Chapitre 5 - Organisation administrative, comptable et

Chapitre 5. Organisation administrative, comptable et informatique

Sous-chapitre 5.1. L’organigramme et les ressources humaines 72. Conformément aux articles 11, paragraphe 2 et 24-7, paragraphe 2, de la LSP, les établissements doivent justifier d’une bonne organisation administrative et comptable ainsi que de procédures de contrôle interne adéquates.

73. L’établissement doit disposer sur place de ressources humaines suffisantes et disposant de compétences professionnelles individuelles et collectives appropriées afin d’agir et prendre des décisions dans le cadre des stratégies arrêtées par l’organe de surveillance et des politiques fixées par l’organe de gestion et conformément aux pouvoirs délégués, et afin d’exécuter les décisions prises dans le respect des procédures et de la réglementation existantes.

74. L’organigramme et la description des tâches sont à fixer par écrit et à mettre à la disposition de l’ensemble du personnel concerné sous une forme facilement accessible.

75. L’organigramme retient pour les différents services ou départements leur structure et les liens hiérarchiques et fonctionnels entre eux et avec l’organe de surveillance et l’organe de gestion.

76. La description des tâches à remplir par le personnel exécutant explique la fonction, les pouvoirs et la responsabilité de chaque exécutant.

77. L’organigramme et la description des tâches sont établis sur la base du principe de la séparation des tâches. En vertu de ce principe, les tâches et responsabilités doivent être attribuées de façon à éviter qu’elles soient incompatibles dans le chef d’une même personne. Le but poursuivi est de prévenir au moyen d’un environnement de contrôles réciproques qu’une personne puisse commettre des erreurs et irrégularités qui ne seraient pas découvertes.

78. Lorsque, en raison de la taille réduite de l’établissement, il est indispensable de regrouper plusieurs tâches et responsabilités sous une même personne, ce regroupement doit être organisé de sorte à ne pas porter préjudice à l’objectif poursuivi par la séparation des tâches.

79. L’établissement dispose d’un programme de formation professionnelle continue qui assure que les membres du personnel, de l’organe de gestion et de l’organe de surveillance restent compétents et comprennent le dispositif de gouvernance interne ainsi que leurs propres rôles et responsabilités à cet égard.

80. Il est recommandé aux établissements d’établir une règle selon laquelle chaque membre du personnel prenne annuellement au moins deux semaines calendaires consécutives de congés personnels. Il doit être assuré que chaque membre du personnel soit effectivement absent pendant ce congé et que son remplaçant prenne effectivement en charge le travail de la personne absente.

Sous-chapitre 5.2. Les procédures et la documentation interne 81. Les établissements documentent par écrit l’ensemble du dispositif en matière d’administration centrale, de gouvernance interne y inclus de contrôle interne.

Cette documentation porte sur les stratégies, les principes directeurs, les politiques et les procédures relatifs à l’administration centrale, à la gouvernance interne et à la gestion des risques. Elle comprend un manuel des procédures clair, complet, détaillé et accessible dont les procédures sont connues de l’ensemble du personnel concerné et qui est tenu à jour en continu.

82. La description des procédures pour assurer l’exécution correcte des activités porte sur les points suivants :

• les étapes successives et logiques du traitement des opérations, de leur initiation à l’archivage de leur documentation (« workflow »), incluant les seuils applicables, les flux de documents, le cas échéant, ainsi que la désignation des fonctions en charge de la réalisation de chacune des étapes ; et

• les contrôles à réaliser, ainsi que les moyens pour s’assurer que ceux-ci ont été correctement réalisés et dans le respect des procédures applicables, incluant les seuils applicables, ainsi que la désignation des fonctions en charge des validations et contrôles de chacune des étapes.

83. Les établissements documentent par écrit l’ensemble de leurs opérations, c’est-à-dire tout processus qui crée un engagement dans le chef de l’établissement ainsi que les décisions y relatives. La documentation doit être tenue à jour et conservée par l’établissement conformément aux dispositions légales applicables. Elle doit être organisée de telle manière qu’elle puisse être aisément consultée par un tiers autorisé.

84. Comme le but est de garantir que les opérations sont exécutées de manière correcte, les procédures doivent être claires et complètes dans leur contenu et être connues par tous les membres du personnel concernés. Par ailleurs, les procédures doivent être mises à jour sans délai lors d’un changement interne ou externe ayant une incidence sur leur contenu.

85. Les dossiers, documents de travail et rapports de contrôle des fonctions de contrôle interne, des experts externes et des prestataires de services visés au sous-chapitre 6.2 relatif aux fonctions de contrôle interne ainsi que les rapports de révision établis par le réviseur d’entreprises agréé sont conservés pendant au moins cinq ans, sans préjudice d’autres législations applicables, dans l’établissement luxembourgeois afin de permettre à l’établissement de retracer les contrôles effectués, les problèmes, déficiences ou irrégularités relevés ainsi que les recommandations et conclusions. La CSSF et toute autorité compétente ainsi que le réviseur d’entreprises agréé doivent toujours pouvoir accéder à ces pièces.

