Section 5.3.1 - : Fonction permanente de gestion des risques

Section 5.3.1. : Fonction permanente de gestion des risques Sous-section 5.3.1.1. : Obligations des GFI en matière de gestion des risques 186. Les articles 42 (1) de la Loi 2010 et 14 de la Loi 2013 introduisent notamment l’obligation pour un GFI d’employer une méthode, respectivement des systèmes, de gestion des risques qui lui permettent de détecter, mesurer et contrôler les risques associés aux positions des OPC. 187. La fonction permanente de gestion des risques et la politique de gestion des risques en sont des éléments centraux. Sous-section 5.3.1.2. : Fonction permanente de gestion des risques 188. Conformément aux articles 13 du Règlement 10-4 et 39 du Règlement Délégué 231/2013, un GFI doit, entre autres, établir et garder opérationnelle une fonction permanente de gestion des risques. 189. La fonction permanente de gestion des risques doit être indépendante, d’un point de vue hiérarchique et fonctionnel, des unités opérationnelles conformément à l’article 13 (2) du Règlement 10-4 et à l’article 14 (1) de la Loi 2013, tel que précisé au point 533 de la présente circulaire. 190. La séparation sur le plan fonctionnel et hiérarchique des fonctions de gestion des risques est examinée par la CSSF conformément au principe de proportionnalité, étant entendu que le GFI est en tout état de cause en mesure de démontrer que des mesures de protection spécifiques contre les conflits d’intérêts permettent l’exécution indépendante des activités de gestion des risques et que le processus de gestion des risques répond aux exigences des articles 42 de la Loi 2010 et 14 de la Loi 2013 avec une efficacité constante. 191. La fonction permanente de gestion des risques est chargée : • de mettre en œuvre la politique et les procédures de gestion des risques ; • de veiller au respect du système de limitation des risques des OPC gérés, et notamment des limites légales sur le risque global et le risque de contrepartie, conformément aux articles 46, 47 et 48 du Règlement 10-4 pour les OPCVM et, en ce qui concerne les FIA, des limites fixées en conformité avec l’article 44 du Règlement Délégué 231/2013 ; • de participer à la définition, à l’élaboration et au suivi du profil de risque des OPC conformément aux articles 13 du Règlement 10-4 et 39 du Règlement Délégué 231/2013 ; • de faire régulièrement rapport à l’organe de direction/organe directeur du GFI et à sa fonction de surveillance, si elle existe, sur les points mentionnés à l’article

Circulaire 18/698 Page 32/102 13 (3) d) du Règlement 10-4 et à l’article 39 (1) d) du Règlement Délégué 231/2013 ; • de faire régulièrement rapport aux instances dirigeantes du GFI sur le niveau de risque actuel encouru par chaque OPC géré et sur tout dépassement effectif ou prévisible des limites fixées, afin que des mesures rapides et appropriées puissent être prises ; • d’examiner et le cas échéant de contribuer à l’efficacité des dispositifs et procédures d’évaluation des actifs conformément aux articles 13 et 49 du Règlement 10-4 et 70 du Règlement Délégué 231/2013. 192. La mission principale de la fonction permanente de gestion des risques est donc d’identifier, de mesurer et de gérer les risques des OPC, et de faire des rapports à l’organe de direction/organe directeur et aux instances dirigeantes du GFI. Ces rapports écrits doivent contenir des analyses permettant notamment aux destinataires de vérifier la cohérence entre : • les niveaux de risque et le profil de risque de chaque OPC, • les niveaux de risque et les limites fixées pour chaque OPC, • le profil de risque et les limites fixées pour chaque OPC, et de s’assurer qu’aucun risque nouveau n’apparaisse. 193. Les rapports doivent également inclure les plans d’actions visant à remédier aux défaillances constatées et rendre compte de l’efficacité des actions menées à cette fin. 194. Le profil de risque établi pour chaque OPC joue un rôle central dans la mission de la fonction permanente de gestion des risques. Sa documentation ainsi que celle de l’analyse de sa cohérence avec les limites fixées et les niveaux de risque constatés doivent être disponibles immédiatement sur demande de la CSSF. 195. De manière générale, toutes les interventions de la fonction permanente de gestion des risques doivent être documentées. 