Section 5.3.2 - : Fonction permanente de compliance

Section 5.3.2. : Fonction permanente de compliance Sous-section 5.3.2.1. : Principes généraux 226. Un GFI doit se doter au Luxembourg de sa propre fonction de compliance qui doit être organisée en accord avec les dispositions visées aux articles 11 du Règlement 10-4 et 61 du Règlement Délégué 231/2013 ainsi qu’avec les dispositions du présent sous-chapitre. 227. La fonction de compliance a pour objectif d’anticiper, de détecter et d'évaluer les risques de compliance d’un GFI ainsi que d’assister les instances dirigeantes dans la maîtrise de ces risques. Ces derniers peuvent comporter une variété de risques tels que le risque de réputation, le risque légal, le risque de contentieux, le risque de sanctions ainsi que certains aspects du risque opérationnel, ceci en relation avec l’intégralité des activités du GFI, y compris les activités et les services visés à l’article 101 (3) de la Loi 2010 et/ou à l’article 5 (4) de la Loi 2013. Cette tâche est à réaliser continuellement et sans délais. 228. La fonction de compliance doit pouvoir fonctionner de façon indépendante et dans le respect de la séparation des tâches afin de pouvoir détecter tout risque de manquement du GFI aux obligations que lui imposent la Loi 2010, la Loi 2013, le Règlement 10-4, le Règlement Délégué 231/2013 et toutes les autres réglementations applicables au GFI. Sous-section 5.3.2.2. : Modalités de fonctionnement et charte de compliance 229. Les modalités de fonctionnement de la fonction de compliance en termes d’objectifs, de responsabilités et de pouvoirs sont arrêtées par une charte de compliance élaborée par la fonction de compliance et approuvée par les instances dirigeantes et par l’organe de direction/organe directeur en dernier ressort. 230. La charte de compliance doit au minimum : • définir la position de la fonction de compliance dans l’organigramme du GFI tout en précisant ses caractéristiques-clé (indépendance, objectivité, intégrité, compétences, autorité et suffisance des ressources), • reconnaître à la fonction de compliance le droit d'initiative pour ouvrir des enquêtes portant sur toutes les activités du GFI y compris celles de ses succursales et filiales au Luxembourg et à l’étranger et à accéder à tous les documents, pièces, procès-verbaux

Circulaire 18/698 Page 38/102 des organes consultatifs et décisionnels du GFI, à voir toutes les personnes travaillant dans le GFI, dans la mesure requise pour l’exercice de sa mission, • définir les responsabilités et lignes de reporting du Compliance Officer, • décrire les relations avec les fonctions permanentes de gestion des risques et d’audit interne ainsi que d'éventuels besoins de délégation et/ou de coordination, • définir les conditions et circonstances applicables lorsqu’il est fait recours à des experts externes, • établir le droit pour le Compliance Officer de contacter directement et de sa propre initiative l’organe de direction/organe directeur du GFI ou, le cas échéant, les membres du comité d'audit ou du comité de compliance ainsi que la CSSF. 231. Le contenu de la charte de compliance est porté à la connaissance de tous les membres du personnel du GFI, y compris ceux qui travaillent dans les succursales à l’étranger et au Luxembourg et dans les filiales à l’étranger et au Luxembourg. 232. La charte de compliance doit être mise à jour dans les meilleurs délais pour tenir compte de changements au niveau des normes en vigueur affectant le GFI. Toutes les modifications doivent être approuvées par les instances dirigeantes, confirmées par le comité d’audit ou le comité de compliance, le cas échéant, et approuvées par l’organe de direction/organe directeur en dernier ressort. Ces modifications sont portées à la connaissance de tous les membres du personnel. Sous-section 5.3.2.3. : Responsabilités spécifiques et champ d’application de la fonction de compliance 233. Pour atteindre les objectifs fixés, les responsabilités de la fonction de compliance doivent couvrir au moins les aspects suivants : • identifier les normes auxquelles le GFI est soumis dans l’exercice de ses activités et tenir le relevé des règles essentielles. Ce relevé doit être accessible au personnel concerné du GFI ; • identifier les risques de compliance auxquels le GFI est exposé dans le cadre de l'exercice de ses activités et en évaluer l’importance et les conséquences possibles. Le classement des risques de compliance ainsi déterminé doit permettre à la fonction de compliance d’établir son plan de contrôle en fonction du risque, permettant ainsi une utilisation