Section 6.2.6 - Le contrôle des risques

Section 6.2.6. Le contrôle des risques

Sous-section 6.2.6.1. Système de gestion des risques 158. Les établissements mettent en place un système de gestion des risques cohérent et exhaustif, à l’échelle de l’établissement, couvrant l’ensemble des activités et des unités opérationnelles de l’établissement, y compris les fonctions de contrôle interne, et reconnaissant pleinement la substance économique de toutes leurs expositions au risque, permettant à l’organe de gestion de garder sous maîtrise l’ensemble des risques auxquels l’établissement est ou pourrait être exposé. Ce système de gestion des risques doit permettre à l’établissement de recenser, analyser et traiter les principaux risques identifiés au regard des objectifs de l’établissement.

159. Le système de gestion des risques doit comprendre un ensemble de politiques et de procédures, de limites, de contrôles et d’alertes qui permettent d’identifier, de mesurer, de gérer ou d’atténuer et de déclarer ces risques au niveau des unités opérationnelles, de l’établissement dans son ensemble en ce compris notamment les succursales, filiales, agents, distributeurs et bureaux de représentation.

160. Afin de permettre à l’organe de gestion de garder sous strict contrôle certains aspects clés des risques sectoriels de l’établissement, le système de gestion des risques doit couvrir de manière spécifique pour l’établissement les risques liés à l’adéquation des fonds propres, la liquidité de l’établissement, la gestion des flux de paiement et de monnaie électronique de l’établissement ainsi que le bon fonctionnement du dispositif de protection des fonds des utilisateurs de services de paiement.

161. Lorsque les établissements octroient des crédits liés aux services de paiement dans les conditions définies aux articles 10, paragraphe 3 et 24-6, paragraphe 1, de la LSP, le système de gestion des risques implique également la mise en œuvre d’un solide dispositif permettant : • de gérer, détecter et rapporter aux organes de gestion et de surveillance tout dépassement de l’activité de crédit en référence à l’appétit aux risques défini et aux limites internes définies et approuvées par ces organes (cf. paragraphes 13 et 40 de la présente circulaire) ;

• de gérer et supporter sur une base continue les risques liés à cette activité de crédit en vue de garantir une adéquation permanente tant en temps normal qu’en temps de crise des fonds propres et des liquidités conformément aux exigences internes et légales ;

• de détecter et gérer les activités de crédit dont les échéances contractuelles et légales sont dépassées ;

• de fournir aux organes de gestion, de surveillance et à l’autorité compétente à tout instant le montant de cette activité de crédit, des crédits dont les échéances sont dépassées, des fonds propres et liquidités internes permettant de répondre aux exigences légales et de couvrir les risques liés à cette activité de crédit.

Lorsque les établissements octroient des crédits liés aux services de paiement dans les conditions définies aux articles 10, paragraphe 3 et 24-6, paragraphe 1, de la LSP, cette activité est supportée par des politiques d’acceptation de risques qui définissent quels risques peuvent être pris et les critères et conditions qui s’appliquent en la matière ainsi que par des politiques qui définissent les mesures à prendre lorsqu’un utilisateur de service de paiement ne respecte pas ou signale à l’établissement qu’il n’est plus en mesure de rembourser son crédit/de respecter son engagement comprenant une procédure de régularisation des défauts de remboursement, de suivi de la régularisation de ceux-ci ainsi que d’escalade. En complément, les établissements disposent d’un dispositif pour la gestion et le provisionnement des défauts de remboursement susmentionnés.

Sous-section 6.2.6.2. Fonction indépendante de contrôle des risques 162. En fonction de l’organisation de l’établissement, la CSSF pourra demander à certains établissements, en référence au principe de proportionnalité (cf. paragraphe 3 de la présente circulaire), de doter leur établissement d’une fonction indépendante et permanente de contrôle des risques.

Sous-section 6.2.6.3. Gestion des risques de la fonction informatique 163. Les établissements mettent en place un système de gestion des risques liés aux TIC et à la sécurité en ligne avec les exigences du règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier et des circulaires de la CSSF relatives aux exigences en matière de gestion des risques liés aux TIC et à la sécurité.