Sous-chapitre 5.3 - : Les fonctions de contrôle interne

Sous-chapitre 5.3. : Les fonctions de contrôle interne 162. Conformément au Règlement 10-4 et au Règlement Délégué 231/2013, chaque GFI doit établir et garder opérationnelle une fonction permanente de compliance, de gestion des risques et d’audit interne. 163. Les politiques mises en œuvre en matière de gestion des risques, de compliance et d’audit instaurent trois fonctions de contrôle interne distinctes : d’une part, la fonction de gestion des risques et la fonction compliance qui relèvent de la deuxième ligne de défense et, d’autre part, la fonction d’audit interne qui relève de la troisième ligne de défense. Ces politiques décrivent par ailleurs les domaines d’intervention relevant directement de chaque fonction de contrôle interne, règlent clairement les responsabilités en matière de domaines d’intervention communs et définissent les objectifs ainsi que l'indépendance, l’objectivité et la permanence des fonctions de contrôle interne. 164. Chaque fonction de contrôle interne est placée sous la responsabilité d’un responsable de fonction distinct qui est nommé et révoqué suivant une procédure interne écrite. Les nominations et révocations des responsables des fonctions de contrôle interne sont approuvées par l’organe de direction/organe directeur et communiquées par écrit à la CSSF, conformément aux dispositions visées à la sous-section 5.3.1.3. pour la fonction de gestion des risques, à la sous-section 5.3.2.4. pour la fonction de compliance et à la sous-section 5.3.3.4. pour la fonction d’audit interne. 165. Les responsables des trois fonctions de contrôle interne sont responsables vis-à-vis des instances dirigeantes et, en dernier ressort, vis-à-vis de l’organe de direction/organe directeur pour l’exécution de leur mandat. A ce titre, ces responsables doivent pouvoir contacter et informer directement et de leur propre initiative l’organe de direction/organe directeur ou, le cas échéant, les membres du comité d’audit, ainsi que la CSSF. 166. Les fonctions de contrôle interne ont pour objectif principal de vérifier le respect de l’ensemble des politiques et procédures internes qui tombent dans leur champ d’attribution, d’en évaluer régulièrement l’adéquation par rapport à la structure organisationnelle et opérationnelle du GFI, aux stratégies, aux activités et aux risques du GFI ainsi que par rapport aux exigences légales et réglementaires applicables, et d’en rendre compte directement aux instances dirigeantes ainsi qu’à l’organe de direction/organe directeur. Elles fournissent aux instances dirigeantes ainsi qu’à l’organe de direction/organe directeur les avis et conseils qu’elles jugent utiles en vue d’améliorer le dispositif d’administration centrale et de gouvernance interne du GFI. 167. Les responsables des fonctions de contrôle interne répondent dans les meilleurs délais aux demandes d’avis et de conseils émanant des instances dirigeantes et de l’organe de direction/organe directeur du GFI ou des comités spécialisés du GFI, le cas échéant. Lorsqu’ils estiment que la gestion efficace, saine ou prudente des activités est compromise, les responsables des fonctions de contrôle interne en informent promptement et de leur propre initiative les instances dirigeantes et l’organe de direction/organe directeur suivant les modalités internes applicables. 168. Les fonctions de contrôle interne doivent également couvrir l’activité des succursales, des bureaux de représentation, des agences et des filiales dont dispose, le cas échéant, un GFI. 169. Il convient de préciser que les fonctions de compliance et d’audit interne ne peuvent pas être assurées par la même personne physique. De même, en cas de délégation de l’exécution de la fonction permanente de compliance ou d’audit interne, dans le respect des conditions visées dans les sections respectives ci-dessous (5.3.2. et 5.3.3.), le suivi de ces fonctions ne peut pas être confié à la même personne physique.