196. La fonction permanente de gestion des risques doit disposer de suffisamment de ressources humaines et de moyens techniques, et de toute l’expertise nécessaire pour pouvoir s’acquitter de ses fonctions. Elle doit de plus jouir de l’autorité nécessaire et avoir accès à toutes les informations pertinentes nécessaires à l’accomplissement de ses fonctions. Des canaux de communication doivent notamment être établis entre la fonction permanente de gestion des risques et la fonction de gestion de portefeuille. Le cas échéant, la fonction permanente de gestion des risques peut participer ou être représentée au sein des comités internes portant notamment sur la gestion des risques, l’évaluation et la gestion des OPC. Sous-section 5.3.1.3. : Responsable de la fonction permanente de gestion des risques 197. Tout GFI doit, en principe, désigner parmi son personnel une personne en tant que responsable à la fonction permanente de gestion des risques disposant des qualifications, des connaissances et de l’expertise nécessaire en la matière. Cette personne doit exercer sa fonction sous la responsabilité directe du dirigeant ayant dans ses attributions la fonction de gestion des risques. 198. Le GFI doit communiquer au préalable à la CSSF le nom de son responsable à la fonction permanente de gestion des risques complété par les informations suivantes et par tout autre document éventuellement précisé ultérieurement par la CSSF : • un curriculum vitae récent, signé et daté ; • une copie du passeport/de la carte d’identité ; • une déclaration sur l’honneur telle que téléchargeable sur le site de la CSSF (www.cssf.lu) ; et • un extrait du casier judiciaire récent, si disponible, ou tout autre document comparable.

Circulaire 18/698 Page 33/102 199. En cas de changement du responsable à la fonction permanente de gestion des risques, le GFI doit communiquer au préalable à la CSSF le nom de la personne lui succédant dans ses fonctions, complété par les documents visés au point 198. 200. En vertu du principe de proportionnalité, il est également admissible de désigner directement en tant que responsable à la fonction permanente de gestion des risques un des dirigeants du GFI, à condition qu’il justifie des qualifications, des connaissances et de l’expertise nécessaire en la matière. Sans préjudice du modèle opérationnel choisi, le dirigeant ayant dans ses attributions la fonction permanente de gestion des risques, ou étant directement le responsable de la fonction permanente de gestion des risques, ne peut pas être en même temps le dirigeant responsable de la gestion d’investissement, même si cette fonction est déléguée à un tiers. Le dirigeant ayant dans ses attributions la fonction permanente de gestion des risques ne peut pas non plus avoir la fonction d’audit interne dans ses attributions. 201. Le responsable de la fonction permanente de gestion des risques ne peut pas être également responsable de la fonction d'audit interne. En revanche, il est admissible de cumuler les responsabilités en matière de compliance et de gestion des risques. 202. Le rôle de responsable de la fonction permanente de gestion des risques ne peut pas être assuré en direct par un membre de l’organe de direction/organe directeur, sauf s’il fait partie des instances dirigeantes du GFI. Sous-section 5.3.1.4. : Politique de gestion des risques 203. Conformément aux articles 43 du Règlement 10-4 et 40 du Règlement Délégué 231/2013, un GFI doit établir, mettre en œuvre et garder opérationnelle une politique de gestion des risques appropriée et documentée qui permette de déterminer les risques auxquels les OPC qu’il gère sont exposés ou pourraient être exposés. Cette politique est mise en œuvre par la fonction permanente de gestion des risques. 