Circulaire CSSF 12/550 — COMMISSION de SURVEILLANCE

(3)de la loi LSP, la présente circulaire entend définir d’une manière générale le rôle et la mission des réviseurs d’entreprises agréés dans le contexte du contrôle légal des comptes annuels et d’une manière plus précise elle spécifie les aspects qui doivent être analysés dans le compte rendu analytique du réviseur d’entreprises agréé. Le compte rendu analytique constitue un instrument de surveillance important pour la CSSF dans l’exercice de sa mission de surveillance. Les dispositions de la présente circulaire sont applicables aux établissements de paiement de droit luxembourgeois. Les dispositions de la présente circulaire ne sont pas applicables aux succursales d’établissements de paiement d’origine communautaire. Il s’agit de succursales d’établissements de paiement ayant leur siège social dans un Etat membre de la Communauté européenne ; sont assimilés aux établissements de paiement d’origine communautaire les établissements de paiement ayant leur siège social dans un autre Etat partie à l’Accord sur l’Espace économique européen dans les limites définies par cet accord et les actes y afférents 1 . Conformément à la circulaire CSSF 11/523, les succursales d’établissements de paiement d’origine communautaire doivent faire contrôler par un réviseur d’entreprises agréé les domaines spécifiques pour lesquels la CSSF garde une responsabilité de contrôle en tant qu’autorité d’accueil : 1  le respect de l’ensemble de la législation et de la réglementation concernant la lutte contre le blanchiment et contre le financement du terrorisme applicable aux établissements de paiement ;  le respect des dispositions auxquelles se réfèrent les paragraphes

(1)et

(2)de l’article 58 de la loi LSP. Sont visés actuellement l’Islande, le Liechtenstein et la Norvège. Circulaire CSSF 12/550 page 2/27 SOMMAIRE I. Mandat II. Rapport sur les comptes annuels / comptes consolidés III. Compte rendu analytique annuel de révision III.A. Principes généraux III.B. Schéma du compte rendu analytique III.C. Commentaires relatifs au schéma du compte rendu analytique IV. Compte rendu analytique consolidé de révision V. Communications à la CSSF en vertu de l’article 37

(4)de la loi LSP VI. Dispositions finales Circulaire CSSF 12/550 page 3/27 I. Mandat Tout établissement de paiement, nonobstant toute exemption prévue par une loi non spécifique, doit donner sous forme écrite à son réviseur d'entreprises agréé un mandat détaillé qui contiendra au moins les dispositions suivantes:

1. Le contrôle des comptes annuels doit être effectué selon les normes professionnelles couvrant les missions visées à l’article 1er, point 29, lettre a) de la loi du 18 décembre 2009 relative à la profession de l’audit tel que mentionné au chapitre 1 du Règlement CSSF N°11-01 du 8 juillet 2011 (ci-après le « Règlement CSSF »). En l’occurrence, pour le contrôle légal des comptes, le Règlement CSSF prévoit l’application des normes de révision internationales (« International Standards on Auditing », ISAs) publiées par l’IFAC (« International Federation of Accountants), adaptées ou complétées au besoin à la législation ou la pratique nationale.
2. Le contrôle doit s'étendre à tous les domaines d'activités de l’établissement de paiement, tombant dans le champ de la surveillance de la CSSF conformément à l’article 31

(2)de la loi LSP. Le réviseur d’entreprises agréé expose pour les différents domaines d’activités contrôlés, quelles diligences de vérification ont été réalisées. Les conclusions du réviseur d’entreprises agréé doivent être formulées de manière claire et positive. Le compte rendu analytique doit contenir une description détaillée des faiblesses et des irrégularités identifiées.

1. Le mandat conféré au réviseur d’entreprises agréé ne peut pas exclure du champ du contrôle un type d'activités, une catégorie d'opérations ou une opération spécifique tombant dans le champ de la surveillance de la CSSF. Par ailleurs, le contrôle doit couvrir l’ensemble des risques ainsi que tous les aspects financiers, d’organisation et de contrôle interne de l’établissement de paiement. Le contrôle doit permettre de fournir toutes les informations requises dans le compte rendu analytique défini dans la présente circulaire (cf. le chapitre III. ci-dessous). Circulaire CSSF 12/550 page 4/27
3. Le mandat doit comporter expressément la mission de :  vérifier le respect des articles 28 (Les obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme) et 29 (L’obligation de coopérer avec les autorités) de la loi LSP et de l’ensemble de la législation relative à la lutte contre le blanchiment et contre le financement du terrorisme applicable aux établissements de paiement.  vérifier le respect des conditions énoncées au paragraphe

