Section 5.3.3 - : Fonction permanente d’audit interne

Section 5.3.3. : Fonction permanente d’audit interne Sous-section 5.3.3.1. : Principes généraux 261. Un GFI doit se doter au Luxembourg de sa propre fonction d’audit interne qui doit être organisée en accord avec les dispositions visées aux articles 12 du Règlement 10-4 et 62 du Règlement Délégué 231/2013 ainsi qu’avec les dispositions du présent sous-chapitre. 262. La fonction d’audit interne constitue à l’intérieur de l’organisation du GFI une fonction indépendante et permanente d’évaluation critique de l’adéquation et de l’efficacité de l’administration centrale, de la gouvernance interne et de la gestion des activités et des risques dans leur intégralité afin d’assister l’organe de direction/organe directeur et les instances dirigeantes du GFI et leur permettre d’avoir la meilleure maîtrise de leurs activités et des risques y liés et ainsi de protéger son organisation et sa réputation. 263. La fonction d’audit interne doit pouvoir fonctionner de façon indépendante et dans le respect de la séparation des tâches afin de pouvoir détecter tout risque de manquement du GFI aux obligations que lui imposent la Loi 2010, la Loi 2013, le Règlement 10-4, le Règlement Délégué 231/2013 et toutes les autres réglementations applicables au GFI. Sous-section 5.3.3.2. : Modalités de fonctionnement et charte d’audit interne 264. Les modalités de fonctionnement de la fonction d’audit interne en termes d’objectifs, de responsabilités et de pouvoirs doivent être arrêtées par une charte d’audit interne élaborée par la fonction d’audit interne et approuvée par les instances dirigeantes, confirmée par le comité d’audit, le cas échéant, et approuvée en dernier ressort par l’organe de direction/organe directeur du GFI. 265. La charte d’audit interne doit au minimum : • définir la position de la fonction d’audit interne dans l’organigramme du GFI tout en en précisant les caractéristiques-clé (indépendance, objectivité, intégrité, compétence, autorité, suffisance des ressources) ; • conférer à la fonction d’audit interne le droit d’initiative et l’autoriser à examiner toutes les activités et fonctions du GFI y compris celles de ses succursales à l’étranger et au Luxembourg et filiales à l’étranger et au Luxembourg, à accéder à tous les documents, pièces, procès-verbaux des organes consultatifs et décisionnels du GFI, à voir toutes les personnes travaillant dans le GFI, dans la mesure requise pour l’exercice de sa mission ; • définir les lignes de communication hiérarchiques et fonctionnelles des conclusions qui se dégagent des missions d’audit ; • définir les relations avec les fonctions compliance et de gestion des risques ; • définir les conditions et circonstances applicables lorsqu’il est fait recours à l’expertise de tiers ; • définir la nature des travaux et les conditions dans lesquelles la fonction d’audit interne peut fournir de la consultance interne ou effectuer d’autres missions spéciales, définir les responsabilités et lignes de reporting du responsable de la fonction d’audit interne ; • établir le droit pour le responsable de l’audit interne de contacter directement et de sa propre initiative l’organe de direction/organe directeur ou, le cas échéant, les membres du comité d'audit ainsi que la CSSF ; • préciser que les missions d’audit interne sont effectuées en conformité avec des standards professionnels reconnus ; • préciser les procédures à respecter en matière de coordination et de coopération avec le réviseur d’entreprises agréé.

