Section 6.2.7 - La fonction d’audit interne

Section 6.2.7. La fonction d’audit interne

Sous-section 6.2.7.1. La charte d’audit interne 149. Les modalités de fonctionnement de la fonction d’audit interne en termes d’objectifs, de responsabilités et de pouvoirs doivent être arrêtées par une charte d’audit interne élaborée par la fonction d’audit interne et approuvée par la direction autorisée, confirmée par le comité d’audit, le cas échéant, et approuvée en dernier ressort par le conseil d’administration.

La charte d’audit interne doit au minimum :

• définir la position de la fonction d’audit interne dans l’organigramme de l’établissement tout en en précisant les caractéristiques clés (indépendance, objectivité, intégrité, compétence, autorité, suffisance des ressources) ;

• conférer à la fonction d’audit interne le droit d’initiative et l’autoriser à examiner toutes les activités et fonctions de l’établissement, y compris celles de ses succursales et filiales au Luxembourg et à l’étranger ainsi que les activités et fonctions faisant l’objet d’une externalisation à accéder à tous les documents, pièces, procès-verbaux des organes consultatifs et décisionnels de l’établissement, à voir toutes les personnes travaillant pour l’établissement, dans la mesure requise pour l’exercice de sa mission ; • définir les lignes de communication hiérarchiques et fonctionnelles des conclusions qui se dégagent des missions d’audit ; • définir les relations avec les fonctions compliance et de contrôle des risques ; • définir les conditions et circonstances applicables lorsqu’il est fait recours à l’expertise de tiers ou à des prestataires de services ; • définir la nature des travaux et les conditions dans lesquelles la fonction d’audit interne peut fournir de la consultance interne ou effectuer d’autres missions spéciales ; • définir les responsabilités et lignes de reporting du responsable de la fonction d’audit interne ; • établir le droit pour le « Chief Internal Auditor » de contacter directement et de sa propre initiative le président du conseil d’administration ou, le cas échéant, les membres du comité d’audit, ainsi que la CSSF ; • préciser les standards professionnels reconnus qui gouvernent le fonctionnement et les travaux de l’audit interne 8 ; • préciser les procédures à respecter en matière de coordination et de coopération avec le réviseur d’entreprises agréé.

Le contenu de la charte d’audit interne est porté à la connaissance de tous les membres du personnel de l’établissement, y compris ceux qui travaillent dans les succursales et filiales au Luxembourg et à l’étranger.

La charte d’audit interne doit être mise à jour dans les meilleurs délais pour tenir compte des changements intervenus. Toutes les modifications doivent être approuvées par la direction autorisée, confirmées le cas échéant par le comité d’audit et approuvées par le conseil d’administration en dernier ressort. Elles sont portées à la connaissance de tous les membres du personnel.

8 Tel que par exemple le « International Professional Practices Framework (IPPF) » de l’Institute of Internal Auditors (IIA).

150. Le service d’audit interne est suffisant en nombre et dispose de compétences suffisantes dans son ensemble pour couvrir toutes les activités de l’établissement. Les auditeurs internes doivent avoir des connaissances suffisantes des techniques d’audit.

Afin de ne pas compromettre leur indépendance de jugement, les personnes relevant de l’audit interne ne peuvent pas être chargées de l’élaboration ou de la mise en place d’éléments du dispositif en matière d’administration centrale et de gouvernance interne. Ce principe n’exclut pas qu’elles contribuent à la mise en œuvre de mécanismes de contrôle interne solides à travers des avis et des recommandations qu’elles fournissent en la matière. De plus, en vue d’éviter les conflits d’intérêts, il y a lieu, dans la mesure du possible, d’assurer une rotation des tâches de contrôle assignées aux différents auditeurs internes et d’éviter que les auditeurs recrutés au sein de l’établissement ne contrôlent des activités ou fonctions qu’ils exerçaient eux-mêmes auparavant dans un passé récent.

