Section 6.2.4 - Organisation des fonctions de contrôle interne
Circulaire CSSF 20/758 — Administration centrale, gouvernance interne et gestion des risques (entreprises d'investissement) · CSSF 20/758
Section 6.2.4. Organisation des fonctions de contrôle interne 117. Chaque fonction de contrôle interne est placée sous la responsabilité d’un chef de fonction distinct qui est sélectionné, nommé et révoqué suivant une procédure interne écrite. Les nominations et révocations des responsables des fonctions de contrôle interne sont approuvées au préalable par le conseil d’administration et rapportées par écrit à la CSSF dans le respect de la Procédure prudentielle telle que publiée par la CSSF sur son site internet.
118. Les responsables des trois fonctions de contrôle interne sont responsables vis-à-vis de la direction autorisée et, en dernier ressort, vis-à-vis du conseil d’administration pour l’exécution de leur mandat. A ce titre, ces responsables doivent pouvoir contacter directement et de leur propre initiative le président du conseil d’administration ou, le cas échéant, le comité spécialisé compétent.
Les responsables des trois fonctions de contrôle interne sont désignés par « Chief Risk Officer » pour la fonction de contrôle des risques, « Chief Compliance Officer » pour la fonction compliance et « Chief Internal Auditor » pour la fonction d’audit interne.
Une externalisation de la fonction compliance et de la fonction de contrôle des risques n’est pas admise. Il est cependant admissible d’externaliser certaines tâches opérationnelles accessoires de la fonction de contrôle des risques et de la fonction compliance.
Il est admissible que les tâches opérationnelles de la fonction d’audit interne soient externalisées par de petits établissements dont le profil de risque est faible et non complexe. Une telle externalisation n’est en principe pas acceptable dans le cas d’établissements qui ont des agences, des succursales ou des filiales. Le conseil d’administration de l’établissement conserve la responsabilité finale pour l’externalisation des tâches opérationnelles de l’audit interne. Les prestataires externes auxquels les tâches opérationnelles de l’audit interne sont externalisées dépendent et rapportent directement au membre de la direction autorisée en charge de l’audit interne. Ils ont également un accès direct au conseil d’administration ou, le cas échéant, au président du comité d’audit.
Toute externalisation des tâches opérationnelles des fonctions de contrôle interne doit se faire dans le respect des dispositions de la circulaire CSSF 22/806 relative à l’externalisation.
119. Les dispositions du point précédent n’excluent pas que les fonctions de contrôle interne aient recours à l’expertise et aux ressources humaines ou techniques de tiers (faisant partie du même groupe que l’établissement ou non) pour certains aspects. Ce recours est régi par une procédure interne qui doit permettre en particulier à la direction autorisée et au conseil d’administration d’apprécier les dépendances et les risques qui résultent pour l’établissement d’un recours significatif à ces ressources externes.
La direction autorisée sélectionne ces ressources externes sur base d’une analyse d’adéquation entre les besoins de l’établissement et les services, le niveau d’objectivité et d’indépendance et les compétences spécifiques offerts par ces tiers, qui doivent être indépendants du réviseur d’entreprises et du cabinet de révision agréés de l’établissement ainsi que du groupe dont ces personnes relèvent. Le conseil d’administration approuve les ressources externes sélectionnées par la direction autorisée.
120. Tout recours à des ressources externes doit se faire sur base d’un mandat écrit. Ces tiers réalisent leurs travaux dans le respect des dispositions réglementaires et internes qui sont applicables à la fonction de contrôle interne et au domaine de contrôle en question. Ils doivent être placés sous la dépendance du responsable de la fonction de contrôle interne dont relève le domaine contrôlé. Ce responsable supervise les travaux de ces tiers.
121. Lorsqu’en application du principe de proportionnalité, l’établissement peut démontrer qu’il n’est pas justifié de mettre en place une fonction de contrôle des risques et une fonction compliance distinctes ou de nommer deux responsables à temps plein à la tête de ces deux fonctions, l’établissement peut soit mettre en place une fonction combinée ou un poste à responsabilité combinée, soit charger deux personnes distinctes à temps partiel, moyennant l’accord préalable de la CSSF.
