Chapitre 5 - : Dispositif en matière d’administration centrale et de

Chapitre 5. : Dispositif en matière d’administration centrale et de gouvernance interne Sous-chapitre 5.1. : Dispositif en matière d’administration centrale du GFI 115. Chaque GFI doit disposer au Luxembourg d’une administration centrale, comportant un « centre de prise de décision » et un « centre administratif ». Cette exigence signifie qu’un GFI ne peut pas se limiter à avoir au Luxembourg un siège social ou statutaire. 116. La notion d’administration centrale du GFI, visée aux articles 102 (1) e) de la Loi 2010 et 7 (1) e) de la Loi 2013, ne doit pas être confondue avec la fonction « administration » visée à l’annexe II de la Loi 2010, respectivement à l’annexe I de la Loi 2013.

5 https://www.cssf.lu/fr/Document/questions-reponses-relatives-a-la-loi-du-17-decembre-2010-concernant- les-organismes-de-placement-collectif-version-10/

Circulaire 18/698 Page 24/102 117. L’administration centrale du GFI, qui englobe au sens large les fonctions de direction et de gestion, d'exécution et de contrôle, doit permettre au GFI d’avoir la maîtrise de l’ensemble de ses activités. 118. La notion de centre de prise de décision ne comprend pas seulement l'activité des instances dirigeantes suivant l’article 102 (1) c) de la Loi 2010 et l’article 7 (1) c) de la Loi 2013, mais également celle des responsables des différentes fonctions-clé, respectivement de toute autre unité opérationnelle existant à l'intérieur du GFI. 119. Le centre administratif comprend en particulier une bonne organisation administrative et comptable qui assure, entre autres, l'exécution adéquate des opérations, l'enregistrement correct et exhaustif des opérations, la production d'une information de gestion fiable et rapidement disponible, le suivi des activités déléguées, la gestion des conflits d’intérêts et le respect des règles de conduite et des autres conditions d’exercice applicables. A cet effet, le GFI doit se doter au Luxembourg des moyens humains et techniques nécessaires et suffisants pour pouvoir exercer les activités qu’il veut réaliser et pour contrôler les fonctions déléguées. Ceci implique qu’il dispose au Luxembourg des éléments suivants dont la liste n’est pas exhaustive : • son propre personnel exécutant compétent, suffisant en nombre afin d’exécuter les décisions prises (section 5.1.1. : « Précisions sur les ressources humaines ») ; • ses propres systèmes d’exécution, c’est-à-dire des procédures et de l’infrastructure technique et informatique (section 5.1.2. : « Précisions sur l’infrastructure technique, IT et continuité opérationnelle ») ; • une fonction comptable (section 5.1.3. : « Précisions sur la fonction comptable ») ; • ses propres locaux (section 5.1.4 : « Précisions sur les locaux au Luxembourg »). 120. La notion d’administration centrale implique aussi qu’un GFI doit disposer au Luxembourg de : • ses propres fonctions de contrôle interne (sous-chapitre 5.3. : « Les fonctions de contrôle interne ») ; • ses propres procédures (sous-chapitre 5.5. : « Exigences en matière d’organisation et de procédures ») ; • son propre dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme (sous-chapitre 5.4. : « Organisation de la lutte contre le blanchiment de capitaux et le financement du terrorisme ») ; • la documentation relative à ses opérations et à celles effectuées par les délégataires pour le compte du GFI (chapitre 6. : « Dispositions organisationnelles spécifiques »). Section 5.1.1. : Précisions sur les ressources humaines 121. Conformément à l’article 6 du Règlement 10-4 et à l’article 22 du Règlement Délégué 231/2013, chaque GFI doit employer au Luxembourg un personnel suffisant en nombre et disposant des qualifications, des connaissances et de l’expertise nécessaires pour assurer les tâches qu’il veut exercer et pour surveiller de manière efficace les activités déléguées. 122. Le personnel doit disposer des compétences professionnelles individuelles et collectives appropriées eu égard aux stratégies d’investissement des OPC gérés. 123. Chaque GFI doit employer au siège luxembourgeois au moins trois personnes à temps-plein (trois ETP) dédiant leur temps de travail à l’exercice de fonctions-clé. Suivant la nature, l’échelle et la complexité de son activité, le GFI doit adapter la taille des équipes dédiées à l’exercice de fonctions- clé et ainsi employer davantage de personnes disposant des qualifications, des connaissances et de l’expertise nécessaires pour l’exercice des fonctions-clé. 124. Des absences de longue durée ou des départs de membres du personnel (p. ex. : démissions ou licenciements) ne doivent pas entraver à terme le bon fonctionnement du GFI.