Sous-section 6.2.7.2. Responsabilités spécifiques et champ d’application de la fonction d’audit interne 151. La fonction d’audit interne examine et évalue, entre autres (liste non exhaustive 9), en fonction de l’organisation et de la nature, de l’échelle et de la complexité des activités : • le suivi du respect des lois et réglementations ainsi que des exigences prudentielles imposées par la CSSF ; • l’efficacité et l’efficience du dispositif en matière d’administration centrale, de gouvernance et de contrôle interne, en ce compris la fonction de contrôle des risques et la fonction compliance ; • l’adéquation de l’organisation administrative, comptable et informatique ; • la sauvegarde des valeurs et des biens ; • l’adéquation de la séparation des tâches et de l’exécution des opérations ; • l’enregistrement correct et exhaustif des opérations et la production d’informations financières et prudentielles correctes, complètes, pertinentes, compréhensibles et disponibles sans délais au conseil d’administration et aux comités spécialisés, le cas échéant, à la direction autorisée et à la CSSF ; • l’exécution des décisions prises par la direction autorisée et par les personnes agissant par voie de délégation et sous sa responsabilité ;

9 Le principe 7 du document « BCBS_223 The internal audit function in banks » contient une liste plus complète des activités qui peuvent rentrer dans le champ d’application de la fonction d’audit interne des établissements.

• le respect des politiques et procédures, en particulier celles régissant l’adéquation des fonds propres et des réserves de liquidités internes ; • l’adéquation de la gestion des risques ; • l’intégrité des processus devant assurer la fiabilité des méthodes et outils utilisés par l’établissement, les hypothèses et données utilisées dans les modèles internes, les outils qualitatifs servant à l’identification et l’évaluation des risques ainsi que les mesures d’atténuation du risque qui sont prises ; • le fonctionnement et l’efficacité des fonctions compliance et de contrôle des risques. 152. Lorsqu’il existe à l’intérieur de l’établissement un service distinct en charge du contrôle ou de la surveillance d’une activité ou d’une fonction spécifique, l’existence d’un tel service ne décharge pas le service d’audit interne de sa responsabilité de contrôler ce domaine spécifique. Toutefois, le service d’audit interne peut tenir compte dans son travail des appréciations données par ce service sur le domaine en question.

L’audit interne doit être indépendant des autres fonctions de contrôle interne qu’il audite. Par conséquent, la fonction de contrôle des risques ou la fonction compliance ne peuvent pas faire partie du service d’audit interne d’un établissement. Cependant, ces fonctions peuvent prendre en compte les travaux de l’audit interne en matière de vérification de l’application correcte des normes en vigueur à l’exercice des activités exercées par l’établissement.

153. La mise en place d’une fonction d’audit interne locale dans les filiales de l’établissement ne dispense pas l’audit interne de la tête de groupe de procéder régulièrement à des contrôles sur place auprès de ces fonctions d’audit interne locales.

Sous-section 6.2.7.3. Exécution des travaux d’audit interne 154. L’ensemble des missions d’audit interne est planifié et exécuté selon un plan d’audit interne. Le plan est établi par le responsable de la fonction d’audit interne pour une période pluriannuelle (en principe trois ans) avec comme objectif de couvrir l’ensemble des activités et des fonctions, en tenant compte à la fois des risques que présentent une activité ou une fonction et de l’efficacité de l’organisation et du contrôle interne en vigueur pour cette activité ou fonction (approche basée sur le risque). Le plan tient compte des avis du conseil d’administration ou du comité d’audit, le cas échéant, ainsi que de la direction autorisée. Le plan couvre toutes les matières présentant un intérêt prudentiel (y compris les observations et les demandes de la CSSF) et tient compte également des développements et innovations prévus ainsi que des risques qui peuvent en découler.

