18 Nouveaux produits et changements significatifs

La fonction de gestion des risques et la fonction de vérification de la conformité devraient être associées à la validation des nouveaux produits ou des changements significatifs apportés aux produits, processus et systèmes existants. Leur contribution devrait inclure une évaluation complète et objective des risques engendrés par les nouvelles activités dans différents scénarios, de toute lacune potentielle dans les cadres de gestion des risques et de contrôle interne de l’établissement, ainsi que de la capacité de l’établissement à gérer efficacement tout nouveau risque. La fonction de gestion des risques devrait également avoir une vue d’ensemble claire de la mise sur le marché de nouveaux produits (ou des changements significatifs apportés à des produits, processus et systèmes existants) dans les différents portefeuilles et lignes d’activité, ainsi que le pouvoir d’exiger que l’introduction de changements dans les offres existantes soit soumise à la procédure formelle de la PVNP.

Les fonctions de contrôle interne devraient inclure une fonction de gestion des risques (voir section 20), une fonction de vérification de la conformité (voir section 21) et une fonction d’audit interne (voir section 22). Les fonctions de gestion des risques et de vérification de la conformité devraient être contrôlées par la fonction d’audit interne. Les responsabilités des fonctions de contrôle visent également à assurer la conformité aux exigences en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme.

Les tâches opérationnelles des fonctions de contrôle interne peuvent être externalisées, en tenant compte des critères de proportionnalité énoncés au titre I, vers l’établissement consolidant ou vers une autre entité au sein ou en dehors du groupe, avec l’accord des organes de direction des établissements concernés. Même lorsque les tâches opérationnelles de contrôle interne sont externalisées, en tout ou en partie, le responsable de la fonction de contrôle interne concernée et l’organe de direction demeurent responsables de ces activités et du maintien d’une fonction de contrôle interne dans l’établissement.

Sans préjudice du droit national transposant la directive (UE) 2015/849, les établissements devraient attribuer la responsabilité de garantir la conformité de l’établissement aux exigences de ladite directive et aux politiques et procédures de l’établissement à un membre du personnel (par exemple le responsable de la conformité). Les établissements peuvent instaurer une fonction de vérification de la conformité distincte en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, en tant que fonction de contrôle indépendante³⁸ . La personne responsable de la lutte contre le blanchiment de capitaux et le financement du terrorisme devrait pouvoir, si nécessaire, rendre des comptes directement à l’organe de direction dans sa fonction exécutive et dans sa fonction de surveillance.

³⁸ Voir également les orientations de l’ABE sur la fonction de vérification de la conformité aux règles de lutte contre le blanchiment de capitaux et le financement du terrorisme (actuellement en cours de développement)

Les responsables des fonctions de contrôle interne devraient être mis en place à un niveau hiérarchique adéquat leur conférant l’autorité et le statut nécessaires pour s’acquitter de leurs responsabilités. Nonobstant la responsabilité globale de l’organe de direction, les responsables des fonctions de contrôle interne devraient être indépendants des lignes d’activité ou des unités qu’ils contrôlent. À cet effet, les responsables des fonctions de gestion des risques, de vérification de la conformité et d’audit interne devraient rendre des comptes et répondre de leurs actes directement auprès de l’organe de direction et leurs performances devraient être réexaminées par l’organe de direction.

Si nécessaire, les responsables de fonctions de contrôle interne devraient pouvoir avoir accès et rendre des comptes directement à l’organe de direction dans sa fonction de surveillance afin de faire part de leurs préoccupations et d’alerter la fonction de surveillance, le cas échéant, lorsque des évolutions particulières affectent ou sont susceptibles d’affecter l’établissement. Cela ne devrait pas empêcher les responsables de fonctions de contrôle interne de rendre des comptes également selon les voies hiérarchiques traditionnelles.

Les établissements devraient disposer de procédures documentées pour pourvoir le poste de responsable d’une fonction de contrôle interne et pour retirer les responsabilités de cette personne. En tout état de cause, les responsables des fonctions de contrôle interne ne devraient pas – et, conformément à l’article 76, paragraphe 5, de la directive 2013/36/UE, le responsable de la fonction de gestion des risques ne doit pas – être démis de leurs – ses – fonctions sans l’accord préalable de l’organe de direction dans sa fonction de surveillance. S’agissant des établissements ayant une importance significative, les autorités compétentes devraient être immédiatement informées de l’approbation et des principales raisons de la révocation d’un responsable d’une fonction de contrôle interne.

Pour que les fonctions de contrôle interne soient considérées comme indépendantes, les conditions suivantes devraient être remplies :

• a. leur personnel ne s’acquitte d’aucune tâche opérationnelle relevant du champ d’application des activités que les fonctions de contrôle interne ont pour mission de surveiller et de contrôler ;
• b. elles sont séparées sur le plan organisationnel des activités qu’elles sont chargées de surveiller et de contrôler ;
• c. nonobstant la responsabilité globale des membres de l’organe de direction pour l’établissement, le responsable d’une fonction de contrôle interne ne devrait pas être subordonné à une personne responsable de la gestion des activités que la fonction de contrôle interne surveille et contrôle ; et
• d. la rémunération du personnel des fonctions de contrôle interne ne devrait pas être liée à l’exécution des activités que celles-ci surveillent et contrôlent, et ne devrait pas nuire à leur objectivité de quelqu’autre manière que ce soit³⁹ .

³⁹ Voir également orientations de l’ABE sur les politiques de rémunération saines, disponibles à l’adresse https://www.eba.europa.eu/regulation-and-policy/remuneration/guidelines-on-sound-remuneration-policies.

En tenant compte des critères de proportionnalité énoncés au titre I, la fonction de gestion des risques et la fonction de vérification de la conformité peuvent être combinées. La fonction d’audit interne ne devrait pas être combinée avec une autre fonction de contrôle interne.

Les fonctions de contrôle interne devraient disposer de ressources suffisantes. Elles devraient disposer d’un personnel qualifié en nombre suffisant (tant au niveau de l’entreprise mère qu’à celui des filiales). Le personnel devrait toujours demeurer suffisamment qualifié et devrait bénéficier des formations nécessaires.

Les fonctions de contrôle interne devraient également disposer de systèmes informatiques et d’assistance et avoir accès aux informations internes et externes nécessaires pour assumer leurs responsabilités. Elles devraient avoir accès à toutes les informations nécessaires concernant toutes les lignes d’activité et les filiales pertinentes impliquant un risque, notamment celles susceptibles de créer des risques significatifs pour les établissements.