Circulaire 18/698 Page 25/102 125. En cas d’absence d’un membre du personnel engagé dans les fonctions-clé, il est nécessaire de prévoir qu’un membre du personnel disposant d’une expérience adaptée et de l’indépendance nécessaire puisse le remplacer si besoin. 126. Le personnel est, en principe, salarié du GFI, avec lequel il est lié par un contrat de travail. 127. La CSSF peut accorder une dérogation à l’exigence visée au point 126 et autoriser qu’une partie du personnel soit détachée ou mise à disposition par une entité appartenant au même groupe ou par une société tierce. Dans ce cas, le contrat réglant ce détachement ou cette mise à disposition doit être soumis à la CSSF pour accord préalable. Par ailleurs, le contrat doit contenir des règles de gestion des conflits d’intérêts entre le personnel concerné et l’entité pour laquelle le personnel preste également des services. Ledit contrat doit en outre préciser la mission du personnel concerné, le lien de rattachement hiérarchique aux dirigeants du GFI pour les fonctions exercées dans l’entité en application des articles 5 (1) a) du Règlement 10-4 et 57 (1) a) du Règlement Délégué 231/2013, ainsi que le temps de présence effectif au sein du GFI. Le personnel ainsi mis à disposition du GFI ou détaché doit se trouver de façon permanente au Luxembourg et pouvoir être contacté à tout moment pendant les heures de travail usuelles. Cela n’empêche toutefois pas que les membres du personnel aient leur domicile dans un lieu qui leur permet de se rendre, en principe, chaque jour au Luxembourg. 128. Lorsque, en raison de la taille réduite du GFI, il est indispensable de regrouper plusieurs tâches et responsabilités sur une même personne, ce regroupement doit être organisé de sorte à ne pas porter préjudice à l'objectif poursuivi par la séparation des tâches. 129. Disposition spécifique applicable à la SGO : l’exercice de multiples fonctions par une même personne ne doit pas l’empêcher, ni être susceptible de l’empêcher, de s’acquitter de manière convenable, honnête et professionnelle de l’une quelconque de ses fonctions, conformément à l’article 6 (3) du Règlement 10-4. 130. Recommandation spécifique au GFIA : il est recommandé au GFIA de respecter également la disposition visée au point 129 ci-avant. 131. L'organigramme du GFI donne le détail pour les différentes fonctions (opérationnelles et de contrôle) de la structure et des liens hiérarchiques et fonctionnels entre ces fonctions, ainsi qu'avec les instances dirigeantes et l’organe de direction/organe directeur du GFI. 132. L'organigramme et la description des tâches sont établis sur base du principe de la séparation des tâches. En vertu de ce principe, les tâches et responsabilités doivent être attribuées de façon à éviter qu'elles ne soient incompatibles dans le chef d'une même personne. Le but poursuivi est d’écarter les conflits d’intérêts et de prévenir au moyen d'un environnement de contrôles réciproques qu'une personne puisse commettre des erreurs et irrégularités. 133. Sur demande de la CSSF, le GFI est tenu de fournir un organigramme actualisé. A cet effet, l’organigramme doit notamment inclure : • le nom des membres de l’organe de direction/organe directeur, des dirigeants et des responsables des fonctions-clé ; • le nombre de collaborateurs affectés à chaque service ou unité du GFI, en distinguant notamment les fonctions de gestion de portefeuille, d’administration d’OPC, de commercialisation, de gestion des risques, de compliance, d’audit interne, ainsi que les personnes en charge de la lutte contre le blanchiment de capitaux et le financement du terrorisme et celles en charge du suivi des délégataires. Section 5.1.2. : Précisions sur l’infrastructure technique, IT et la continuité opérationnelle 134. Chaque GFI doit se doter dans ses locaux d’une infrastructure technique et informatique adaptée à l’activité qu’il veut réaliser.

