/552
Section 6.2.6. La fonction compliance
16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860
La présente circulaire comprend les « orientations générales » contenues dans les orientations de l’ESMA concernant certains aspects de MiFID II relatifs aux exigences de la fonction de vérification de la conformité (ESMA35- 36-1952) et les applique à l’ensemble des activités de l’établissement, y compris la fourniture de services d’investissement. Lorsqu’ils mettent en œuvre ces exigences en relation avec des services d’investissement au sens de la LSF, les établissements tiennent compte des « orientations complémentaires » formulées dans les orientations ESMA35-36-1952.
Sous-section 6.2.6.1. La charte de compliance 139. Les modalités de fonctionnement de la fonction compliance en termes d’objectifs, de responsabilités et de pouvoirs sont arrêtées par une charte de compliance élaborée par la fonction compliance et approuvée par la direction autorisée et par l’organe de surveillance en dernier ressort.
140. La charte de compliance doit au minimum :
• définir la position de la fonction compliance dans l’organigramme de l’établissement tout en précisant ses caractéristiques clés (indépendance, objectivité, intégrité, compétences, autorité et suffisance des ressources) ; • reconnaître à la fonction compliance le droit d'initiative pour ouvrir des enquêtes portant sur toutes les activités de l’établissement y compris celles de ses succursales et filiales au Luxembourg et à l’étranger et à accéder à tous les documents, pièces et procès-verbaux des organes consultatifs et décisionnels de l’établissement, à voir toutes les personnes travaillant dans l’établissement, dans la mesure requise pour l’exercice de sa mission ; • définir les responsabilités et lignes de reporting du « Chief Compliance Officer » ; • décrire les relations avec les fonctions de gestion des risques et d’audit interne ainsi que d'éventuels besoins de délégation et/ou de coordination ; • définir les conditions et circonstances applicables lorsqu’il est fait recours à des experts externes ; • établir le droit pour le « Chief Compliance Officer » de contacter directement et de sa propre initiative le président de l’organe de surveillance ou, le cas échéant, les membres du comité d'audit ou du comité de compliance, ainsi que l’autorité compétente.
Le contenu de la charte de compliance est porté à la connaissance de tous les membres du personnel de l’établissement, y compris ceux qui travaillent dans les succursales et filiales au Luxembourg et à l’étranger.
16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860
141. La charte de compliance doit être mise à jour dans les meilleurs délais pour tenir compte de changements au niveau des normes applicables affectant l’établissement. Toutes les modifications doivent être approuvées par la direction autorisée, confirmées par le comité d’audit ou le comité de compliance, le cas échéant, et approuvées par l’organe de surveillance en dernier ressort. Elles sont portées à la connaissance de tous les membres du personnel.
Sous-section 6.2.6.2. Champ d’application et responsabilités spécifiques de la fonction compliance 142. La fonction compliance a pour objectif d’anticiper, de détecter, d'évaluer, de déclarer et de suivre les risques de compliance d’un établissement ainsi que d’assister la direction autorisée à doter l’établissement de mesures pour se conformer aux lois, règlements et standards applicables. Les risques de compliance peuvent comporter une variété de risques tels que le risque de réputation, le risque légal, le risque de contentieux, le risque de sanctions ainsi que d’autres aspects du risque opérationnel, ceci en relation avec l’intégralité des activités de l’établissement.
Ces tâches sont à réaliser continuellement et sans délais.
143. Pour atteindre les objectifs fixés, les responsabilités de la fonction compliance doivent couvrir au moins les aspects suivants :
• La fonction compliance identifie les normes auxquelles l’établissement est soumis dans l’exercice de ses activités dans les différents marchés et tient le relevé des règles essentielles. Ce relevé doit être accessible au personnel concerné de l'établissement ; • La fonction compliance identifie les risques de compliance auxquels l’établissement est exposé dans le cadre de l'exercice de ses activités et en évalue l’importance et les conséquences possibles. Le classement des risques de compliance ainsi déterminé doit permettre à la fonction compliance d’établir son plan de contrôle en fonction du risque, permettant ainsi une utilisation efficace des ressources de la fonction compliance ; • La fonction compliance veille à l'identification et l'évaluation du risque de compliance avant que l’établissement ne se lance dans un nouveau type d’activité, de produit ou de relation d'affaires, de même que lors du développement des opérations et du réseau d'un groupe sur une échelle internationale (« New Product Approval Process ») ;
16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860