efficace des ressources de la fonction compliance ; • veiller à l'identification et l'évaluation du risque de compliance avant que le GFI ne se lance dans un nouveau type d’activité, de produit ou de relation d'affaires, de même que lors du développement des opérations et du réseau d'un groupe sur une échelle internationale ; • veiller à ce que, pour la mise en œuvre de la politique de compliance, le GFI dispose de règles qui puissent servir de lignes directrices au personnel des différentes fonctions et unités opérationnelles dans l’exercice de ses tâches journalières. Ces règles doivent être reflétées de façon appropriée dans les instructions, procédures et contrôles internes pour les domaines relevant directement de la compliance. Dans l’élaboration de ces règles, la fonction de compliance tient compte, pour autant que de besoin pour le GFI en question, des règles de déontologie énoncées dans le dispositif de la gouvernance interne. La politique de compliance peut être incluse dans le manuel de procédures visé à la section 5.5.4. de la présente circulaire ; • les domaines qui relèvent généralement de la fonction de compliance sont la lutte contre le blanchiment de capitaux et le financement du terrorisme, la prévention en matière d’abus de marché et de transactions personnelles, l’intégrité des marchés d’instruments financiers, la protection des intérêts des clients et des investisseurs, la protection des données (à moins qu’une autre personne n’ait été nommée en tant que Délégué à la Protection des Données conformément à la réglementation en vigueur) et le respect de la confidentialité, la prévention et la gestion des conflits d’intérêts, la prévention de l’utilisation du secteur financier par des tiers pour contourner leurs obligations

Circulaire 18/698 Page 39/102 réglementaires et la gestion du risque de conformité lié aux activités transfrontalières. Dans le cadre plus général du respect du code de conduite, la fonction de compliance est aussi amenée à couvrir des domaines d’éthique et de déontologie, voire de fraudes. Cette liste n’est pas exhaustive. D’une manière générale, la fonction de compliance est à organiser de telle manière qu’elle couvre tous les domaines pouvant donner lieu à des risques de compliance. Toutefois, dans la mesure où en pratique certains domaines donnant lieu à des risques de compliance peuvent aussi relever d’autres fonctions telles que la fonction de contrôle des risques, la fonction comptable ou la fonction juridique, et dans un souci d’éviter une duplication des contrôles de compliance, il est admissible que les domaines autres que ceux énumérés ci-dessus ne soient pas directement couverts par la fonction de compliance. Il est entendu que, dans ce cas, le risque de compliance est alors à couvrir par les autres fonctions de contrôle interne suivant une politique de compliance définissant clairement les attributions et les responsabilités des différents intervenants en la matière et moyennant le respect de la ségrégation des tâches. Dans ce cas, le responsable de la fonction compliance au sein du GFI, tel que visé aux sous- sections 5.3.2.4. et 5.3.2.5., assure un rôle de coordination, de centralisation et de vérification que les autres domaines ne relevant pas directement de son champ d’intervention sont bien couverts. 234. Il appartient au GFI de décider si, compte tenu des particularités des activités exercées, la fonction de compliance couvre le contrôle du respect des règles n'ayant pas directement trait aux activités de gestion d’OPC ou de gestion discrétionnaire à proprement parler, telles que notamment les règles relevant du droit de travail, du droit social, du droit des sociétés ou du droit de l'environnement. 235. La fonction de compliance procède régulièrement à une vérification du respect de la politique de compliance et des procédures et se charge, en cas de besoin, des propositions d'adaptation. A cette fin, le responsable de la fonction de compliance effectue des évaluations et des contrôles réguliers du risque de compliance. Pour les contrôles en matière de risque de compliance ainsi que pour la vérification des procédures et des instructions, les dispositions de la présente circulaire n’empêchent pas que la fonction de compliance prenne en compte les travaux de l’audit interne. 236. La fonction de compliance centralise toutes les informations sur les problèmes de compliance détectés dans le GFI (entre autres les infractions aux normes, le non-respect de procédures ou encore les conflits d'intérêts). 