Circulaire CSSF 04/155 — Circulaire CSSF

(2)de la loi modifiée du 5 avril 1993 relative au secteur financier (ci- monnaie électronique, après « LSF ») pour les PSF spécialisés1 et POST Luxembourg et des articles établissements de paiement, à 11

(2)et 24-7

(2)de la loi du 10 novembre 2009 relative aux services de tous les PSF spécialisés ainsi paiement (ci-après « LSP ») pour les établissements de paiement et les que POST Luxembourg établissements de monnaie électronique), (ci-après désignés collectivement les « établissements »), en prévoyant la mise en place d’une fonction de contrôle de conformité et en énonçant les modalités de fonctionnement de cette dernière. Par convention cette fonction sera, dans la suite, appelée « fonction Compliance ». Chapitre I. Introduction 1. En vertu de l’article 17

(2)de la LSF et des articles 11

(2)et 24-7

(2)de la LSP, chaque établissement doit justifier d'une bonne organisation administrative et comptable ainsi que de procédures de contrôle interne adéquates. Ces exigences comportent la mise en place d'une fonction Compliance conformément aux principes de la présente circulaire. 2. La fonction Compliance telle que définie au chapitre III. contribue au bon fonctionnement du troisième niveau de contrôle prévu par la circulaire IML 98/143 sur le contrôle interne, telle que modifiée, c'est-à-dire du niveau des contrôles réalisés par les personnes chargées de la gestion journalière et agréées en vertu de l’article 19

(2)de la LSF et des articles 13

(2)et 24-9

(2)de la LSP (ci-après désignées collectivement par « la direction ») sur les activités et/ou fonctions qui tombent sous leur responsabilité directe. De ce fait, la Compliance est un contrôle régulier associé au suivi continuel et rapproché des opérations de l’établissement et de leurs risques. La mise en place d’une fonction Compliance a pour but d'organiser, de coordonner et de structurer les contrôles en matière de Compliance déjà effectués en vertu 1 Par « professionnels du secteur financier spécialisés », il est fait référence aux professionnels du secteur financier spécialisés, qui ont fait le choix de mettre en place une fonction Compliance au sein de leur établissement. CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 2/15 d'autres réglementations, mais qui sont, à l'heure actuelle, souvent répartis sur différents niveaux de l'organisation. 3. La fonction Compliance a pour objet de protéger l’établissement de tout préjudice qui pourrait résulter du non-respect des normes en vigueur, (telles que définies au chapitre III.), et contribue au sens large à la gestion efficace des risques qui en découlent. 4. La Compliance n’est pas du ressort exclusif de la fonction Compliance. En effet, le respect des normes auxquelles l’établissement doit se conformer concerne également le conseil d’administration/conseil de gérance, la direction ainsi que les membres du personnel et est dès lors à considérer comme élément important de la culture de Compliance d’un établissement. Il s’ensuit qu’une telle culture doit être promue à l’intérieur de l’établissement. Chapitre II. Champ d'application de la circulaire 5. Chaque établissement de droit luxembourgeois doit se munir d'une fonction Compliance qui correspond aux principes énoncés ci-après. Selon les modalités exposées au chapitre XI., la circulaire s'applique également aux succursales d'établissements de droit luxembourgeois ainsi qu’aux filiales et sociétés dans lesquelles l’établissement détient une participation significative, qui rentrent dans le champ d’application et le périmètre de la surveillance sur une base consolidée 6. La circulaire s'applique par ailleurs aux succursales luxembourgeoises d'établissements ayant leur siège en dehors de l'Espace Economique Européen. 