Section 6.2.3 - : Due diligences initiales et suivi continu des délégataires

Section 6.2.3. : Due diligences initiales et suivi continu des délégataires Sous-section 6.2.3.1. : Principes généraux 441. Tout recours à un délégataire au sens du point 1er (9) de la présente circulaire doit être précédé d’une « due diligence initiale » écrite, réalisée par le GFI sur le tiers. 442. En application de l’article 110 (1) f), g) h) de la Loi 2010 et de l’article 18 (1) f) de la Loi 2013, le GFI doit être en mesure de suivre de manière efficace et de contrôler effectivement à tout moment la

Circulaire 18/698 Page 67/102 tâche déléguée. Ainsi, après avoir reçu mandat, tout délégataire doit faire l’objet d’un suivi continu adéquat par le GFI. Sous-section 6.2.3.2. : Etablissement d’une procédure d’encadrement de la délégation 443. Chaque GFI doit définir et mettre en œuvre une procédure couvrant tous les aspects de la délégation. 444. La procédure doit notamment décrire le processus de sélection et de changement d’un délégataire. 445. Chaque GFI doit mettre en place des procédures et dispositifs lui permettant de s’assurer que l'(es) activité(s) déléguée(s) s’effectue(nt) en conformité avec les dispositions légales et réglementaires en vigueur. 446. La procédure retient les modalités d’exécution des due diligences initiales et périodiques réalisées par le GFI sur l’ensemble de ses délégataires et les exigences applicables en cas de sous-délégation, telles que décrites aux points 422 et 423. 447. La procédure décrit les mesures permettant aux personnes qui dirigent le GFI ainsi qu’à son personnel exécutant de contrôler effectivement en permanence l’activité de l’entreprise à laquelle le mandat est donné, afin d’assurer un suivi de l’exécution et de la qualité des activités comme si celles-ci étaient réalisées en interne. La procédure fixe les exigences de reporting auxquelles sont soumis les délégataires. La rédaction du contrat visé à la section 6.2.2. ci-avant doit tenir compte de ces obligations. 448. La procédure doit notamment déterminer la nature, l’étendue et la fréquence des due diligences périodiques à réaliser sur les délégataires compte tenu d’une approche fondée sur les risques. Dans son évaluation des risques, le GFI tient compte non seulement des risques encourus par chaque délégation mais aussi du nombre de délégataires auquel il a recours. 449. Le GFI doit mettre en place un plan de réalisation des due diligences périodiques sur ses délégataires pour une période pluriannuelle (en principe trois ans). Ce plan doit être mis à jour compte tenu de l’approche fondée sur les risques déterminée par le GFI et sous réserve de l’application du principe de proportionnalité dont le GFI peut se prévaloir pour augmenter ou réduire cette fréquence de mise à jour. 450. La procédure décrit en outre les mesures d’intervention par paliers (escalation) et les modalités de prise de décision en matière de délégation. 451. Le suivi des activités déléguées à un tiers ne peut en aucun cas être délégué. Ainsi, le GFI doit disposer au Luxembourg d’un personnel suffisant en nombre et qualifié pour effectuer un suivi adéquat des activités déléguées, compte tenu des risques découlant de la (les) délégation(s) identifiés par le GFI et du nombre de délégataires. La procédure doit identifier quels sont les services ou membres du personnel du GFI en charge du suivi continu des délégataires. 452. Le GFI peut tenir compte lors de la mise en place de son dispositif de contrôle de compétences transversales ou spécifiques existant au sein du groupe auquel il appartient. Dans ce cas, le GFI doit participer au processus de sélection des délégataires et de maintien de la relation de délégation. Le GFI doit notamment veiller à avoir accès aux documents obtenus lors des due diligences initiales et des opérations de suivi continu. 453. La procédure doit décrire les mesures permettant au GFI, en cas de retrait du mandat, d’assurer la continuité des opérations. 454. Le GFI doit en outre s’assurer que la protection des données est garantie en permanence. Sous-section 6.2.3.3. : Précisions sur la due diligence initiale 455. Lors de la réalisation de la due diligence initiale, le GFI doit, entre autres, identifier et évaluer tous les risques découlant de la délégation, notamment les risques opérationnels, financiers, légaux et de réputation, en vue de les gérer adéquatement, conformément à la politique de gestion des risques du GFI.

