Section 6.2.7 - La fonction d’audit interne
Circulaire CSSF 12/552 sur l'administration centrale, la gouvernance interne et la gestion des risques · CSSF 12/552
Section 6.2.7. La fonction d’audit interne
Sous-section 6.2.7.1. La charte d’audit interne 149. Les modalités de fonctionnement de la fonction d’audit interne en termes d’objectifs, de responsabilités et de pouvoirs doivent être arrêtées par une charte d’audit interne élaborée par la fonction d’audit interne et approuvée en dernier ressort par l’organe de surveillance.
La charte d’audit interne doit au minimum :
• définir la position de la fonction d’audit interne dans l’organigramme de l’établissement tout en en précisant les caractéristiques clés (indépendance, objectivité, intégrité, compétence, autorité, suffisance des ressources) ; • conférer à la fonction d’audit interne le droit d’initiative et l’autoriser à examiner toutes les activités et fonctions de l’établissement, y compris celles de ses succursales et filiales au Luxembourg et à l’étranger ainsi que les activités et fonctions faisant l’objet d’une externalisation, à accéder à tous les documents, pièces, procès-verbaux des organes consultatifs et décisionnels de l’établissement, à voir toutes les personnes travaillant pour l’établissement, dans la mesure requise pour l’exercice de sa mission ; • définir les lignes de communication hiérarchiques et fonctionnelles des conclusions qui se dégagent des missions d’audit ; • définir les relations avec les fonctions compliance et de gestion des risques ; • définir les conditions et circonstances applicables lorsqu’il est fait recours à l’expertise de tiers ; • définir la nature des travaux et les conditions dans lesquelles la fonction d’audit interne peut fournir de la consultance interne ou effectuer d’autres missions spéciales ; • définir les responsabilités et lignes de reporting du responsable de la fonction d’audit interne ;
16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860
• établir le droit pour le « Chief Internal Auditor » de contacter directement et de sa propre initiative le président de l’organe de surveillance ou, le cas échéant, les membres du comité d'audit ainsi que l’autorité compétente ; • préciser les standards professionnels reconnus qui gouvernent le fonctionnement et les travaux de l’audit interne 11 ; • préciser les procédures à respecter en matière de coordination et de coopération avec le réviseur d’entreprises agréé.
Le contenu de la charte d’audit interne est porté à la connaissance de tous les membres du personnel de l’établissement, y compris ceux qui travaillent dans les succursales et filiales au Luxembourg et à l’étranger.
La charte d’audit interne doit être mise à jour dans les meilleurs délais pour tenir compte des changements intervenus. Toutes les modifications doivent être approuvées par l’organe de surveillance en dernier ressort. Elles sont portées à la connaissance de tous les membres du personnel.
150. Le service d’audit interne est suffisant en nombre et dispose de compétences suffisantes dans son ensemble pour couvrir toutes les activités de l’établissement. Les auditeurs internes doivent avoir des connaissances suffisantes des techniques d’audit.
Afin de ne pas compromettre leur indépendance de jugement, les personnes relevant de l’audit interne ne peuvent pas être chargées de l’élaboration ou de la mise en place d’éléments du dispositif en matière d’administration centrale et de gouvernance interne. Ce principe n’exclut pas qu’elles contribuent à la mise en œuvre de mécanismes de contrôle interne solides à travers des avis et des recommandations qu’elles fournissent en la matière. De plus, en vue d’éviter les conflits d’intérêts, il y a lieu, dans la mesure du possible, d’assurer une rotation des tâches de contrôle assignées aux différents auditeurs internes et d’éviter que les auditeurs recrutés au sein de l’établissement ne contrôlent des activités ou fonctions qu’ils exerçaient eux-mêmes auparavant dans un passé récent.
11 tels que par exemple l’« International Professional Practices Framework (IPPF) » de l’Institute of Internal Auditors (IIA)
16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860
Sous-section 6.2.7.2. Responsabilités spécifiques et champ d’application de la fonction d’audit interne 151. La fonction d’audit interne examine et évalue, entre autres (liste non exhaustive 12), en fonction de l’organisation et de la nature, de l’échelle et de la complexité des activités :
• le suivi du respect des lois et réglementations ainsi que des exigences prudentielles imposées par l’autorité compétente ; • l’efficacité et l’efficience du dispositif en matière d’administration centrale, de gouvernance et de contrôle interne, en ce compris la fonction de gestion des risques et la fonction compliance ; • la sauvegarde des valeurs et des biens ; • l’enregistrement correct et exhaustif des opérations et la production d’informations financières et prudentielles correctes, complètes, pertinentes, compréhensibles et disponibles sans délais à l’organe de surveillance et aux comités spécialisés, le cas échéant, à la direction autorisée et à l’autorité compétente ; • le respect des politiques et procédures, en particulier celles régissant l’adéquation des fonds propres et des réserves de liquidités internes ; • L’intégrité des processus devant assurer la fiabilité des méthodes et outils utilisés par l’établissement, les hypothèses et données utilisées dans les modèles internes, les outils qualitatifs servant à l’identification et l’évaluation des risques ainsi que les mesures d’atténuation du risque qui sont prises. 152. Lorsqu’il existe à l’intérieur de l’établissement un service distinct en charge du contrôle ou de la surveillance d’une activité ou d’une fonction spécifique, l’existence d’un tel service ne décharge pas le service d’audit interne de sa responsabilité de contrôler ce domaine spécifique. Toutefois, le service d’audit interne peut tenir compte dans son travail des appréciations données par ce service sur le domaine en question.