7. Pour assurer le respect des règles d'intérêt général, dont en particulier celles relatives à la lutte contre le blanchiment de capitaux et le financement du terrorisme, les règles de conduite du secteur financier et de protection des intérêts des investisseurs et des clients, ainsi que les réglementations relatives aux domaines pour lesquels la Commission de Surveillance du Secteur Financier (CSSF), en tant qu'autorité de l’Etat d'accueil, conserve une responsabilité de contrôle, les succursales luxembourgeoises d’établissements d’origine communautaire doivent se doter d'une structure de Compliance dont l’objectif est d’assurer que les activités sont exercées conformément aux règles qui se rapportent aux domaines visés. CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 3/15 Chapitre III. Nature et objectifs de la fonction Compliance 8. Afin de promouvoir une culture de Compliance, un établissement doit se doter de principes de Compliance. Les principes de Compliance s’expriment sous forme de règles d’action s’appuyant sur un jugement de valeur et des expériences et constituant un modèle de comportement pour l’établissement. La politique de Compliance fixe la manière dont ces principes sont mis en pratique. La charte de Compliance retient les modalités de fonctionnement qui doivent être mises en place en vue de permettre à la fonction Compliance d’atteindre les objectifs fixés. 9. La fonction Compliance est définie comme une fonction indépendante dont l'objectif est d'identifier et d'évaluer le risque de Compliance d’un établissement ainsi que d’assister la direction dans la gestion et le contrôle de ce risque. Elle fait rapport à la direction et, en cas de besoin, au conseil d'administration/conseil de gérance et sert de conseiller à la direction. 10. Par « risque de Compliance », on entend le risque de préjudices qu'un établissement peut subir suite au fait que les activités ne sont pas exercées conformément aux normes en vigueur. Il peut comporter une variété de risques tels que le risque de réputation, le risque légal, le risque de contentieux, le risque de sanctions ainsi que certains aspects du risque opérationnel, ceci en relation avec l’intégralité des activités de l’établissement. 11. Par « normes en vigueur », il faut entendre dans ce contexte toutes les règles auxquelles l'établissement est soumis dans l'exercice de ses activités dans les différents marchés, notamment : - les lois, règlements et circulaires régissant l'accès au secteur financier et l'exercice des activités réglementées et exercées par l’établissement ; - les lois et circulaires traitant des obligations professionnelles, c'est-à-dire les règles de lutte contre le blanchiment des capitaux et le financement du terrorisme ainsi que les règles de conduite du secteur financier (en vue d'éviter par exemple les délits d'initiés et la manipulation de cours) et de protection des investisseurs. Pour les besoins de l’évaluation du risque de Compliance et afin de déterminer le périmètre de la fonction Compliance, les codes de conduite ou de déontologie internes ainsi que les codes d‘associations professionnelles et de marchés financiers (bourses ou autres marchés réglementés) sont à considérer également. 12. Il appartient à l’établissement de décider si, compte tenu des particularités des activités exercées, sa fonction Compliance couvre le contrôle du respect des règles n'ayant pas directement trait aux activités réglementées et exercées par CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 4/15 l’établissement, à proprement parler, telles que les règles relevant du droit de travail, du droit social, du droit des sociétés ou du droit de l'environnement. Chapitre IV. Responsabilité du conseil d'administration/conseil de gérance 13. Le conseil d'administration/conseil de gérance a la responsabilité de déterminer les principes de Compliance auxquels l’établissement doit adhérer dans l’exercice de ses activités. Le conseil doit promouvoir une attitude positive à l'égard de la Compliance, favoriser le développement de structures permettant d'atteindre cet objectif et s’assurer, à des intervalles réguliers, que l’établissement dispose d’une fonction Compliance adéquate. 14. Le conseil est appelé à approuver la politique et la charte de Compliance arrêtées par la direction. 15. Dans le cadre de ses missions de surveillance, le conseil d'administration/conseil de gérance doit évaluer annuellement la façon dont l’établissement gère son risque de Compliance. A cet effet, il doit régulièrement, et au moins annuellement, se faire rapporter par la direction sur la Compliance. Le conseil peut déléguer sa mission d’évaluation régulière au comité d'audit ou à un comité de Compliance spécifiquement créé. En ce qui concerne sa composition, son fonctionnement ainsi que ses compétences, un tel comité de Compliance est soumis aux mêmes principes régissant le comité d’audit (exposés au point 6.