Circulaire 18/698 Page 68/102 456. La due diligence initiale doit permettre au GFI de s’assurer que l’entreprise à laquelle des fonctions seront déléguées est qualifiée et capable d’exercer les fonctions en question, selon la nature des fonctions déléguées, dans le respect des obligations légales et réglementaires ainsi que contractuelles. 457. La due diligence initiale doit en outre permettre au GFI de s’assurer de la capacité du délégataire à fournir les informations nécessaires à l’exercice de ses obligations de suivi continu. Lors de sa due diligence initiale, le GFI doit apprécier sa capacité à assurer un suivi continu du délégataire adapté, compte tenu des risques identifiés et des spécificités du délégataire. Ainsi, par exemple, la localisation géographique du délégataire ne doit, en principe, pas être un frein à la réalisation de visites sur site régulières. 458. Le GFI doit, entre autres, analyser la structure organisationnelle du délégataire. Il doit vérifier que le délégataire a pris les mesures appropriées pour se conformer notamment aux exigences en matière d’organisation, de conflits d’intérêts, de règles de conduite énoncées dans le Règlement 10-4 ainsi que des autres conditions d’exercices visées dans le Règlement Délégué 231/2013. L’exigence précitée s’applique aussi en cas de délégation partielle d’une ou de plusieurs fonctions. Le GFI devra également contrôler de manière effective le respect desdites exigences par le tiers. 459. Outre les autorisations qui peuvent être requises par les réglementations applicables, les entités auxquelles des fonctions sont déléguées doivent rapporter la preuve de l’adéquation de leurs ressources humaines et techniques au regard des fonctions déléguées. 460. Dans leur évaluation des risques découlant de la délégation, telle que visée au point 448 ci-avant, et en vue d’apprécier la qualité du délégataire envisagé, le GFI doit prendre en compte tout critère pertinent, dont notamment les éléments figurant dans la liste suivante (liste non exhaustive) : • la juridiction dans laquelle est localisé le délégataire ; • le caractère réglementé et/ou supervisé par une autorité de surveillance ; • le cas échéant, la nature des autorisations obtenues par le délégataire ; • le cas échéant, l’existence de sanctions infligées par une autorité de surveillance ; • la réputation du délégataire ; • la structure d’actionnariat du délégataire ; • la structure de gouvernance du délégataire ; • la structure organisationnelle du délégataire ; • l’organisation des fonctions de contrôle au sein du délégataire (compliance, audit interne, contrôle des risques) ; • les compétences et capacités du délégataire ; • sa situation financière via par exemple la revue des comptes annuels et de l’opinion émise par le réviseur d’entreprises ou équivalent ; • l’absence de soupçon de blanchiment de capitaux et de financement du terrorisme ; • la qualité des systèmes informatiques du délégataire ; • le plan de continuité opérationnelle et du plan de recouvrement des opérations du délégataire (« BCP/DRP ») ; • les mesures mises en place par le délégataire pour garantir la protection des données, notamment lorsque celui-ci est situé hors du Luxembourg ; • le risque de conflits d’intérêts entre le GFI et son délégataire et la gestion de ces risques ; • la revue des plaintes et réclamations reçues par le délégataire ; • l’existence de sous-délégation par le délégataire et les mesures de suivi continu par le délégataire de ses propres délégataires ; • la capacité du délégataire à fournir des rapports et des indicateurs-clés de performance suffisants et pertinents aux fins du contrôle continu exercé par le GFI.

