Section 6.2.6 - La fonction compliance
Circulaire CSSF 20/758 — Administration centrale, gouvernance interne et gestion des risques (entreprises d'investissement) · CSSF 20/758
Section 6.2.6. La fonction compliance
La présente circulaire comprend les « orientations générales » contenues dans les orientations de l’ESMA concernant certains aspects de la MiFID relatifs aux exigences de la fonction de vérification de la conformité (ESMA/2012/388) et les applique à l’ensemble des activités de l’établissement, y compris la fourniture de services d’investissement. Lorsqu’ils mettent en œuvre ces exigences en relation avec des services d’investissement au sens de la LSF, les établissements tiennent compte des « orientations complémentaires » formulées dans les ESMA/2012/388.
Sous-section 6.2.6.1. La charte de compliance
137. Les modalités de fonctionnement de la fonction compliance en termes d’objectifs, de responsabilités et de pouvoirs sont arrêtées par une charte de compliance élaborée par la fonction compliance et approuvée par la direction autorisée et par le conseil d’administration en dernier ressort.
138. La charte de compliance doit au minimum :
• définir la position de la fonction compliance dans l’organigramme de l’établissement tout en précisant ses caractéristiques clés (indépendance, objectivité, intégrité, compétences, autorité et suffisance des ressources) ; • reconnaître à la fonction compliance le droit d’initiative pour ouvrir des enquêtes portant sur toutes les activités de l’établissement y compris celles de ses succursales et filiales au Luxembourg et à l’étranger et à accéder à tous les documents, pièces et procès-verbaux des organes consultatifs et décisionnels de l’établissement, à voir toutes les personnes travaillant dans l’établissement, dans la mesure requise pour l’exercice de sa mission ; • définir les responsabilités et lignes de reporting du « Chief Compliance Officer » ; • décrire les relations avec les fonctions de contrôle des risques et d’audit interne ainsi que d’éventuels besoins de délégation et/ou de coordination ; • définir les conditions et circonstances applicables lorsqu’il est fait recours à des experts externes ou à des prestataires de services ; • établir le droit pour le « Chief Compliance Officer » de contacter directement et de sa propre initiative le président du conseil d’administration ou, le cas échéant, les membres du comité d’audit ou du comité de compliance, ainsi que la CSSF.
Le contenu de la charte de compliance est porté à la connaissance de tous les membres du personnel de l’établissement, y compris ceux qui travaillent dans les succursales et filiales au Luxembourg et à l’étranger.
139. La charte de compliance doit être mise à jour dans les meilleurs délais pour tenir compte de changements au niveau des normes applicables affectant l’établissement. Toutes les modifications doivent être approuvées par la direction autorisée, confirmées par le comité d’audit ou le comité de compliance, le cas échéant, et approuvées par le conseil d’administration en dernier ressort. Elles sont portées à la connaissance de tous les membres du personnel.
Sous-section 6.2.6.2. Champ d’application et responsabilités spécifiques de la fonction compliance
140. La fonction compliance a pour objectif d’anticiper, de détecter, d’évaluer, de déclarer et de suivre les risques de compliance d’un établissement ainsi que d’assister la direction autorisée à doter l’établissement de mesures pour se conformer aux lois, règlements et standards applicables. Les risques de compliance peuvent comporter une variété de risques tels que le risque de réputation, le risque légal, le risque de contentieux, le risque de sanctions ainsi que d’autres aspects du risque opérationnel, ceci en relation avec l’intégralité des activités de l’établissement.
Ces tâches sont à réaliser continuellement et sans délais.
