Chapitre 6 - Le contrôle interne

Chapitre 6. Le contrôle interne 103. Le contrôle interne est un dispositif composé de règles et de procédures qui ont pour but de s’assurer que les objectifs posés par l’établissement sont atteints, que les ressources sont utilisées de façon efficiente, que les risques sont contrôlés, que le patrimoine est protégé, que les fonds des utilisateurs de services de paiement sont protégés, que l’information financière et l’information de gestion sont correctes, complètes, pertinentes, compréhensibles et disponibles sans délai, que les lois et réglementations ainsi que les procédures internes sont respectées et que les demandes et exigences de la CSSF sont respectées. Les mécanismes de contrôle interne prévoient ainsi des mécanismes destinés à prévenir les erreurs d’exécution et les fraudes et à permettre leur détection rapide.

Les mécanismes de contrôle interne doivent également être appliqués par les succursales que les établissements ont à l’étranger sans préjudice de dispositions légales ou règlementaires locales qui existent en la matière.

Le dispositif de contrôle interne doit comprendre des processus et procédures efficaces prévenant la fraude et assurant tant le respect des obligations en matière de lutte contre le blanchiment et le financement du terrorisme que le respect des obligations visant à prévenir, rechercher, détecter et le cas échéant rapporter des fraudes en matière de paiements. Les établissements doivent évaluer leur exposition au risque d’être abusés notamment à des fins de blanchiment ou de financement du terrorisme, adapter leur dispositif de contrôle au niveau du risque identifié (approche basée sur le risque) et prendre des mesures efficaces d’atténuation visant à réduire ce risque, ainsi que les risques opérationnels et de réputation associés. Le dispositif garantit l’information et la formation adéquate du personnel par rapport à ces risques.

104. Le dispositif de contrôle interne d’un établissement doit être adapté à son organisation, à l’échelle et à la complexité de ses activités et des risques associés et respecter les principes du modèle des « trois lignes de défense » :

• la première ligne de défense est constituée par les unités opérationnelles qui prennent ou acquièrent des risques, qui assument la responsabilité pour leur gestion et qui contrôlent de manière permanente le respect des politiques, procédures et limites qui leur sont imposées ;

• la seconde ligne est formée par des fonctions de support, comme la fonction financière et comptable, mais surtout la fonction compliance et la fonction de contrôle des risques (dans la mesure où celle-ci est prévue en vertu du paragraphe 163 de la présente circulaire), qui assurent un contrôle indépendant des risques et supportent les unités opérationnelles dans le respect des politiques et procédures qui leur sont applicables ;

• la troisième ligne est constituée par la fonction d’audit interne qui effectue une évaluation indépendante, objective et critique des deux premières lignes de défense et du dispositif de gouvernance interne dans son ensemble.

Les trois lignes de défense sont complémentaires, chaque ligne de défense assumant ses responsabilités de contrôle indépendamment des autres lignes.

105. La mise en place d’un dispositif de contrôle interne solide va de pair avec une séparation pertinente des fonctions, tâches et responsabilités, la mise en place d’une gestion des accès à l’information et la séparation physique de certaines fonctions et de certains départements afin de sécuriser les données et les transactions.

106. Les contrôles réalisés (c.-à-d. contrôles opérationnels, contrôle des risques, etc.) doivent être suffisamment et précisément documentés afin de permettre de démontrer leur exécution et leur efficacité.

Sous-chapitre 6.1. Les contrôles opérationnels Un environnement de contrôle interne robuste et solide comporte notamment les types de contrôles suivants qui relèvent de la première ligne de défense :

Section 6.1.1. Les contrôles quotidiens réalisés par le personnel exécutant 107. Les procédures en matière de contrôle interne prévoient que les exécutants contrôlent sur une base quotidienne les tâches opérationnelles et/ou processus qu’ils exécutent dans le cadre des activités de l’établissement ou des services prestés par l’établissement, ceci afin de détecter le plus rapidement possible des erreurs et omissions survenues dans le traitement de ces tâches opérationnelles et processus courants. Lorsque ces tâches opérationnelles sont externalisées, l’établissement doit s’assurer qu’elles sont exécutées correctement et en conformité avec la circulaire CSSF 22/806 relative à l’externalisation.