L’audit interne doit être indépendant des autres fonctions de contrôle interne qu’il audite. Par conséquent, la fonction de gestion des risques ou la fonction compliance ne peuvent pas faire partie du service d'audit interne d'un établissement. Cependant, ces fonctions peuvent prendre en compte les travaux de l'audit interne en matière de vérification de l'application correcte des normes en vigueur à l'exercice des activités exercées par l'établissement.
12 Le principe 7 du document « BCBS_223 The internal audit function in banks » contient une liste plus complète des activités qui peuvent rentrer dans le champ d’application de la fonction d’audit interne des établissements.
16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860
153. La mise en place d’une fonction d’audit interne locale dans les filiales de l’établissement ne dispense pas l’audit interne de la tête de groupe de procéder régulièrement à des contrôles sur place auprès de ces fonctions d’audit interne locales.
Sous-section 6.2.7.3. Exécution des travaux d’audit interne
154. L’ensemble des missions d’audit interne est planifié et exécuté selon un plan d’audit interne. Le plan est établi par le responsable de la fonction d’audit interne pour une période pluriannuelle (en principe trois ans) avec comme objectif de couvrir l’ensemble des activités et des fonctions, en tenant compte à la fois des risques que présentent une activité ou une fonction et de l’efficacité de l’organisation et du contrôle interne en vigueur pour cette activité ou fonction (approche basée sur le risque). Le plan tient compte des avis de l’organe de surveillance ou du comité d’audit, le cas échéant, ainsi que de la direction autorisée. Le plan couvre toutes les matières présentant un intérêt prudentiel (y compris les observations et les demandes de l’autorité compétente) et tient compte également des développements et innovations prévus ainsi que des risques qui peuvent en découler.
155. Le plan est discuté avec la direction autorisée et le comité d’audit, le cas échéant, et approuvé en dernier ressort par l’organe de surveillance. Il est à revoir sur une base annuelle et à adapter en fonction des développements et des urgences. Toute adaptation est à revoir par la direction autorisée et le comité d’audit, le cas échéant, avant d’être approuvée par l’organe de surveillance. L’approbation implique que la direction autorisée mette à la disposition du service d’audit interne les moyens nécessaires pour l’exécution du plan d’audit interne.
Dans son rapport de synthèse à l’organe de surveillance, l’audit interne signale et motive les principales modifications apportées au plan d’audit tel qu’il a été approuvé initialement par l’organe de surveillance : missions annulées, missions reportées ainsi que missions dont le champ d’application a été changé de manière significative.
156. Le plan définit les objectifs de chaque mission et l’étendue des travaux à réaliser, estime le temps et les ressources humaines et matérielles nécessaires et attribue à chaque activité et risque une fréquence d’audit.
Le plan d’audit interne prévoit également de couvrir, endéans la période de planification pluriannuelle, de façon adéquate et suffisamment fréquente les activités importantes ou complexes qui représentent un risque potentiel important, y compris sur le plan de la réputation. Il accorde une attention particulière au risque d’erreurs d’exécution et au risque de fraude.
16/647, 17/655, 20/750, 20/759, 21/785, 22/807 ET 24/860
Le plan d’audit interne prévoit une couverture adéquate des domaines présentant un risque de blanchiment ou de financement du terrorisme de manière à permettre à l’audit interne de rendre compte annuellement dans le rapport de synthèse sur le respect de la conformité à la politique de lutte contre le blanchiment et le financement du terrorisme.
157. Dans l’hypothèse où le service d’audit interne de la maison mère de l’établissement luxembourgeois procède régulièrement à des contrôles sur place auprès de sa filiale, il est recommandé pour des raisons d’efficacité, que l’établissement luxembourgeois coordonne, dans la mesure du possible, son plan d’audit interne avec celui de sa maison mère.
158. Le service d’audit interne informe la direction autorisée et, le cas échéant, le comité d’audit de façon régulière sur l’exécution du plan d’audit interne.
159. Chaque mission d’audit interne est planifiée, exécutée et documentée en conformité avec les standards professionnels adoptés par la fonction d’audit interne dans sa charte d’audit interne.
160. Chaque mission doit faire l’objet d’un rapport écrit du service d’audit interne destiné, en règle générale, aux personnes contrôlées, à la direction autorisée ainsi que - éventuellement sous forme de synthèse - à l’organe de surveillance (et au comité d’audit, le cas échéant). Les rapports sont également à tenir à disposition du réviseur d’entreprises agréé et de l’autorité compétente. Ces rapports sont à rédiger en français, allemand ou anglais.
Le service d’audit interne établit un tableau des missions d’audit interne et des rapports écrits y relatifs. Il rédige au moins une fois par an un rapport de synthèse.
Sous-section 6.2.7.4. Organisation de la fonction d’audit interne 161. Les établissements créent une fonction d’audit interne permanente et indépendante compte tenu du principe de proportionnalité et des critères régissant son application, ainsi que des considérations sur l’organisation des fonctions de contrôle interne élaborées à la section 6.2.4.
162. (supprimé dans le cadre de la mise à jour du 24 août 2024)