(3)lettres

1. a)à
2. c)de l’article 10 de la loi LSP au cas où l’établissement de paiement octroie des crédits liés aux services de paiements visés aux points 4, 5 ou 7 de l’annexe de la loi LSP.  vérifier le respect des dispositions du paragraphe

(1)de l’article 14 de la loi LSP concernant les exigences en matière de protection des fonds auxquelles est soumis l’établissement de paiement, qui exerce au titre de l’article 10, paragraphe

(1), point

1. c)des activités autres que la prestation de services de paiement. Les actifs à faible risque, liquides et sûrs dont il est fait référence à la lettre
2. a)du paragraphe 1 de l’article 14 de la loi LSP sont des éléments d’actifs relevant de l’une des catégories figurant au tableau 1 du point 14 de l’annexe I de la directive 2006/49/CE pour lesquels l’exigence de fonds propres pour risque spécifique ne dépasse pas 1,6% mais à l’exclusion d’autres éléments éligibles tels que définis au point 15 de ladite annexe. Des parts dans un organisme de placement collectif en valeurs mobilières (OPCVM) qui n’investit que dans des actifs visés au premier alinéa sont aussi des actifs à faible risque, liquides et sûrs.  vérifier le respect des dispositions du paragraphe

(1)de l’article 17 de la loi LSP concernant le calcul des fonds propres.  vérifier le respect des circulaires applicables aux établissements de paiement en matière d’administration centrale et d’infrastructure telles qu’énumérées dans la circulaire CSSF 11/

1. Le mandat doit englober toutes les succursales de l’établissement de paiement à l’étranger. Concernant les agents situés à l’étranger par l’intermédiaire desquels l’établissement de paiement entend fournir des services de paiement, le réviseur d’entreprises agréé doit décrire et apprécier l’encadrement de ces agents par l’établissement de paiement. Une attention particulière doit être réservée aux obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme. Circulaire CSSF 12/550 page 5/27 Pour le contrôle du respect des normes luxembourgeoises en matière de blanchiment et financement du terrorisme et des règles de conduite, le mandat doit englober également toutes les filiales de l’établissement de paiement à l’étranger. Les établissements de paiement sont priés de transmettre à la CSSF une copie du mandat confié à leur réviseur d’entreprises agréé pour le contrôle des comptes annuels et, le cas échéant, des comptes consolidés. Les établissements de paiement sont également tenus d’informer la CSSF de toute modification apportée à ce mandat ou de tout renouvellement qui se ferait avec des modalités autres que celles qui ont été communiquées initialement à la CSSF.
2. Les diligences effectuées par le réviseur d’entreprises agréé dans le cadre du mandat défini ci-dessus sont à documenter, d'une part, par un rapport sur les comptes annuels (cf. le chapitre II. ci-dessous) et, d'autre part, par un compte rendu analytique annuel de révision (cf. le chapitre III. ci-dessous).
3. Au cas où l’établissement de paiement serait soumis à la surveillance sur base consolidée exercée par la CSSF, un compte rendu analytique annuel de révision consolidé basé sur la situation financière consolidée doit également être établi.
4. Les établissements de paiement doivent immédiatement informer la CSSF au cas où leur réviseur d'entreprises agréé aurait dénoncé son mandat avant l'échéance du terme ou s'il envisage de ne pas faire proroger son mandat. De même, les établissements de paiement sont appelés à notifier à la CSSF, motifs à l'appui, leur intention de dénoncer le mandat de leur réviseur d'entreprises agréé ou de ne pas le proroger. La CSSF analysera lors de toute demande de changement du réviseur d'entreprises agréé les raisons du changement envisagé et appréciera si l’établissement de paiement a, dans la procédure de choix du nouveau réviseur d'entreprises agréé, évalué soigneusement l'adéquation des compétences et des ressources de ce dernier par rapport au type et au volume d’activités de l’établissement de paiement et par rapport à la nature et à la complexité de ses systèmes internes. Les établissements de paiement communiquent à cette occasion une copie du mandat accordé au nouveau réviseur d’entreprises agréé. II. Rapport sur les comptes annuels / comptes consolidés Le rapport du réviseur d’entreprises agréé (auditor’s report ou short form report, Bestätigungsvermerk) est soumis à la publication légale, ensemble avec les comptes Circulaire CSSF 12/550 page 6/27 annuels (consolidés) et le rapport (consolidé) de gestion sur lesquels il porte, conformément à l’article 79