155. Le plan est discuté avec la direction autorisée et le comité d’audit, le cas échéant, et approuvé en dernier ressort par le conseil d’administration. Il est à revoir sur une base annuelle et à adapter en fonction des développements et des urgences. Toute adaptation est à revoir par la direction autorisée et le comité d’audit, le cas échéant, avant d’être approuvée par le conseil d’administration. L’approbation implique que la direction autorisée mette à la disposition du service d’audit interne les moyens nécessaires pour l’exécution du plan d’audit interne.

Dans son rapport de synthèse au conseil d’administration, l’audit interne signale et motive les principales modifications apportées au plan d’audit tel qu’il a été approuvé initialement par le conseil d’administration : missions annulées, missions reportées ainsi que missions dont le champ d’application a été changé de manière significative.

156. Le plan définit les objectifs de chaque mission et l’étendue des travaux à réaliser, estime le temps et les ressources humaines et matérielles nécessaires et attribue à chaque activité et risque une fréquence d’audit.

Le plan d’audit interne prévoit également de couvrir, endéans la période de planification pluriannuelle, de façon adéquate et suffisamment fréquente les activités importantes ou complexes qui représentent un risque potentiel important, y compris sur le plan de la réputation. Il accorde une attention particulière au risque d’erreurs d’exécution et au risque de fraude.

Le plan d’audit interne prévoit une couverture adéquate des domaines présentant un risque de blanchiment de capitaux ou de financement du terrorisme de manière à permettre à l’audit interne de rendre compte annuellement dans le rapport de synthèse sur le respect de la conformité à la politique de lutte contre le blanchiment de capitaux ou de financement du terrorisme.

157. Dans l’hypothèse où le service d’audit interne de la maison mère de l’établissement luxembourgeois procède régulièrement à des contrôles sur place auprès de sa filiale, il est recommandé pour des raisons d’efficacité, que l’établissement luxembourgeois coordonne, dans la mesure du possible, son plan d’audit interne avec celui de sa maison mère.

158. Le service d’audit interne informe la direction autorisée et, le cas échéant, le comité d’audit de façon régulière sur l’exécution du plan d’audit interne.

159. Chaque mission d’audit interne est planifiée, exécutée et documentée en conformité avec les standards professionnels adoptés par la fonction d’audit interne dans sa charte d’audit interne.

160. Chaque mission doit faire l’objet d’un rapport écrit du service d’audit interne destiné aux personnes contrôlées, à la direction autorisée ainsi que - éventuellement sous forme de synthèse - au conseil d’administration (et au comité d’audit, le cas échéant). Les rapports sont également à tenir à disposition du réviseur d’entreprises agréé et de la CSSF. Ces rapports sont à rédiger en français, allemand ou anglais.

Le service d’audit interne établit un tableau des missions d’audit interne et des rapports écrits y relatifs. Il rédige au moins une fois par an un rapport de synthèse.

Sous-section 6.2.7.4. Organisation de la fonction d’audit interne 161. Les établissements créent une fonction d’audit interne permanente et indépendante compte tenu du principe de proportionnalité et des critères régissant son application, ainsi que des considérations sur l’organisation des fonctions de contrôle interne élaborées à la section 6.2.4.

162. En cas d’externalisation des tâches opérationnelles de la fonction d’audit interne, les prestataires de services réalisent leurs travaux dans le cadre du plan d’audit interne de l’établissement, en suivant un programme de travail, en documentant leurs travaux de façon détaillée et en rédigeant des rapports pour chaque mission. Ces rapports sont à rédiger en français, allemand ou anglais et sont à remettre au responsable désigné de la fonction, à l’organe de direction et, le cas échéant, au comité d’audit. Lorsque ces prestataires de services exercent la profession de réviseur d’entreprises agréé, ils doivent à tous égards être indépendants du réviseur d’entreprises et du cabinet de révision agréés de l’établissement ainsi que du groupe dont ces personnes relèvent. Les dispositions de la circulaire CSSF 22/806 relative à l’externalisation sont applicables.