1. c)de la circulaire IML 98/143, telle que modifiée, sur le contrôle interne). 16. Le conseil d'administration/conseil de gérance doit veiller à ce que la fonction Compliance dispose, en cas de besoin, du droit de contacter directement le Président du conseil d'administration ou, le cas échéant les membres d'un comité d'audit ou d'un comité de Compliance. Il doit par ailleurs s’assurer que la fonction Compliance dispose du droit, en cas de besoin ponctuel, de recourir à des experts externes. Chapitre V. Responsabilité de la direction 17. La direction est responsable du développement et de la mise en œuvre de la politique de Compliance ainsi que de l'établissement d'une fonction Compliance qui est en conformité avec les principes énoncés dans la présente circulaire. 18. Elle est appelée à s'assurer régulièrement de l'adéquation de la politique de Compliance et à vérifier sa mise en application et son respect. Ceci implique également que la direction arrête, en cas de non-respect de la politique ou en CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 5/15 cas d'insuffisances graves relevées par la fonction Compliance, les mesures correctrices à prendre, et si la situation le demande, les sanctions à infliger. 19. La direction informe, dans une forme qu’elle juge la mieux appropriée, au moins une fois par an, le conseil d'administration/conseil de gérance (le cas échéant, le comité d'audit ou le comité de Compliance) sur l'état de la Compliance. 20. Dans son rapport, la direction doit notamment couvrir la réalisation des objectifs de la fonction Compliance, les moyens humains et techniques mis en œuvre pour la réalisation de ces objectifs, les principales constatations des travaux de la fonction Compliance, d'éventuelles insuffisances relevées, les mesures correctrices décidées et leur suivi, ainsi que toute information permettant de juger si et comment la fonction Compliance s'est acquittée des responsabilités énoncées au chapitre IX. 21. Sans préjudice du paragraphe 17., la direction de l’établissement désigne parmi ses membres une personne directement en charge de la fonction Compliance. Le nom de cette personne ainsi que tout changement y relatif doivent être communiqués par la direction à la CSSF. Chapitre VI. La politique de Compliance 22. Chaque établissement doit se doter d'une politique de Compliance, élaborée et régulièrement tenue à jour par la direction et approuvée par le conseil d'administration/conseil de gérance. 23. Cette politique de Compliance est fixée par écrit. Elle doit relever les aspects fondamentaux du risque de Compliance, expliquer les principes fixés par le conseil d’administration/conseil de gérance, instaurer la fonction Compliance et en définir les objectifs et l'indépendance, prescrire l'élaboration d'une charte, et instituer la mise en application d'un programme de formation continue. 24. La politique peut ne pas identifier en détail tous les lois, règlements, circulaires et autres codes applicables, mais elle doit énoncer les grands principes à suivre. La politique sert de cadre pour la mise en œuvre de la fonction Compliance ainsi que des procédures ou instructions détaillées et spécifiques. Chapitre VII. Charte de Compliance 25. Les modalités de fonctionnement de la fonction Compliance doivent être arrêtées par une charte de Compliance approuvée par la direction et par le conseil d'administration/conseil de gérance. CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 6/15 26. La charte doit au minimum : - exposer les objectifs de la fonction Compliance ; - en définir les responsabilités et les compétences ; - en établir l'indépendance et la permanence ; - décrire les relations avec d'autres services et fonctions ainsi que d'éventuels besoins d’externalisation2, de délégation et/ou de coordination ; - accorder à la fonction Compliance le droit d'accès à toute information nécessaire à l'exécution de ses missions ; - reconnaître son droit d'initiative pour ouvrir des enquêtes ; - définir les lignes de reporting ; - établir le droit de contacter la direction et, en cas de besoin, le Président du conseil ou les membres d'un comité d'audit ou d'un comité de Compliance ; - définir les conditions dans lesquelles la fonction peut recourir, en cas de besoin ponctuel, à des experts externes. 