Sous-chapitre 8.1 - Exigences générales
Circulaire CSSF 26/906 — Administration centrale, gouvernance interne et gestion des risques · CSSF 26/906
Sous-chapitre 8.1. Exigences générales 201. Conformément aux exigences des articles 14 et 24-10 de la LSP et en ligne avec les principes directeurs en matière de protection de fonds approuvés par l’organe de surveillance, l’établissement est tenu de mettre en place des mécanismes assurant à tout moment la protection de l’ensemble des fonds reçus de la part des utilisateurs de services de paiement ou par le biais d’un autre prestataire de services de paiement pour l’exécution d’opérations de paiement et/ou en échange de la monnaie électronique émise.
Ceci implique que l’établissement doit être en permanence en mesure d’identifier clairement et précisément l’ensemble des fonds des utilisateurs de services de paiement. L’établissement doit veiller à porter une attention particulière aux aspects de continuité des dispositions de protection des fonds et à assurer une capacité de réaction appropriée en cas de révocation des contrats par les contreparties utilisées dans le cadre des mécanismes de protection des fonds.
202. Les établissements instituent des mécanismes de contrôle interne adéquats et efficients et un cadre de suivi général qui fournit des informations appropriées à l’organe de gestion et à l’organe de surveillance. Ces mécanismes de contrôle interne incluent notamment des processus de contrôle des opérations exécutées ainsi que des processus de réconciliation des fonds reçus de la part des utilisateurs de services de paiement ou par le biais d’un autre prestataire de services de paiement pour l’exécution d’opérations de paiement et de monnaie électronique avec les informations issues des contreparties auprès desquels les fonds sont protégés (c.-à-d. établissement de crédit, entreprise d’assurance, etc.). Ces processus font l’objet de procédures claires déterminant les responsables de ces processus, les différentes parties intervenantes, les procédures formelles d’escalade et de validation liées à ces processus.
Sans préjudice de la section 4.2.3. de la présente circulaire, l’établissement nomme au sein de son organe de gestion un membre responsable du suivi et de l’encadrement des processus de contrôle interne permettant d’assurer le respect des exigences de protection des fonds.
Ces mécanismes de contrôle interne doivent permettre d’identifier à tout moment et sans délai les fonds qui ne sont pas protégés au travers d’une des manières prévues aux articles 14 et 24- 10 de la LSP. Ils sont déployés en considérant l’organisation de l’établissement, la nature, l’échelle, le volume et la complexité des activités et des risques de l’établissement.
203. Eu égard au volume et/ou à la complexité des services de paiement ou de monnaie électronique prestées par l’établissement, les mécanismes de contrôle interne mentionnés au paragraphe 202 de la présente circulaire doivent reposer sur la mise en place de contrôles et de réconciliations quotidiennes.
La mise en place de réconciliations hebdomadaires peut le cas échéant être envisagée sur la base d’une analyse justifiée et documentée des risques validée par l’organe de gestion et l’organe de surveillance. Les organes de gestion et de surveillance veillent à assurer l’allocation de ressources appropriées et suffisantes à ces contrôles et réconciliations qui sont sujets à une revue et/ou validation suivant le principe de 4 yeux.
Il est par ailleurs recommandé aux établissements de se doter d’outils informatisés de contrôle et de réconciliation. Le recours à des processus de contrôle manuel est à considérer à titre exceptionnel.
204. Sans préjudice des exigences définies à la section 5.3.1. de la présente circulaire, l’accès aux écritures comptables, comme aux systèmes extra-comptables ainsi que les pouvoirs de signature permettant de mouvementer les fonds des utilisateurs de service de paiement est strictement limité selon les principes du « need-to-know and least privilege » et systématiquement soumis au principe des 4 yeux, sous la responsabilité formelle d’au moins un membre de l’organe de gestion.
205. En référence au principe de proportionnalité repris au paragraphe 3 de la présente circulaire, il pourra être demandé à certains établissements de mettre en place un dispositif de gestion des risques de contrepartie dans le cadre de l’ouverture de compte de ségrégation auprès d’établissements de crédit et/ou en référence au recours à des contreparties dans le cadre de l’établissement de mécanismes d’assurance et/ou de garantie comparable.
Une analyse (due diligence) et un suivi régulier de la qualité du ou des établissements de crédit, assureurs ou autres contreparties utilisés par l’établissement dans le cadre de la protection des fonds sont considérés comme une bonne pratique de gestion saine et prudente.