204. La politique de gestion des risques doit comporter toutes les procédures nécessaires pour permettre au GFI d’évaluer, pour chaque OPC qu’il gère, l’exposition de cet OPC aux risques de marché, de crédit, de liquidité et de contrepartie, ainsi que l’exposition de cet OPC à tout autre risque, y compris le risque opérationnel, susceptible d’être significatif pour cet OPC. 205. La politique de gestion des risques doit porter au moins sur les éléments mentionnés aux articles 43 du Règlement 10-4 et 40 du Règlement Délégué 231/2013. En particulier, la description des techniques, outils et dispositions permettant au GFI de mesurer et de gérer les risques, de même que l’attribution des responsabilités au sein du GFI, doivent être détaillées et complètes. Les articles 45 du Règlement 10-4 et 44 et 45 du Règlement Délégué 231/2013 détaillent par ailleurs les exigences en matière de mesure et de gestion des risques et en matière de limites de risque. Dans ce contexte, il est rappelé que le GFI doit notamment : • adopter des dispositions, des procédures et des techniques appropriées et efficaces en vue de mesurer et de gérer les risques auxquels les OPC qu’il gère sont exposés ou sont susceptibles d’être exposés ; • effectuer périodiquement, le cas échéant, des simulations de crise et des analyses de scénarios afin de tenir compte des risques résultant d’évolutions possibles des conditions de marché susceptibles d’avoir une incidence négative sur les OPC ; • fixer des limites en accord avec les profils de risque des OPC et contrôler leur respect. 206. Les dispositions, procédures et techniques susmentionnées doivent être proportionnées à la nature, à l’échelle et à la complexité des activités du GFI et des OPC qu’il gère, et conformes au profil de risque des OPC. 207. La politique de gestion des risques du GFI doit aussi inclure les techniques, outils et dispositions relatifs à la procédure de gestion du risque de liquidité que le GFI doit utiliser le cas échéant, et qui

Circulaire 18/698 Page 34/102 doit garantir que le profil de liquidité des investissements de chaque OPC est conforme à ses obligations sous-jacentes, dans le respect des dispositions prévues à l’article 45 du Règlement 10-4, à l’article 15 de la Loi 2013 et aux articles 46 à 49 du Règlement Délégué 231/2013. Ces dispositions détaillent également les obligations qui incombent au GFI en matière de simulations de crise dans le contexte de la gestion de la liquidité. 208. La politique de gestion des risques doit être documentée et disponible immédiatement sur demande de la CSSF. 209. Conformément aux articles 44 du Règlement 10-4 et 41 du Règlement Délégué 231/2013, le GFI doit notamment évaluer, contrôler et réexaminer périodiquement (au moins une fois par an) : • l’adéquation et l’efficacité de la politique de gestion des risques et des dispositions, des procédures et des techniques utilisées en vue de mesurer et de gérer les risques et de veiller au respect des limites fixées ; • la mesure dans laquelle le GFI respecte la politique de gestion des risques et les dispositions, procédures et techniques susmentionnées ; • l’adéquation et l’efficacité des mesures prises pour remédier à d’éventuelles défaillances dans le fonctionnement de la procédure de gestion des risques. 210. Le cas échéant, le GFI doit procéder aux modifications requises suite à ce réexamen et informer la CSSF de toute modification importante de sa politique de gestion des risques. 211. D’une manière plus générale, le responsable de la fonction permanente de gestion des risques doit faire rapport à l’organe de direction/organe directeur, et à la fonction de surveillance du GFI si elle existe, sur l’adéquation et l’efficacité de la méthode de gestion des risques, conformément aux articles 13 (3) d) du Règlement 10-4 et 39 (1) d) du Règlement Délégué 231/2013. Ce rapport doit notamment indiquer le statut d’éventuelles actions correctives. 