9.4 Cadre de contrôle interne

Les autorités compétentes doivent évaluer si l’établissement de crédit demandeur dispose d’un cadre de contrôle interne approprié, proportionné aux activités envisagées, au modèle économique, à la complexité et aux risques associés (par exemple, l’accueil en ligne des clients, la protection et les dispositions en matière de cybersécurité). Les autorités compétentes doivent être convaincues de l’adéquation des ressources humaines allouées, tant du point de vue du nombre d’ETP que de qualifications, de l’adéquation des systèmes et du budget pour soutenir la réalisation des tâches.

Les autorités compétentes doivent examiner les documents de demande et s’assurer que la répartition des tâches et des responsabilités permettra à l’organe de direction de connaître pleinement la structure de son établissement de crédit⁴⁹ et de «veiller à ce que les fonctions de contrôle interne soient indépendantes des lignes d’activité qu’elles contrôlent, y compris par une séparation adéquate des attributions, et à ce qu’elles disposent des ressources financières et humaines appropriées ainsi que des pouvoirs pour exercer leur rôle de manière efficace. Les rapports hiérarchiques et la répartition des responsabilités, notamment entre titulaires de postes clés, au sein de l’établissement devraient être clairs, bien définis, cohérents, exécutoires et dûment documentés⁵⁰ ».

⁴⁹ Paragraphe 71 des orientations de l’ABE sur la gouvernance interne.

⁵⁰ Paragraphe 68 des orientations de l’ABE sur la gouvernance interne.

Les autorités compétentes doivent comprendre clairement le fait que le cadre de contrôle interne couvre tous les domaines de l’établissement et reflète les trois lignes du modèle de défense pour l’identification des fonctions de traitement et de gestion des risques.

À cette fin, les autorités compétentes doivent vérifier que des dispositions sont en place pour garantir que les entreprises et les unités de soutien, première ligne de défense, seront chargées, dans un premier temps, d’identifier et de gérer les risques qu’elles encourent dans l’exercice de leurs activités et de mettre en place et de maintenir des processus et des contrôles adéquats pour s’assurer que ces risques sont analysés, mesurés, suivis, dûment notifiés et maintenus dans les limites de l’appétence au risque de l’établissement de crédit et qu’ils sont conformes aux exigences réglementaires internes et externes.

La fonction de gestion des risques et la fonction de vérification de la conformité, la deuxième ligne de défense, ainsi que la fonction d’audit interne, qui est la troisième ligne de défense, constituent les fonctions de contrôle interne au sein du cadre de contrôle interne. Les autorités compétentes doivent vérifier qu’elles seront établies, en tenant compte des critères de proportionnalité énoncés aux paragraphes 17 à 21, et qu’elles seront dotées d’une autorité appropriée et suffisante, d’une stature et d’un accès direct à l’organe de direction pour s’acquitter de leur mission.

Afin de garantir que les fonctions de contrôle interne respectent les exigences d’indépendance⁵¹ , les autorités compétentes doivent vérifier que, sur la base des documents de demande, il est envisagé que:

• (a) leur personnel n’exécute aucune tâche opérationnelle relevant du champ d’application des activités que les fonctions de contrôle interne sont censées surveiller et contrôler;
• (b) elles sont séparées sur le plan organisationnel des activités qu’elles sont chargées de surveiller et de contrôler;
• (c) nonobstant la responsabilité globale des membres de l’organe de direction pour l’établissement, le responsable d’une fonction de contrôle interne ne doit pas être subordonné à une personne responsable de la gestion des activités que la fonction de contrôle interne surveille et contrôle;
• (d) la rémunération du personnel des fonctions de contrôle interne ne doit pas être liée à l’exécution des activités que la fonction de contrôle interne surveille et contrôle et ne doit pas être susceptible de compromettre son objectivité.

⁵¹ Voir le paragraphe 175 des orientations de l’ABE sur la gouvernance interne.