(1)de la loi du 19 décembre 2002 concernant le registre de commerce et des sociétés ainsi que la comptabilité et les comptes annuels des entreprises (« loi RCS ») (article 341 de la loi modifiée du 10 août 1915 concernant les sociétés commerciales (« loi LSC »)). Le rapport du réviseur d’entreprises agréé comprend les éléments énoncés à l’article 69 bis de la loi RCS et à l’article 340

(3)de la loi LSC. Le réviseur d’entreprises agréé émet son rapport en conformité avec les normes d’audit internationales ISA 700 à 799 (« Audit Conclusions and Reporting ») telles qu’adoptées par le Règlement CSSF 11-01 du 8 juillet 2011. Le cas échéant, il tient compte des notes techniques émises par l’Institut des Réviseurs d’Entreprises. Le rapport sur les comptes annuels (consolidés) doit être accompagné des éléments sur lesquels il porte, à savoir les comptes annuels (consolidés) et le rapport (consolidé) de gestion. Conformément à l'article 26

(1)de la loi du 19 décembre 2002 concernant le registre de commerce et des sociétés ainsi que la comptabilité et les comptes annuels des entreprises (article 319 de la loi modifiée du 10 août 1915 concernant les sociétés commerciales), les comptes annuels (consolidés) comprennent le bilan (consolidé), le compte de profits et pertes (consolidé) ainsi que l'annexe ; ces documents forment un tout. Le rapport (consolidé) de gestion est défini à l’article 68

(1)de la loi du 19 décembre 2002 concernant le registre de commerce et des sociétés ainsi que la comptabilité et les comptes annuels des entreprises (article 339 de la loi modifiée du 10 août 1915 concernant les sociétés commerciales). Le contrôle du réviseur d’entreprises agréé porte sur les comptes annuels et, le cas échéant, les comptes consolidés. Au cas où l’établissement de paiement exerçait des activités autres que la prestation de services de paiement et les activités visées à l’article 10, paragraphe

(1), points

1. a)et
2. b)de la loi LSP, il doit en informer la CSSF. Sont visés dans le cas d’espèce les établissements de paiement dits « hybrides » qui sont des sociétés commerciales pouvant obtenir le statut d’établissement de paiement et prester des services de paiement tout en exerçant en même temps des activités autres que celles tombant dans le champ de la surveillance prudentielle de la CSSF. Dès qu’un tel établissement de paiement « hybride » existe, la CSSF déterminera le mandat dans le cadre duquel le réviseur d’entreprises agréé doit émettre un rapport sur les « informations financières distinctes » concernant son activité de services de paiement conformément aux dispositions de l’article 19

(3)de la loi LSP. Circulaire CSSF 12/550 page 7/27 Au cas où un réviseur d'entreprises agréé annoncerait à l’établissement de paiement qu’il va émettre une attestation qualifiée ou qu’il va refuser de certifier les comptes, l’établissement de paiement concerné doit immédiatement en avertir la CSSF. III. Compte rendu analytique annuel de révision III. A. Principes généraux Le compte rendu analytique (long form report, Prüfungsbericht) a pour objectif de rendre compte de manière descriptive et analytique des constatations concernant les aspects financiers et organisationnels que le réviseur d’entreprises agréé a faites lors de son contrôle. Le compte rendu analytique que les établissements de paiement font établir par leur réviseur d'entreprises agréé n’est pas destiné au public. Il est émis à l’usage exclusif des organes de direction et d’administration de l’établissement de paiement concerné ainsi qu’à l'autorité de surveillance. Le compte rendu analytique de révision doit être concis, clair et critique, reprenant pour chaque point énuméré dans le schéma ci-après, les constatations essentielles permettant de juger si l’établissement de paiement dispose pour son activité de prestation de services de paiement d’un solide dispositif de gouvernance interne, comprenant notamment une structure organisationnelle claire avec un partage des responsabilités qui soit bien défini, transparent et cohérent, des processus efficaces de gestion, de contrôle et de déclaration des risques auxquels il est ou pourrait être exposé, des mécanismes adéquats de contrôle interne, y compris des procédures administratives et comptables saines ainsi que des mécanismes de contrôle et de sécurité de ses systèmes informatiques. Les constats repris dans le compte rendu analytique de révision doivent également permettre d’évaluer la situation financière de l’établissement de paiement ainsi que son évolution. La direction de l’établissement de paiement est responsable de la rédaction des parties descriptives du compte rendu analytique de révision et doit mettre à la disposition du réviseur d’entreprises agréé toutes les informations nécessaires pour l’établissement du compte rendu analytique. Le réviseur d’entreprises agréé appréciera le caractère adéquat des parties descriptives établies par l’établissement de paiement sur base de ses travaux et de son jugement professionnel. Le réviseur d’entreprises agréé doit communiquer en détail les faiblesses et les points à améliorer qu’il aura constatés lors de son contrôle. Cette communication peut se faire Circulaire CSSF 12/550 page 8/27 dans le cadre du compte rendu analytique ou par l’intermédiaire d’une lettre de recommandations (management letter) adressée à la direction de l’établissement de paiement. Les constatations du réviseur d’entreprises agréé doivent être accompagnées des commentaires de la direction de l’établissement de paiement. Dans le cas de l’établissement d’une lettre de recommandations, celle-ci devra être annexée au compte rendu analytique sauf dans des cas exceptionnels, où, sur base d’une demande dûment justifiée, la CSSF accorde un délai pour la remise de cette lettre de recommandations après le compte rendu analytique. Lorsque le réviseur d’entreprises agréé n’émet pas de lettre de recommandations, il doit l’indiquer expressément. Conformément à l’article 37

