COMMISSION de SURVEILLANCE du SECTEUR FINANCIER Luxembourg, le 22 avril 2008 A toutes les entités surveillées CIRCULAIRE CSSF 08/350 telle que modifiée par la circulaire CSSF 13/568 Concerne: Précisions concernant les modifications apportées par la loi du 13 juillet 2007 relative aux marchés d’instruments financiers au statut des PSF visés par les articles 29-1, 29-2, 29-3 ou 29-4 et dénommés « PSF de support » ; Modification des modalités de surveillance prudentielle des PSF de support. Mesdames, Messieurs, La présente circulaire a pour objet de préciser les modifications apportées par la loi du 13 juillet 2007 relative aux marchés d’instruments financiers au statut des PSF disposant comme seul agrément celui d’exercer une activité au sens des articles 29-1, 29-2, 29-3 ou 29-4 de la loi modifiée du 5 avril 1993 relative au secteur financier (ciaprès désignée par « la loi » ou la LSF). Ces PSF, qui sont visés par la «Sous-section 3: Les PSF exerçant une activité connexe ou complémentaire à une activité du secteur financier » de la loi, sont désignés ci-après par le terme « PSF de support ». Les PSF visés à la même sous-section mais qui exercent une activité complémentaire au secteur financier (domiciliataires, professionnels effectuant des services de constitution et de gestion de sociétés) ne sont pas couverts par la présente circulaire. Le terme « professionnel financier », au sens de cette circulaire, couvre les clients des PSF de support et regroupe notamment les professionnels financiers qui tombent sous la LSF, ainsi que les entreprises d’assurances et entreprises de réassurance. La présente circulaire donne également des premières indications sur les changements des modalités de surveillance des PSF de support. Ces précisions sont apportées dans un souci d’efficacité qui tient compte des spécificités des activités des PSF de support. En détail, le contenu de la présente porte sur : La qualification des activités qui distinguent les opérateurs de systèmes informatiques primaires du secteur financier (OSIP), disposant d’un agrément selon l’article 29-3 de la loi, des opérateurs de systèmes informatiques secondaires et de réseaux de communication du secteur financier (OSIS) disposant d’un agrément selon l’article 29-4 de la loi, ainsi que des prestataires de services informatiques ne disposant pas d’un statut de PSF. Les modalités de surveillance des PSF de support, qui mettent davantage l’accent sur une gestion ciblée des risques en relation avec les activités prestées au secteur financier, en particulier du fait que les OSIP et OSIS ne sont plus limités à prester exclusivement pour le secteur financier. La circulaire ne couvre pas les aspects de sous-traitance sous l’angle des clients des PSF de support qui ont recours à ces services. S’agissant des professionnels tombant sous la loi, les dispositions prévues aux circulaires « IML 96/126, CSSF 05/178 et CSSF 12/552 » 1 en matière d’organisation administrative et comptable et notamment pour ce qui concerne les modalités de sous-traitance intra-groupe à l’étranger, restent applicables à cet effet.
- Qualification des activités des OSIP et des OSIS La loi du 13 juillet 2007 relative aux marchés d’instruments financiers prévoit une scission du statut d’opérateur de systèmes informatiques et de réseaux de communication du secteur financier (OSIRC) en deux nouveaux statuts : les opérateurs de systèmes informatiques primaires du secteur financier (OSIP), article 29-3 de la loi, et les opérateurs de systèmes informatiques secondaires et de réseaux de communication du secteur financier (OSIS), article 29-4 de la loi. Le législateur a introduit cette distinction afin de tenir compte de la nature différente des risques liés à la prise en charge des systèmes impactant directement les états comptables et financiers des professionnels financiers d’une part, et les autres systèmes informatiques et réseaux de communication d’autre part. 1.
- Le statut d’OSIP reconduit les principaux aspects de l’ancien statut d’OSIRC, la différence étant que la prise en charge par le prestataire porte sur des systèmes informatiques faisant partie du dispositif informatique propre des professionnels énumérés et qui permettent l’établissement des situations comptables et des états financiers. 1.1.