27. La charte de Compliance doit être évolutive et mise à jour dans les meilleurs délais pour tenir compte de changements au niveau des normes en vigueur affectant l’établissement. Toutes les modifications doivent être approuvées par le conseil. Par ailleurs, la charte de Compliance ainsi que toutes modifications y apportées doivent être portées à la connaissance de tous les membres du personnel. Chapitre VIII. Organisation de la fonction Compliance 28. Conformément aux exigences énoncées au chapitre VII., chaque établissement doit veiller à organiser sa fonction Compliance de sorte qu’elle remplisse les conditions suivantes :
2. a)Indépendance La fonction Compliance ne doit pas dépendre d’un service ou d’un département de l’établissement mais doit être rattachée, d’un point de vue hiérarchique, à la direction de l’établissement. Elle doit pouvoir exercer son rôle et ses responsabilités de sa propre initiative. 2 Il est renvoyé à la circulaire CSSF 22/806 relative aux externalisations en ce qui couvre notamment les modalités d’externalisation des tâches opérationnelles des fonctions de contrôle interne ainsi que les autres aspects y relatifs. CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 7/15
3. b)Ressources L’établissement doit organiser sa fonction Compliance de sorte à ce qu'elle puisse fonctionner de façon adéquate et permanente. Elle doit ainsi disposer de ressources humaines nécessaires pour l'exécution des tâches qui lui incombent. La taille de la fonction doit être adaptée à la taille de l'établissement ainsi qu'à la nature et la complexité des activités exercées. L’établissement désigne un employé chargé de diriger la fonction Compliance généralement désigné par « Compliance Officer ». Le nom de cet employé ainsi que tout changement relatif à cette position doivent être communiqués à la CSSF. Par dérogation aux exigences énoncées ci-avant, l’établissement dispose d'une certaine flexibilité en ce qui concerne l'organisation de sa fonction Compliance :
4. ba)Certaines des tâches liées aux responsabilités décrites au chapitre IX. peuvent être déléguées à des services, cellules ou départements au sein de l’établissement. Dans ce cas, la fonction Compliance assume un rôle de coordination entre les unités chargées de l'exécution des tâches découlant des responsabilités décrites au chapitre IX. La charte de Compliance doit clairement établir les rapports et relations entre les diverses unités qui interviennent. Elle doit notamment arrêter que la responsabilité des tâches déléguées reste au niveau de la fonction Compliance. L’établissement s’assure que les tâches déléguées restent compatibles avec les autres tâches que les personnes des autres unités impliquées exercent.
5. bb)Lorsque ni la taille de l'établissement, ni la nature des activités, ni les risques encourus ne rendent nécessaire la création d’un poste de « Compliance Officer » à plein temps, il est admissible d'en charger une personne à temps partiel. Il y a lieu de veiller à ce que les autres tâches exercées par cet employé restent compatibles avec les responsabilités lui incombant en vertu des dispositions de la présente circulaire. L’établissement qui veut ne pas créer un poste de « Compliance Officer » à plein temps, doit obtenir l'autorisation explicite de la CSSF. Pour cela il soumet une demande écrite fournissant une justification ainsi que les informations nécessaires afin de permettre d'évaluer que l'application correcte des dispositions de la présente circulaire et la bonne exécution de la fonction Compliance restent assurées.
