Section 6.2.7 - La fonction d’audit interne

Section 6.2.7. La fonction d’audit interne

Sous-section 6.2.7.1. La charte d’audit interne 164. Les modalités de fonctionnement de la fonction d’audit interne en termes d’objectifs, de responsabilités et de pouvoirs doivent être arrêtées par une charte d’audit interne élaborée par la fonction d’audit interne et approuvée en dernier ressort par l’organe de surveillance.

165. La charte d’audit interne doit au minimum :

• définir la position de la fonction d’audit interne dans l’organigramme de l’établissement tout en en précisant les caractéristiques clés (indépendance, objectivité, intégrité, compétence, autorité, suffisance des ressources) ;

• conférer à la fonction d’audit interne le droit d’initiative et l’autoriser à examiner toutes les activités et fonctions de l’établissement, y compris celles de ses succursales, bureaux de représentation et agents ou distributeurs au Luxembourg et à l’étranger ainsi que les activités et fonctions faisant l’objet d’une externalisation, à accéder à tous les documents, pièces, procès-verbaux des organes consultatifs et décisionnels de l’établissement, à voir toutes les personnes travaillant pour l’établissement, dans la mesure requise pour l’exercice de sa mission ;

• définir les lignes de communication hiérarchiques et fonctionnelles des conclusions qui se dégagent des missions d’audit ;

• définir les relations avec les fonctions compliance et de contrôle des risques ;

• définir les conditions et circonstances applicables lorsqu’il est fait recours à des experts externes ou prestataires de services ;

• définir la nature des travaux et les conditions dans lesquelles la fonction d’audit interne peut fournir de la consultance interne ou effectuer d’autres missions spéciales ;

• définir les responsabilités et lignes de reporting du « Chief Internal Auditor » ;

• établir le droit pour le « Chief Internal Auditor » de contacter directement et de sa propre initiative le président de l’organe de surveillance ou, le cas échéant, les membres des comités spécialisés ainsi que la CSSF ;

• préciser les standards professionnels reconnus qui gouvernent le fonctionnement et les travaux de l’audit interne ;

• préciser les procédures à respecter en matière de coordination et de coopération avec le réviseur d’entreprises agréé.

166. Le contenu de la charte d’audit interne est porté à la connaissance de tous les membres du personnel de l’établissement, y compris ceux qui travaillent dans les succursales au Luxembourg et à l’étranger.

167. La charte d’audit interne doit être mise à jour dans les meilleurs délais pour tenir compte des changements survenus. Toutes les modifications doivent être approuvées par l’organe de surveillance en dernier ressort. Elles sont portées à la connaissance de tous les membres du personnel.

168. Afin de ne pas compromettre leur indépendance de jugement, les personnes relevant de la fonction d’audit interne ne peuvent pas être chargées de l’élaboration ou de la mise en place d’éléments du dispositif en matière d’administration centrale. Ce principe n’exclut pas qu’elles contribuent à la mise en œuvre de mécanismes de contrôle interne solides à travers des avis et des recommandations qu’elles fournissent en la matière. De plus, en vue d’éviter les conflits d’intérêts, il y a lieu, dans la mesure du possible, d’assurer une rotation des tâches de contrôle assignées aux différents auditeurs internes et d’éviter que les auditeurs recrutés au sein de l’établissement ne contrôlent des activités ou fonctions qu’ils exerçaient eux-mêmes auparavant dans un passé récent.

Sous-section 6.2.7.2. Responsabilités spécifiques et champ d’application de la fonction d’audit interne 169. La fonction d’audit interne examine et évalue, entre autres (liste non exhaustive), en fonction de l’organisation et de la nature, de l’échelle et de la complexité des activités :

• le suivi du respect des lois et réglementations ainsi que des exigences prudentielles imposées par la CSSF ;

• l’efficacité et l’efficience du dispositif en matière d’administration centrale, de gouvernance et de contrôle interne, en ce compris la fonction de contrôle des risques et la fonction compliance ;

• la sauvegarde des valeurs et des biens ainsi que la protection des fonds des utilisateurs de services de paiement et le respect des réserves de liquidités internes ;

• l’adéquation des fonds propres ;

• l’enregistrement correct et exhaustif des opérations et la production d’informations financières et prudentielles correctes, complètes, pertinentes, compréhensibles et disponibles sans délai à l’organe de surveillance et aux comités spécialisés, le cas échéant, à l’organe de gestion et à la CSSF ;

• le respect des politiques et procédures.

