Section 6.2.5 - La fonction compliance

Section 6.2.5. La fonction compliance

Sous-section 6.2.5.1. La charte de compliance 145. Les modalités de fonctionnement de la fonction compliance en termes d’objectifs, de responsabilités et de pouvoirs sont arrêtées par une charte de compliance élaborée par la fonction compliance et approuvée par l’organe de gestion et par l’organe de surveillance en dernier ressort.

146. La charte doit au minimum :

• définir la position de la fonction compliance dans l’organigramme de l’établissement tout en précisant ses caractéristiques clés (indépendance, objectivité, intégrité, compétences, autorité et suffisance des ressources) ;

• reconnaître à la fonction compliance le droit d'initiative pour ouvrir des enquêtes portant sur toutes les activités de l’établissement y compris celles de ses succursales, bureaux de représentation et agents ou distributeurs au Luxembourg et à l’étranger et à accéder à tous les documents, pièces et procès-verbaux des organes consultatifs et décisionnels de l’établissement, à voir toutes les personnes travaillant dans l’établissement, dans la mesure requise pour l’exercice de sa mission ;

• définir les objectifs, responsabilités, compétences et lignes de reporting de la fonction de compliance ;

• décrire les relations avec les fonctions d’audit interne et le cas échéant de contrôle des risques ainsi que d'éventuels besoins de délégation au sein de l’établissement et/ou de coordination ;

• définir les conditions et circonstances applicables lorsqu’il est fait recours à des experts externes ;

• établir le droit pour le « Chief Compliance Officer » de contacter directement et de sa propre initiative le président de l’organe de surveillance ou, le cas échéant, les membres des comités spécialisés, ainsi que la CSSF.

Le contenu de la charte de compliance est porté à la connaissance de tous les membres du personnel de l’établissement, y compris ceux qui travaillent dans les succursales au Luxembourg et à l’étranger.

147. La charte de compliance doit être évolutive et mise à jour dans les meilleurs délais pour tenir compte des changements au niveau des normes en vigueur affectant l’établissement. Toutes les modifications doivent être approuvées par l’organe de gestion et par l’organe de surveillance.

Sous-section 6.2.5.2. Champ d’application et responsabilités spécifiques de la fonction compliance 148. La fonction compliance a pour objectif d’anticiper, de détecter, d'évaluer, de déclarer et de suivre les risques de non-conformité d’un établissement ainsi que d’assister les organes de gestion et de surveillance à doter l’établissement de mesures pour se conformer aux lois, règlements et standards applicables. Les risques de non-conformité peuvent comporter une variété de risques tels que le risque de réputation, le risque légal, le risque de contentieux, le risque de sanctions ainsi que d’autres aspects du risque opérationnel, ceci en relation avec l’intégralité des activités de l’établissement.

Les tâches de la fonction compliance sont à réaliser continuellement et sans délai.

149. Pour atteindre les objectifs fixés, les responsabilités de la fonction compliance doivent couvrir au moins les aspects suivants :

• la fonction compliance identifie, de manière continue, les normes auxquelles l’établissement est soumis dans l’exercice de ses activités dans les différents marchés et tient le relevé des règles essentielles. Ce relevé doit être accessible au personnel concerné de l'établissement.

Par « normes », il faut entendre dans ce contexte toutes les règles auxquelles l'établissement est soumis dans l'exercice de ses activités dans ses différents marchés ;

• la fonction compliance identifie les risques de non-conformité auxquels l’établissement est exposé dans le cadre de l'exercice de ses activités et en évalue l’importance et les conséquences possibles. Le classement des risques de non- conformité ainsi déterminé doit permettre à la fonction compliance d’établir son plan de contrôle en fonction du risque, permettant ainsi une utilisation efficace des ressources de la fonction compliance ;

• la fonction compliance veille à l'identification et l'évaluation du risque de non- conformité avant que l’établissement ne se lance dans un nouveau type d’activité, de produit ou de relation d'affaires, de marchés, de même que lors du développement des opérations et du réseau d'un groupe sur une échelle internationale (« New Product Approval Process », tel que défini au sous-chapitre 7.3. de la présente circulaire) ;

• la fonction compliance veille à ce que, pour la mise en œuvre de la politique de conformité, l’établissement dispose de règles qui puissent servir de lignes directrices au personnel des différents métiers dans l’exercice de leurs tâches journalières. Ces règles doivent être reflétées de façon appropriée dans les instructions, procédures et contrôles internes pour les domaines relevant directement de la fonction compliance et tiennent compte du code de conduite et des valeurs d’entreprise dont s’est doté l’établissement.

Pour les établissements disposant de succursales, la politique de conformité au niveau de ces succursales doit tenir compte des normes applicables au niveau local ;

• les domaines qui relèvent directement de la fonction compliance sont typiquement la lutte contre le blanchiment de capitaux et le financement du terrorisme, les fraudes, la protection des intérêts et des données des utilisateurs des services de paiement ainsi que la protection de leurs fonds et la prévention et la gestion des conflits d’intérêts. Cette liste n’est pas exhaustive et il appartient à l’établissement de décider si sa fonction compliance couvre également le respect d’autres règles que celles énoncées ci-avant ;

• en tant que responsable du contrôle des obligations professionnelles en matière LBC/FT, le « Chief Compliance Officer » veille en particulier à ce que la lutte contre le blanchiment de capitaux et le financement du terrorisme se traduise par des mesures et contrôles efficaces et appropriés aux risques.