L’établissement qui désire créer une fonction combinée de contrôle des risques et de compliance, cumuler les responsabilités pour ces deux fonctions dans le chef d’une seule personne ou combiner l’une de ces responsabilités avec d’autres tâches ou charger deux personnes distinctes à temps partiel, doit adresser une demande à la CSSF qui comprendra :
• soit une description de la fonction combinée ou du poste à responsabilité combinée, soit une description des fonctions des deux personnes chargées à temps partiel ; • une description de toutes les autres tâches exercées par la (les) personne(s) en question ; • l’analyse et ses conclusions justifiant soit la création d’une fonction combinée ou d’un poste à responsabilité combinée, soit le fait de charger deux personnes distinctes à temps partiel, au vu de l’organisation de l’établissement, de la nature, de l’échelle et de la complexité de ses activités et risques ; • la décision du conseil d’administration approuvant l’analyse et ses conclusions ; et • une confirmation écrite que les autres tâches exercées par la (les) personne(s) en question restent compatibles avec les responsabilités susvisées.
122. L’établissement qui, en application du principe de proportionnalité désire externaliser des tâches opérationnelles des fonctions de contrôle interne doit adresser une notification préalable à la CSSF, conformément aux dispositions des points 59 et 60 de la circulaire CSSF 22/806 relative à l’externalisation. La notification comprendra 7 : • l’analyse et ses conclusions justifiant la externalisation des tâches opérationnelles de la fonction de contrôle interne ; • la décision du conseil d’administration approuvant l’analyse et ses conclusions; • une description de l’externalisation, le prestataire retenu, les ressources externes contractées; et • la personne responsable de cette externalisation au sein de l’établissement.
7 Pour la fonction d’audit interne, la décision du conseil d’administration devra, le cas échéant, être prise sur base de l’avis du comité d’audit. La notification comprendra également le nom du responsable de l’équipe externe devant assurer les missions d’audit interne.
Si l’externalisation porte sur des tâches opérationnelles de la fonction d’audit interne, ces prestataires externes peuvent être les auditeurs internes du groupe dont fait partie l’établissement. Il appartient au conseil d’administration de s’assurer que ces ressources sont suffisantes et disposent de l’expérience et des compétences nécessaires pour couvrir tous les domaines d’activités de l’établissement et les risques liés ainsi que de l’encadrement requis pour assurer un travail d’audit de haute qualité.
123. Les fonctions de contrôle interne d’un établissement doivent également être mises en place au niveau du groupe, des entités juridiques et des succursales qui le composent. Ces parties constituantes doivent être dotées chacune de leurs propres fonctions de contrôle interne en tenant compte du principe de proportionnalité.
124. Pour les succursales, les fonctions de contrôle interne dépendent, d’un point de vue hiérarchique et fonctionnel, des fonctions de contrôle des entités juridiques dont elles font partie et auxquelles elles font rapport.
Pour les filiales, les fonctions de contrôle interne dépendent, d’un point de vue fonctionnel, des fonctions de contrôle de la tête de groupe. Les rapports établis conformément aux dispositions de la présente circulaire sont soumis non seulement à la direction autorisée et au conseil d’administration local, mais également, en synthèse, aux fonctions de contrôle interne de l’établissement tête de groupe qui les analyse et qui fait rapport des points à relever, conformément au point 115.
En vertu du principe de proportionnalité, l’établissement qui a créé trois fonctions de contrôle interne permanentes et indépendantes peut renoncer à mettre en place auprès d’entités juridiques ou de succursales du groupe dont la taille et les activités sont limitées, des fonctions de contrôle interne propres. Dans ce cas, l’établissement veille à ce que ses fonctions de contrôle interne procèdent à des contrôles réguliers et fréquents, y compris des contrôles sur place annuels, auprès de ces entités.
Lorsque l’établissement n’est pas entreprise mère, l’établissement s’efforce d’obtenir une synthèse des rapports des fonctions de contrôle interne des entités juridiques en question et les fait analyser par ses propres fonctions de contrôle interne. Celles-ci font rapport des recommandations majeures, des principaux problèmes, déficiences et irrégularités relevés, des mesures correctrices décidées et du suivi effectif de ces mesures conformément au point 115.
125. Les principes de la présente circulaire n’excluent pas que, pour des établissements luxembourgeois qui sont succursale ou filiale de professionnels financiers luxembourgeois ou non, disposant de fonctions de contrôle interne au niveau de ces professionnels, les fonctions de contrôle interne soient liées de façon fonctionnelle à celles du professionnel en question.