(1)de la loi LSP, les établissements de paiement doivent communiquer spontanément à la CSSF, sans y être invités spécifiquement, également tous les autres documents émis par le réviseur d’entreprises agréé dans le cadre de son contrôle annuel. Le compte rendu analytique annuel de révision est à remettre à la CSSF au plus tard un mois après l'assemblée générale ordinaire de l’établissement de paiement. Sur demande dûment justifiée, la CSSF peut accorder un délai supplémentaire d'un mois. Les établissements de paiement soumis à la surveillance sur base consolidée de la CSSF remettent à celle-ci, au plus tard trois mois après leur assemblée générale ordinaire, le compte rendu analytique consolidé de révision ainsi que les comptes rendus analytiques de révision de leurs filiales comprises dans la surveillance sur base consolidée. Sur demande dûment justifiée, la CSSF peut accorder un délai supplémentaire d’un mois. Les comptes rendus analytiques doivent être transmis à la CSSF outre sur papier également sur support électronique. Circulaire CSSF 12/550 page 9/27 III.B. Schéma du compte rendu analytique Le compte rendu analytique doit être établi suivant le schéma ci-dessous. Il pourra être adapté à la nature, au volume et à la complexité des activités ainsi qu’à la structure de l’établissement de paiement contrôlé. Le cas échéant, le réviseur d’entreprises agréé doit compléter le schéma indiqué par les points qu’il juge nécessaires. Lorsqu’un point déterminé du schéma ne s’applique pas à l’établissement de paiement contrôlé, le réviseur d’entreprises agréé devra le mentionner explicitement sous le point en question. 1. Mandat 2. Evénements significatifs 3. Organisation et administration 3.1 Description de l’actionnariat 3.2 Organigramme de l’établissement de paiement 3.3 Organes de direction et de gestion 3.4 Organisation du réseau d’exploitation 3.5 Respect des dispositions de l’article 11 de la loi LSP (administration centrale et infrastructure) 3.6 Organisation administrative et comptable 3.7 Système informatique (schéma fonctionnel des flux et analyse des risques) et système de paiement 3.8 Externalisation de fonctions opérationnelles de services de paiement 4. Contrôle interne 5. Activités et analyse des risques y liés 6. Rapports périodiques à communiquer à la CSSF 7. Fonds propres 8. Analyse des comptes annuels 9. Obligations professionnelles en matière de prévention du blanchiment et du financement du terrorisme 10. Respect des dispositions auxquelles se réfèrent les paragraphes