Section 6.1.2. Les contrôles critiques continus 108. Dans cette catégorie de contrôles tombent notamment :

• le contrôle hiérarchique ;

• la validation (par exemple la double signature, les codes d’accès à des fonctionnalités données) associée au contrôle du respect de la procédure d’autorisation et de délégation de pouvoirs arrêtée par l’organe de gestion ;

• les contrôles réciproques ;

• le relevé régulier de l’existence et de la valeur des éléments du patrimoine et des fonds des utilisateurs de services de paiement, notamment au moyen de la vérification des inventaires ;

• la réconciliation et la confirmation des comptes ;

• le contrôle de l’exactitude et de l’exhaustivité des données communiquées par les personnes en charge des fonctions commerciales et opérationnelles en vue d’un suivi administratif des opérations ;

• la vérification du caractère normal des opérations conclues notamment quant à leur prix, à leur ampleur, aux garanties éventuelles à recevoir ou à fournir, aux bénéfices générés et aux pertes subies, à l’ampleur des frais éventuels.

Le bon fonctionnement de ces contrôles critiques n’est garanti que si le principe de la séparation des tâches est respecté.

Section 6.1.3. Les contrôles réalisés par les membres de l’organe de gestion sur les activités ou fonctions qui tombent sous leur responsabilité directe 109. Les membres de l’organe de gestion contrôlent personnellement et de manière régulière les activités ou fonctions qui tombent sous leur responsabilité directe. Ces contrôles sont effectués sur la base des données qui leur sont remises à cet effet par les fonctions commerciales, de support et de contrôle interne et les différentes unités opérationnelles, informatiques et administratives de l’établissement.

110. Les points à surveiller plus particulièrement par ces personnes sont notamment :

• les risques liés aux activités et fonctions dont ils sont directement responsables ;

• le respect des lois et normes applicables à l’établissement, avec une attention particulière pour les exigences à respecter en termes de protection des fonds reçus des utilisateurs des services de paiement ;

• le respect des politiques et procédures arrêtées par l’organe de gestion et l’organe de surveillance ;

• le respect des budgets établis et l’examen des réalisations effectives et des écarts ;

• le respect des limites (notamment sur la base de rapports d’exception) ;

• les caractéristiques des opérations, notamment leur prix, leur rentabilité individuelle ;

• l’évolution de la rentabilité globale d’une activité.

111. Les membres de l’organe de gestion informent régulièrement les autres membres de l’organe de gestion sur l’exercice de leur mission de contrôle lors des réunions de l’organe de gestion.

112. Le dispositif de contrôle interne prévoit une documentation appropriée par écrit des différents niveaux de contrôle tels que décrits ci-avant permettant de rendre compte de la mise en œuvre effective des politiques et procédures internes. Cette documentation inclut tant les contrôles manuels et hiérarchiques opérés par les différents niveaux de contrôle que les contrôles automatisés et/ou intégrés dans les systèmes de paiement ou autres outils utilisés par l’établissement.

Sous-chapitre 6. Les fonctions de contrôle interne 113. Les politiques mises en œuvre en matière de conformité et d’audit interne instaurent deux fonctions de contrôle interne distinctes : d’une part, la fonction compliance qui relève de la deuxième ligne de défense et d’autre part, la fonction d’audit interne qui relève de la troisième ligne de défense.

Lorsque l’établissement se dote d’une fonction indépendante et permanente de contrôle des risques, elle relève également de la seconde ligne de défense.

Les politiques de l’établissement décrivent par ailleurs les domaines d’intervention relevant directement de chaque fonction de contrôle interne, règlent clairement les responsabilités en matière de domaines d’intervention communs afin d’éviter les redondances et conflits de compétences, et définissent les objectifs ainsi que l'indépendance, l’autorité, l’objectivité et la permanence des fonctions de contrôle interne.