237. Pour autant qu'elle ne tire pas ces informations de sa propre implication, la fonction de compliance procède à un examen des documents pertinents, qu'ils soient internes (p. ex. : rapports de contrôle et d'audit interne, rapports ou comptes rendus des instances dirigeantes ou, le cas échéant, de l’organe de direction/organe directeur) ou externes (p. ex. : rapports du réviseur externe, correspondance de la part de l'autorité de surveillance). 238. Le responsable de la fonction de compliance assiste et conseille les instances dirigeantes pour des questions de compliance et de normes, notamment en les rendant attentives à des développements au niveau des normes qui pourraient ultérieurement avoir un impact sur le domaine de la compliance. 239. La fonction de compliance veille à sensibiliser le personnel à l'importance de la compliance et des aspects connexes et à l’assister dans ses activités quotidiennes relatives à la compliance. Elle développe à ces fins également un programme de formation continue et s’assure de sa mise en œuvre. Sous-section 5.3.2.4. : Responsable de la fonction permanente de compliance 240. Chaque GFI doit, en application de l’article 11 (3) b) du Règlement 10-4, respectivement de l’article 61 (3) b) du Règlement Délégué 231/2013, désigner un responsable de la compliance, le Compliance Officer, disposant des qualifications, des connaissances et de l’expertise nécessaire en la matière. Le GFI doit communiquer au préalable à la CSSF le nom de son Compliance Officer complété par les informations suivantes et par tout autre document éventuellement précisé ultérieurement par la CSSF :

Circulaire 18/698 Page 40/102 • un curriculum vitae récent, signé et daté ; • une copie du passeport/de la carte d’identité ; • une déclaration sur l’honneur telle que téléchargeable sur le site de la CSSF (www.cssf.lu) ; et • un extrait du casier judiciaire récent, si disponible, ou tout autre document comparable. 241. Cette personne est, en principe, employée à temps plein par le GFI. 242. En cas de changement de Compliance Officer, le GFI doit communiquer au préalable à la CSSF le nom de la personne lui succédant dans ses fonctions, complété par les éléments visés au point 240 ci-avant. 243. Lorsque, en vertu du principe de proportionnalité, la création d’un poste de Compliance Officer à plein temps n’est pas nécessaire, il est admissible d'en charger une personne à temps partiel moyennant l'autorisation préalable de la CSSF. A cette fin, les instances dirigeantes et l’organe de direction/organe directeur soumettent à la CSSF une demande écrite fournissant une justification ainsi que les informations nécessaires afin de permettre d'évaluer que l'application correcte des dispositions de la présente circulaire et la bonne exécution de la fonction de compliance restent assurées. 244. Le Compliance Officer du GFI est, en principe, la personne de contact privilégiée des autorités compétentes en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme pour toute question relative à ce domaine ainsi qu’en matière d’abus de marché. Il est également en charge de la transmission de toute information ou déclaration auprès desdites autorités. 245. Il y a lieu de veiller à ce que les autres tâches exercées par cet employé restent compatibles avec les responsabilités lui incombant en vertu des dispositions de la présente circulaire. Il est en principe admissible que le Compliance Officer fournisse des services juridiques au GFI. 246. Il est également admissible, moyennant autorisation spécifique de la CSSF, que le dirigeant ayant dans ses attributions la fonction de compliance assure lui-même le poste de Compliance Officer. 247. Le rôle de Compliance Officer ne peut pas être assuré par un membre de l’organe de direction/organe directeur du GFI, sauf s’il fait partie des instances dirigeantes du GFI. Sous-section 5.3.2.5. : Recours à l’expertise ou aux moyens techniques de tiers 248. Un GFI dont l’agrément couvre exclusivement la gestion d’OPC peut invoquer, moyennant une demande de dérogation préalable spécifique et sur base d’une justification adéquate, la possibilité de déléguer à un tiers l’exécution de la fonction de compliance conformément à l’article 10 (2) c) du Règlement 10-4 et à l’article 6 (2) d) du Règlement Délégué 231/2013. 249. Par contre, un GFI qui fournit en plus de la gestion d’OPC également un ou plusieurs des services prévus à l’article 101 (3) de la Loi 2010 ou à l’article 5 (4) de la Loi 2013 n’est en principe pas autorisé à déléguer l’exécution de la fonction de compliance. 