Circulaire 18/698 Page 26/102 135. Selon l’article 5 (2) du Règlement 10-4 et l’article 57 (2) du Règlement Délégué 231/2013, chaque GFI doit établir, mettre en œuvre et garder opérationnels des systèmes et des procédures appropriés pour préserver la sécurité, l’intégrité et la confidentialité des informations, en tenant compte de la nature des informations concernées. 136. Les exigences du paragraphe précité sont remplies au mieux lorsque le GFI dispose de sa propre infrastructure informatique, qui est prise en charge par son propre service informatique, lui-même organisé et encadré par un dispositif de contrôle interne fixé par les instances dirigeantes. En règle générale, le GFI doit donc disposer, dans ses locaux au Luxembourg, de ses propres ordinateurs et de programmes informatiques appropriés et dûment documentés. 137. Ainsi, le GFI doit mettre en place des procédures et un dispositif lui permettant d’identifier et de gérer les risques informatiques, notamment dans les domaines suivants : • le risque d’atteinte à la confidentialité, à l’intégrité et à l’accessibilité des données ; • les risques liés à la continuité des activités du GFI et à la capacité de résilience des systèmes informatiques ; • les risques liés à l’externalisation de la fonction informatique, le cas échéant ; • le risque de fraude informatique, caractérisée par l’usage de données, de logiciels et de matériel informatique du GFI à des fins malicieuses ; • les risques de cyberattaques. 138. Les dispositions susmentionnées n’empêchent toutefois pas un GFI de recourir, sous sa responsabilité, aux services d’un tiers spécialisé en matière de conseil, de programmation, de maintenance ou de gestion de systèmes informatiques. Tout recours à un tiers doit être notifié préalablement à la CSSF et être formalisé par un contrat de services. Le tiers doit en outre faire l’objet d’une due diligence initiale et d’un suivi continu, en accord avec les dispositions prévues au sous-chapitre 6.2. (« Encadrement de la délégation ») de la présente circulaire. 139. Il est également admissible qu’un GFI soit lié par voie de télécommunication au centre de traitement informatique se trouvant auprès de sa maison-mère ou d’une filiale de celle-ci. En cas de recours au service de sa maison-mère ou d’une filiale de celle-ci, le GFI doit vérifier que l’entité en question est qualifiée pour, et capable de, prester le service en question. 140. Au cas où le GFI a recours aux services d’un tiers, il doit veiller à avoir un accès rapide et non limité aux informations le concernant, stockées au centre de traitement informatique. Ces informations doivent être encryptées ou encore protégées selon d'autres moyens techniques disponibles de nature à assurer la sécurité des communications et la confidentialité des données des clients. 141. Par ailleurs, le GFI doit être en mesure de fonctionner normalement en cas d’indisponibilité de son système informatique. A cet effet, il doit mettre en place une solution de « back-up » en adéquation avec un plan de continuité de ses activités, tel que prévu par l’article 5 (3) du Règlement 10-4 et par l’article 57 (3) du Règlement Délégué 231/2013. Ce plan de continuité doit décrire les actions à mettre en œuvre par le GFI afin de poursuivre ses activités en cas d’incident ou de sinistre lié à des événements anormaux. Dans le cas où le GFI a recours aux services de sa maison-mère ou d’une filiale de celle-ci, le GFI peut se baser sur la solution de « back-up » de sa maison-mère ou de la filiale en question, à condition que la ségrégation des données du GFI soit assurée. 142. Un GFI doit disposer de systèmes informatiques adaptés permettant de respecter les dispositions en matière de bonne organisation administrative prévues à l’article 109 (1) a) de la Loi 2010 et à l’article 16 de la Loi 2013. Dans ce contexte, une distinction doit toutefois être faite entre un GFI qui exerce lui-même une ou plusieurs des fonctions incluses dans l’activité de gestion d’OPC et celui qui a délégué une ou plusieurs desdites fonctions à un ou plusieurs tiers. Suivant l’organisation retenue, le GFI doit se référer aux sections pertinentes des sous-chapitres 6.3. à 6.6. de la présente circulaire. 143. La circulaire CSSF 17/654 portant sur la sous-traitance informatique reposant sur une infrastructure informatique en nuage ou infrastructure de « Cloud Computing » s’applique au GFI dans la mesure