Les sections 6.2.1., 6.2.2., 6.2.3. et 6.2.4. de la présente circulaire et relatives aux responsabilités génériques, aux caractéristiques, à l’exécution des travaux et à l’organisation des fonctions de contrôle interne s’appliquent à la fonction de compliance et à la fonction d’audit interne.

Lorsque l’établissement se dote ou est tenu de se doter d’une fonction indépendante et permanente de contrôle des risques conformément au principe de proportionnalité établi aux paragraphes 3 et 162 de la présente circulaire, les sections 6.2.1., 6.2.2., 6.2.3. et 6.2.4. de la présente s’appliquent à cette fonction.

Section 6.2.1. Responsabilités génériques des fonctions de contrôle interne 114. Les fonctions de contrôle interne ont pour objectif principal de vérifier le respect de l’ensemble des politiques et des procédures internes qui tombent dans leur champ d’attribution, d’en évaluer régulièrement l’adéquation par rapport à la structure organisationnelle et opérationnelle, aux stratégies, aux activités et aux risques de l’établissement ainsi que par rapport aux exigences légales et réglementaires applicables et d’en rendre compte directement à l’organe de gestion ainsi qu’à l’organe de surveillance et, le cas échéant, aux comités spécialisés. Elles fournissent à l’organe de gestion ainsi qu’à l’organe de surveillance et, le cas échéant, aux comités spécialisés les avis et conseils qu’elles jugent utiles ou qui leur sont demandés par ces organes ou comités. Nonobstant les responsabilités spécifiques en la matière attribuées à la fonction compliance, toutes les fonctions de contrôle interne contribuent à la lutte efficace contre le blanchiment et le financement du terrorisme.

115. Lorsqu’ils estiment que la gestion efficace, saine ou prudente des activités est compromise, les responsables des fonctions de contrôle interne en informent promptement et de leur propre initiative l’organe de gestion et l’organe de surveillance et les comités spécialisés, le cas échéant.

Section 6.2.2. Caractéristiques des fonctions de contrôle interne 116. Les fonctions de contrôle interne sont des fonctions permanentes et indépendantes dotées chacune d’une autorité suffisante. Les responsables de ces fonctions ont le droit d’accès direct à l’organe de surveillance ou à son président, et, le cas échéant, aux comités spécialisés qui en émanent, au réviseur d’entreprises agréé de l’établissement ainsi qu’à la CSSF.

117. L’indépendance des fonctions de contrôle interne est incompatible avec une situation dans laquelle :

• le personnel des fonctions de contrôle interne est chargé de tâches qu’il est appelé à contrôler ;

• la rémunération du personnel des fonctions de contrôle interne est liée à la performance des activités qu’elles contrôlent ou déterminée suivant d’autres critères qui compromettent l’objectivité du travail accompli par les fonctions de contrôle interne ;

• les fonctions de contrôle interne sont intégrées d’un point de vue organisationnel dans les unités opérationnelles qu’elles contrôlent ou dépendent hiérarchiquement d’elles ;

• les responsables des fonctions de contrôle interne sont subordonnés aux personnes en charge de, ou responsables pour, les activités que les fonctions de contrôle internes sont appelées à contrôler. Dans le cadre d’un établissement ne possédant que deux dirigeants, l’application du principe de proportionnalité imposera la séparation de la supervision des fonctions de contrôle interne de seconde et troisième ligne.

118. L’autorité dont doivent jouir les fonctions de contrôle interne requiert que ces fonctions puissent exercer leurs responsabilités de leur propre initiative, s’exprimer librement et accéder à toutes les données et informations externes et internes (dans l’ensemble des unités opérationnelles de l’établissement qu’elles contrôlent) qu’elles jugent nécessaires pour l'accomplissement de leurs missions.

119. Les fonctions de contrôle interne ou les prestataires de services agissant pour le compte de ces fonctions doivent effectuer leurs travaux avec objectivité.

