14 Signaler des violations aux autorités compétentes

Lorsqu’ils mettent en œuvre le cadre de contrôle interne, les établissements devraient prévoir une séparation appropriée des attributions, par exemple en confiant à des personnes différentes les activités en conflit lors du traitement des transactions ou de la prestation de services ou en confiant à des personnes différentes les responsabilités en matière de surveillance et de déclaration pour les activités en conflit, et mettre en place des barrières pour empêcher la communication de l’information, par exemple par le cloisonnement physique de certains services.

Les fonctions de contrôle interne devraient vérifier que les politiques, mécanismes et procédures énoncés dans le cadre de contrôle interne sont correctement mis en œuvre dans leurs domaines de compétence respectifs.

Les fonctions de contrôle interne devraient régulièrement soumettre des rapports écrits à l’organe de direction concernant les déficiences majeures détectées. Ces rapports devraient inclure, pour toute nouvelle lacune importante détectée, les risques pertinents, une analyse d’impact, des recommandations et des mesures correctives à prendre. L’organe de direction devrait assurer le suivi des constats des fonctions de contrôle interne en temps utile et de manière efficace et exiger des mesures correctives adéquates. Une procédure formelle de suivi des constats et des mesures correctives prises devrait être mise en place.

Dans le contexte du cadre de contrôle interne global, les établissements devraient être dotés d’un cadre de gestion des risques holistique à l’échelle de l’établissement englobant toutes leurs lignes d’activité et unités internes, y compris les fonctions de contrôle interne, reconnaissant pleinement la substance économique de toutes leurs expositions au risque. Le cadre de gestion des risques devrait permettre à l’établissement de prendre des décisions éclairées sur la prise de risque. Le cadre de gestion des risques devrait inclure les risques de bilan et hors bilan, ainsi que les risques avérés et les risques futurs auxquels l’établissement peut être exposé. Les risques devraient être évalués selon des approches ascendante et descendante, au sein des lignes d’activité et entre celles-ci, en utilisant une terminologie cohérente et des méthodologies compatibles dans l’ensemble de l’établissement et aux niveaux consolidé ou sous-consolidé. Tous les risques pertinents devraient être inclus dans le cadre de gestion des risques en tenant dûment compte des risques tant financiers que non financiers, y compris le risque de crédit, le risque de marché, le risque de liquidité, le risque de concentration, le risque opérationnel, le risque informatique, le risque de réputation, le risque juridique, le risque lié à la conduite, le risque lié à la conformité aux règles de lutte contre le blanchiment de capitaux, le financement du terrorisme et d’autres crimes financiers, le risque lié aux critères ESG et le risque stratégique.

Le cadre de gestion des risques de l’établissement devrait inclure des politiques, des procédures, des limites de risque et des contrôles des risques lui permettant de détecter, de mesurer ou d’évaluer, de surveiller, de gérer, d’atténuer et de déclarer, de manière adéquate, continue et en temps utile, les risques aux niveaux des lignes d’activité, de l’établissement et aux niveaux consolidé ou sous-consolidé.

Le cadre de gestion des risques de l’établissement devrait fournir des recommandations spécifiques sur la mise en œuvre de ses stratégies. Ces recommandations devraient, le cas échéant, fixer et maintenir des limites internes conformes à l’appétit pour le risque de l’établissement et proportionnées à son fonctionnement sain, de sa solidité financière, de son assise financière et de ses objectifs stratégiques. Le profil de risque de l’établissement devrait être maintenu dans ces limites fixées. Le cadre de gestion des risques devrait garantir que, lorsque surviennent des violations des limites de risque, il existe une procédure définie pour les communiquer aux niveaux hiérarchiques supérieurs et y répondre dans le cadre d’une procédure de suivi appropriée.