(1)et

(2)de l’article 58 de la loi LSP

1. Succursales et agents
2. Relations avec les entreprises liées Circulaire CSSF 12/550 page 10/27
3. Suivi des problèmes soulevés dans des rapports précédents
4. Conclusion générale Circulaire CSSF 12/550 page 11/27 III.C. Commentaires relatifs au schéma du compte rendu analytique
5. Mandat Le réviseur d’entreprises agréé fournit une brève description de son mandat de contrôle annuel. Le réviseur d’entreprises agréé indiquera également toutes les prestations d’autres services que lui-même, sa firme ou son groupe, ont fournies auprès de l’établissement de paiement contrôlé.
6. Evénements significatifs Ce point indique le cas échéant les événements significatifs qui ont eu lieu au cours de l’exercice sous revue. Il s’agit par exemple de décisions stratégiques du conseil d’administration et du comité de direction, du début ou de la fin de réorganisations importantes, du lancement ou de l’arrêt d’une activité, de la conclusion d’opérations exceptionnelles ou de négociations avec d’autres établissements ou groupes en matière de fusion/acquisition ou de collaboration. Lorsqu’il n’y a pas eu d’événements significatifs au cours de l’exercice sous revue, le réviseur d’entreprises agréé mentionnera ce fait expressément.
7. Organisation et administration Ce point doit fournir une vue d’ensemble de la structure opérationnelle et décisionnelle de l’établissement de paiement. Il doit notamment permettre de tirer des conclusions précises quant au respect des dispositions des circulaires applicables aux établissements de paiement en matière d’administration centrale et d’infrastructure telles qu’énumérées par la circulaire CSSF 11/
8. 3.1 Description de l’actionnariat Ce point fournit une description de l’actionnariat direct de l’établissement de paiement ainsi que du groupe auquel il appartient ; cette structure sera présentée sous forme d’un organigramme. 3.2 Organigramme de l’établissement de paiement L’organigramme de l’établissement de paiement doit distinguer entre la direction et les différents départements et comités, avec indication du nombre des effectifs respectifs, et représenter les lignes hiérarchiques et fonctionnelles correspondantes en indiquant également les délégations de pouvoirs générales et particulières. Circulaire CSSF 12/550 page 12/27 L’organigramme doit être présenté sous forme graphique avec, au besoin, des commentaires explicatifs à l’appui. 3.3 Organes de direction et de gestion Il y a lieu d’indiquer la liste des membres des organes de direction en précisant particulièrement ceux qui sont agréés par la CSSF en vertu de l’article 13

(2)de la loi LSP (principe des « 4 yeux »). Ce point doit comporter une description des pouvoirs des organes de direction avec une indication précise des limites à ces pouvoirs. Le réviseur d’entreprises agréé indiquera si :   les membres de la direction (au moins deux) tiennent leurs pouvoirs directement du conseil d’administration, et si leurs pouvoirs sont égaux (ce qui est une condition pour une gestion collégiale et ce qui doit être reflété correctement dans l’organigramme de l’établissement de paiement). Le compte rendu analytique doit indiquer si à côté du conseil d’administration et de la direction autorisée d’autres instances de décision existent : sous-comités du conseil d’administration (comité de crédit,…), comités internes locaux, comités à l’échelle du groupe où l’établissement de paiement participe (comités de crédit, de trésorerie,…). Dans l’affirmative, il doit en indiquer la composition et les pouvoirs, ainsi que les éventuels droits de veto dont disposent les membres de la direction autorisée de l’établissement de paiement luxembourgeois à l’égard des décisions de ces instances. Le compte rendu analytique doit en outre reprendre la liste des personnes, membres de la direction autorisée, désignées responsables pour certaines fonctions. Il s’agit plus particulièrement des circulaires suivantes :      IML 95/118 relative au traitement des réclamations de la clientèle ; IML 96/126 relative à l’organisation administrative et comptable ; IML 98/143 relative au contrôle interne ; CSSF 04/155 relative à la fonction compliance ; CSSF 08/387 relative à la lutte contre le blanchiment et le financement du terrorisme et prévention de l’utilisation du secteur financier à des fins de blanchiment et de financement du terrorisme. Il indiquera en outre tous les changements intervenus au cours de l’exercice dans le chef de ces personnes. Comme les personnes visées peuvent charger des Circulaire CSSF 12/550 page 13/27 collaborateurs de l’exercice de certaines tâches pratiques liées à ces fonctions, le compte rendu analytique doit fournir le cas échéant une description et une appréciation sur cette collaboration. 3.4 Organisation du réseau d’exploitation Le descriptif de l’organisation du réseau porte sur les filiales nationales et étrangères, les succursales et sur tous les accords de coopération en matière de services de l’établissement de paiement par des partenaires ou de services d’autres établissements. Au cas où l’établissement de paiement détiendrait des succursales et/ou filiales, le compte rendu analytique fournit sous ce point également une description et une appréciation de l’intégration des succursales et filiales dans la structure organisationnelle, fonctionnelle et décisionnelle de l’établissement de paiement. Une revue de l’organisation et des activités des succursales, ainsi qu’une analyse de leurs risques sera fournie dans un chapitre séparé pour chaque succursale (cf. le point 11. du compte rendu analytique). En cas de détention de filiales soumises au contrôle consolidé de la CSSF, un compte rendu analytique consolidé de révision doit être établi (cf. le chapitre IV. « compte rendu analytique consolidé de révision » ci-dessous). Le compte rendu analytique se prononcera enfin sur l’existence de toute sorte de contrats de coopération en relation avec l’organisation et l’administration, le contrôle interne ou les activités avec des entreprises liées ou non. Le réviseur d’entreprises agréé relèvera également sous ce point les éventuels conflits de l’établissement de paiement en relation avec des contrats de coopération. 3.5 Respect des dispositions de l’article 11 de la loi LSP (administration centrale et infrastructure) Ce point doit fournir une appréciation sur le respect des dispositions de l’article 11 de la loi LSP concernant l’administration centrale et l’infrastructure. Il y a lieu de noter que la notion d’administration centrale et infrastructure est précisée par la circulaire IML 95/120, qui, d’après la circulaire CSSF 11/510, s’applique aux établissements de paiement. 3.6 Organisation administrative et comptable Circulaire CSSF 12/550 page 14/27 Le réviseur d’entreprises agréé doit donner une brève description de l’organisation administrative et comptable ainsi qu’une appréciation de son adéquation au regard du type et du volume des activités de l’établissement de paiement. Il y a lieu de noter que la notion d’organisation administrative et comptable est précisée par la circulaire IML 96/126, qui, d’après la circulaire CSSF 11/510, s’applique aux établissements de paiement. Le réviseur d’entreprises agréé indiquera notamment si les ressources humaines et techniques mises à disposition de l’établissement de paiement sont suffisantes pour assurer la bonne exécution de ses activités. Dans ce contexte, le réviseur d’entreprises agréé apprécie si l’établissement de paiement respecte le principe de la séparation des tâches eu égard à la taille de l’établissement de paiement contrôlé. Le compte rendu analytique se prononcera explicitement sur l’adéquation du traitement des comptes dormants et l’existence et l’adéquation du traitement de comptes internes. Le réviseur d’entreprises agréé doit se prononcer sur l’adéquation des procédures mises en place au sein de l’établissement de paiement et sur le respect de ces procédures. 3.7 Système informatique (schéma fonctionnel des flux et analyse des risques) et système de paiement Le réviseur d’entreprises agréé doit donner une description des systèmes et traitements informatiques et une appréciation de leur fiabilité et de la sécurité des données traitées. Le réviseur d’entreprises agréé est appelé à se prononcer sur l’adéquation du système informatique par rapport au volume et au type d’activités de l’établissement de paiement. Le réviseur d’entreprises agréé doit également donner une description des systèmes de paiement proposés par l’établissement de paiement et une appréciation de leur fiabilité et de leur sécurité. Le réviseur d’entreprises agréé doit fournir une description et une appréciation du plan de secours global (disaster recovery plan / business continuity plan) que l’établissement de paiement a établi en cas de panne de son système informatique respectivement du système de paiement proposé. Par ailleurs, le réviseur d’entreprises agréé doit effectuer une analyse des risques qui devra porter au moins sur les points suivants : Circulaire CSSF 12/550 page 15/27  Sécurité des informations. Le réviseur d’entreprises agréé doit en particulier se prononcer sur le dispositif informatique mis en place par l’établissement de paiement pour se protéger contre le risque d’intrusion et le risque de détournement de fonds ;  Développement et maintenance des systèmes ;  Procédures d’exploitation ;  Support technique du système d’information. 3.8 Externalisation de fonctions opérationnelles de services de paiement Si l’établissement de paiement entend externaliser des fonctions opérationnelles importantes de services de paiement conformément au paragraphe