6. bc)Il est admissible, moyennant autorisation spécifique de la CSSF et de manière exceptionnelle, que le membre de la direction désigné comme étant directement en charge de la fonction Compliance (conformément au paragraphe 21. Du chapitre V.) assume lui-même le poste de « Compliance Officer ». CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 8/15
7. bd)Une externalisation de la fonction Compliance n’est pas admissible. Ce principe n’exclut pas la possibilité de recourir à l’externalisation de tâches opérationnelles de la fonction de Compliance ou ponctuellement à l’expertise ou aux moyens techniques de tiers tel qu’il est prévu au point
8. c)ci-après. Cette circulaire, et notamment ce paragraphe, sont à lire conjointement avec la circulaire 22/806 relative aux externalisations qui couvre les modalités d’externalisation des tâches opérationnelles des fonctions de contrôle interne ainsi que les autres aspects y relatifs. Nous renvoyons en particulier aux paragraphes 21 et 24 de la circulaire CSSF 22/806
9. c)Compétence Afin de garantir l'efficacité de la fonction Compliance, ses membres doivent posséder un niveau élevé de compétence professionnelle dans le domaine des activités réglementées et exercées par l’établissement et des normes applicables. La compétence des membres de la fonction Compliance doit être évaluée en tenant compte non seulement de la nature de la mission des collaborateurs, mais également de la complexité et de la diversité des activités exercées par l’établissement. Ces dispositions n'excluent pas que la fonction Compliance ait recours ponctuellement à l’expertise ou aux moyens techniques de tiers pour certains aspect spécifiques. Chaque établissement prend par ailleurs les mesures nécessaires pour assurer que les membres de la fonction Compliance exercent leurs fonctions avec intégrité et discrétion.
10. d)Délégation et coordination Une formalisation de la délégation au sein de l’établissement, telle qu'arrêtée dans la charte de Compliance, s'impose notamment pour les établissements où la fonction Compliance assume un rôle de coordination tel que prévu au point
11. ba)ci-avant et où l'exécution des tâches elles-mêmes est effectuée par d'autres unités organisationnelles au sein de l’établissement. Le « Compliance Officer » se charge d'organiser régulièrement une concertation avec des représentants des services contribuant au fonctionnement de la fonction Compliance, mais aussi avec tout département particulièrement exposé à un risque de Compliance. Cette concertation se fait notamment dans le but général d'assurer une bonne mise en œuvre de la politique de Compliance. Chapitre IX. Responsabilités de la fonction Compliance 29. Pour atteindre les objectifs fixés, les responsabilités de la fonction Compliance doivent couvrir au moins les aspects suivants : CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 9/15
12. a)Identification et évaluation du risque de Compliance La fonction Compliance identifie les risques de Compliance auxquels l’établissement est exposé dans le cadre de l'exercice de ses activités et les évalue pour en déterminer l’importance ainsi que les conséquences possibles. La fonction Compliance veille à l'identification et l'évaluation du risque de Compliance avant que l’établissement ne se lance dans un nouveau type d’activité, de produit ou de relation d'affaires, de même que lors du développement des opérations et du réseau d'un groupe sur une échelle internationale.
13. b)Identification des normes en vigueur La fonction Compliance identifie les normes visées au paragraphe 11. de la présente circulaire et tient le relevé des règles essentielles régissant l'exercice des activités de l’établissement. Ce relevé doit être accessible au personnel concerné de l'établissement.
14. c)Procédures et instructions pour la mise en œuvre de la politique de Compliance La fonction Compliance veille à ce que, pour la mise en œuvre de la politique de Compliance, l’établissement dispose de règles qui puissent servir de lignes directrices au personnel des différents métiers dans l’exercice de ses tâches journalières. Ces règles doivent être reflétées de façon appropriée dans les instructions, procédures et contrôles internes pour les domaines relevant directement de la Compliance (tel que par exemple la lutte contre le blanchiment des capitaux et la protection des intérêts des clients et des investisseurs). Dans l’élaboration de ces règles, la fonction Compliance tient compte, pour autant que de besoin pour l’établissement en question, des règles de déontologie énoncées au dernier alinéa du paragraphe 11. En ce qui concerne les domaines qui ne relèvent pas directement de la Compliance, la fonction Compliance est impliquée et consultée lors de la préparation et de la mise en application de procédures de contrôle interne.