Les autorités compétentes doivent vérifier que les responsables des fonctions de contrôle interne satisfont aux exigences suivantes:

• a) seront établis à un niveau hiérarchique adéquat conférant au responsable de la fonction de contrôle l’autorité appropriée et la stature nécessaire à l’exercice de ses responsabilités;
• b) seront indépendants des lignes d’activité ou des unités qu’ils contrôlent;
• c) rapporteront et seront directement responsables devant l’organe de direction, et leurs performances doivent être examinées par l’organe de direction;
• d) le cas échéant, auront accès à l’organe de direction dans l’exercice de leur fonction de surveillance et lui rendront compte directement afin de susciter des inquiétudes et d’avertir la fonction de surveillance, le cas échéant, lorsque des évolutions spécifiques affectent ou sont susceptibles d’affecter l’établissement.

Afin de garantir l’exercice effectif des fonctions de contrôle interne, les autorités compétentes doivent s’assurer qu’elles disposent de ressources budgétaires et humaines suffisantes, dotées de qualifications adéquates, compte tenu des types d’activités ciblées, ainsi que d’un système et d’un soutien TIC appropriés à leur disposition. 9.4.2 Fonction de gestion des risques

Les autorités compétentes doivent s’assurer que, dans le cadre du contrôle interne, l’établissement de crédit disposera d’un cadre global de gestion des risques à l’échelle de l’établissement de crédit, reconnaissant pleinement la substance économique de toutes les expositions aux risques de l’établissement de crédit.

Les autorités compétentes doivent s’assurer que la fonction de gestion des risques (RMF) facilitera la mise en œuvre d’un cadre sain de gestion des risques dans l’ensemble de l’établissement et que son rôle au sein de l’établissement de crédit couvre son implication dans: a) la stratégie et la décision en matière de risques; b) l’évaluation des changements significatifs; c) l’identification, la mesure, l’évaluation, la gestion, l’atténuation, le suivi et la notification des risques; d) l’évaluation des violations de l’appétence au risque ou des limites et la recommandation de remèdes. À cette fin, les autorités compétentes doivent également examiner et évaluer les grandes lignes de la stratégie de gestion de ces risques, notamment une déclaration de tolérance et d’appétence au risque et des mesures visant à aligner le risque évalué sur l’appétence au risque.

En ce qui concerne le rôle du RMF dans la stratégie en matière de risques et dans la prise de décision, l’examen des autorités compétentes doit viser à vérifier que la demande prévoit la participation active du RMF à un stade précoce de la continuité des activités dans l’élaboration de la stratégie de risque de l’établissement de crédit, à veiller à ce que l’établissement de crédit dispose de procédures efficaces de gestion des risques et à fournir à l’organe de direction toutes les informations pertinentes relatives aux risques pour permettre la fixation du niveau d’appétence au risque de l’établissement de crédit. Les autorités compétentes doivent veiller à ce que le RMF soit envisagé pour évaluer la fiabilité et la viabilité de la stratégie de risque et de l’appétence au risque et à ce que cette dernière soit correctement traduite en limites de risque spécifiques, notamment au niveau des unités opérationnelles, et à ce qu’il intervienne avant qu’une décision ne soit prise par l’organe de direction concernant les stratégies en matière de risques.

En ce qui concerne le rôle du RMF dans l’évaluation des changements importants, les autorités compétentes doivent vérifier que la participation du RMF est envisagée avant que des décisions sur des transactions exceptionnelles ne soient prises, de manière à évaluer l’incidence de ces changements et de ces transactions exceptionnelles sur le risque global de l’établissement de crédit, et à communiquer ses conclusions directement à l’organe de direction avant qu’une décision ne soit prise.

En ce qui concerne le rôle du RMF dans l’identification, la mesure, le suivi, l’atténuation et la déclaration des risques et des concentrations de risques associées qui doivent être approuvés par l’organe de direction, les autorités compétentes doivent s’assurer que des politiques et des procédures sont en place et que le RMF aura accès à toutes les lignes d’activité et autres unités susceptibles de générer des risques.

