16. Fonction d’audit interne

Si elle est instaurée, la fonction d’audit interne (FAI) devrait être indépendante et disposer d’une autorité, d’un statut et de ressources suffisants. Les émetteurs de jetons se référant à un ou des actifs devraient notamment veiller à ce que les qualifications des membres du personnel de la FAI et les ressources de la FAI, en particulier ses outils d’audit et ses méthodes d’analyse des risques, soient adéquats par rapport à la taille et aux lieux d’implantation de l’émetteur de jetons se référant à un ou des actifs ainsi qu’à la nature, à l’échelle et à la complexité des risques associés au modèle d’entreprise, aux activités, à la culture du risque et à l’appétit pour le risque de l’émetteur de jetons se référant à un ou des actifs.

La FAI devrait être indépendante des activités contrôlées. La FAI ne devrait donc pas être combinée avec d’autres fonctions.

La FAI devrait, suivant une approche fondée sur les risques, examiner de manière indépendante la conformité de toutes les activités et unités d’un émetteur de jetons se référant à un ou des actifs, y compris le recours à des entités tierces, aux politiques et procédures de l’émetteur et aux exigences réglementaires externes, et fournir une assurance objective en la matière.

La FAI ne devrait pas participer à la conception, à la sélection, à la mise en place ou à la mise en œuvre de politiques, de mécanismes et de procédures de contrôle interne spécifiques, ou de limites de risques. Toutefois, cela ne devrait pas empêcher l’organe de direction dans sa fonction exécutive de demander des informations à l’audit interne sur des questions liées au risque, aux contrôles internes et à la conformité aux règles applicables.

La FAI devrait déterminer si le cadre de contrôle interne de l’émetteur de jetons se référant à un ou des actifs, tel que présenté au titre V, est effectif et efficace. La FAI devrait notamment évaluer:

• a. le caractère approprié du cadre de gouvernance de l’émetteur de jetons se référant à un ou des actifs;
• b. le fait pour les politiques et procédures existantes de rester ou non adéquates et de respecter ou non les exigences juridiques et réglementaires, ainsi que la stratégie en matière de risque et l’appétit pour le risque de l’émetteur de jetons se référant à un ou des actifs;
• c. la conformité des procédures aux lois et réglementations applicables et aux décisions de l’organe de direction;
• d. si les procédures sont mises en œuvre de manière appropriée et efficace (par exemple, conformité des transactions, niveau de risque effectivement encouru, etc.); et
• e. l’adéquation, la qualité et l’efficacité des contrôles réalisés et les rapports rendus par les unités opérationnelles (première ligne de défense) et les fonctions de gestion des risques et de vérification de la conformité.

La FAI devrait vérifier, en particulier, l’intégrité des processus garantissant la fiabilité des méthodes et techniques de quantification des risques, y compris les modèles, de l’émetteur de jetons se référant à un ou des actifs. Elle devrait également évaluer la qualité et l’utilisation des outils qualitatifs de détection et d’évaluation des risques et les mesures prises pour atténuer les risques.

Elle devrait examiner l’adéquation des processus d’élaboration et d’approbation des livres blancs, ainsi que la manière dont les jetons se référant à un ou des actifs sont proposés au public.

La FAI devrait avoir libre accès, à l’échelle de l’émetteur de jetons se référant à un ou des actifs, à tous les dossiers, documents, informations et immeubles de celui-ci. Cela devrait inclure l’accès aux systèmes de gestion de l’information et aux procès-verbaux de tous les comités et organes de prise de décisions.

La FAI devrait respecter les normes professionnelles nationales et internationales. Les normes professionnelles susmentionnées sont, par exemple, celles établies par l’Institut des auditeurs internes.

Le travail d’audit interne devrait être réalisé régulièrement, conformément à un plan d’audit et à un programme d’audit détaillé, suivant une approche fondée sur les risques.

Un plan d’audit interne devrait être établi au moins une fois par an en fonction des objectifs de contrôle de l’audit interne annuel. Le plan d’audit interne devrait être approuvé par l’organe de direction.

Toutes les recommandations relatives à l’audit devraient faire l’objet d’une procédure de suivi formelle aux niveaux hiérarchiques appropriés, et devraient être communiquées à l’organe de direction de l’émetteur de jetons se référant à un ou des actifs et mises à la disposition de l’autorité compétente afin de garantir leur mise en œuvre effective et en temps utile et de rendre des comptes à ce sujet.