Circulaire 18/698 Page 27/102 où le GFI a recours à une telle infrastructure. En application du point 24 (c) de la circulaire précitée, le GFI est tenu de désigner parmi ses employés une personne, le « cloud officer », qui a pour responsabilité l’utilisation des services de Cloud Computing et est garant des compétences du personnel gérant les ressources de Cloud Computing. Ce rôle peut être assuré directement par le dirigeant ayant dans ses attributions la fonction informatique. 144. La CSSF rappelle à chaque GFI qu’il est tenu de respecter les dispositions de la circulaire CSSF 11/504 concernant les fraudes et incidents dus à des attaques informatiques externes. Section 5.1.3. : Précisions sur la fonction comptable 145. Selon l’article 5 (4) du Règlement 10-4 et l’article 57 (4) du Règlement Délégué 231/2013, chaque GFI doit établir, mettre en œuvre et garder opérationnelles des politiques et procédures comptables ainsi que des règles en matière d’évaluation permettant de fournir des informations financières offrant une image fidèle et sincère de la situation financière du GFI. 146. Par conséquent, chaque GFI doit communiquer à la CSSF le nom de la personne responsable au sein du GFI qui peut fournir des informations sur la situation comptable du GFI. 147. L’identité du responsable de la fonction comptable ainsi que de toute personne lui succédant dans sa fonction doit être immédiatement notifiée à la CSSF. 148. En ce qui concerne l’organisation de la fonction comptable, le GFI peut soit se doter de sa propre fonction comptable, soit recourir, sous sa responsabilité, à l’expertise d’un tiers en matière de tenue de la comptabilité. Tout recours à un tiers doit être notifié préalablement à la CSSF et être formalisé par un contrat de services. Le tiers doit en outre faire l’objet d’une due diligence initiale et d’un suivi continu, en accord avec les dispositions prévues au sous-chapitre 6.2. (« Encadrement de la délégation ») de la présente circulaire. 149. Indépendamment du modèle d’organisation de la fonction comptable, notamment le recours à un tiers, les pièces comptables relatives à l’activité du GFI doivent toujours être disponibles et/ou accessibles électroniquement à partir du siège du GFI au Luxembourg de sorte que le GFI reste en mesure d’établir un bilan et un compte de pertes et de profits de manière autonome. 150. La fonction comptable opère sur base de procédures écrites qui prévoient : • d'identifier et d'enregistrer toutes les transactions entreprises par le GFI ; • d'expliquer l'évolution des soldes comptables d'un arrêté à l'autre par la conservation des mouvements ayant affecté les postes comptables ; • de conserver toutes les pièces comptables suivant les dispositions légales en vigueur ; • de réaliser les réconciliations des comptes et des écritures comptables ; • de s’assurer de la fiabilité du reporting financier. 151. L'ensemble de l'organisation et des procédures comptables sont décrites dans un manuel des procédures comptables. Dans la définition et la mise en œuvre de ces procédures, le GFI veille au respect du principe d’intégrité afin d’éviter en particulier que le système comptable ne puisse être utilisé à des fins frauduleuses. Section 5.1.4. : Précisions sur les locaux au Luxembourg 152. La notion d’administration centrale implique aussi qu’un GFI doit disposer de ses propres locaux au Luxembourg. L’accès aux locaux du GFI doit être sécurisé et limité au personnel du GFI. En cas de changement de locaux, le GFI doit informer la CSSF au préalable, en vue d’un agrément des modifications statutaires le cas échéant. Le dossier transmis à la CSSF doit inclure un plan des locaux, et si le GFI n’est pas propriétaire des locaux, le contrat de bail.