170. Lorsqu’il existe au sein de l’établissement un service distinct en charge du contrôle ou de la surveillance d’une activité ou d’une fonction spécifique, l’existence d’un tel service ne décharge pas la fonction d’audit interne de sa responsabilité de contrôler ce domaine spécifique. Toutefois, le service d’audit interne peut tenir compte dans son travail des appréciations données par ce service sur le domaine en question.

Sous-section 6.2.7.3. Exécution des travaux d’audit interne 171. L’ensemble des missions d’audit interne est planifié et exécuté selon un plan d’audit interne. Le plan est établi par le responsable de la fonction d’audit interne pour une période pluriannuelle (en principe trois ans) avec comme objectif de couvrir l’ensemble des activités et des fonctions, en tenant compte à la fois des risques que présentent une activité ou une fonction et de l’efficacité de l’organisation et du contrôle interne en vigueur pour cette activité ou fonction (approche basée sur le risque). Le plan tient compte des avis de l’organe de surveillance ou du comité spécialisé, le cas échéant, ainsi que de l’organe de gestion. Le plan couvre toutes les matières présentant un intérêt prudentiel (y compris les observations et les demandes de la CSSF) et tient compte également des développements et innovations prévus ainsi que des risques qui peuvent en découler. Le champ d’intervention de la fonction d’audit interne ne peut être limité dans son étendue.

172. De par sa criticité, la thématique de la protection des fonds détenus par l’établissement pour le compte des utilisateurs de services de paiement ou par le biais d’un autre prestataire de services de paiement pour l’exécution d’opérations des paiements doit faire l’objet d’une revue appropriée annuelle de la part de l’audit interne. La revue de la thématique susmentionnée inclut notamment la revue des accès (aux comptes bancaires y afférents, aux systèmes critiques), les procédures de réconciliations mises en place, les éventuels contrôles clés automatisés/intégrés au système ou application informatique, le respect à tout moment des articles 14 et/ou 24-10 de la LSP et l’adéquation des procédures manuelles et automatisées de suivi des niveaux de protection qui soient adaptées en fonction de la méthode de protection des fonds utilisée.

173. Le plan d’audit interne est discuté avec l’organe de gestion et, le cas échéant, le comité spécialisé et approuvé en dernier ressort par l’organe de surveillance. Il est à revoir sur une base annuelle et à adapter en fonction des développements et des urgences. Toute adaptation, y inclus toute mission reportée ou annulée, est à revoir par l’organe de gestion et le comité spécialisé, le cas échéant, avant d’être approuvée par l’organe de surveillance. L’approbation implique que l’organe de gestion mette à la disposition du service d’audit interne les moyens nécessaires pour l’exécution du plan d’audit interne. Dans son rapport de synthèse à l’organe de surveillance, l’audit interne signale et motive les principales modifications apportées au plan d’audit tel qu’il a été approuvé initialement par l’organe de surveillance : missions annulées, missions reportées ainsi que missions dont le champ d’application a été changé de manière significative.

174. Le plan d’audit interne définit les objectifs de chaque mission et l’étendue des travaux à réaliser, estime le temps et les ressources humaines et matérielles nécessaires et attribue à chaque activité et risque une fréquence d’audit. Le plan d’audit interne prévoit également de couvrir, endéans la période de planification pluriannuelle, de façon adéquate et suffisamment fréquente les activités importantes ou complexes qui représentent un risque potentiel important, y compris sur le plan de la réputation. Il accorde une attention particulière au risque d’erreurs d’exécution et au risque de fraude. Le plan d’audit interne prévoit une couverture adéquate des domaines présentant un risque de blanchiment de capitaux ou de financement du terrorisme de manière à permettre à la fonction d’audit interne de rendre compte annuellement dans le rapport de synthèse sur le respect de la conformité à la politique de lutte contre le blanchiment de capitaux ou de financement du terrorisme.