Circulaire 18/698 Page 44/102 266. Le contenu de la charte d’audit interne est porté à la connaissance de tous les membres du personnel du GFI, y compris ceux qui travaillent, le cas échéant, dans les succursales au Luxembourg et à l’étranger et dans les filiales au Luxembourg et à l’étranger. 267. La charte d’audit interne doit être mise à jour dans les meilleurs délais pour tenir compte des changements intervenus. Toutes les modifications doivent être approuvées par les instances dirigeantes, confirmées le cas échéant par le comité d’audit et approuvées par l’organe de direction/organe directeur en dernier ressort. Elles sont portées à la connaissance de tous les membres du personnel. 268. La fonction d’audit interne du GFI est dotée d’un personnel suffisant en nombre et dispose de compétences suffisantes dans son ensemble pour couvrir toutes les activités du GFI. Le responsable de la fonction d’audit interne doit avoir des connaissances suffisantes des techniques d’audit. 269. Afin de ne pas compromettre leur indépendance de jugement, les personnes relevant de l’audit interne ne peuvent pas être chargées de l’élaboration ou de la mise en place d’éléments du dispositif en matière d’administration centrale et de gouvernance interne. Ce principe n’exclut pas qu’elles contribuent à la mise en œuvre de mécanismes de contrôle interne solides à travers des avis et des recommandations qu’elles fournissent en la matière. Sous-section 5.3.3.3. : Responsabilités spécifiques et champ d’application de la fonction d’audit interne 270. D’une manière générale, la fonction d’audit interne examine et évalue si le dispositif en matière d’administration centrale et de gouvernance interne du GFI est adéquat et fonctionne de manière efficace. A ce titre, la fonction d’audit interne évalue, entre autres : • le suivi du respect des lois et réglementations ainsi que des exigences prudentielles imposées par la CSSF ; • l’efficacité et l’efficience du contrôle interne ; • l’adéquation de l’organisation du GFI, incluant notamment le suivi des délégataires ainsi que la mise en œuvre de la procédure d’approbation de nouvelles relations d’affaire et des nouveaux produits ; • l’adéquation des fonctions comptable et informatique ; • l’adéquation de la séparation des tâches et de l’exécution des opérations ; • l’enregistrement correct et exhaustif des opérations et la production d’informations financières et prudentielles correctes, complètes, pertinentes, compréhensibles et disponibles sans délais à l’organe de direction/organe directeur, aux comités spécialisés, le cas échéant, ainsi qu’aux instances dirigeantes et à la CSSF ; • l’exécution des décisions prises par les instances dirigeantes et par les personnes agissant par voie de délégation et sous sa responsabilité ; • le respect des procédures régissant l’adéquation des fonds propres telles que précisées au chapitre 3. (« Fonds propres ») de la présente circulaire ; • le fonctionnement et l’efficacité des fonctions de compliance et de gestion des risques. 271. L’audit interne doit être indépendant des autres fonctions de contrôle interne qu’il audite. Par conséquent, la fonction de gestion des risques ou la fonction de compliance ne peut pas être exercée par le responsable de la fonction d’audit interne du GFI. Cependant, ces fonctions peuvent prendre en compte les travaux de l'audit interne en matière de vérification de l'application correcte des normes en vigueur à l'exercice des activités exercées par le GFI. 272. L’auditeur interne doit s’assurer que le service applique les normes internationales de l’lnstitute of Internal Auditors ou des normes internationales équivalentes. 273. Le plan d’audit interne pluriannuel doit être mis à disposition de la CSSF sur demande.