250. Il n’est généralement pas permis à un GFI qui a une ou plusieurs succursales de déléguer l’exécution de la fonction de compliance. Toutefois, la CSSF peut déroger, sur base d’une justification adéquate, au principe général mentionné ci-avant pour autant que l’importance de l’activité et la taille de la (des) succursale(s) le justifient. 251. En vertu du principe de proportionnalité, le GFI peut donc, sur dérogation dûment justifiée, déléguer l’exécution de la fonction de compliance, soit en recourant à l’expertise ou aux moyens techniques de tiers (« expert externe »), soit en établissant, le cas échéant, un lien fonctionnel avec la fonction compliance du groupe pour l’exécution des tâches de compliance. 252. Les instances dirigeantes sélectionnent ces tiers sur base d’une analyse d’adéquation entre les besoins du GFI et les services et compétences spécifiques offerts par ces tiers. Le choix de l’expert externe qui réalise les travaux de compliance doit être approuvé par l’organe de direction/organe directeur.

Circulaire 18/698 Page 41/102 Le recours à un expert externe se fait sur base d’un mandat écrit. L’expert réalise ses travaux dans le respect des dispositions réglementaires et internes applicables (notamment la charte de compliance). L’expert externe réalise ses travaux conformément aux dispositions contenues dans le présent sous- chapitre. A ce titre, il s’acquitte de l’ensemble des tâches et responsabilités que la présente circulaire donne à la compliance. 253. Le GFI qui décide de déléguer l’exécution de la fonction de compliance doit introduire au préalable une demande écrite auprès de la CSSF. Cette demande comprend les informations nécessaires à son appréciation, dont notamment : • le nom de l’expert externe, personne morale ; • la description des compétences et de l’organisation interne de cet expert externe, personne morale ; • le nom de l’expert externe, personne physique, qui exécutera la fonction de compliance du GFI ; • le curriculum vitae de la personne physique qui exécutera la fonction de compliance ; • une copie de la carte d’identité de la personne physique qui exécutera la fonction de compliance. 254. Le principe de proportionnalité n’autorise toutefois pas un GFI à n’avoir aucune fonction de compliance. Ainsi, le GFI qui a recours à l’expertise ou aux moyens techniques de tiers doit nommer parmi ses employés un responsable de la fonction compliance pour suivre les travaux de l’expert externe. Cette personne doit disposer de connaissances suffisantes en matière de réglementation luxembourgeoise concernant l’activité de gestion d’OPC et, le cas échéant, la gestion discrétionnaire. L’identité de ce responsable doit être notifiée au préalable à la CSSF. La notification doit être accompagnée des éléments suivants et de tout autre document éventuellement précisé ultérieurement par la CSSF : • un curriculum vitae récent, signé et daté ; • une copie du passeport/de la carte d’identité ; • une déclaration sur l’honneur telle que téléchargeable sur le site de la CSSF (www.cssf.lu) ; et • un extrait du casier judiciaire récent, si disponible, ou tout autre document comparable. 255. En cas de changement du responsable de la fonction de compliance visé au point 254, le GFI doit communiquer au préalable à la CSSF le nom de la personne lui succédant dans ses fonctions, complété par les éléments visés au point 254. Sous-section 5.3.2.6. : Obligations en matière d’établissement de rapports 256. Le responsable de la fonction de compliance rapporte par écrit régulièrement, et si nécessaire sur base ad hoc, aux instances dirigeantes, et, le cas échéant, aux comités spécialisés et à l’organe de direction/organe directeur du GFI. Ces rapports portent sur le suivi des recommandations, des problèmes, déficiences et irrégularités relevés par le passé ainsi que sur les nouveaux problèmes, déficiences et irrégularités identifiés. Chaque rapport spécifie les risques y liés ainsi que leur degré de gravité (mesure de l’impact) et propose des mesures correctrices, de même qu’en règle générale une prise de position des personnes concernées. 257. Le responsable de la fonction de compliance prépare au moins une fois par an un rapport de synthèse sur ses activités et son fonctionnement. S’agissant du fonctionnement de la fonction de compliance, le rapport se prononce en particulier sur la nature et le degré du recours à des experts externes conformément à la sous-section 5.3.2.5. ainsi que sur les problèmes éventuels apparus dans ce contexte. Ce rapport est soumis pour approbation à l’organe de direction/organe directeur et aux comités spécialisés, le cas échéant, et pour information aux instances dirigeantes.