141. Pour atteindre les objectifs fixés, les responsabilités de la fonction compliance doivent couvrir au moins les aspects suivants : • la fonction compliance identifie les normes auxquelles l’établissement est soumis dans l’exercice de ses activités dans les différents marchés et tient le relevé des règles essentielles. Ce relevé doit être accessible au personnel concerné de l’établissement ; • la fonction compliance identifie les risques de compliance auxquels l’établissement est exposé dans le cadre de l’exercice de ses activités et en évalue l’importance et les conséquences possibles. Le classement des risques de compliance ainsi déterminé doit permettre à la fonction compliance d’établir son plan de contrôle en fonction du risque, permettant ainsi une utilisation efficace des ressources de la fonction compliance ; • la fonction compliance veille à l’identification et l’évaluation du risque de compliance avant que l’établissement ne se lance dans un nouveau type d’activité, de produit ou de relation d’affaires, de même que lors du développement des opérations et du réseau d’un groupe sur une échelle internationale (« New Product Approval Process ») ; • la fonction compliance veille à ce que, pour la mise en œuvre de la politique de compliance, l’établissement dispose de règles qui puissent servir de lignes directrices au personnel des différents métiers dans l’exercice de leurs tâches journalières. Ces règles doivent être reflétées de façon appropriée dans les instructions, procédures et contrôles internes pour les domaines relevant directement de la compliance et tiennent compte du code de conduite et des valeurs d’entreprise dont s’est doté l’établissement ; • les domaines qui relèvent directement de la fonction compliance sont typiquement la lutte contre le blanchiment de capitaux et le financement du terrorisme, les services d’investissement, la prévention en matière d’abus de marché et de transactions personnelles, les fraudes, la protection des intérêts et des données des clients et la prévention et la gestion des conflits d’intérêts. Cette liste n’est pas exhaustive et il appartient à l’établissement de décider si sa fonction compliance couvre également le respect d’autres règles que celles énoncées ci-avant ;
• le « Chief Compliance Officer » veille en particulier à ce que la lutte contre le blanchiment de capitaux et le financement du terrorisme se traduise par des mesures et contrôles efficaces et appropriés au risque. Le rapport de synthèse de la fonction compliance adressé en copie à la CSSF couvrira le domaine de la lutte contre le blanchiment de capitaux et le financement du terrorisme par un chapitre dédié relatant les activités et événements liés au domaine concerné, c’est-à-dire les principales recommandations émises, les déficiences, irrégularités et problèmes majeurs (existants ou émergents) constatés, les mesures correctrices et préventives mises en place ainsi qu’un relevé des déficiences, irrégularités et problèmes qui n’ont pas encore fait l’objet de mesures correctrices appropriées ; • d’une manière générale, la fonction compliance est à organiser de façon à couvrir tous les domaines pouvant donner lieu à des risques de compliance. Il est admissible que les domaines autres que ceux énumérés ci-dessus ne soient pas directement couverts par la fonction compliance. Le risque de compliance est alors à couvrir par les autres fonctions de contrôle interne suivant une politique de compliance définissant clairement les attributions et les responsabilités des différents intervenants en la matière et moyennant le respect de la ségrégation des tâches. Dans ce cas, le « Chief Compliance Officer » assume un rôle de coordination, de centralisation de l’information et de vérification que les autres domaines ne relevant pas directement de son champ d’intervention sont bien couverts. 142. La fonction compliance procède régulièrement à une vérification du respect de la politique de compliance et des procédures et se charge, en cas de besoin, des propositions d’adaptation. A cette fin, la fonction compliance effectue des évaluations et des contrôles réguliers du risque de compliance dans le cadre d’un programme de contrôle structuré. Pour les contrôles en matière de risque de compliance ainsi que pour la vérification des procédures et des instructions, les dispositions de la présente circulaire n’empêchent pas que la fonction compliance prenne en compte les travaux de l’audit interne.
143. La fonction compliance centralise toutes les informations sur les problèmes de compliance (entre autres les fraudes internes et externes, les infractions aux normes, le non-respect de procédures et de limites ou encore les conflits d’intérêts) détectés dans l’établissement.
Pour autant qu’elle ne tire pas ces informations de sa propre implication, elle procède à un examen des documents pertinents, qu’ils soient internes (par exemple rapports de contrôle et d’audit interne, rapports ou comptes rendus de la direction autorisée ou, le cas échéant, du conseil d’administration) ou externes (par exemple rapports du réviseur d’entreprises agréé, correspondance de la part de la CSSF ou d’autres autorités compétentes).
144. La fonction compliance assiste et conseille la direction autorisée pour des questions de compliance et de lois, règlements et standards applicables, notamment en la rendant attentive à des développements au niveau des normes qui pourraient ultérieurement avoir un impact sur le domaine de la compliance.
145. La fonction compliance veille à sensibiliser le personnel à l’importance de la compliance et des aspects connexes et à l’assister dans ses activités quotidiennes relatives à la compliance. Elle développe à ces fins également un programme de formation continue et s’assure de sa mise en œuvre.
146. Le « Chief Compliance Officer » est la personne de contact privilégiée des autorités compétentes en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme pour toute question relative à ce domaine ainsi qu’en matière d’abus de marché. Il est également en charge de la transmission de toute information ou déclaration auprès desdites autorités.
Sous-section 6.2.6.3. Organisation de la fonction compliance 147. Les établissements créent une fonction compliance permanente et indépendante compte tenu du principe de proportionnalité et des critères régissant son application, ainsi que des considérations générales sur l’organisation des fonctions de contrôle interne élaborées à la section 6.2.4.
148. Il est admissible, moyennant autorisation spécifique de la CSSF, que le membre de la direction autorisée désigné comme étant directement en charge de la fonction compliance assume lui-même le poste de « Chief Compliance Officer ».