- Est considéré comme répondant à la notion de « dispositif informatique propre » du professionnel financier, client d’un OSIP, tout système informatique, qu’il soit matériel ou logiciel, qui est indissociablement lié à la fonction comptable de cet établissement et qui en constitue le principal support. Ce système ne doit pas obligatoirement être la propriété du professionnel financier. L’OSIP peut également le mettre à disposition de ses clients à condition que le système 1 Circulaire CSSF 13/568 Circulaire CSSF 08/350 page 2/8 informatique constitue un environnement dédié exclusivement aux traitements des données du client. Les systèmes informatiques propres pris en charge par un OSIP peuvent éventuellement être mutualisés, à condition que chaque environnement dédié à un client de l’OSIP, réponde en permanence à la définition précédente de « dispositif propre du professionnel financier » et qu’il existe une parfaite étanchéité entre ces environnements. 1.1.
- Les systèmes informatiques permettant l’établissement comptables et des états financiers sont ceux qui 1.
- des situations procèdent à l’enregistrement des écritures comptables, établissent les balances des comptes ou les situations comptables à la base des décisions de gestion (dans la mesure où elles sont intégrées dans la fonction comptable), établissent les situations comptables à la base de publications de données financières, y compris le bilan de clôture, les états financiers intermédiaires et le reporting légal et prudentiel exigé. Le statut d’OSIS est réservé aux professionnels qui prennent en charge l’opération de systèmes informatiques et de réseaux de communication autres que ceux qui servent à l’établissement de situations comptables et d’états financiers. 1.2.
- Tombent dans cette catégorie notamment les systèmes qui servent à l’établissement des données de gestion, à la gestion des risques ou au pilotage de ses positions financières (gestion actif-passif), pour autant que ceux-ci ne soient pas intégrés dans la fonction comptable, les systèmes à la base de l’application des règles de conduite, de la fourniture des services d’investissement à des clients, de l’exécution des ordres ou de toute autre activité du secteur financier (par exemple l’activité de crédit, l’activité de services ou de domiciliation). A titre d’exemple, une application logicielle de gestion de portefeuille, qui établit des états financiers à destination des clients, ne sera pas considérée comme permettant l’établissement des états financiers du professionnel financier, sauf si cette application procède aux écritures comptables ou si le résultat de cette application est constitué d’écritures comptables injectées sans autre contrôle préalable au sein d’une autre application comptable. La prise en charge des systèmes informatiques et des logiciels qui établissent des situations financières à destination des clients et dont les informations produites Circulaire CSSF 08/350 page 3/8 n’impactent pas directement les états financiers, ne sont pas considérés comme requérant le statut d’OSIP. De même, les systèmes de « data warehouse », les applications bureautiques à base de tableurs, ainsi que les logiciels de mise en forme, peuvent fournir des informations qui aident au pilotage de l’activité du professionnel financier ou qui participent à l’élaboration du reporting à destination des autorités, mais tant que les informations produites ne sont pas constituées d’écritures comptables ou injectées sans autre vérification dans un logiciel comptable, leur gestion ne relève pas du statut d’OSIP. En conséquence, la gestion de tout système ou application comptable qui produisent des informations constituées d’écritures comptables ou d’information comptables qui sont injectées sans autre vérification dans un logiciel comptable relèvent exclusivement du statut d’OSIP et ce indifféremment de la classification énoncée au paragraphe précédemment (ex. : bureautique, datawarehouse, reporting,…). 1.2.
- La prise en charge de systèmes informatiques secondaires et de réseaux de communication propres aux professionnels visés à l’article 29-4
(1)de la LSF comporte notamment les applications bureautiques, la gestion du courrier électronique, le stockage et l’archivage électroniques des documents et pièces du client à condition que ces fonctions ne soient que techniques et que la gestion de la rétention et de la suppression excluent des prestations nécessitant l’agrément d’agent de communication à la clientèle (ACC) selon l’article 29-1 de la loi. Les systèmes de paiement ou de règlement, de même que les plateformes de négociation ne font, par défaut, pas partie du dispositif propre du professionnel financier. Ne sont a priori pas considérés comme systèmes permettant l’établissement des états comptables et financiers : - les systèmes et applications qui collectent ou traitent des cours ou taux de valeurs mobilières ou de changes, ainsi que des informations d’opérations sur titre et qui alimentent ou constituent un signalétique, - les logiciels EAI (Enterprise Application Integration), dénommés également « middleware » et servant à faire communiquer entres elles des applications hétérogènes, - les logiciels de réconciliation d’opérations, - les systèmes autonomes de stockage (les équipements de network attached storage, NAS), y compris les systèmes de stockage de données historiques ou d’archives, - les systèmes de transport d’informations financières, y compris le transport de reporting légal. Le paragraphe
(2)de l’article 29-4 de la loi prévoit enfin que les OSIS sont habilités à effectuer également la mise en place et la maintenance de systèmes Circulaire CSSF 08/350 page 4/8 informatiques et réseaux visés au paragraphe
(1)du même article. Il convient de préciser que ces prestations supplémentaires peuvent inclure la vente d’équipements informatiques constituant ces systèmes et réseaux. 1.2.