• La fonction compliance veille à ce que, pour la mise en œuvre de la politique de compliance, l’établissement dispose de règles qui puissent servir de lignes directrices au personnel des différents métiers dans l’exercice de leurs tâches journalières. Ces règles doivent être reflétées de façon appropriée dans les instructions, procédures et contrôles internes pour les domaines relevant directement de la compliance et tiennent compte du code de conduite et des valeurs d’entreprise dont s’est doté l’établissement ; • Les domaines qui relèvent directement de la fonction compliance sont typiquement la lutte contre le blanchiment et le financement du terrorisme, les services d’investissement, la prévention en matière d’abus de marché et de transactions personnelles, les fraudes, la protection des intérêts et des données des clients et la prévention et la gestion des conflits d’intérêts. Cette liste n’est pas exhaustive et il appartient à l’établissement de décider si sa fonction compliance couvre également le respect d’autres règles que celles énoncées ci-avant ; • En tant que responsable du contrôle du respect des obligations professionnelles en matière de LBC/FT, le « Chief Compliance Officer » veille en particulier à ce que la lutte contre le blanchiment et le financement du terrorisme se traduise par des mesures et contrôles efficaces et appropriés au risque. En fonction du principe de proportionnalité, il peut se faire assister par un « AML Compliance Officer » ou une équipe dédiée, qui lui rapportent. Le rapport de synthèse de la fonction compliance est adressé en copie à l’autorité compétente et couvre le domaine de la lutte contre le blanchiment et le financement du terrorisme par un chapitre dédié relatant de manière concise mais sans omission les activités et événements liés au domaine concerné, c’est-à-dire les principales recommandations émises, les déficiences, irrégularités et problèmes majeurs (existants ou émergents) constatés, les mesures correctrices et préventives mises en place ainsi qu’un relevé des déficiences, irrégularités et problèmes qui n’ont pas encore fait l’objet de mesures correctrices appropriées. Le rapport rendra compte de l’état d’avancement du plan de surveillance de la conformité (« compliance monitoring plan ») en matière de LBC/FT et expliquera les éléments du plan n’ayant pas pu être achevés dans les délais prévus. Le rapport doit permettre d’évaluer la gravité des événements couverts et l’adéquation du plan de surveillance de la conformité, afin de rendre possible un jugement global sur l’adéquation et le fonctionnement efficace du cadre préventif en matière de LBC/FT mis en place par l’établissement ;
16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860
• D’une manière générale, la fonction compliance est à organiser de façon à couvrir tous les domaines pouvant donner lieu à des risques de compliance. Il est admissible que les domaines autres que ceux énumérés ci-dessus ne soient pas directement couverts par la fonction compliance. Le risque de compliance est alors à couvrir par les autres fonctions de contrôle interne suivant une politique de compliance définissant clairement les attributions et les responsabilités des différents intervenants en la matière et moyennant le respect de la ségrégation des tâches. Dans ce cas, le « Chief Compliance Officer » assume un rôle de coordination, de centralisation de l’information et de vérification que les autres domaines ne relevant pas directement de son champ d’intervention sont bien couverts. 144. La fonction compliance procède régulièrement à une vérification du respect de la politique de compliance et des procédures et se charge, en cas de besoin, des propositions d'adaptation. A cette fin, la fonction compliance effectue des évaluations et des contrôles réguliers du risque de compliance dans le cadre d’un programme de contrôle structuré. Pour les contrôles en matière de risque de compliance ainsi que pour la vérification des procédures et des instructions, les dispositions de la présente circulaire n’empêchent pas que la fonction compliance prenne en compte les travaux de l’audit interne.
145. La fonction compliance centralise toutes les informations sur les problèmes de compliance (entre autres les fraudes internes et externes, les infractions aux normes, le non-respect de procédures et de limites ou encore les conflits d'intérêts) détectés dans l'établissement.
Pour autant qu'elle ne tire pas ces informations de sa propre implication, elle procède à un examen des documents pertinents, qu'ils soient internes (par exemple rapports de contrôle et d'audit interne, rapports ou comptes rendus de la direction autorisée ou, le cas échéant, de l’organe de surveillance) ou externes (par exemple rapports du réviseur d’entreprises agréé, correspondance de la part de l'autorité de contrôle).
146. La fonction compliance assiste et conseille la direction autorisée pour des questions de compliance et de lois, règlements et standards applicables, notamment en la rendant attentive à des développements au niveau des normes qui pourraient ultérieurement avoir un impact sur le domaine de la compliance.
147. La fonction compliance veille à sensibiliser le personnel à l'importance de la compliance et des aspects connexes et à l’assister dans ses activités quotidiennes relatives à la compliance. Elle développe à ces fins également un programme de formation continue et s’assure de sa mise en œuvre.
16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860
148. Le « Chief Compliance Officer » est la personne de contact privilégiée des autorités compétentes en matière de lutte contre le blanchiment et le financement du terrorisme pour toute question relative à ce domaine ainsi qu’en matière d’abus de marché. Il est également en charge de la transmission de toute information ou déclaration auprès desdites autorités.
Sous-section 6.2.6.3. Organisation de la fonction compliance Les établissements créent une fonction compliance permanente et indépendante compte tenu du principe de proportionnalité et des critères régissant son application, ainsi que des considérations générales sur l’organisation des fonctions de contrôle interne élaborées à la section 6.2.4.