(4)de l’article 11 de la loi LSP, le réviseur d’entreprises agréé doit indiquer si les conditions énoncées aux points

1. a)à
2. d)de ce paragraphe sont respectées. 4. Contrôle interne Le réviseur d’entreprises agréé doit fournir une description de l’organisation du système de contrôle interne et de la fonction d’audit interne ainsi qu’une appréciation de son adéquation au regard du type et du volume d’activités de l’établissement de paiement et des risques réels et potentiels auxquels l’établissement est exposé en matière de lutte contre le blanchiment et le financement du terrorisme. Il y a lieu de noter que la notion de contrôle interne est précisée par la circulaire IML 98/143 telle que modifiée par la circulaire CSSF 04/155, qui, d’après la circulaire CSSF 11/510, s’applique aux établissements de paiement. Concernant plus particulièrement la fonction d’audit interne, le réviseur d’entreprises agréé doit fournir :      une appréciation sur l’adéquation et le respect du plan d’audit interne ; une description et une appréciation de la façon dont la fonction d’audit interne fonctionne ; une appréciation de la qualité de cette fonction ; pour les établissements de paiement ayant des succursales dans le pays ou à l’étranger ou qui fournissent des services de paiement au Luxembourg ou à l’étranger par l’intermédiaire d’agents, une appréciation sur l’intégration de ces implantations dans le plan d’audit ; une évaluation de l’adéquation du suivi des recommandations émises par l’audit interne. Circulaire CSSF 12/550 page 16/27 Le réviseur d’entreprises agréé doit indiquer si une fonction de risk management existe au niveau de l’établissement de paiement. Dans l’affirmative, il y a lieu de fournir une description et une appréciation des attributions et du fonctionnement de la fonction en question. 5. Activités et analyse des risques y liés Le réviseur d’entreprises agréé doit fournir une description précise du type et du volume des services de paiement prestés par l’établissement de paiement notamment sur base de l’article 1er, point 38) de la loi LSP concernant les services de paiement prévus à l’annexe de ladite loi. Le réviseur d’entreprises agréé doit préciser si, outre la prestation de services de paiement tels que prévus à l’annexe de la loi LSP, l’établissement de paiement exerce une ou plusieurs des activités mentionnées aux points
3. a)à
4. c)du paragraphe