86. Toutes les opérations initiées par l’établissement et les contacts avec les utilisateurs des services de paiement ou leurs mandataires émanent de l’établissement au Luxembourg. Toute la correspondance y est adressée et est expédiée à partir de l'établissement. Au cas où l'établissement dispose d'une succursale à l'étranger, cette dernière constitue le point de contact pour sa propre clientèle.

Sous-chapitre 5.3. L’infrastructure administrative et technique 87. L'établissement se dote des fonctions de support et de contrôle, des moyens matériels et techniques nécessaires, suffisants et appropriés à l'exécution de ses activités et de la gestion des risques qui en découlent. Les moyens matériels et en particulier techniques doivent être adaptés à la nature, à l’échelle et à la complexité des activités de l’établissement ce qui inclut de permettre à l’établissement de minimiser les potentielles erreurs découlant de l’exécution de tâches manuelles.

Section 5.3.1. La fonction financière et comptable 88. L'établissement dispose d'une fonction financière et comptable dont la mission est d'assumer la gestion financière et comptable de l'établissement. Sans préjudice des exigences définies dans la circulaire CSSF 22/806 en matière d’externalisation de certaines tâches opérationnelles de la fonction financière et comptable, cette fonction financière et comptable doit veiller à ce que l'intervention d'autres services se fasse dans le strict respect du plan comptable et des instructions y relatives et sous le contrôle de la fonction comptable et financière.

89. La fonction financière et comptable fonctionnera suivant des règles et procédures écrites régulièrement revues et réévaluées et qui permettent :

• d'identifier et d'enregistrer toutes les transactions et opérations de paiement et de monnaie électronique entreprises par l'établissement ;

• d'expliquer l'évolution des soldes comptables d'un arrêté à l'autre par la conservation des mouvements ayant affecté les postes comptables ;

• d'établir les comptes par application des règles de comptabilisation et d'évaluation définies par la législation comptable et la réglementation y afférente ;

• de produire et de communiquer des informations périodiques et sur demande ponctuelle à la CSSF ou à tout autre autorité compétente ;

• de conserver toutes les pièces comptables suivant les dispositions légales en vigueur ;

• de s’assurer de la fiabilité et de la pertinence des prix et justes valeurs (« fair values ») utilisés dans l’établissement des comptes et du reporting à la CSSF ;

• de produire et de communiquer sans délai des informations périodiques et ponctuelles à la CSSF, comprenant en premier lieu le reporting légal et réglementaire, et d’en assurer la fiabilité, notamment en matière de solvabilité et de protection des fonds des utilisateurs de service de paiement ; dans ce contexte, les établissements sont tenus de disposer à la fin de chaque jour, sans condition et ou restriction d’accès de quelque nature que ce soit, des balances de tous les comptes et de tous les mouvements comptables de la journée afin de fournir sans délai à toute autorité compétente les informations requises ;

• d'établir, le cas échéant, des comptes suivant le schéma comptable en vigueur dans le pays d'origine de l'actionnaire en vue de l'établissement des comptes consolidés ;

• de réaliser les réconciliations des comptes et des écritures comptables ;

• de produire une information financière fiable et rapidement disponible à l’organe de gestion (« management information ») et à l’organe de surveillance afin de leur permettre de suivre de près l'évolution de la situation financière y inclus la solvabilité de l'établissement et sa conformité aux données budgétaires. Cette information servira comme instrument de contrôle de gestion et sera d'autant plus efficace si elle est basée sur une comptabilité analytique ;

• de s’assurer de la fiabilité du reporting financier.

90. Sans préjudice des contrôles déployés au niveau de la fonction financière et comptable ou d’externalisation de certaines tâches de la fonction financière et comptable, les informations à communiquer périodiquement et ponctuellement sur demande de la CSSF et de toute autorité compétente doivent être systématiquement et formellement revues et validées par un membre de l’organe de gestion.

91. En application du principe de proportionnalité, la CSSF pourra recommander à certains établissements de se doter d'un responsable dédié à la fonction financière et comptable et au contrôle de gestion. Ce responsable rapporte directement à l’organe de gestion.

Ce responsable dédié à la fonction financière et comptable et au contrôle de gestion doit posséder des connaissances et compétences appropriées et une expérience professionnelles élevées dans le domaine comptable et financier y inclus en ce qui concerne les normes comptables applicables. Il est recommandé que cette personne soit sélectionnée, nommée et révoquée suivant une procédure interne écrite, avec approbation au préalable par l'organe de surveillance.

92. Les tâches exercées au sein de la fonction financière et comptable ne peuvent pas être cumulées avec d'autres tâches incompatibles, tant commerciales qu'administratives.