- Tout comme pour les OSIP, les OSIS peuvent prester leurs services sur des systèmes informatiques appartenant aux clients ou alors mettre un tel système à disposition de leurs clients tout en veillant à ce qu’un environnement dédié soit réservé à chacun d’eux. 1.
- La caractéristique commune aux statuts d’OSIP et d’OSIS est qu’ils prennent en charge le fonctionnement de systèmes informatiques. Celui-ci comporte en dehors de l’opération de la plate-forme technique, la réception des données entrantes, leur traitement, leur stockage et la production des données sortantes relatives à l’activité ou au service du client reposant sur le système informatique en question. A cet égard, les OSIP et les OSIS se distinguent d’autres prestataires de services, dont l’intervention se limite à des services de développement, de mise en place et d’entretien de systèmes ou d’applications informatiques. Les points 3.2, 4.5 et 6 de la circulaire CSSF 06/240 du 22 mars 2006 fournissent un certain nombre d’illustrations d’interventions accessibles à des prestataires ne disposant pas du statut d’OSIP ou d’OSIS. Ces prestataires ne sont en conséquence pas autorisés sur base de la loi et à ce titre ne tombent pas sous les dispositions du secret professionnel de l’article 41
(5). Il est rappelé à ce propos que les prestataires qui ne fournissent pas de service portant sur les opérations et donc la prise en charge du bon fonctionnement d’un système, ne peuvent prétendre au statut d’OSIP ou OSIS. La délimitation entre les statuts d’opérateur de systèmes informatiques et d’agent administratif, telle que décrite au point 2 de la circulaire CSSF 06/240 reste également applicable. 1.3.
- Sans préjudice des responsabilités incombant aux bénéficiaires des services auxquels sont applicables les circulaires « IML 96/126, CSSF 05/178 et CSSF 12/552 » 2 , l’OSIP et l’OSIS doivent faire le nécessaire afin de permettre que le système ou le réseau, dont ils ont la charge, fonctionne dans le respect de la disponibilité, de l’intégrité et de la confidentialité des informations et des traitements qui y sont opérés, ainsi que dans le respect des mécanismes de traçabilité informatique et de preuve inhérents au système et liés à ces traitements. 1.3.
- La loi du 13 juillet 2007 a également levé la condition de la prestation exclusive à des clients du secteur financier, pour les prestations informatiques des OSIP et OSIS. Ceux-ci peuvent dorénavant contracter et prester en dehors du monde financier. 2 Circulaire CSSF 13/568 Circulaire CSSF 08/350 page 5/8
- Modalités de surveillance des PSF de support La spécificité principale des PSF de support au sein du secteur financier réside dans le fait qu’ils n’acceptent et ne gèrent pas d’actifs financiers de clients ou d’investisseurs et que leur activité principale consiste à fournir des services de support aux autres professionnels financiers, services davantage de nature organisationnelle et technique que financière. De plus, ces services ne sont pas offerts uniquement au secteur financier. Dans un souci d’efficacité, il devient prioritaire pour la CSSF comme pour les PSF de support de recentrer la surveillance prudentielle par rapport aux enjeux et risques encourus par le secteur financier uniquement. Une réflexion est engagée en ce sens au sein de la CSSF. Le modèle de surveillance envisagé se basera sur le principe « d’approche par les risques » (Risk Based Approach). Le PSF de support doit, par conséquent, se préparer à disposer d’un processus d’évaluation et de gestion des risques pour les activités prestées au secteur financier. Ce processus d’analyse et de gestion des risques au secteur financier fera partie du contrôle interne mis ou à mettre en place par le PSF de support, conformément à la circulaire IML 98/
- Règles prudentielles et règles de conduite 3.