(1)de l’article 10 de la loi LSP. Dans l’affirmative, le réviseur d’entreprises agréé doit fournir une description du type et du volume de ces activités. Le réviseur d’entreprises agréé doit mentionner expressément si l’établissement de paiement a arrêté de prester un service de paiement ou s’il a commencé de prester un service de paiement ou encore si l’établissement a lancé une des activités prévues aux points a) à c) du paragraphe

(1)de l’article 10 de la loi LSP au cours de l’exercice sous revue. Le réviseur d’entreprises agréé doit préciser si l’établissement de paiement a mis en place un système adéquat de contrôle des risques. Cette partie doit également comprendre une analyse du degré d’exposition de l’établissement de paiement au moins aux risques suivants, dont la liste est à compléter le cas échéant en fonction de l’activité et de la situation de l’établissement de paiement concerné : - risque de crédit / risque de contrepartie (y inclus le risque de « chargeback » éventuel) ; - risque de fraude ; - risque de détournement de fonds ; - risque de marché - risque de change - risque opérationnel - risque de piratage informatique (risque d’attaque sur le système informatique) ; Circulaire CSSF 12/550 page 17/27 - risque de break down du système de paiement ; risque de rentabilité ; risque légal et de réputation ; risque de règlement ; risque de liquidité. Le réviseur d’entreprises agréé doit fournir pour chacun des risques énumérés une brève analyse, d’une part, quantitative et, d’autre part, qualitative. L’analyse quantitative doit indiquer, dans la mesure où les risques sont quantifiables, l’envergure des risques ainsi que des provisions et corrections de valeur y afférentes. L’analyse qualitative doit fournir une analyse du contrôle interne des risques et notamment :       de l’identification des risques provenant des activités de l’établissement de paiement, des systèmes de mesure des risques, de l’encadrement organisationnel (existence d’une unité indépendante de contrôle du risque), du respect des conditions et limites énoncées au paragraphe

(3)de l’article 10 de la loi LSP au cas où l’établissement de paiement octroie des crédits liés aux services de paiement visés aux points 4, 5 ou 7 de l’annexe de ladite loi, de la politique de provisionnement et traitement comptable, du suivi par la direction et le conseil d’administration (management information system). Au cas où l’établissement de paiement exerce au titre de l’article 10, paragraphe

(1), point c) de la loi LSP des activités autres que la prestation de services de paiement, le réviseur d’entreprises agréé doit vérifier le respect des dispositions du paragraphe

(1)de l’article 14 de la loi LSP.

1. Rapports périodiques à communiquer à la CSSF Le compte rendu analytique doit décrire et apprécier les systèmes et l’infrastructure mis en place en vue d’établir les rapports prudentiels périodiques à la CSSF en application de la circulaire CSSF 11/511 concernant le schéma de reporting périodique des établissements de paiement ainsi que les mesures de contrôle interne visant à garantir Circulaire CSSF 12/550 page 18/27 que les données communiquées à la CSSF sont complètes, correctes et établies selon les règles qui s’y appliquent. Le réviseur d’entreprises agréé procédera à des tests par échantillonnage, dont il décrira la méthodologie et dont il commentera les résultats. Des informations explicites sont à fournir le cas échéant sur l’intégration des données des succursales dans le reporting. Le réviseur d’entreprises agréé se prononcera également dans le cadre de ce point sur le traitement et le suivi réservés à l’ensemble de la correspondance entre l’établissement de paiement et la CSSF. Il indiquera en l’occurrence si l’établissement de paiement maintient un dossier centralisé à ce sujet ainsi que le nom et la fonction de la personne en charge de ce dossier. Au cas où il n’existerait pas de dossier centralisé dans l’établissement de paiement, le réviseur d’entreprises agréé se prononcera sur la manière dont l’établissement permet la consultation complète des échanges de correspondance établissement de paiement-CSSF.
2. Fonds propres Le réviseur d’entreprises agréé doit fournir une description et une appréciation des moyens mis en œuvre par l’établissement de paiement pour assurer le respect des dispositions de la circulaire CSSF 10/462 concernant la définition et les modalités de calcul des fonds propres des établissements de paiement. Le réviseur d’entreprises agréé doit confirmer si le calcul des fonds propres de l’établissement de paiement est fait conformément aux dispositions du paragraphe