Le rapport de synthèse de la fonction compliance adressé en copie à la CSSF couvrira tous les domaines qui relèvent de la fonction compliance, relatant de manière concise mais sans omission les activités et événements liés au domaine concerné, c’est-à- dire les principales recommandations émises, les déficiences, irrégularités et problèmes majeurs (existants ou émergents) constatés, les mesures correctrices et préventives mises en place ainsi qu’un relevé des déficiences, irrégularités et problèmes qui n’ont pas encore fait l’objet de mesures correctrices appropriées. Le rapport rendra compte de l’état d’avancement du plan de surveillance de la conformité (« compliance monitoring plan ») et en matière de lutte contre le blanchiment des capitaux et le financement du terrorisme, notamment les contrôles prévus à effectuer par la fonction compliance, et expliquera les éléments du plan n’ayant pas pu être achevés dans les délais prévus. Le rapport doit permettre d’évaluer la gravité des événements couverts et l’adéquation du plan de surveillance de la conformité, afin de rendre possible un jugement global sur l’adéquation et le fonctionnement efficace du cadre préventif mis en place par l’établissement ;

• d’une manière générale, la fonction compliance est à organiser de façon à couvrir tous les domaines pouvant donner lieu à des risques de non-conformité. Il est admissible que les domaines autres que ceux énumérés ci-dessus ne soient pas directement couverts par la fonction compliance. Le risque de non-conformité est alors à couvrir par les autres fonctions de contrôle interne suivant une politique de conformité définissant clairement les attributions et les responsabilités des différents intervenants en la matière et moyennant le respect de la ségrégation des tâches. Dans ce cas, le « Chief Compliance Officer » assume un rôle de coordination, de centralisation de l’information et de vérification que les autres domaines ne relevant pas directement de son champ d’intervention sont bien couverts.

150. La fonction compliance procède régulièrement à une vérification du respect de la politique de conformité et des procédures et se charge, en cas de besoin, des propositions d'adaptation. À cette fin, la fonction compliance effectue des évaluations et des contrôles réguliers du risque de non-conformité dans le cadre d’un programme de contrôle structuré. Pour les contrôles en matière de risque de non-conformité ainsi que pour la vérification des procédures et des instructions, les dispositions de la présente circulaire n’empêchent pas que la fonction compliance prenne en compte les travaux de l’audit interne.

151. La fonction compliance centralise toutes les informations sur les problèmes de non-conformité (entre autres les fraudes internes et externes, les infractions aux normes, le non-respect de procédures et de limites ou encore les conflits d'intérêts) détectés dans l'établissement. Pour autant qu'elle ne tire pas ces informations de sa propre implication, elle procède à un examen des documents pertinents, qu'ils soient internes (par exemple rapports de contrôle et d'audit interne, rapports ou comptes rendus de l’organe de gestion ou, le cas échéant, de l’organe de surveillance) ou externes (par exemple rapports du réviseur d’entreprises agréé, correspondance de la part des autorités compétentes).

152. La fonction compliance assiste et conseille l’organe de gestion pour des questions de conformité et de lois, règlements et standards applicables, notamment en le rendant attentif à des développements au niveau des normes qui pourraient ultérieurement avoir un impact sur le domaine de la compliance.

153. La fonction compliance veille à sensibiliser le personnel à l'importance de la conformité et des aspects connexes et à l’assister dans ses activités quotidiennes relatives à la compliance. Elle développe à ces fins également un programme de formation continue et s’assure de sa mise en œuvre.

154. Le « Chief Compliance Officer » est la personne de contact privilégiée des autorités compétentes en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme pour toute question relative à ce domaine. Il est également chargé de la transmission de toute information ou déclaration auprès desdites autorités.

Sous-section 6.2.5.3. Organisation de la fonction compliance 155. Les établissements créent une fonction compliance permanente et indépendante compte tenu des considérations générales sur l’organisation des fonctions de contrôle interne et des caractéristiques des fonctions de contrôle interne élaborées aux précédentes sections.

156. Le « Chief Compliance Officer » est employé à plein temps par l’établissement à Luxembourg, et est dédié à 100% à la fonction compliance. Il n’est pas admis de cumuler les responsabilités de « Chief Compliance Officer » et de contrôle des risques dans le chef d’une seule personne ou de combiner la responsabilité de « Chief Compliance Officer » avec d’autres tâches incompatibles avec ses responsabilités.

A titre exceptionnel, en référence au principe de proportionnalité, l’établissement qui envisage le maintien d’un « Chief Compliance Officer » à temps partiel ou partiellement dédié à la fonction compliance (ex. attribution de tâches de contrôle des risques au « Chief Compliance Officer »), doit adresser une demande écrite à la CSSF qui comprendra :

• une description de l’organisation de la fonction de compliance ;

• l’analyse et ses conclusions justifiant que la fonction de compliance dispose au Luxembourg des ressources humaines, de l’infrastructure et des budgets nécessaires et suffisants afin d’assumer ses tâches et responsabilités en conformité avec les principes de la présente circulaire et de sorte que les risques de non-conformité, et en particulier les risques liés au blanchiment d’argent et au financement du terrorisme, sont atténués de façon appropriée et dans les limites de l’appétit au risque approuvé par l’organe de surveillance;

• la décision de l’organe de gestion et de l’organe de surveillance approuvant l’analyse et ses conclusions.

157. Sans préjudice des exigences définies dans de la circulaire CSSF 22/806 en matière d’externalisation en particulier en relation avec l’externalisation de certaines tâches opérationnelles de la fonction compliance ou avec le recours ponctuel à l’expertise ou aux moyens techniques de tiers, une externalisation de la fonction compliance n’est pas admissible.