Le rôle du RMF doit également inclure l’évaluation indépendante des violations de l’appétence ou des limites au risque (notamment la détermination de la cause et la réalisation d’une analyse juridique et économique du coût réel de la fermeture, de la réduction ou de la couverture de l’exposition par rapport au coût potentiel de sa conservation). Il convient d’envisager que le RMF informe les unités opérationnelles concernées et l’organe de direction et recommande d’éventuelles solutions. À cette fin, il doit être en mesure de rendre compte directement à l’organe de direction dans l’exercice de sa fonction de surveillance lorsque la violation est importante, sans préjudice de ce que le RMF fasse rapport à d’autres fonctions et comités internes.

9.4.3 Politique de rémunération

En ce qui concerne les grandes lignes de la politique de rémunération, outre l’évaluation du respect des exigences de neutralité entre les hommes et les femmes prévues à l’article 92, paragraphe 2, point a bis), de la CRD, les autorités compétentes doivent s’attacher particulièrement à vérifier que les grandes lignes de la politique relative aux membres du personnel dont les activités professionnelles ont une incidence significative sur le profil de risque de l’établissement de crédit⁵² sont conformes à l’article 94 de la CRD et aux orientations sur les politiques de rémunération de l’ABE.

⁵² Soumis en application de la NTR sur les informations à fournir lors d’une demande d’agrément.

En particulier, elles doivent évaluer si: a) les grandes lignes de la politique de rémunération sont conformes à l’appétence au risque envisagé par l’établissement, à sa stratégie commerciale et à ses intérêts à long terme, et il est prévu qu’elle soit maintenue, approuvée et contrôlée par l’organe de direction; b) elle prévoit que le personnel qui a un impact significatif sur le profil de risque de l’établissement sera identifié de manière appropriée conformément à l’article 92, paragraphe 3, et à l’article 94, paragraphe 3, de la CRD; c) elle prévoit des exigences spécifiques en matière de rémunération pour ce personnel particulier, notamment (i) un rapport entre la rémunération variable et la rémunération fixe, conformément à l’article 94, paragraphe 1, de la directive sur les exigences de fonds propres, et (ii) le paiement en instruments, les dispositions de report, notamment le malus et la récupération, conformément aux points l), m) et n) de l’article 94, paragraphe 1, de la CRD⁵³ .

9.4.4 Fonction de vérification de la conformité

⁵³ En ce qui concerne spécifiquement les dérogations prévues à l’article 94, paragraphes 3 et 4 de la CRD.

Les autorités compétentes doivent vérifier qu’il est envisagé que la fonction de vérification de la conformité gère le risque de non-conformité, conseille l’organe de direction sur les mesures à prendre pour garantir le respect des lois, règles, réglementations et normes applicables et mette en œuvre, sous la supervision de l’organe de direction, des politiques et des processus visant à gérer les risques de conformité et à garantir le respect des règles. Les autorités compétentes doivent vérifier que la fonction de vérification de la conformité est adaptée aux types et à la répartition géographique des activités (par exemple, le respect de la législation nationale applicable dans le cas d’activités transfrontalières), aux risques et à la complexité, conformément au modèle économique et à l’évaluation du plan d’entreprise réalisée conformément à la section 7 des présentes orientations.

La fonction de vérification de la conformité doit veiller à ce que le contrôle de conformité soit effectué au moyen d’un programme de surveillance clairement défini et structuré et à ce que la politique en matière de vérification de la conformité soit respectée. Il convient également d’envisager que la fonction de vérification de la conformité et le RMF coopèrent et échangent des informations, le cas échéant, pour s’acquitter de leurs tâches respectives.

Les autorités compétentes doivent également vérifier que la fonction de vérification de la conformité sera chargée de vérifier, en étroite coopération avec le RMF et l’unité juridique, que les nouveaux produits et les nouvelles procédures sont conformes au cadre juridique actuel et, le cas échéant, à toute modification future connue de la législation, de la réglementation et des exigences prudentielles.

Les autorités compétentes doivent vérifier qu’il est envisagé de mettre en place une fonction de vérification de la conformité avec la réglementation et les politiques internes spécifiques en matière de LBC/FT, au sein de la fonction de vérification de la conformité ou en dehors de celle-ci.

