21 Fonction de vérification de la conformité

Les établissements devraient instaurer une fonction d’audit interne (FAI) indépendante et efficace, en tenant compte des critères de proportionnalité énoncés au titre I, et devraient nommer une personne qui sera responsable de cette fonction dans l’ensemble de l’établissement. La FAI devrait être indépendante et disposer d’une autorité, d’un statut et de ressources suffisants. L’établissement devrait notamment veiller à ce que les qualifications des membres du personnel de la FAI et les ressources de la FAI, et plus précisément ses outils d’audit et ses méthodes d’analyse des risques, soient adéquats par rapport à la taille et aux lieux d’implantation de l’établissement ainsi qu’à la nature, l’échelle et la complexité des risques associés au modèle d’entreprise, aux activités, à la culture du risque et à l’appétit pour le risque de l’établissement.

La FAI devrait être indépendante des activités contrôlées. La FAI ne devrait donc pas être combinée avec d’autres fonctions.

En adoptant une approche fondée sur les risques, la FAI devrait examiner de manière indépendante la conformité de toutes les activités et unités d’un établissement, y compris des activités externalisées, aux politiques et procédures de l’établissement et aux exigences réglementaires, et fournir une assurance objective en la matière. Toute entité au sein du groupe devrait relever de la compétence de la FAI.

La FAI ne devrait pas participer à la conception, la sélection, la mise en place et la mise en œuvre de politiques, mécanismes et procédures de contrôle interne spécifiques, ou de limites de risque. Toutefois, cela ne devrait pas empêcher l’organe de direction dans sa fonction exécutive de demander des informations à l’audit interne sur des questions liées au risque, aux contrôles internes et à la conformité aux règles applicables.