Section 6.2.5 - La fonction de contrôle des risques

Section 6.2.5. La fonction de contrôle des risques

Sous-section 6.2.5.1. Champ d’application et responsabilités spécifiques de la fonction de contrôle des risques 126. La fonction de contrôle des risques s’assure que toutes les unités opérationnelles anticipent, détectent, évaluent, mesurent, suivent, gèrent et déclarent dûment tous les risques auxquels l’établissement est ou pourrait être exposé. Elle réalise ses tâches de manière continue et sans délais. Elle est un élément central de la gouvernance interne et de l’organisation de l’établissement qui est dédié à la maîtrise des risques. Elle informe et conseille le conseil d’administration et assiste la direction autorisée, propose des améliorations au cadre de gestion des risques et participe activement aux processus de décisions en veillant à ce qu’une attention appropriée soit accordée aux considérations de risque. La responsabilité ultime pour les décisions en matière de risque reste cependant auprès des unités opérationnelles qui prennent les risques et, en fin de compte, auprès de la direction autorisée et du conseil d’administration. Le terme fonction de contrôle des risques n’entend donc pas réduire cette fonction à un simple « contrôle » ex-post de limites.

127. Le champ d’intervention de la fonction de contrôle des risques couvre l’établissement dans son ensemble, y compris les risques inhérents à la complexité de la structure juridique de l’établissement et aux relations de l’établissement avec des parties liées.

128. La fonction de contrôle des risques veille à ce que les objectifs et limites internes en matière de risque soient robustes et compatibles avec le cadre réglementaire, les stratégies et politiques internes, les activités et la structure organisationnelle et opérationnelle de l’établissement. Elle en contrôle le respect, propose des mesures de remédiation appropriées en cas d’infraction, veille au respect de la procédure d’escalade en cas d’infraction matérielle et s’assure que les dépassements soient régularisés dans les meilleurs délais.

129. Le responsable de la fonction de contrôle des risques veille à ce que la direction autorisée et le conseil d’administration reçoivent une vue indépendante, complète, objective et pertinente des risques auxquels l’établissement est ou pourrait être exposé. Cette vue comprend en particulier une évaluation de l’adéquation entre ces risques et les fonds propres et réserves de liquidités et la capacité de l’établissement à gérer ces risques, en temps normal et en temps de crise. Cette évaluation se fonde en particulier sur le programme de tests de résistance conformément à la circulaire CSSF 11/506. Elle comprend aussi une appréciation quant à l’adéquation entre les risques encourus et l’appétit au risque défini par le conseil d’administration. La fréquence de cette communication est adaptée aux caractéristiques et aux besoins de l’établissement, compte tenu de son modèle d’affaires, des risques encourus et de son organisation.

Le rapport annuel de synthèse de la fonction de contrôle des risques, qui est fourni en copie à la CSSF, fait potentiellement double emploi avec des éléments du rapport ICAAP et ILAAP. La fonction de contrôle des risques peut dès lors faire référence dans son rapport de synthèse au rapport ICAAP et ILAAP pour autant qu’elle partage les descriptifs et analyses de risques qui y figurent. En cas de désaccord, la fonction de contrôle des risques émet dans son rapport de synthèse ses propres évaluations et conclusions.

130. La fonction de contrôle des risques veille à ce que la terminologie, les méthodologies et les moyens techniques utilisés à des fins d’anticipation, de détection, de mesure, de déclaration, de gestion et de contrôle des risques soient cohérents et efficaces.

131. La fonction de contrôle des risques veille à ce que l’appréciation des risques se fonde sur des hypothèses prudentes et sur un éventail de scénarios pertinents, en particulier en ce qui concerne les dépendances entre risques. Les appréciations quantitatives sont à valider par des méthodes d’appréciation qualitatives et des jugements d’experts, basés sur des analyses structurées et documentées.

La fonction de contrôle des risques informe la direction autorisée et le conseil d’administration sur les hypothèses, les limites et les déficiences potentielles des analyses et modèles appliqués et doit régulièrement confronter ses appréciations ex-ante des risques potentiels mesurés avec les risques matérialisés ex-post en vue d’améliorer la justesse de ses méthodes d’appréciation (« back-testing »).

132. La fonction de contrôle des risques s’attache à anticiper et reconnaître les risques qui émergent dans un environnement changeant. A ce titre, elle suit également la mise en œuvre des modifications d’activités (« New Product Approval Process ») en vue de garantir que les risques y liés restent contrôlés.

Sous-section 6.2.5.2. Organisation de la fonction de contrôle des risques 133. Les établissements créent une fonction de contrôle des risques permanente et indépendante compte tenu du principe de proportionnalité et des critères régissant son application, ainsi que des considérations sur l’organisation des fonctions de contrôle interne élaborées à la section 6.2.4. Lorsque l’organisation d’un établissement, l’ampleur ou la complexité de ses activités ou encore les risques encourus justifient la mise en place de fonctions satellites de contrôle des risques ou compliance au sein des unités opérationnelles, l’établissement doit néanmoins mettre en place une fonction centrale de contrôle des risques à laquelle rapportent les différentes fonctions satellites. Cette fonction centrale gère la vue consolidée des risques et s’assure du respect des stratégies et de l’appétit définis en matière de risques.

134. Il est admissible, moyennant autorisation spécifique de la CSSF, que le membre de la direction autorisée désigné comme étant directement en charge de la fonction de contrôle des risques assume lui-même le poste de « Chief Risk Officer ».

135. Au sein des établissements qui sont d’importance significative, le responsable de la fonction de contrôle des risques est un membre de la direction autorisée qui est indépendant et individuellement responsable de la fonction de contrôle des risques. Lorsque le principe de proportionnalité n’exige pas une telle attribution, et en l’absence de conflits d’intérêts, un autre membre du personnel de l’établissement faisant partie de l’encadrement supérieur peut assumer cette fonction.

136. Le responsable de la fonction de contrôle des risques doit être en mesure de contester les décisions de la direction autorisée. Ces contestations et les raisons invoquées doivent être documentées par l’établissement. Lorsque l’établissement accorde au « Chief Risk Officer » un droit de veto sur les décisions de la direction autorisée, la portée de ce droit doit être arrêtée clairement et par écrit, y compris le processus d’escalade au conseil d’administration.

Les décisions ayant fait l’objet d’un avis négatif motivé de la part du « Chief Risk Officer » devraient être sujettes à un processus décisionnel renforcé.