9.4.5 Politique LBC/FT

Les autorités compétentes doivent vérifier que la politique LBC/FT, présentée par l’établissement de crédit demandeur conformément à l’article 5, paragraphe 1, points c) iii), des NTR sur les informations à fournir lors d’une demande d’agrément , fournit une vue d’ensemble des principales politiques et procédures, telles que définies à l’article 8, paragraphe 3, de la directive anti-blanchiment, qui seront mises en place pour contrer le risque de BC/FT. À cette fin, les autorités compétentes tiendront compte des critères de proportionnalité énoncés aux paragraphes 17 à 21.

Les autorités compétentes doivent vérifier que le schéma couvre tous les éléments énoncés à l’article 8, paragraphe 4⁵⁴ , de la directive anti-blanchiment et expliquer comment l’établissement de crédit demandeur veillera à ce qu’il puisse atténuer et gérer efficacement les risques BC/FT auxquels il est exposé dès le jour de l’accès au marché. 9.4.6 Fonction d’audit interne

⁵⁴ Il est libellé comme suit: «Les politiques, mécanismes et procédures de contrôle visés au paragraphe 3 comprennent: (a) l’élaboration de politiques, de contrôles et de procédures internes, notamment les modèles en matière de gestion des risques, la vigilance à l’égard de la clientèle, la déclaration, la conservation des documents et pièces, le contrôle interne, la gestion du respect des obligations notamment, si la taille et la nature de l’activité le justifient, la nomination, au niveau de l’encadrement, d’un responsable du contrôle du respect des obligations et la sélection du personnel; (b) le cas échéant, en ce qui concerne la taille et la nature de l’entreprise, une fonction d’audit indépendante chargée de tester les politiques, contrôles et procédures internes visés au point a)».

Les autorités compétentes, en tenant compte des critères de proportionnalité énoncés aux paragraphes 17 à 21, doivent évaluer la fonction d’audit interne indépendante et efficace (IAF) mise en place par l’établissement de crédit demandeur. Les autorités compétentes doivent s’assurer que l’IAF, suivant une approche fondée sur les risques, sera en mesure d’examiner de manière indépendante et de fournir une assurance objective de la conformité de toutes les activités et unités de l’établissement de crédit, notamment les activités externalisées, avec les politiques et procédures de l’établissement et avec d’autres exigences externes (non prudentielles).

À cette fin, les autorités compétentes doivent évaluer si l’IAF dispose de son indépendance organisationnelle et si l’objectivité des auditeurs internes est protégée par l’établissement d’un rapport direct à l’organe de direction et par des ressources adéquates pour s’acquitter de ses tâches. À cette fin, il convient également de veiller à ce que l’IAF dispose d’un accès illimité à l’ensemble des registres, documents, informations et bâtiments de l’établissement pour l’exercice de ses fonctions.

Les autorités compétentes doivent également évaluer si l’IAF est chargé au moins des tâches suivantes:

• (a) l’adéquation du cadre de contrôle interne, notamment l’adéquation des politiques et des procédures et le respect des exigences légales et réglementaires;
• (b) l’élaboration d’un plan d’audit au moins une fois par an sur la base des objectifs annuels de contrôle d’audit interne et devant être approuvé par l’organe de direction;
• (c) présenter des recommandations fondées sur les résultats de leurs activités.

Ils doivent également vérifier que les grandes lignes de la méthodologie et du plan d’audit interne couvrant les trois premières années d’activité, notamment l’audit des services externalisés, sont cohérentes avec la structure organisationnelle, les types d’activités et le profil de risque résultant du plan d’entreprise évalué conformément à la section 7.

