20 Fonction d’audit interne

Si elle est instaurée, la FAI devrait être indépendante et disposer d’une autorité, d’un statut et de ressources suffisants. Les entreprises d’investissement devraient notamment veiller à ce que les qualifications des membres du personnel de la FAI et les ressources de la FAI, et plus précisément ses outils d’audit et ses méthodes d’analyse des risques, soient adéquats par rapport à la taille et aux lieux d’implantation de l’entreprise d’investissement, ainsi qu’à la nature, l’échelle et la complexité des risques associés au modèle d’entreprise, aux activités, à la culture du risque et à l’appétit pour le risque de l’entreprise d’investissement.

La FAI devrait être indépendante des activités contrôlées. La FAI ne devrait donc pas être combinée avec d’autres fonctions.

En adoptant une approche fondée sur les risques, la FAI devrait examiner de manière indépendante la conformité de toutes les activités et unités d’une entreprise d’investissement, y compris des activités externalisées, aux politiques et procédures de l’entreprise d’investissement et aux exigences réglementaires, et fournir une assurance objective en la matière. Toute entité au sein du groupe devrait relever de la compétence de la FAI.

La FAI ne devrait pas participer à la conception, la sélection, la mise en place ou la mise en œuvre de politiques, mécanismes et procédures de contrôle interne spécifiques, ou de limites de risques. Toutefois, cela ne devrait pas empêcher l’organe de direction dans sa fonction exécutive de demander des informations à l’audit interne sur des questions liées au risque, aux contrôles internes et à la conformité aux règles applicables.

La FAI devrait déterminer si le cadre de contrôle interne de l’entreprise d’investissement, tel qu’énoncé à la section 15, est effectif et efficace. La FAI devrait notamment évaluer:

• a. l’adéquation du cadre de gouvernance de l’entreprise d’investissement;
• b. le fait pour les politiques et procédures existantes de rester ou non adéquates et de respecter ou non les exigences juridiques et réglementaires, ainsi que la stratégie en matière de risques et l’appétit pour le risque de l’entreprise d’investissement;
• c. la conformité des procédures aux lois et réglementations applicables et aux décisions de l’organe de direction;
• d. si les procédures sont mises en œuvre de manière appropriée et efficace (par exemple, conformité des transactions, niveau de risque réellement subi, etc.); et
• e. l’adéquation, la qualité et l’efficacité des contrôles réalisés et les rapports rendus par les unités opérationnelles (première ligne de défense) et les fonctions de gestion des risques et de vérification de la conformité.

La FAI devrait en particulier vérifier l’intégrité des processus garantissant la fiabilité des méthodes et techniques de l’entreprise d’investissement, ainsi que des hypothèses et des sources d’information utilisées pour ses modèles internes (par exemple la modélisation des risques et les mesures comptables). Elle devrait également évaluer la qualité et l’utilisation des outils qualitatifs de détection et d’évaluation des risques et les mesures prises pour atténuer les risques.

La FAI devrait avoir libre accès, à l’échelle de l’entreprise d’investissement, à tous les dossiers, documents, informations et immeubles de l’entreprise d’investissement. Cela devrait inclure l’accès aux systèmes de gestion de l’information et aux procès-verbaux de tous les comités et organes de prise de décisions.

La FAI devrait respecter les normes professionnelles nationales et internationales. Les normes professionnelles susmentionnées sont, par exemple, celles établies par l’Institut des auditeurs internes.

Le travail d’audit interne devrait être réalisé conformément à un plan d’audit et à un programme d’audit détaillé, suivant une approche fondée sur les risques.

Un plan d’audit interne devrait être établi au moins une fois par an en fonction des objectifs de contrôle de l’audit interne annuel. Le plan d’audit interne devrait être approuvé par l’organe de direction.

Toutes les recommandations relatives à l’audit devraient être soumises à une procédure de suivi formelle aux niveaux hiérarchiques appropriés, afin de garantir leur mise en œuvre effective et en temps utile et afin de rendre des comptes à ce sujet.