Circulaire 18/698 Page 45/102 Sous-section 5.3.3.4. : Responsable de la fonction permanente d’audit interne 274. Le GFI doit communiquer au préalable à la CSSF le nom du responsable de la fonction d’audit interne complété par les éléments suivants et par tout autre document éventuellement précisé ultérieurement par la CSSF : • un curriculum vitae récent, signé et daté ; • une copie du passeport/de la carte d’identité ; • une déclaration sur l’honneur telle que téléchargeable sur le site de la CSSF (www.cssf.lu) ; et • un extrait du casier judiciaire récent, si disponible, ou tout autre document comparable. 275. En cas de changement du responsable de la fonction d’audit interne, le GFI doit communiquer au préalable à la CSSF le nom de la personne lui succédant dans ses fonctions, complété par les éléments visés au point 274 ci-avant. 276. Le rôle de responsable de la fonction d’audit interne ne peut pas être assuré par un membre de l’organe de direction/organe directeur du GFI, sauf s’il fait partie des instances dirigeantes du GFI. Sous-section 5.3.3.5. : Recours à l’expertise ou aux moyens techniques de tiers 277. Un GFI dont l’agrément couvre exclusivement la gestion d’OPC peut invoquer, moyennant une demande de dérogation préalable spécifique et sur base d’une justification adéquate, la possibilité de déléguer à un tiers la fonction d’audit interne. 278. Par contre, un GFI qui fournit également un ou plusieurs des services prévus à l’article 101 (3) de la Loi 2010 ou à l’article 5 (4) de la Loi 2013 en plus de la gestion d’OPC n’est, en principe, pas autorisé à déléguer la fonction d’audit interne. 279. Il n’est généralement pas permis à un GFI qui a une ou plusieurs succursales de déléguer la fonction d’audit interne à un expert externe spécialisé en matière d’audit interne (« expert externe »). Toutefois, la CSSF peut déroger, sur base d’une justification adéquate, au principe général mentionné ci-avant pour autant que l’importance de l’activité et la taille de la (des) succursale(s) le justifient. 280. En vertu du principe de proportionnalité, le GFI peut donc, sur dérogation dûment justifiée, déléguer la fonction d’audit interne à un expert externe. L’expert externe peut être l’auditeur interne du groupe dont fait partie le GFI. Dans ce cas, le GFI a la possibilité d’établir, le cas échéant, un lien fonctionnel avec la fonction d’audit interne du groupe pour l’exécution des tâches d’audit interne. 281. Les instances dirigeantes sélectionnent ces tiers sur base d’une analyse d’adéquation entre les besoins du GFI et les services et compétences spécifiques offerts par ces tiers. Le choix de l’expert externe qui réalise les travaux d’audit interne doit être approuvé par l’organe de direction/organe directeur. Le recours à un expert externe se fait sur base d’un mandat écrit. L’expert réalise ses travaux dans le respect des dispositions réglementaires et internes applicables (notamment la charte d’audit interne). L’expert externe réalise ses travaux conformément aux dispositions contenues dans le présent sous- chapitre. A ce titre, il s’acquitte de l’ensemble des tâches et responsabilités que la présente circulaire donne à l’audit interne. 282. Le GFI qui décide de déléguer l’exécution de la fonction d’audit interne doit introduire au préalable une demande écrite auprès de la CSSF. Cette demande comprend les informations nécessaires à son appréciation, dont notamment : • le nom de l’expert externe, personne morale ; • la description des compétences et de l’organisation interne de cet expert externe, personne morale ; • le nom de l’expert externe, personne physique, qui assurera la fonction d’audit interne du GFI ;

Circulaire 18/698 Page 46/102 • le curriculum vitae de la personne physique en charge de la mission d’audit interne ; • une copie de la carte d’identité de la personne physique en charge de la mission d’audit interne. 283. En tout état de cause, l’expert externe retenu doit être indépendant du réviseur d’entreprises agréé du GFI ou du cabinet de révision agréé ainsi que du groupe dont relève le réviseur. 