212. Le rapport écrit à établir, en application des articles 10 (4) du Règlement 10-4 et 60 (4) du Règlement Délégué 231/2013, par la fonction de gestion des risques et appréciant l’adéquation et l’efficacité de la gestion des risques doit être soumis une fois par an à la CSSF et au plus tard dans les cinq mois suivant la clôture de l’exercice social du GFI. Ce rapport peut prendre la forme d’un rapport consolidé englobant l’ensemble des OPC gérés par le GFI. Sous-section 5.3.1.5. : Procédure de gestion des risques (« PGR ») à communiquer à la CSSF 213. En application des articles 42 (1) de la Loi 2010 et 22 (2) c) de la Loi 2013, le GFI doit communiquer à la CSSF un certain nombre d’informations en relation avec la politique de gestion des risques visant à identifier, mesurer, gérer, contrôler et faire rapport sur les risques susceptibles d’être significatifs pour les OPC qu’il gère. Cette communication doit se faire au moyen d’une PGR, selon les modalités décrites ici. 214. En ce qui concerne la SGO pour les OPCVM qu’elle gère, la circulaire CSSF 11/512 présentant, entre autres, les principaux changements du cadre réglementaire en matière de gestion des risques et fournissant des précisions par rapport aux règles portant sur la gestion des risques, détaille dans son chapitre V les exigences de la CSSF en matière de communication dans ce contexte. En particulier, l’annexe de ladite circulaire présente une trame qui doit être respectée pour cette PGR. 215. En ce qui concerne le GFIA, la trame de la PGR en annexe 1 de la présente circulaire doit être respectée pour les FIA gérés. La partie générale est relative à l’organisation principale du GFIA. Des parties spécifiques complémentaires doivent être établies en fonction des stratégies des FIA gérés : au minimum, une partie spécifique complémentaire sera créée pour chaque type de stratégies d’investissement des FIA, telles que définies à l’annexe IV du Règlement Délégué 231/2013 (« stratégies de type spéculatif », « stratégies de capital-investissement », « stratégies d’investissement immobilier », « stratégies de fonds de fonds » et « autres stratégies »). Si besoin, des parties spécifiques devront être établies à un niveau de granularité supérieur (p.ex. : création d’une partie spécifique complémentaire pour la stratégie « autres stratégies/fonds de matières

Circulaire 18/698 Page 35/102 premières » et création d’une partie spécifique complémentaire pour la stratégie « autres stratégies/fonds d’infrastructure »). L’appréciation de la pertinence de ces parties spécifiques est laissée au GFIA. Toutefois, la CSSF se réserve le droit d’exiger une ou plusieurs partie(s) spécifique(s) complémentaire(s) si elle l’estime nécessaire.

Circulaire 18/698 Page 36/102 216. La PGR doit également respecter les règles suivantes : • la procédure de gestion des risques doit suivre strictement la trame appropriée ; • les commentaires, explications, descriptions et démonstrations fournis doivent être succincts ; • toutes les sections prévues dans chaque trame doivent être remplies et, le cas échéant si l’une d’elles n’est pas applicable (p.ex. : approche par la VaR pour la détermination du risque global d’un OPCVM), son intitulé doit néanmoins être repris et la mention « non applicable » doit être indiquée sous l’intitulé ; • la procédure doit être envoyée par voie électronique à l’adresse opc@cssf.lu ; • la procédure de gestion des risques inclut les réponses aux exigences listées dans cette annexe en considérant les activités de gestion des risques faisant l’objet d’accord(s) avec un ou plusieurs tiers et en se référant, le cas échéant, aux procédures, systèmes et méthodes du ou des tiers. 217. Tout nouveau GFI se soumettant au chapitre 15 de la Loi 2010 ou au chapitre 2 de la Loi 2013 doit, dans le cadre du dossier d’agrément à introduire auprès de la CSSF, soumettre une PGR en accord avec la trame appropriée. Ensuite, une mise à jour doit être communiquée à la CSSF au moins une fois par an dans les cinq mois suivant la clôture de l’exercice social du GFI. Cette obligation entre en vigueur à partir de l’exercice social se clôturant en 2018. A noter que, en cas d’introduction d’une demande d’extension de l’agrément d’un GFIA à un nouveau type de stratégies d’investissement de FIA, telles que définies à l’annexe IV du Règlement Délégué 231/2013, une