Circulaire 18/698 Page 28/102 Sous-chapitre 5.2. : Dispositif général en matière de gouvernance interne 153. En application des articles 109 et 111 de la Loi 2010 ainsi que des articles 16 et 11 de la Loi 2013, chaque GFI doit posséder un solide dispositif de gouvernance interne qui assure la gestion saine et prudente de ses activités et des risques qui leur sont inhérents. 154. La gouvernance interne doit assurer en particulier la gestion saine et prudente des activités, y compris des risques qui leur sont inhérents. Afin d’atteindre cet objectif, les GFI mettent en place un dispositif de gouvernance interne qui répond au concept des « trois lignes de défense » (« three-lines-of- defence model »). 155. La première ligne de défense est constituée par les unités opérationnelles qui prennent ou acquièrent des risques dans le cadre d’une politique et de limites prédéfinies et qui effectuent des contrôles. 156. La seconde ligne est formée par les fonctions permanentes de gestion des risques (section 5.3.1.) et de compliance (section 5.3.2.) qui contribuent au contrôle indépendant des risques, ainsi que par les fonctions de support, y compris la fonction informatique (section 5.1.2.) et la fonction comptable (section 5.1.3.). 157. La troisième ligne est constituée par la fonction d’audit interne (section 5.3.3.) qui effectue une évaluation indépendante, objective et critique des deux premières lignes de défense. 158. Les trois lignes de défense sont complémentaires, chaque ligne de défense assumant ses responsabilités de contrôle indépendamment des autres lignes. 159. Ce dispositif de gouvernance interne doit notamment s’articuler autour des domaines suivants, développés pour l’essentiel dans le Règlement 10-4 et dans le Règlement Délégué 231/2013 : • les exigences organisationnelles, en ce compris les mécanismes de contrôle interne (sous-chapitre 5.3. « Les fonctions de contrôle interne ») ; • les exigences en matière de reporting interne ; • les transactions personnelles ; • la gestion des conflits d’intérêts ; • l’exercice des droits de vote ; • les règles de conduite ; • la politique de rémunération. 160. Concrètement, le dispositif de gouvernance interne comprend notamment: • une structure organisationnelle et opérationnelle claire et cohérente comportant des pouvoirs de décision, des liens hiérarchiques et fonctionnels et un partage des responsabilités clairement définis, transparents, cohérents, complets et exempts de conflits d’intérêts ; • des mécanismes adéquats de contrôle interne ; • une procédure formelle d’escalation (procédure d’intervention par paliers), de règlement et, le cas échéant, de sanctions pour les problèmes, déficiences et irrégularités relevés par le biais des mécanismes de contrôle interne ; • un dispositif de communication interne comprenant un dispositif interne d’alerte (« whistleblowing ») qui permet au personnel du GFI d’attirer l'attention des responsables sur toutes leurs préoccupations importantes et légitimes liées à la gouvernance interne du GFI ; • un dispositif de gestion de continuité des activités visant à limiter les risques de perturbation grave des activités et à assurer le maintien des opérations-clé telles que définies par l’organe de direction/organe directeur sur proposition des instances dirigeantes. Ce dispositif comprend un plan de continuité qui décrit les actions à mettre en œuvre afin de poursuivre les activités en cas d’incident ou sinistre ;