9.4.7 Politique et plan en matière de résilience opérationnelle et de continuité des activités

Les grandes lignes de la politique et du plan de continuité des activités doivent garantir que le demandeur disposera d’un bon plan de gestion de la continuité des activités afin de garantir sa capacité à fonctionner en permanence et de limiter les pertes en cas de perturbation grave de l’activité. Il doit veiller à ce que la politique et le plan en matière de continuité des activités comprennent une analyse des principaux risques de perturbation des activités et une vue d’ensemble des mesures d’atténuation, ainsi que des tests réguliers du plan de continuité des activités. 9.4.8 Politique et systèmes TIC

Les autorités compétentes doivent évaluer si la politique en matière de TIC fournira à l’établissement de crédit des systèmes d’information et de communication fiables et si ces systèmes seront en mesure de soutenir pleinement les capacités d’agrégation des données de risque en temps normal ainsi qu’en période de crise. En particulier, les autorités compétentes doivent évaluer si l’établissement de crédit sera au moins en mesure de:

• (a) produire des données précises et fiables sur les risques;
• (b) couvrir et consolider la totalité des données sur les risques significatifs dans l’établissement;
• (c) produire des données consolidées et actualisées sur les risques en temps utile;
• (d) produire des données consolidées sur les risques afin de répondre à un large éventail de demandes à la demande émanant de l’organe de direction ou des autorités compétentes;
• (e) veiller au bon fonctionnement, à la fiabilité et à la sécurité des systèmes d’information et de communication à l’appui des activités ciblées des institutions.

En ce qui concerne les risques liés aux TIC et à la sécurité⁵⁵ , les autorités compétentes doivent être convaincues que le cadre de gestion garantira le bon fonctionnement, la fiabilité et la sécurité des systèmes d’information et de communication à l’appui des activités des établissements de crédit, ainsi que la prévention, le suivi et l’atténuation adéquats des risques liés aux TIC en temps normal et en période de crise. Les autorités compétentes doivent notamment évaluer:

• (a) si l’organe de direction est globalement responsable de la définition, de l’approbation et de la supervision de la mise en œuvre de la stratégie TIC des établissements financiers, qui doit être alignée sur la stratégie commerciale globale des établissements financiers;
• (b) la définition et l’attribution claires des rôles et responsabilités clés, ainsi que les voies hiérarchiques pertinentes, pour que le cadre de gestion des risques liés aux TIC et à la sécurité soit efficace, notamment l’affectation d’un budget approprié pour répondre de manière adéquate aux besoins opérationnels en matière de TIC et à la gestion des risques liés aux TIC et à la sécurité;
• (c) si la gestion et la supervision des risques liés aux TIC et à la sécurité sont confiées à une fonction de contrôle indépendante et objective, correctement séparée des processus opérationnels des TIC et non responsable de tout audit interne, et à une fonction d’audit interne indépendante;
• (d) les dispositions visant à garantir l’identification, l’établissement et la maintenance d’une cartographie actualisée des fonctions, des rôles et des processus de soutien des entreprises afin de déterminer l’importance de chacune d’entre elles et de leurs interdépendances en ce qui concerne les risques liés aux TIC et à la sécurité;
• (e) dans la mesure où les informations sont détenues sur les systèmes TIC, si les exigences en matière de sécurité de l’information seront en place;
• (f) l’ampleur, la complexité et l’importance des dépendances liées aux TIC, si l’externalisation des fonctions opérationnelles des services TIC et de toute activité des systèmes TIC — notamment à des entités du groupe — ou l’utilisation de tiers en relation avec ces fonctions et activités est envisagée.

⁵⁵ Au sens des orientations de l’ABE sur la gestion des risques liés aux TIC et à la sécurité , on entend par «risques liés aux TIC et à la sécurité»: «Risque de perte découlant d’une violation de la confidentialité, d’une défaillance de l’intégrité des systèmes et des données, de l’inadéquation ou de l’indisponibilité des systèmes et des données, ou de l’impossibilité de modifier les technologies de l’information dans un délai et pour des coûts raisonnables, lorsque l’environnement ou les exigences «métiers» changent (agilité). Cela inclut les risques de sécurité découlant de processus internes insuffisants ou de défaillance de ces processus, ou bien d’événements externes, tels que des cyberattaques ou une sécurité physique insuffisante».