Circulaire 18/698 Page 42/102 258. Le rapport de synthèse de la fonction de compliance est à fournir annuellement à la CSSF. Ce document doit parvenir à la CSSF dans les cinq mois suivant la clôture de l’exercice social du GFI. 259. Il est recommandé que le rapport de synthèse de la fonction de compliance d’un GFI couvre au minimum les éléments suivants : • la description et l’appréciation de l’organisation de la fonction permanente de compliance, y inclus les moyens humains et techniques, les liens de rattachement hiérarchique et fonctionnel, et le cas échéant une description de la nature et du degré du recours à des experts externes ainsi que l’appréciation des problèmes éventuels apparus dans ce contexte ; • la description des principaux objectifs et travaux réalisés par la fonction de compliance durant l’exercice social, incluant notamment la mise à jour et le développement de nouvelles procédures, la veille réglementaire et l’analyse des textes légaux et réglementaires ; • la description du plan de contrôle de la fonction de compliance (« Compliance Monitoring Plan ») retenu suivant une approche fondée sur les risques, incluant les activités contrôlées, le risque évalué pour chaque activité et l’agenda retenu pour l’exécution des contrôles prévus dans le Compliance Monitoring Plan suivant un programme pluriannuel ; • le relevé des principales recommandations adressées aux instances dirigeantes du GFI, des problèmes (existants ou émergents), déficiences et irrégularités significatifs survenus depuis le dernier rapport, des mesures prises à leur égard ainsi que le relevé des problèmes, déficiences et irrégularités significatifs relevés dans le dernier rapport mais qui n’ont pas encore fait l’objet de mesures correctrices appropriées, en particulier en ce qui concerne la LBC/FT, le suivi des délégataires en accord avec les dispositions visées au chapitre 6. de la présente circulaire et le suivi de la conformité des activités réalisées au sein des succursales et des filiales, le cas échéant. 260. Dans son rapport de synthèse, le responsable de la fonction de compliance doit prendre en compte tout autre élément jugé pertinent, comme par exemple dans les domaines suivants (liste non exhaustive) : • la gouvernance du GFI ; • le respect des obligations légales et réglementaires en matière de fonds propres et d’emploi de ceux-ci ; • la gestion des conflits d’intérêts ; • les erreurs de valeur nette d’inventaire ; • le non-respect de la politique et des restrictions d’investissement ; • les transactions personnelles ; • la meilleure exécution (« best execution ») ; • le traitement des plaintes et réclamations de tiers ; • le traitement des signalements de violation du cadre réglementaire (« whistleblowing ») ; • le non-respect des délais applicables en matière de reporting ; • la fraude et les cyberattaques ; • la mise à jour du manuel de procédures visé à la section 5.5.4. ; • l’approbation des nouvelles relations d’affaires et de nouveaux produits ; • la mise à jour des contrats ; • le suivi effectué suite aux interactions avec les autorités de surveillance (contrôles sur place, réunions, correspondances écrites, entretiens téléphoniques…) ; • le reporting à l’organe de direction/organe directeur ;

Circulaire 18/698 Page 43/102 • les formations du personnel ; • les modifications apportées à la politique de compliance et à la charte de compliance.