Section 6.2.3 - Exécution des travaux des fonctions de contrôle
Circulaire CSSF 26/906 — Administration centrale, gouvernance interne et gestion des risques · CSSF 26/906
Section 6.2.3. Exécution des travaux des fonctions de contrôle interne 127. Les fonctions de contrôle interne documentent les travaux effectués conformément aux responsabilités assignées, notamment afin de permettre de retracer les interventions ainsi que les conclusions retenues.
128. Les fonctions de contrôle interne rapportent par écrit régulièrement et si nécessaire sur base ad hoc à l’organe de gestion et à l’organe de surveillance ou, le cas échéant, aux comités spécialisés. Ces rapports portent sur le suivi des recommandations, problèmes, déficiences et irrégularités relevés par le passé ainsi que sur les nouveaux problèmes, déficiences et irrégularités identifiés. Chaque rapport spécifie les risques y liés ainsi que leur degré de gravité (mesure de l’impact) et propose des mesures correctrices, de même qu’en règle générale une prise de position des personnes concernées.
129. Chaque fonction de contrôle interne prépare au moins une fois par an un rapport de synthèse sur ses activités et son fonctionnement couvrant l’ensemble des activités qui lui sont attribuées. Au titre des activités, chaque rapport de synthèse fournit le relevé des activités de la fonction depuis le dernier rapport, des principales recommandations adressées à l’organe de gestion, des problèmes (existants ou émergents), déficiences et irrégularités majeurs survenus depuis le dernier rapport, des mesures prises pour y remédier ainsi qu’une description des contrôles réalisés, des insuffisances et anomalies constatées, mais également des recommandations et des propositions sur les mesures correctrices à prendre, de même qu’une prise de position des personnes contrôlées assortie d’un délai approprié pour la mise en place d’actions correctrices, le cas échéant. Une indication de l’importance relative des anomalies et déficiences en fonction de leur niveau de risque et de priorité est fourni.
130. Le rapport de synthèse des fonctions de contrôle interne fournit un état des lieux portant sur l’accomplissement du plan de contrôle tel qu’il avait été défini pour l’année. Il inclut également, le cas échéant, la justification des retards ou reports de mission.
131. Le rapport de synthèse des fonctions de contrôle interne dresse un inventaire des contrôles clés effectués par thématique couverte, et inclut une description de ces contrôles (recours à un test de cheminement, échantillonnage, revue des procédures etc.).
132. Le rapport de synthèse des fonctions de contrôle interne doit à la fois faire état des exceptions identifiées pour lesquelles des actions de remédiation n’ont pas encore été mises en œuvre, mais aussi de celles qui ont d’ores et déjà été considérées comme clôturées au cours de l’année.
133. Le rapport de synthèse des fonctions de contrôle interne comprend une section dédiée au suivi des exceptions identifiées au cours des années précédentes mais non encore clôturées à la date de remise du précédent rapport, incluant une mise à jour quant à la façon dont les exceptions ont été clôturées, ainsi qu’une prise de position de l’organe de gestion ainsi que de nouveaux délais, le cas échéant.
134. Enfin, le rapport de synthèse des fonctions de contrôle interne se prononce sur l’état de leur domaine de contrôle dans son ensemble. S’agissant du fonctionnement, le rapport se prononce en particulier sur l’adéquation des ressources humaines et techniques internes et la nature et le degré du recours à des ressources humaines et techniques externes ainsi que sur les problèmes éventuels apparus dans ce contexte. Ce rapport est soumis pour approbation à l’organe de surveillance ou, le cas échéant, aux comités spécialisés compétents pour en assurer le suivi avec l’organe de surveillance ; il est soumis pour information à l’organe de gestion. Ce rapport est à rédiger en français, allemand ou anglais.
135. En cas de problèmes, déficiences et irrégularités graves, les responsables des fonctions de contrôle interne en informent immédiatement l’organe de gestion, le président de l’organe de surveillance et les présidents des comités spécialisés, le cas échéant. Dans ces cas, les responsables des fonctions de contrôle interne peuvent demander à être entendus par l’organe de surveillance en séance privée.
136. Les fonctions de contrôle interne vérifient le suivi effectif des recommandations relatives aux problèmes, déficiences et irrégularités qu’elles ont relevées, conformément à la procédure visée au paragraphe 46 de la présente circulaire. Elles rapportent de manière régulière à ce sujet à l’organe de gestion. Pour tout retard dans la mise en œuvre des mesures correctrices, l’organe de gestion en informe l’organe de surveillance qui doit autoriser les prolongations des délais de mise en œuvre des mesures correctrices.
Au Luxembourg, la circulaire CSSF 26/906 s'applique aux établissements de crédit et entreprises d'investissement supervises par la CSSF, qui exerce un contrôle direct sur la qualité des rapports des fonctions de contrôle interne lors de ses inspections sur place et via le reporting prudentiel. Le rapport de synthese annuel doit être redige en français, allemand ou anglais et soumis pour approbation a l'organe de surveillance, ce qui en fait une pièce formelle exigible a tout moment par le régulateur.
Pratique Luxgap : centralisez des le premier trimestre un modèle de rapport de synthese aligne para. 129 a 134, et conservez une piste d'audit horodatée de chaque escalade au president de l'organe de surveillance pour répondre sans délai a une demande CSSF.