Afin de garantir leur objectivité, les personnes relevant des fonctions de contrôle interne possèdent l’indépendance d’esprit ; elles ne doivent pas subordonner leur propre jugement à celui d’autres personnes, dont surtout les personnes contrôlées, et veillent à éviter les conflits d’intérêts.

120. Les principes directeurs régissant la nomination et la succession des responsables de fonctions de contrôle interne prévoient les mesures nécessaires pour que ces membres soient et restent qualifiés. Ces mesures doivent inclure une initiation spécifique pour comprendre la structure, le modèle d’affaires, le profil de risque et les dispositifs de gouvernance et ensuite des programmes de formation professionnelle qui permettent aux responsables des fonctions de contrôle interne de comprendre d’une part, les opérations de l’établissement, leur rôle et d’autre part, de maintenir à jour et d’approfondir leurs compétences. Les mesures doivent également assurer à tout moment la permanence des responsables des fonctions de compliance et d’audit interne et le cas échéant de contrôle des risques. Ces mesures doivent également assurer une capacité de réaction appropriée en cas de crise.

121. Les membres des fonctions de contrôle interne doivent posséder un niveau individuel et collectif élevé de connaissances, de compétences et une expérience professionnelle dans le domaine des activités de paiement et/ou de monnaie électronique ou similaires et plus particulièrement dans leur domaine de responsabilités en ce qui concerne les normes applicables. Conformément au principe de proportionnalité, le niveau de compétences requis augmente en fonction de l’organisation de l’établissement et de la nature, de l’échelle et de la complexité des activités et des risques. La compétence individuelle doit comporter la capacité de porter des jugements critiques et d’être écouté par les membres de l’organe de gestion de l’établissement.

122. Les fonctions de contrôle interne maintiennent à jour les connaissances acquises et assurent une formation continue et actualisée à chacun de leurs collaborateurs.

123. En sus de leur expérience professionnelle élevée, les responsables de fonctions de contrôle interne qui accèdent pour la première fois à une telle position possèdent les connaissances théoriques nécessaires.

124. Pour garantir l'exécution des tâches qui leur incombent, les fonctions de contrôle interne disposent des ressources humaines, de l’infrastructure et des budgets nécessaires et suffisants, conformément au principe de proportionnalité. Le budget doit être suffisamment flexible pour tenir compte d’une adaptation des missions des fonctions de contrôle interne en réponse à des changements au niveau de l’organisation, des activités et des risques de l’établissement ou en cas de survenance d’événements spécifiques. Les établissements qui, en matière de fonctions de contrôle interne, recourent aux services de prestataires de services doivent se référer à la circulaire CSSF 22/806 concernant l’externalisation.

125. Le champ d’intervention des fonctions de contrôle interne couvre l’ensemble de l’établissement, y inclus les succursales, dans le respect de leurs compétences respectives. Il inclut les activités menées à travers des réseaux d’agents, de distributeurs ou de bureaux de représentation ainsi que les activités inhabituelles et potentiellement non transparentes.

126. Chaque établissement prend les mesures nécessaires pour assurer que les membres des fonctions de contrôle interne exercent leurs fonctions avec intégrité et discrétion.

Section 6.2.3. Exécution des travaux des fonctions de contrôle interne 127. Les fonctions de contrôle interne documentent les travaux effectués conformément aux responsabilités assignées, notamment afin de permettre de retracer les interventions ainsi que les conclusions retenues.

128. Les fonctions de contrôle interne rapportent par écrit régulièrement et si nécessaire sur base ad hoc à l’organe de gestion et à l’organe de surveillance ou, le cas échéant, aux comités spécialisés. Ces rapports portent sur le suivi des recommandations, problèmes, déficiences et irrégularités relevés par le passé ainsi que sur les nouveaux problèmes, déficiences et irrégularités identifiés. Chaque rapport spécifie les risques y liés ainsi que leur degré de gravité (mesure de l’impact) et propose des mesures correctrices, de même qu’en règle générale une prise de position des personnes concernées.

