Section 6.2.3 - Exécution des travaux des fonctions de contrôle
CSSF Circular 26/906 — Central administration, internal governance and risk management · CSSF 26/906
Section 6.2.3. Exécution des travaux des fonctions de contrôle interne 127. Les fonctions de contrôle interne documentent les travaux effectués conformément aux responsabilités assignées, notamment afin de permettre de retracer les interventions ainsi que les conclusions retenues.
128. Les fonctions de contrôle interne rapportent par écrit régulièrement et si nécessaire sur base ad hoc à l’organe de gestion et à l’organe de surveillance ou, le cas échéant, aux comités spécialisés. Ces rapports portent sur le suivi des recommandations, problèmes, déficiences et irrégularités relevés par le passé ainsi que sur les nouveaux problèmes, déficiences et irrégularités identifiés. Chaque rapport spécifie les risques y liés ainsi que leur degré de gravité (mesure de l’impact) et propose des mesures correctrices, de même qu’en règle générale une prise de position des personnes concernées.
129. Chaque fonction de contrôle interne prépare au moins une fois par an un rapport de synthèse sur ses activités et son fonctionnement couvrant l’ensemble des activités qui lui sont attribuées. Au titre des activités, chaque rapport de synthèse fournit le relevé des activités de la fonction depuis le dernier rapport, des principales recommandations adressées à l’organe de gestion, des problèmes (existants ou émergents), déficiences et irrégularités majeurs survenus depuis le dernier rapport, des mesures prises pour y remédier ainsi qu’une description des contrôles réalisés, des insuffisances et anomalies constatées, mais également des recommandations et des propositions sur les mesures correctrices à prendre, de même qu’une prise de position des personnes contrôlées assortie d’un délai approprié pour la mise en place d’actions correctrices, le cas échéant. Une indication de l’importance relative des anomalies et déficiences en fonction de leur niveau de risque et de priorité est fourni.
130. Le rapport de synthèse des fonctions de contrôle interne fournit un état des lieux portant sur l’accomplissement du plan de contrôle tel qu’il avait été défini pour l’année. Il inclut également, le cas échéant, la justification des retards ou reports de mission.
131. Le rapport de synthèse des fonctions de contrôle interne dresse un inventaire des contrôles clés effectués par thématique couverte, et inclut une description de ces contrôles (recours à un test de cheminement, échantillonnage, revue des procédures etc.).
132. Le rapport de synthèse des fonctions de contrôle interne doit à la fois faire état des exceptions identifiées pour lesquelles des actions de remédiation n’ont pas encore été mises en œuvre, mais aussi de celles qui ont d’ores et déjà été considérées comme clôturées au cours de l’année.
133. Le rapport de synthèse des fonctions de contrôle interne comprend une section dédiée au suivi des exceptions identifiées au cours des années précédentes mais non encore clôturées à la date de remise du précédent rapport, incluant une mise à jour quant à la façon dont les exceptions ont été clôturées, ainsi qu’une prise de position de l’organe de gestion ainsi que de nouveaux délais, le cas échéant.
134. Enfin, le rapport de synthèse des fonctions de contrôle interne se prononce sur l’état de leur domaine de contrôle dans son ensemble. S’agissant du fonctionnement, le rapport se prononce en particulier sur l’adéquation des ressources humaines et techniques internes et la nature et le degré du recours à des ressources humaines et techniques externes ainsi que sur les problèmes éventuels apparus dans ce contexte. Ce rapport est soumis pour approbation à l’organe de surveillance ou, le cas échéant, aux comités spécialisés compétents pour en assurer le suivi avec l’organe de surveillance ; il est soumis pour information à l’organe de gestion. Ce rapport est à rédiger en français, allemand ou anglais.
135. En cas de problèmes, déficiences et irrégularités graves, les responsables des fonctions de contrôle interne en informent immédiatement l’organe de gestion, le président de l’organe de surveillance et les présidents des comités spécialisés, le cas échéant. Dans ces cas, les responsables des fonctions de contrôle interne peuvent demander à être entendus par l’organe de surveillance en séance privée.
136. Les fonctions de contrôle interne vérifient le suivi effectif des recommandations relatives aux problèmes, déficiences et irrégularités qu’elles ont relevées, conformément à la procédure visée au paragraphe 46 de la présente circulaire. Elles rapportent de manière régulière à ce sujet à l’organe de gestion. Pour tout retard dans la mise en œuvre des mesures correctrices, l’organe de gestion en informe l’organe de surveillance qui doit autoriser les prolongations des délais de mise en œuvre des mesures correctrices.
In Luxembourg, CSSF circular 26/906 applies to credit institutions and investment firms supervised by the CSSF, which directly controls the quality of internal control function reports during on-site inspections and prudential reporting. The annual summary report must be drafted in French, German or English and submitted for approval to the supervisory body, making it a formal document that the regulator can request at any time.
Luxgap practice: centralise from the first quarter a summary report template aligned with para. 129 to 134, and keep a timestamped audit trail of every escalation to the chair of the supervisory body to respond without delay to a CSSF request.