Circulaire 18/698 Page 29/102 • un dispositif de gestion de crises qui assure une capacité de réaction appropriée en cas de crise, y compris un plan de rétablissement des activités. 161. Chaque GFI promeut une culture interne du contrôle et du risque qui vise à assurer que tous les membres du personnel participent activement à la détection, à la déclaration et au contrôle des risques encourus par le GFI. Sous-chapitre 5.3. : Les fonctions de contrôle interne 162. Conformément au Règlement 10-4 et au Règlement Délégué 231/2013, chaque GFI doit établir et garder opérationnelle une fonction permanente de compliance, de gestion des risques et d’audit interne. 163. Les politiques mises en œuvre en matière de gestion des risques, de compliance et d’audit instaurent trois fonctions de contrôle interne distinctes : d’une part, la fonction de gestion des risques et la fonction compliance qui relèvent de la deuxième ligne de défense et, d’autre part, la fonction d’audit interne qui relève de la troisième ligne de défense. Ces politiques décrivent par ailleurs les domaines d’intervention relevant directement de chaque fonction de contrôle interne, règlent clairement les responsabilités en matière de domaines d’intervention communs et définissent les objectifs ainsi que l'indépendance, l’objectivité et la permanence des fonctions de contrôle interne. 164. Chaque fonction de contrôle interne est placée sous la responsabilité d’un responsable de fonction distinct qui est nommé et révoqué suivant une procédure interne écrite. Les nominations et révocations des responsables des fonctions de contrôle interne sont approuvées par l’organe de direction/organe directeur et communiquées par écrit à la CSSF, conformément aux dispositions visées à la sous-section 5.3.1.3. pour la fonction de gestion des risques, à la sous-section 5.3.2.4. pour la fonction de compliance et à la sous-section 5.3.3.4. pour la fonction d’audit interne. 165. Les responsables des trois fonctions de contrôle interne sont responsables vis-à-vis des instances dirigeantes et, en dernier ressort, vis-à-vis de l’organe de direction/organe directeur pour l’exécution de leur mandat. A ce titre, ces responsables doivent pouvoir contacter et informer directement et de leur propre initiative l’organe de direction/organe directeur ou, le cas échéant, les membres du comité d’audit, ainsi que la CSSF. 166. Les fonctions de contrôle interne ont pour objectif principal de vérifier le respect de l’ensemble des politiques et procédures internes qui tombent dans leur champ d’attribution, d’en évaluer régulièrement l’adéquation par rapport à la structure organisationnelle et opérationnelle du GFI, aux stratégies, aux activités et aux risques du GFI ainsi que par rapport aux exigences légales et réglementaires applicables, et d’en rendre compte directement aux instances dirigeantes ainsi qu’à l’organe de direction/organe directeur. Elles fournissent aux instances dirigeantes ainsi qu’à l’organe de direction/organe directeur les avis et conseils qu’elles jugent utiles en vue d’améliorer le dispositif d’administration centrale et de gouvernance interne du GFI. 167. Les responsables des fonctions de contrôle interne répondent dans les meilleurs délais aux demandes d’avis et de conseils émanant des instances dirigeantes et de l’organe de direction/organe directeur du GFI ou des comités spécialisés du GFI, le cas échéant. Lorsqu’ils estiment que la gestion efficace, saine ou prudente des activités est compromise, les responsables des fonctions de contrôle interne en informent promptement et de leur propre initiative les instances dirigeantes et l’organe de direction/organe directeur suivant les modalités internes applicables. 168. Les fonctions de contrôle interne doivent également couvrir l’activité des succursales, des bureaux de représentation, des agences et des filiales dont dispose, le cas échéant, un GFI. 169. Il convient de préciser que les fonctions de compliance et d’audit interne ne peuvent pas être assurées par la même personne physique. De même, en cas de délégation de l’exécution de la fonction permanente de compliance ou d’audit interne, dans le respect des conditions visées dans les sections respectives ci-dessous (5.3.2. et 5.3.3.), le suivi de ces fonctions ne peut pas être confié à la même personne physique.

[...]