- Les règles prudentielles et règles de conduites décrites aux articles 36 et 36-1 de la loi sont intégralement applicables aux PSF de support, à l’exception du paragraphe
(2)de l’article 36-1 qui n’est applicable qu’aux agents administratifs. Les intérêts des clients, l’intégrité du marché, l’expérience en matière d’investissement sont à replacer dans le contexte de la fourniture de services spécifiques aux activités des PSF de support. Les intérêts des clients sont au moins à interpréter dans le sens que la prestation ne doit pas porter préjudice au client du secteur financier, même si les conditions contractuelles sont respectées. Le marché cité comme devant rester intègre, est à la fois celui de l’activité soustraitée et celui des activités et services financiers. L’expérience en matière d’investissements est à comprendre comme celle liée aux activités sous-traitées. A titre d’exemple, un professionnel financier qui sous-traite son informatique peut ne pas disposer de la compétence spécifique aux investissements propres à la mise en œuvre d’une infrastructure informatique adaptée à ses besoins. Le contrat entre le PSF de support et son client professionnel financier doit prévoir quel niveau d’information au client est exigé pour que celui-ci puisse juger du bien-fondé des investissements qui seraient réalisés spécifiquement pour les besoins de cette prestation. 3.
- En raison de l’extension du périmètre d’intervention, la palette de services offerts par les PSF de support est susceptible d’être nettement plus étendue et Circulaire CSSF 08/350 page 6/8 diversifiée que celle proposée au secteur financier, pour des risques également très différents. Les prestations autres que celles réalisées pour le secteur financier doivent être en harmonie avec les activités du PSF et en aucun cas risquer d’influencer négativement les prestations au secteur financier. Les prestations à des entités du secteur financier doivent se faire dans les meilleures conditions tant au niveau qualitatif qu’en terme de disponibilité et les prestations hors secteur financier ne peuvent en aucun cas entraver les prestations au secteur financier, voire notamment impacter ces dernières en raison d’un risque de réputation hors secteur financier (reputational spill-over). 3.
- Dès lors qu’un prestataire OSIP ou OSIS décide de mutualiser un environnement physique, qu’il s’agisse d’un dispositif informatique propre ou non, il devra communiquer de façon claire la solution envisagée aux clients concernés, de telle façon à ce que ceux-ci comprennent les effets et les limites. Si cette mutualisation n’était pas prévue au contrat initial, si les conditions de mutualisation sont fondamentalement changées, ou s’il existe d’importants changements dans la prestation qui ne peuvent être acceptés par le professionnel financier auquel s’impose des obligations spécifiques à son cadre prudentiel, une solution de transition doit être prévue par contrat, pour permettre un transfert de la prestation vers un autre sous-traitant ou une reprise de la prestation par le professionnel financier même.
- Dispositions transitoires 4.
- L’article 29-3
(6)de la loi précise que les OSIRC, agréés au titre de l’article 29-3 comme tels au moment de l’entrée en vigueur de la loi du 13 juillet 2007, bénéficient de plein droit du statut d’OSIP. Les professionnels désirant adopter le statut d’OSIS doivent faire une demande de modification de leur agrément. 4.2. Le changement du statut d’OSIRC au statut d’OSIP ou d’OSIS est à considérer comme l’octroi d’un nouvel agrément. A ce titre, l’article 23
(1)de la loi, modifié par l’article 95 de la loi du 13 juillet 2007 relative aux marchés d’instruments financiers, stipule que « l’agrément est retiré si le PSF ne fait pas usage de l’agrément dans un délai de 12 mois de son octroi, y renonce expressément, n’a exercé aucune activité du secteur financier ni une des activités connexes ou complémentaires visées à la sous-section 3 de la section 2 du présent chapitre au cours des six derniers mois.». La période de 12 mois est donc applicable à compter du 1er novembre 2007. Circulaire CSSF 08/350 page 7/8 Veuillez recevoir, Mesdames, Messieurs, l’assurance de nos sentiments très distingués. COMMISSION DE SURVEILLANCE DU SECTEUR FINANCIER Simone DELCOURT Directeur Circulaire CSSF 08/350 Arthur PHILIPPE Directeur Jean-Nicolas SCHAUS Directeur Général page 8/8