15. d)Vérification du respect de la politique de Compliance La fonction Compliance procède régulièrement à une vérification du respect de la politique de Compliance, des procédures et des instructions et se charge, en cas de besoin, des propositions d'adaptation. A cette fin la fonction Compliance effectue des évaluations et des contrôles réguliers du risque de Compliance. Pour les contrôles en matière de risque de Compliance ainsi que pour la vérification des procédures et des instructions, les dispositions de la présente circulaire n’empêchent pas que la fonction Compliance s’appuie en pratique sur les travaux de l’audit interne. CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 10/15
16. e)Centralisation des informations sur les problèmes de Compliance La fonction Compliance centralise toutes les informations sur les problèmes de Compliance (p. ex. infractions aux normes, non-respect de procédures, les conflits d'intérêts etc.) détectés dans l'établissement. Pour autant qu'elle ne tire pas ces informations de sa propre implication, elle procède à un examen des documents pertinents, qu'ils soient internes (p. ex. rapports de contrôle et d'audit interne, rapports ou comptes rendus de la direction ou, le cas échéant, du conseil d'administration) ou externes (p. ex. rapports du réviseur externe, correspondance de la part de l'autorité de contrôle).
17. f)Analyse des problèmes de Compliance, interventions et suivi La fonction Compliance effectue une analyse des problèmes détectés et recommande, le cas échéant, les mesures correctrices qu'il y a lieu de prendre pour remédier aux lacunes. Elle fait le suivi de problèmes détectés antérieurement et s'assure que les mesures correctrices décidées ont été mises en œuvre de façon appropriée et ont fait preuve d’efficacité.
18. g)Assistance et conseil à la direction en matière de Compliance La fonction Compliance assiste et conseille la direction pour des questions de Compliance et de normes, notamment en la rendant attentive à des développements au niveau des normes qui pourraient ultérieurement avoir un impact sur le domaine de la Compliance.
19. h)Sensibilisation et formation du personnel La fonction Compliance veille à sensibiliser le personnel à l'importance de la Compliance et des aspects connexes. Elle développe à cette fin un programme de formation continue et s’assure de sa mise en œuvre.
20. i)Communication avec les autorités Le « Compliance Officer » est en charge de l'accomplissement des obligations de notification à l'égard des autorités prévues par les lois, règlements et circulaires relatifs à la lutte contre le blanchiment et à la prévention de l'utilisation du secteur financier à des fins de blanchiment.
21. j)Documentation des travaux et reporting interne La fonction Compliance documente les travaux effectués conformément aux responsabilités assignées, notamment afin de permettre de retracer les interventions ainsi que les conclusions retenues. Elle fait rapport, dans une forme qu’elle juge la mieux appropriée, à la direction et, le cas échéant, au conseil d'administration/conseil de gérance (ou à un comité d’audit ou de Compliance) des problèmes et déficiences significatifs CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 11/15 constatés au niveau des procédures ou même au niveau de la politique de Compliance ainsi que d'éventuelles mesures prises. Outre des rapports sur une base ad hoc, la fonction Compliance prépare régulièrement un rapport pour la direction sur ses activités et son fonctionnement. Ce rapport fournit le relevé des problèmes significatifs survenus depuis le dernier rapport ainsi que des mesures prises à leur égard et informe la direction sur les enquêtes effectuées ainsi que sur les activités liées aux autres responsabilités décrites au présent chapitre. Chapitre X. Contrôle de la fonction Compliance par l'audit interne 30. Les activités de la fonction Compliance doivent être incluses dans le champ d'intervention de l'audit interne. L'audit interne doit évaluer le fonctionnement et l'efficacité de la fonction Compliance. 