22 Fonction d’audit interne

Les établissements devraient instaurer une fonction d’audit interne (FAI) indépendante et efficace, en tenant compte des critères de proportionnalité énoncés au titre I, et devraient nommer une personne qui sera responsable de cette fonction dans l’ensemble de l’établissement. La FAI devrait être indépendante et disposer d’une autorité, d’un statut et de ressources suffisants. L’établissement devrait notamment veiller à ce que les qualifications des membres du personnel de la FAI et les ressources de la FAI, et plus précisément ses outils d’audit et ses méthodes d’analyse des risques, soient adéquats par rapport à la taille et aux lieux d’implantation de l’établissement ainsi qu’à la nature, l’échelle et la complexité des risques associés au modèle d’entreprise, aux activités, à la culture du risque et à l’appétit pour le risque de l’établissement.

La FAI devrait être indépendante des activités contrôlées. La FAI ne devrait donc pas être combinée avec d’autres fonctions.

En adoptant une approche fondée sur les risques, la FAI devrait examiner de manière indépendante la conformité de toutes les activités et unités d’un établissement, y compris des activités externalisées, aux politiques et procédures de l’établissement et aux exigences réglementaires, et fournir une assurance objective en la matière. Toute entité au sein du groupe devrait relever de la compétence de la FAI.

La FAI ne devrait pas participer à la conception, la sélection, la mise en place et la mise en œuvre de politiques, mécanismes et procédures de contrôle interne spécifiques, ou de limites de risque. Toutefois, cela ne devrait pas empêcher l’organe de direction dans sa fonction exécutive de demander des informations à l’audit interne sur des questions liées au risque, aux contrôles internes et à la conformité aux règles applicables.

La FAI devrait déterminer si le cadre de contrôle interne de l’établissement, tel qu’énoncé à la section 15, est effectif et efficace. La FAI devrait notamment évaluer:

• a. l’adéquation du cadre de gouvernance de l’établissement ;
• b. le fait pour les politiques et procédures existantes de rester ou non adéquates et de respecter ou non les exigences juridiques et réglementaires, ainsi que la stratégie en matière de risque et l’appétit pour le risque de l’établissement ;
• c. la conformité des procédures aux lois et réglementations applicables et aux décisions de l’organe de direction ;
• d. la mise en œuvre appropriée et efficace, ou non, des procédures (par exemple la conformité des transactions, le niveau de risque réellement subi etc.) ; et
• e. l’adéquation, la qualité et l’efficacité des contrôles réalisés et les rapports rendus par les unités opérationnelles de la première ligne de défense et les fonctions de gestion des risques et de vérification de la conformité.

La FAI devrait en particulier vérifier l’intégrité des processus garantissant la fiabilité des méthodes et techniques de l’établissement, ainsi que des hypothèses et des sources d’information utilisées pour ses modèles internes (par exemple la modélisation des risques et les mesures comptables). Elle devrait également évaluer la qualité et l’utilisation des outils qualitatifs de détection et d’évaluation des risques et les mesures prises pour atténuer les risques.

La FAI devrait avoir libre accès, à l’échelle de l’établissement, à tous les dossiers, documents, informations et immeubles de l’établissement. Cela devrait inclure l’accès aux systèmes de gestion de l’information et aux procès-verbaux de tous les comités et organes de prise de décisions.

La FAI devrait respecter les normes professionnelles nationales et internationales. Les normes professionnelles susmentionnées sont, par exemple, celles établies par l’Institut des auditeurs internes.

Le travail d’audit interne devrait être réalisé conformément à un plan d’audit et à un programme d’audit détaillé, suivant une approche fondée sur les risques.

Un plan d’audit interne devrait être établi au moins une fois par an en fonction des objectifs de contrôle de l’audit interne annuel. Le plan d’audit interne devrait être approuvé par l’organe de direction.

Toutes les recommandations relatives à l’audit devraient être soumises à une procédure de suivi formelle aux niveaux hiérarchiques appropriés, afin de garantir leur mise en œuvre effective et en temps utile et afin de rendre des comptes à ce sujet.