175. Dans l’hypothèse où le service d’audit interne de la maison mère de l’établissement luxembourgeois procède régulièrement à des contrôles sur place auprès de sa filiale, il est recommandé pour des raisons d’efficacité, que l’établissement luxembourgeois coordonne, dans la mesure du possible, son plan d’audit interne avec celui de sa maison mère.

Dans le cas de figure où le plan d’audit interne de l’établissement luxembourgeois est établi de manière coordonnée avec celui de sa maison mère ou du groupe auquel il appartient, l’organe de surveillance conserve la pleine responsabilité du respect des exigences réglementaires ainsi que des principes énoncés dans cette circulaire.

176. La fonction d’audit interne informe l’organe de gestion et, le cas échéant, le comité spécialisé de façon régulière sur l’exécution du plan d’audit interne.

177. Chaque mission d’audit interne est planifiée, exécutée et documentée en conformité avec les standards professionnels adoptés par la fonction d’audit interne dans sa charte d’audit interne.

178. Chaque mission doit faire l’objet d’un rapport écrit de la fonction d’audit interne destiné, en règle générale, aux personnes contrôlées, à l’organe de gestion ainsi que - éventuellement sous forme de synthèse - à l’organe de surveillance (et au comité spécialisé, le cas échéant). Ces rapports sont à rédiger en français, allemand ou anglais et sont également à tenir à disposition du réviseur d’entreprises agréé et de la CSSF.

Ce rapport écrit comprend non seulement une description des insuffisances et anomalies constatées, mais également des recommandations et des propositions sur les mesures correctrices à prendre incluant un échéancier de mise en place de ces mesures, de même qu’en règle générale une prise de position des personnes contrôlées. Le rapport donne également une indication de l’importance relative des anomalies et déficiences constatées ainsi que des recommandations et des mesures correctrices.

179. Le service d’audit interne établit un tableau des missions d’audit interne et des rapports écrits y relatifs. Il rédige au moins une fois par an un rapport de synthèse qui sera remis à l’organe de gestion et à l’organe de surveillance. Une copie de ce rapport est remise à la CSSF, et cela, en accord avec la circulaire CSSF 15/614 et tenue à disposition du réviseur d’entreprises agréé.

Sous-section 6.2.7.3. Organisation de la fonction d’audit interne 180. Les établissements créent une fonction d’audit interne permanente et indépendante compte tenu du principe de proportionnalité et des critères régissant son application, ainsi que des considérations sur l’organisation des fonctions de contrôle interne élaborées au sein de la présente circulaire.

181. La fonction d’audit interne doit être indépendante des autres fonctions de contrôle interne qu’elle audite. Par conséquent, la fonction de contrôle des risques ou la fonction compliance ne peuvent pas faire partie de la fonction d'audit interne d'un établissement. Cependant, ces fonctions peuvent prendre en compte les travaux d'audit interne en matière de vérification de l'application correcte des normes en vigueur à l'exercice des activités exercées par l'établissement.

182. En cas d’externalisation des tâches opérationnelles de la fonction d’audit interne, les établissements doivent se référer à la circulaire CSSF 22/806, les prestataires de services réalisent leurs travaux dans le cadre du plan d’audit interne de l’établissement, en suivant un programme de travail, en documentant leurs travaux de façon détaillée et en rédigeant des rapports pour chaque mission. Ces rapports sont à rédiger en français, allemand ou anglais et sont à remettre à l’organe de gestion, au comité spécialisé, le cas échéant, et à l’organe de surveillance. Lorsque ces prestataires externes exercent la profession de réviseur d’entreprises agréé, ils doivent à tous égards être indépendants du réviseur d’entreprises et du cabinet de révision agréés de l’établissement.