31. Au vu de ce qui précède, la fonction Compliance ne peut pas faire partie du service d'audit interne d'un établissement. Cependant, ceci n'empêche pas que le service d'audit interne puisse assumer un rôle exécutif dans la vérification de l'application correcte des normes en vigueur à l'exercice des activités exercées par un établissement. Chapitre XI. Application de la présente circulaire à des établissements disposant de succursales et à des groupes d’établissements 32. La fonction Compliance d'un établissement au sens et suivant les modalités de la présente circulaire doit également être mise en place au niveau consolidé englobant notamment les succursales, que cet établissement détient au GrandDuché de Luxembourg ou à l'étranger. 33. Pour les établissements disposant de succursales ou de filiales à l'étranger, la mise en œuvre de la politique de Compliance au niveau de ces présences doit tenir compte des normes applicables au niveau local. 34. Les filiales et succursales d'une certaine taille doivent être dotées de leur propre fonction Compliance. La fonction Compliance de la succursale doit dépendre, d'un point de vue hiérarchique et fonctionnel, de la fonction Compliance du siège dont elle fait partie et auquel elle fait rapport. Pour les filiales, les rapports établis conformément aux dispositions de la présente circulaire sont soumis non seulement aux organes locaux, mais également, en synthèse, à la fonction Compliance de l’entreprise mère luxembourgeoise qui les analyse et qui fait rapport des points à relever. La direction de l’entreprise mère CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 12/15 luxembourgeoise établit les règles générales en matière de Compliance tant pour ses filiales que pour ses succursales. 35. Dans le cas de sociétés d’une certaine taille dans lesquelles un établissement détient une participation comprise entre 20% et 50%, il appartient à l’établissement luxembourgeois, qui n’est pas entreprise mère, de faire tout son possible, de concert avec les autres actionnaires ou associés concernés, pour que soit mise en place dans ces sociétés une fonction Compliance répondant à des standards comparables à ceux prescrits par la présente circulaire, sans préjudice des règles locales en la matière. L’établissement luxembourgeois s’efforce d’obtenir une synthèse des rapports de Compliance de ces sociétés en question et les fait analyser par sa propre fonction Compliance. Celle-ci fait rapport des principales insuffisances constatées, des mesures correctrices décidées et du suivi effectif de ces mesures. 36. Les principes de la présente circulaire n’excluent pas que, pour des établissements luxembourgeois qui sont succursale ou filiale de professionnels financiers luxembourgeois ou non, disposant d’une fonction Compliance au niveau du groupe, la fonction Compliance locale soit liée de façon fonctionnelle à celle du groupe. Un tel lien fonctionnel peut notamment servir à des échanges d’expertise et à la mise à disposition de moyens techniques entre les différentes entités du groupe ; il fournit en outre la base pour une coopération et une coordination dans une démarche de Compliance consolidée. Chapitre XII. Rapport à la Commission de Surveillance du Secteur Financier 37. Les établissements fournissent chaque année, dans le cadre des rapports adressés à la CSSF conformément à la circulaire IML 98/143, telle que modifiée, sur le contrôle interne, des informations sur l'état de la fonction Compliance ainsi que sur les principales constatations faites dans ce contexte (en couvrant notamment les insuffisances relevées, les mesures correctrices prises ainsi que leur suivi). Chapitre XIII. Evaluation de la fonction Compliance 38. Conformément aux circulaires 12/550 et 13/569 traitant des règles pratiques concernant la mission des réviseurs d’entreprises agréés, le compte rendu analytique des établissements visés par la présente circulaire doit comprendre une description et une appréciation de la fonction Compliance. CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 13/15 39. Dans le cas où un établissement est exempté de l’établissement du compte rendu analytique, la lettre de recommandation du réviseur d'entreprises agréé doit relever, le cas échéant, un non-respect des dispositions relatives à la fonction Compliance telles que fixées par la présente circulaire. Chapitre XIV. Entrée en vigueur 40. La présente circulaire entre en vigueur avec effet immédiat. CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 14/15 Commission de Surveillance du Secteur Financier 283, route d’Arlon L-2991 Luxembourg (+352) 26 25 1-1 direction@cssf.lu www.cssf.lu CIRCULAIRE CSSF 04/155 TELLE QUE MODIFIÉE PAR LA CIRCULAIRE CSSF 22/806 15/15