Circulaire 18/698 Page 69/102 461. La due diligence initiale comprend une analyse critique écrite portant au moins sur les éléments mentionnés au point 460 ci-avant et sur tout élément jugé pertinent, compte tenu de la nature de la fonction déléguée notamment. A cet effet, le GFI doit veiller à appliquer les dispositions spécifiques visées aux sous-chapitres 6.3. à 6.6. de la présente circulaire. 462. Chaque due diligence doit être formalisée dans un rapport écrit comprenant au moins : • la description des mesures de due diligence réalisées en accord avec l’approche fondée sur les risques telle que visée au point 448 ci-avant, comme par exemple la soumission d’un questionnaire initial, ainsi que l’analyse dudit questionnaire et de la documentation y liée ; l’analyse de tout rapport pertinent, comme par exemple les rapports sur le fonctionnement des contrôles pertinents, rapports d’audit... ; la revue des politiques et procédures pertinentes en place au sein du délégataire ; des entretiens (via téléphone ou sur site) avec les personnes responsables au sein du délégataire, formalisés dans un procès-verbal ; des contrôles, le cas échéant, dans les locaux du délégataire lors d’une visite sur site… ; • la description et l’analyse critique des observations constatées ; • les résultats de l’analyse des informations et documents obtenus lors des opérations de due diligence ; • le cas échéant, les mesures d’intervention par paliers (escalation) réalisées ; • les conclusions retenues puis validées, datées et signées par toute instance du GFI habilitée quant à la décision de déléguer ou de refuser la délégation en question, tel que défini dans la procédure visée à la sous-section 6.2.3.2. En cas de décision d’effectuer la délégation, les conclusions statuent notamment sur la fréquence et la nature des due diligences périodiques subséquentes à réaliser. Le rapport de due diligences doit être examiné par le comité d’approbation du GFI visé à la section 5.5.3. qui doit statuer en dernier ressort. 463. La due diligence initiale doit être finalisée, datée et signée préalablement à l’entrée en vigueur du contrat avec le délégataire visé à la section 6.2.2. ci-avant. 464. Les travaux de due diligence initiale doivent être documentés et conservés au siège du GFI. 465. Les travaux de due diligence initiale doivent être disponibles à la demande de la CSSF et transmis sans délais. Sous-section 6.2.3.4. : Précisions sur le suivi continu 466. Le suivi continu des délégataires doit permettre au GFI : • de s’assurer que les prestations réalisées par le délégataire sont continuellement en conformité, non seulement avec les dispositions légales et réglementaires mais aussi contractuelles, et qu’elles présentent un niveau de qualité satisfaisant ; • d’apprécier dans la durée l’adéquation de la structure organisationnelle et des procédures du délégataire par rapport à l’activité déléguée et de déterminer si le délégataire est qualifié et capable d’exercer les fonctions en question ; • de réévaluer régulièrement les risques découlant de chaque délégation en vue de les gérer de façon adéquate. 467. Ce suivi continu repose : • d’une part sur la réalisation de due diligences périodiques ; • d’autre part sur la mise en œuvre d’une procédure de contrôle continu des activités déléguées. Due diligence périodique

Circulaire 18/698 Page 70/102 468. La due diligence périodique comprend une analyse critique écrite de l’activité et de l’organisation du délégataire, tout en appliquant une approche fondée sur les risques. A cet effet, le GFI réévalue les critères analysés durant la due diligence initiale (point 460 ci-avant) et intègre si nécessaire tout autre critère pertinent. 469. Chaque due diligence doit être formalisée dans un rapport écrit, daté et signé, comprenant en sus des aspects visés au point 462 ci-avant, les éléments suivants : • le suivi des observations constatées lors des précédentes due diligences. Le rapport de due diligences décrit alors les plans d’action et l’agenda retenu pour leur mise en œuvre. Le rapport décrit en outre les mesures d’intervention par paliers (escalation) réalisées ; • les conclusions retenues puis validées, datées et signées par toute instance du GFI habilitée quant à la décision de maintenir ou de mettre fin à la délégation en question, tel que défini dans la procédure visée à la sous-section 6.2.3.2., ainsi que les conditions de maintien de cette relation. En cas de décision de maintenir la délégation, les conclusions statuent notamment sur la fréquence retenue pour la réalisation des due diligences subséquentes à effectuer. 470. Les dispositions visées aux points 464 et 465 s’appliquent par analogie aux due diligences périodiques. Contrôle continu 471. L’exigence de contrôle continu requiert que le GFI mette en place un dispositif de contrôle qui permet de suivre l’activité des délégataires au sens du point 1er (9) de la présente circulaire. 472. Cette exigence requiert en outre que le GFI mette en place un dispositif de contrôle qui permet aux instances dirigeantes et à son personnel un accès aux données documentant les activités accomplies au nom et pour le compte du GFI et des OPC dont il assure la gestion par le ou les délégataire(s). 473. La management information visée à la section 5.5.1. doit également permettre de suivre l’activité des délégataires. 474. Ainsi, les dirigeants doivent recevoir régulièrement, pour l’ensemble des OPC gérés par le GFI, des rapports circonstanciés sur les résultats du dispositif de contrôle, comportant notamment des indicateurs-clé de performance. La fréquence de transmission de ces rapports, ainsi que leur détail, seront dictés par le profil des OPC gérés et des risques qui y sont associés. Le GFI doit déterminer et mettre en place ses propres indicateurs-clé de performance lorsque les indicateurs-clé de performance fournis par le délégataire ne suffisent pas à assurer un contrôle continu adéquat. 475. En outre, le GFI doit définir et mettre en œuvre une méthodologie d’analyse des résultats du dispositif de contrôle et mettre en place ses propres systèmes d’alertes, afin de contrôler ses délégataires suivant une approche fondée sur les risques. L’analyse de ces informations doit être documentée par écrit et mise à disposition de la CSSF, sur demande. 476. Dans le cas où le délégataire fait appel à un référentiel de contrôle interne tel que par exemple l’ISAE 3402, le GFI peut tenir compte de ces éléments dans l’organisation de son activité de contrôle du délégataire.