PGR adaptée à ce nouveau type de stratégie doit être soumise à la CSSF. 218. Avant le lancement d’un nouvel OPC (y compris un compartiment) et, le cas échéant, lors de l’introduction du dossier d’agrément auprès de la CSSF, le GFI doit notamment s’assurer de l’adéquation de la politique de gestion des risques, et donc de la PGR. Si tel est le cas, le GFI doit le confirmer par écrit à la CSSF au moment du lancement et, le cas échéant, lors de l’introduction du dossier de ce nouvel OPC en mentionnant la référence de la dernière version de la PGR communiquée. Dans le cas contraire (p.ex. : absence de couverture de la stratégie de l’OPC par la politique de gestion des risques), le GFI doit adapter sa politique de gestion des risques, répercuter ces changements dans la PGR et communiquer ensuite ce document à la CSSF avec les autres éléments du dossier relatif au nouvel OPC. 219. A noter également que la procédure doit couvrir à tout moment l’ensemble des OPC (y compris les compartiments d’OPC) gérés et qu’en cas de modification substantielle de la politique de gestion des risques (p.ex. : changement dans les procédures ou dans les méthodes de gestion des risques), le GFI doit mettre à jour la PGR et informer la CSSF en communiquant spontanément une version actualisée de cette procédure. 220. La CSSF tient à rappeler que cette PGR à communiquer à la CSSF est bien un élément distinct de la politique de gestion des risques décrite à la sous-section 5.3.1.4. En effet, alors que la procédure de gestion des risques évoquée ici est un outil synthétique de communication vis-à-vis de la CSSF qui lui sert notamment à effectuer sa surveillance prudentielle en matière de gestion des risques, la politique de gestion des risques est une documentation plus libre sur sa forme mais plus détaillée sur son contenu, reprenant entre autres les procédures, techniques, outils et allocations de responsabilités permettant l’exercice de la gestion des risques. 221. Il est également rappelé qu’en application de l’article 50 du Règlement 10-4, une SGO doit fournir à la CSSF, au moins une fois par an, un rapport contenant des informations donnant une image fidèle des types d’instruments financiers utilisés pour chaque OPCVM géré, des risques sous-jacents, des limites quantitatives et des méthodes choisies pour évaluer les risques associés aux transactions sur instruments dérivés. Ce rapport doit être soumis dans les cinq mois suivant la clôture de l’exercice social du GFI.

Circulaire 18/698 Page 37/102 Sous-section 5.3.1.6 : Recours à l’expertise de tiers 222. En application des articles 110 (1) de la Loi 2010 et 26 (4) du Règlement 10-4, respectivement des articles 18 de la Loi 2013 et 75 à 82 du Règlement Délégué 231/2013, l’exécution d’une partie de la gestion des risques peut être déléguée moyennant un contrat à un tiers spécialisé et une notification préalable à la CSSF. 223. Lorsqu’un GFI délègue certaines activités de gestion des risques, les dispositions des articles 110 (1) de la Loi 2010, 26 (4) du Règlement 10-4, 18 de la Loi 2013 et 75 à 82 du Règlement Délégué 231/2013 s’appliquent. Le GFI est également tenu de respecter les dispositions visées au sous- chapitre 6.2. « Encadrement de la délégation » de la présente circulaire. 224. Le contrat ainsi que le nom du/des tiers mandaté(s), complété le cas échéant par une description des compétences et de l’organisation interne de ce/ces tiers, doivent être communiqués à la CSSF. Le fait que le GFI a délégué une partie de la gestion des risques à un tiers spécialisé n’a pas d’incidence sur la responsabilité du GFI en matière d’adéquation et d’efficacité de la politique de gestion des risques ainsi que sur sa responsabilité consistant à assurer un suivi adéquat des risques de l’OPC. 225. Le suivi continu des tiers spécialisés en charge de la gestion des risques devra notamment porter sur le suivi de l’exposition de l’OPC aux risques de marché, de liquidité, de contrepartie et de concentration ainsi qu’à tout autre risque, y compris le risque opérationnel, susceptible d’être significatif pour l’OPC.