Circulaire 18/698 Page 30/102 170. Par ailleurs, les responsables des fonctions de contrôle interne doivent remettre des rapports annuels à la CSSF conformément au point 212 (pour la fonction de gestion des risques), à la sous-section 5.3.2.6. (pour la fonction compliance) et à la sous-section 5.3.3.7. (pour la fonction d’audit interne) ci-après. Caractéristiques des fonctions de contrôle interne 171. Les fonctions de contrôle interne sont des fonctions permanentes et indépendantes dotées chacune d’une autorité suffisante. Les responsables de ces fonctions ont le droit d’accès direct à l’organe de direction/organe directeur, au réviseur d’entreprises agréé du GFI ainsi qu’à la CSSF. 172. L’indépendance des fonctions de contrôle interne est incompatible avec une situation dans laquelle : • le personnel des fonctions de contrôle interne est chargé de tâches qu’il est appelé à contrôler ; • les fonctions de contrôle interne sont intégrées d’un point de vue organisationnel dans les unités opérationnelles qu’elles contrôlent ou dépendent hiérarchiquement d’elles ; et • la rémunération du personnel des fonctions de contrôle interne est liée à la performance des activités qu’elles contrôlent ou déterminée suivant d’autres critères qui compromettent l’objectivité du travail accompli par les fonctions de contrôle interne. 173. L’autorité dont doivent jouir les fonctions de contrôle interne requiert que ces fonctions puissent exercer leurs responsabilités de leur propre initiative, s’exprimer librement et accéder à toutes les données et informations externes et internes (dans l’ensemble des unités opérationnelles du GFI qu’elles contrôlent) qui sont jugées nécessaires pour l'accomplissement de leurs missions. 174. Le personnel des fonctions de contrôle interne ou les tiers agissant pour compte de ces fonctions doivent effectuer leurs travaux avec objectivité. 175. Afin de garantir leur objectivité, les personnes relevant de fonctions de contrôle interne doivent posséder l’indépendance d’esprit et de jugement nécessaires à la bonne exécution de leur tâche. 176. L’allocation des responsabilités et des fonctions au sein d’un GFI doit être organisée de telle sorte que les conflits d’intérêts soient évités, ou du moins atténués. Lorsque le GFI fait partie d’un groupe, l’existence de lignes de reporting du GFI vers des fonctions ou des individus du groupe ne doivent pas mettre en péril l’indépendance des fonctions de contrôle interne. 177. Afin de garantir l'efficacité des fonctions de contrôle interne, les membres de chaque fonction de contrôle interne doivent posséder à un niveau individuel et collectif des compétences professionnelles élevées dans le domaine des activités du GFI et des normes applicables. Cette compétence doit être évaluée en tenant compte non seulement de la nature de la mission des collaborateurs, mais également de la complexité et de la diversité des activités exercées par le GFI en vue de permettre une couverture intégrale des activités et des risques. Cette compétence individuelle doit comporter la capacité de porter des jugements critiques et d’être écouté par les dirigeants du GFI ainsi que par l’organe de direction/organe directeur. 178. Les responsables des fonctions de contrôle interne maintiennent à jour les connaissances acquises et assurent une formation continue et actualisée à chacun de leurs collaborateurs. 179. En sus de leur expérience professionnelle élevée, les responsables de fonctions de contrôle interne qui accèdent pour la première fois à une telle position possèdent les connaissances théoriques qui leur permettent d'exercer cette fonction d'une manière efficace. 180. Pour garantir l'exécution des tâches qui leur incombent, les fonctions de contrôle interne disposent des ressources humaines, de l’infrastructure et des budgets nécessaires et suffisants, conformément au principe de proportionnalité. Le budget doit être suffisamment flexible pour tenir compte d’une adaptation des missions des fonctions de contrôle en réponse à des changements du profil de risque du GFI. Ces dispositions sont compatibles avec le recours des fonctions de contrôle interne à des

Circulaire 18/698 Page 31/102 experts externes conformément aux dispositions exposées dans les sous-sections 5.3.1.6., 5.3.2.5. et 5.3.3.5. de la présente circulaire. 181. Le champ d’intervention des fonctions de contrôle interne couvre l’ensemble du GFI, dans le respect de leurs compétences respectives. 182. Chaque GFI prend les mesures nécessaires pour assurer que les membres des fonctions de contrôle interne exercent leurs fonctions avec intégrité et discrétion. 183. Les responsables des fonctions de contrôle interne documentent les travaux effectués conformément aux responsabilités assignées, notamment afin de permettre de retracer les interventions ainsi que les conclusions retenues. 184. En cas de problèmes, déficiences et irrégularités graves, les responsables des fonctions de contrôle interne en informent immédiatement les instances dirigeantes et l’organe de direction/organe directeur. 185. Les responsables des fonctions de contrôle interne vérifient le suivi effectif des recommandations relatives aux problèmes, déficiences et irrégularités qu’elles ont relevées. Ils rapportent de manière régulière à ce sujet aux instances dirigeantes et à l’organe de direction/organe directeur du GFI.