284. Le principe de proportionnalité n’autorise toutefois pas un GFI à n’avoir aucune fonction d’audit interne. Ainsi, le GFI qui délègue la fonction d’audit interne à un expert externe doit nommer parmi ses employés un responsable de la fonction d’audit interne. Cette personne doit disposer de connaissances suffisantes en matière d’audit pour suivre les travaux de l’expert externe ou pour coordonner l’exécution des activités d’audit interne avec la fonction d’audit interne du groupe, le cas échéant. L’identité du responsable de la fonction d’audit interne en charge du suivi des travaux de l’expert externe doit être notifiée au préalable à la CSSF. La notification doit être accompagnée des éléments suivants et de tout autre document éventuellement précisé ultérieurement par la CSSF : • un curriculum vitae récent, signé et daté ; • une copie du passeport/de la carte d’identité ; • une déclaration sur l’honneur telle que téléchargeable sur le site de la CSSF (www.cssf.lu) ; et • un extrait du casier judiciaire récent, si disponible, ou tout autre document comparable. 285. En cas de changement du responsable de la fonction d’audit interne visé au point 284, le GFI doit communiquer au préalable à la CSSF le nom de la personne lui succédant dans ses fonctions, complété par les éléments visés au point 284. 286. Indépendamment du fait que l’exécution de la fonction d’audit interne ait été déléguée ou non, un membre des instances dirigeantes se voit attribuer la responsabilité de la fonction d’audit interne. Cette fonction ne peut pas être assurée par le dirigeant s’étant vu attribuer la fonction de compliance ou de gestion des risques ou encore le rôle de responsable du respect des obligations professionnelles en matière de LBC/FT. La fonction d’audit interne effectue un rapport aux instances dirigeantes dans leur ensemble. Sous-section 5.3.3.6. : Exécution de la fonction d’audit interne suivant un plan d’audit interne 287. L’ensemble des missions d’audit interne est planifié et exécuté selon un « plan d’audit interne ». Le plan est établi par le responsable de la fonction d’audit interne pour une période pluriannuelle (en principe trois ans) avec comme objectif de couvrir l’ensemble des activités et des fonctions du GFI, en tenant compte à la fois des risques que présentent une activité ou une fonction du GFI et de l’efficacité de l’organisation et du contrôle interne en vigueur pour cette activité ou fonction. Le plan tient compte des avis de l’organe de direction/organe directeur ainsi que des instances dirigeantes. Le plan couvre toutes les matières présentant un intérêt prudentiel (y compris les observations et les demandes de la CSSF) et tient compte également des développements et des innovations prévus ainsi que des risques qui peuvent en découler. 288. Le plan est discuté avec les instances dirigeantes, soumis pour approbation aux instances dirigeantes, confirmé par le comité d’audit, le cas échéant, et approuvé en dernier ressort par l’organe de direction/organe directeur. Il est à revoir sur une base annuelle et à adapter le cas échéant en fonction des développements et des urgences. Toute adaptation est à approuver formellement par les instances dirigeantes et le comité d’audit, le cas échéant. L’approbation implique que les instances dirigeantes mettent à la disposition du responsable de la fonction d’audit interne les moyens nécessaires pour l’exécution du plan d’audit interne. 289. Dans son rapport de synthèse à l’organe de direction/organe directeur suivant le point 298 ci-après, le responsable de la fonction d’audit interne signale et motive les principales modifications apportées au plan d’audit tel qu’il a été approuvé initialement par l’organe de direction/organe directeur.

Circulaire 18/698 Page 47/102 290. Le plan, qui est suffisamment documenté, définit les objectifs de chaque mission et l’étendue des travaux à réaliser, estime le temps et les ressources humaines et matérielles nécessaires et attribue à chaque activité et risque une fréquence d’audit. 291. Le plan d’audit interne prévoit également de couvrir, endéans la période de planification pluriannuelle, de façon adéquate et suffisamment fréquente, les activités importantes ou complexes qui représentent un risque potentiel important, y compris sur le plan de la réputation. Il accorde une attention particulière au risque d’erreurs d’exécution et au risque de fraude. 292. Le responsable de la fonction d’audit interne informe les instances dirigeantes de façon régulière sur l’exécution du plan d’audit interne. 293. Chaque mission d’audit interne est planifiée, exécutée et documentée en conformité avec les standards professionnels adoptés par la fonction d’audit interne dans sa charte d’audit interne. 