129. Chaque fonction de contrôle interne prépare au moins une fois par an un rapport de synthèse sur ses activités et son fonctionnement couvrant l’ensemble des activités qui lui sont attribuées. Au titre des activités, chaque rapport de synthèse fournit le relevé des activités de la fonction depuis le dernier rapport, des principales recommandations adressées à l’organe de gestion, des problèmes (existants ou émergents), déficiences et irrégularités majeurs survenus depuis le dernier rapport, des mesures prises pour y remédier ainsi qu’une description des contrôles réalisés, des insuffisances et anomalies constatées, mais également des recommandations et des propositions sur les mesures correctrices à prendre, de même qu’une prise de position des personnes contrôlées assortie d’un délai approprié pour la mise en place d’actions correctrices, le cas échéant. Une indication de l’importance relative des anomalies et déficiences en fonction de leur niveau de risque et de priorité est fourni.

130. Le rapport de synthèse des fonctions de contrôle interne fournit un état des lieux portant sur l’accomplissement du plan de contrôle tel qu’il avait été défini pour l’année. Il inclut également, le cas échéant, la justification des retards ou reports de mission.

131. Le rapport de synthèse des fonctions de contrôle interne dresse un inventaire des contrôles clés effectués par thématique couverte, et inclut une description de ces contrôles (recours à un test de cheminement, échantillonnage, revue des procédures etc.).

132. Le rapport de synthèse des fonctions de contrôle interne doit à la fois faire état des exceptions identifiées pour lesquelles des actions de remédiation n’ont pas encore été mises en œuvre, mais aussi de celles qui ont d’ores et déjà été considérées comme clôturées au cours de l’année.

133. Le rapport de synthèse des fonctions de contrôle interne comprend une section dédiée au suivi des exceptions identifiées au cours des années précédentes mais non encore clôturées à la date de remise du précédent rapport, incluant une mise à jour quant à la façon dont les exceptions ont été clôturées, ainsi qu’une prise de position de l’organe de gestion ainsi que de nouveaux délais, le cas échéant.

134. Enfin, le rapport de synthèse des fonctions de contrôle interne se prononce sur l’état de leur domaine de contrôle dans son ensemble. S’agissant du fonctionnement, le rapport se prononce en particulier sur l’adéquation des ressources humaines et techniques internes et la nature et le degré du recours à des ressources humaines et techniques externes ainsi que sur les problèmes éventuels apparus dans ce contexte. Ce rapport est soumis pour approbation à l’organe de surveillance ou, le cas échéant, aux comités spécialisés compétents pour en assurer le suivi avec l’organe de surveillance ; il est soumis pour information à l’organe de gestion. Ce rapport est à rédiger en français, allemand ou anglais.

135. En cas de problèmes, déficiences et irrégularités graves, les responsables des fonctions de contrôle interne en informent immédiatement l’organe de gestion, le président de l’organe de surveillance et les présidents des comités spécialisés, le cas échéant. Dans ces cas, les responsables des fonctions de contrôle interne peuvent demander à être entendus par l’organe de surveillance en séance privée.

136. Les fonctions de contrôle interne vérifient le suivi effectif des recommandations relatives aux problèmes, déficiences et irrégularités qu’elles ont relevées, conformément à la procédure visée au paragraphe 46 de la présente circulaire. Elles rapportent de manière régulière à ce sujet à l’organe de gestion. Pour tout retard dans la mise en œuvre des mesures correctrices, l’organe de gestion en informe l’organe de surveillance qui doit autoriser les prolongations des délais de mise en œuvre des mesures correctrices.

Section 6.2.4. Organisation des fonctions de contrôle interne 137. Chaque fonction de contrôle interne est placée sous la responsabilité d’un chef de fonction distinct qui est sélectionné, nommé et révoqué par l’organe de gestion suivant une procédure interne écrite. Il est recommandé de faire approuver les nominations et révocations des responsables des fonctions de contrôle interne au préalable par l’organe de surveillance.

[...]