5.5. Fonctions de contrôle interne

Lorsqu’elles évaluent les fonctions de contrôle interne de l’établissement, les autorités compétentes devraient évaluer le respect par l’établissement des orientations de l’ABE sur la gouvernance interne et des dispositions pertinentes du règlement (UE) 2022/2554 (DORA)²¹ . Dans ce contexte, les autorités compétentes devraient examiner, entre autres, si:

• a. l’établissement dispose d’un cadre de contrôle interne approprié couvrant tous les domaines, cohérent avec le modèle des «trois lignes de défense», y compris des fonctions de gestion des risques, de conformité et d’audit interne qui fonctionnent bien et sont efficaces et indépendantes;
• b. les responsables des fonctions de contrôle interne i) sont établis à un niveau hiérarchique adéquat qui leur confère l’autorité et le statut appropriés nécessaires à l’exercice de leurs responsabilités, ii) ont un accès direct et peuvent rendre compte directement à l’organe de direction dans sa fonction de surveillance, et iii) disposent de toutes les ressources nécessaires à l’exécution de leurs tâches;
• c. l’établissement dispose de politiques de contrôle interne écrites adéquates et effectivement mises en œuvre, ainsi que d’une répartition claire des responsabilités pour la mise en œuvre du cadre, d’une séparation des fonctions, de procédures administratives et comptables saines et de dispositifs de déclaration solides.

²¹ Règlement DORA: règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) nº 1060/2009, (UE) nº 648/2012, (UE) nº 600/2014, (UE) nº 909/2014 et (UE) 2016/1011 (JO L 333 du 27.12.2022, p. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Les autorités compétentes devraient évaluer si la fonction de gestion des risques couvre l’ensemble de l’établissement, en ayant une vision globale de tous les risques, participe activement et à un stade précoce à l’élaboration de la stratégie de l’établissement en matière de risques et surveille sa mise en œuvre effective. Les autorités compétentes devraient également déterminer si la fonction de gestion des risques fournit à l’organe de direction des informations complètes, à jour et pertinentes sur les risques afin de permettre de fixer le niveau d’appétit pour le risque de l’établissement et les limites de risque correspondantes. Les autorités compétentes devraient également tenir compte de l’évaluation par la fonction de gestion des risques de la solidité et de la durabilité de la stratégie en matière de risque et de l’appétit pour le risque, ainsi que de sa participation à l’évaluation de l’incidence des changements significatifs ou des transactions exceptionnelles sur le risque global de l’établissement et du groupe (le cas échéant).

Les autorités compétentes devraient évaluer si la fonction de vérification de la conformité évalue et atténue efficacement les risques de conformité découlant du non-respect des exigences légales et réglementaires applicables, des obligations contractuelles ou des règles et codes de conduite internes, y compris les règles d’éthique, et s’assure que toutes les décisions importantes en matière de gestion des risques tiennent dûment compte de ces risques.

Les autorités compétentes devraient évaluer si la fonction d’audit interne examine de manière indépendante et fournit une assurance objective, conformément au plan d’audit et au programme de travail détaillé, quant au caractère approprié et à l’efficacité des politiques, procédures et contrôles internes de l’établissement et quant à la conformité de toutes les activités de l’établissement, y compris celles exercées par des prestataires de services tiers, avec les exigences légales et réglementaires. Le cas échéant, les autorités compétentes devraient évaluer si la fonction d’audit interne à l’échelle du groupe est indépendante, dispose d’un plan d’audit fondé sur les risques à l’échelle du groupe, jouit de ressources et d’un statut appropriés et communique directement les informations à l’organe de direction de l’établissement sur base consolidée.