294. Dans l’hypothèse où le service d’audit interne de la maison mère du GFI luxembourgeois procède régulièrement à des contrôles sur place auprès de sa filiale, il est recommandé, pour des raisons d’efficacité, que le GFI luxembourgeois coordonne dans la mesure du possible son plan d’audit interne avec celui de sa maison mère. 295. En cas de recours à un expert externe, cet expert réalise ses travaux dans le cadre du plan d’audit interne du GFI en suivant un programme de travail, en documentant ses travaux de façon détaillée et en rédigeant des rapports pour chaque mission. Ces rapports sont à rédiger en français, allemand ou anglais et sont à remettre à la personne responsable de l’audit interne, aux instances dirigeantes, au comité d’audit, le cas échéant, et à l’organe de direction/organe directeur. Sous-section 5.3.3.7. : Obligations en matière d’établissement de rapports 296. Le responsable de la fonction d’audit interne rapporte par écrit régulièrement, et si nécessaire sur base ad hoc, aux instances dirigeantes, et, le cas échéant, aux comités spécialisés et à l’organe de direction/organe directeur du GFI. Ces rapports portent sur le suivi des recommandations, des problèmes, déficiences et irrégularités relevés par le passé ainsi que sur les nouveaux problèmes, déficiences et irrégularités identifiés. Chaque rapport spécifie les risques y liés ainsi que leur degré de gravité (mesure de l’impact) et propose des mesures correctrices, de même qu’en règle générale une prise de position des personnes concernées. 297. Chaque mission doit faire l’objet d’un rapport écrit de l’auditeur interne, en règle générale, aux personnes contrôlées, aux instances dirigeantes ainsi que – éventuellement sous forme de synthèse à l’organe de direction/organe directeur conformément au point 298 ci-après. Les rapports sont également à tenir à disposition du réviseur d’entreprises agréé et de la CSSF. Ces rapports sont à rédiger en français, allemand ou anglais. 298. Le responsable de la fonction d’audit interne prépare au moins une fois par an un rapport de synthèse sur ses activités et son fonctionnement. S’agissant du fonctionnement de la fonction d’audit interne, le rapport se prononce en particulier sur la nature et le degré du recours à des experts externes conformément à la sous-section 5.3.3.5., ainsi que sur les problèmes éventuels apparus dans ce contexte. Au titre des activités, chaque rapport de synthèse fournit le relevé des principales recommandations adressées aux instances dirigeantes, des problèmes (existants ou émergents), déficiences et irrégularités significatifs survenus depuis le dernier rapport, des mesures prises à leur égard ainsi que le relevé des problèmes, déficiences et irrégularités significatifs relevés dans le dernier rapport mais qui n’ont pas encore fait l’objet de mesures correctrices appropriées. Ce rapport est soumis pour approbation à l’organe de direction/organe directeur et pour information aux instances dirigeantes.

Circulaire 18/698 Page 48/102 299. Il est recommandé que le rapport de synthèse de la fonction d’audit interne d’un GFI couvre en outre, sur une période pluriannuelle (en principe trois ans), au minimum les éléments suivants : • les fonctions incluses dans l’activité de gestion collective de portefeuille telles que définies à l’annexe II de la Loi 2010, respectivement les fonctions incluses dans l'annexe I de la Loi 2013 ; • la gestion discrétionnaire et les services auxiliaires visés à l’article 101 (3) a) de la Loi 2010 et à l’article 5 (4) de la Loi 2013, le cas échéant ; • la fonction d’évaluation ; • les fonctions de compliance et de gestion des risques ; • le suivi des activités déléguées ; • la fonction comptable ; • la fonction informatique ; • le fonctionnement des instances dirigeantes et de l’organe de direction/organe directeur ; • la gouvernance interne et l’organisation du GFI ; • les règles de conduite ; • la gestion des conflits d’intérêt ; • le traitement des plaintes et réclamations ; • la politique de rémunération ; • l’approbation de nouvelles relations d’affaires et de nouveaux produits ; • les succursales et filiales, le cas échéant. 300. Le rapport de synthèse de la fonction d’audit interne doit couvrir annuellement le respect des obligations professionnelles en matière de LBC/FT, conformément à la sous-section 5.4.1.3. (« Contrôle exercé par l’audit interne »). 301. Le rapport de synthèse visé au point 298 est à fournir annuellement à la CSSF. Ce document doit parvenir à la CSSF dans les cinq mois suivant la clôture de l’exercice social du GFI.