93. Dans le cadre de l'ouverture de comptes de contreparties/comptes de tiers, chaque établissement définit des règles précises d'enregistrement des comptes dans sa comptabilité. Il précise par ailleurs les conditions auxquelles l'autorisation est donnée afin que ces comptes fonctionnent et auxquelles ils peuvent être clôturés.

94. L'établissement doit éviter d'avoir dans la comptabilité une multitude de comptes avec des contenus incontrôlables, qui se prêteraient à exécuter des opérations non autorisées voire frauduleuses ; une attention particulière devra être accordée aux comptes dormants. À cet effet, l'établissement mettra en place des procédures de vérification et de suivi appropriées.

95. L'ouverture et la clôture des comptes internes dans la comptabilité doivent être validées par la fonction financière et comptable. En cas d’ouverture des comptes, cette validation doit intervenir avant que ces comptes ne commencent à devenir opérationnels. L'établissement fixe des règles concernant l'utilisation de tels comptes et les pouvoirs pour leur ouverture. La fonction financière et comptable veille à ce que les comptes internes soient soumis périodiquement à une procédure de justification de leur nécessité.

Il y a lieu de veiller à ne pas tenir ouverts des comptes internes et des comptes de passage qui ne répondraient plus à une utilisation définie par les règles fixées.

96. Les écritures ayant un effet rétroactif ne peuvent servir qu’à des fins de régularisation.

Les écritures ayant un effet rétroactif ainsi que les écritures en matière d’extournes sont à autoriser et surveiller à la fois au sein des services qui sont à l’origine de ces écritures et par la fonction financière et comptable.

97. L'ensemble de l'organisation et des procédures comptables est décrit dans un manuel ou livre des procédures comptables.

Dans la définition et la mise en œuvre de ces procédures, les établissements veillent au respect du principe d’intégrité afin d’éviter en particulier que le système comptable ne puisse être utilisé à des fins frauduleuses.

Section 5.3.2. La fonction informatique 98. Les établissements organisent leur fonction informatique de manière à en avoir le contrôle et à en assurer la robustesse, l’efficacité, la cohérence et l’intégrité. Pour ce faire, ils respectent les exigences du règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier et des circulaires CSSF relatives aux exigences en matière de gestion des risques liés aux TIC et à la sécurité. Ils maintiennent également à jour les informations et documents tels que demandés dans la circulaire CSSF 18/677 relative aux Orientations de l’Autorité bancaire européenne sur les informations à fournir dans le cadre de l’agrément d’établissements de paiement et d’établissements de monnaie électronique et pour l’enregistrement de prestataires de services d’information sur les comptes au titre de l’article 5, paragraphe 5, de la directive (UE) 2015/2366 (EBA/GL/2017/09).

99. Les établissements qui, en matière de fonction informatique, recourent aux services de prestataires de services doivent se référer à la circulaire CSSF 22/806 concernant l’externalisation.

Section 5.3.3. Le dispositif de communication et d’alerte interne et externe 100. Le dispositif de communication interne assure que les stratégies, politiques et procédures de l’établissement ainsi que les décisions et mesures prises par l’organe de gestion, directement ou par voie de délégation, sont communiquées de manière claire et exhaustive à tous les membres du personnel de l’établissement en tenant compte de leurs besoins d'information et de leurs responsabilités au sein de l'établissement. Le dispositif de communication interne permet au personnel un accès aisé et permanent à ces informations.

101. Le système d’information de gestion assure que toute l’information de gestion, en temps normal et en situation de crise, est communiquée de manière claire, exhaustive et sans délai à tous les membres de l’organe de gestion, à l’organe de surveillance et au personnel de l’établissement en tenant compte de leurs besoins d'information, de leurs responsabilités au sein de l'établissement et de l’objectif d’assurer une gestion saine et prudente des activités.

102. La loi du 16 mai 2023 portant transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union a pour objet de protéger l’auteur d’un signalement de violations contre les représailles de la part d’un employeur ou d’une autre personne physique ou morale exerçant un certain pouvoir de contrainte en rapport avec l’activité du « lanceur d’alerte ». Cette obligation s’applique à toutes les entités juridiques de droit privé. La CSSF met également à disposition sur son site Internet un outil et une procédure permettant la déclaration de tels signalements directement à la CSSF (procédure de signalement externe) (https://whistleblowing.apps.cssf.lu/ index.html?language=fr). Le dispositif légal applicable est complété par l’article 8-3 de la loi du 12 novembre 2004 relative à la lutte contre le blanchiment et le financement du terrorisme, tel qu’introduit par la loi du 25 mars 2020, prévoyant un cadre spécifique de signalement en matière de LBC/FT et par l’article 58-10 de la loi du 10 novembre 2009 relative aux services de paiement, tel que modifié, qui permet à la CSSF de mettre en place des mécanismes efficaces favorisant la déclaration des violations du Règlement (UE) 2015/847.