(2)de l’article 16 de la loi LSP. Le réviseur d’entreprises agréé doit spécifier la méthode choisie par l’établissement de paiement pour le calcul des exigences en fonds propres et indiquer si l’établissement de paiement a respecté les dispositions du paragraphe

(1)de l’article 17 de la loi LSP.

1. Analyse des comptes annuels Le compte rendu analytique doit fournir une analyse des comptes annuels qui doit comprendre des commentaires précis sur les postes importants et les évolutions remarquables de la situation financière. Circulaire CSSF 12/550 page 19/27 Le compte rendu analytique indique également les éléments postérieurs à la clôture dont le réviseur d’entreprises agréé a eu connaissance et qui peuvent influencer l’appréciation de la situation économique et financière de l’établissement de paiement.
2. Obligations professionnelles en matière de prévention du blanchiment et du financement du terrorisme Le compte rendu analytique doit fournir une description des procédures établies par l’établissement de paiement en vue de la prévention du blanchiment et du financement du terrorisme, telles qu’exigées par la législation et la réglementation applicables aux établissements de paiement. Le compte rendu analytique fournira en particulier les éléments suivants:       une description de la politique d’acceptation des clients ; une appréciation de l’adéquation des procédures internes de l’établissement de paiement propre à la prévention du blanchiment et du financement du terrorisme ainsi que leur conformité aux dispositions des articles 28 à 30 de la loi LSP et à la législation et la réglementation applicables aux établissements de paiement ; une déclaration sur l’existence d’un contrôle régulier du respect des procédures par le service d’audit interne ; les mesures de formation et d’information des employés en matière de détection des opérations de blanchiment et de financement du terrorisme ; un historique statistique des transactions suspectes détectées, le nombre des cas de déclaration de transactions suspectes par l’établissement de paiement au Procureur d’Etat (Cellule de Renseignement Financier), ainsi que le montant total des fonds engagés ; une appréciation de l’analyse par l’établissement de paiement des risques de blanchiment ou de financement de terrorisme auxquels il fait face. Le réviseur d’entreprises agréé doit vérifier si les procédures, les infrastructures et les contrôles en matière de lutte contre le blanchiment et le financement du terrorisme mis en place par l’établissement, ainsi que l’étendue des mesures prises par l’établissement de paiement, sont appropriées au vu des risques de blanchiment et de financement du terrorisme auxquels l’établissement de paiement est ou pourrait être exposé, notamment de par ses activités, la nature de sa clientèle et les produits et services offerts. Le réviseur d’entreprises agréé doit indiquer sa méthode de sélection de l’échantillon des dossiers contrôlés et le taux de couverture de la population (nombre de dossiers Circulaire CSSF 12/550 page 20/27 contrôlés / nombre total de clients ; volume des fonds contrôlés / volume total des fonds). En cas du constat d’une non-conformité avec les dispositions légales ou réglementaires ou de lacunes, le réviseur d’entreprises agréé doit donner des indications précises permettant à la CSSF de juger la situation (nombre de dossiers non complets en suspens qui est à rapporter également au nombre total de dossiers contrôlés, détail des lacunes constatées, etc.). (cf. également le chapitre V. « Communication à la CSSF en vertu de l’article 37

(4)de la loi LSP » ci-dessous). Remarque : Il est souligné que les réviseurs d’entreprises agréés sont appelés à avertir également la CSSF de tous les cas de dénonciation qu’ils font en vertu de l’article 5 de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme et qui concernent un professionnel du secteur financier tombant sous la surveillance de la CSSF. 10. Respect des dispositions auxquelles se réfèrent les paragraphes

(1)et

(2)de l’article 58 de la loi LSP Le réviseur d’entreprises agréé doit fournir une description et une appréciation des moyens mis en œuvre par l’établissement de paiement pour assurer le respect des dispositions :  du titre III de la loi LSP intitulé « Transparence des conditions et exigences en matière d’informations régissant les services de paiement ».  du titre IV de la loi LSP intitulé « Droits et obligations liés à la prestation et à l’utilisation de services de paiement ».  du règlement (CE) No. 924/2009 du Parlement européen et du Conseil du 16 septembre 2009 concernant les paiements transfrontaliers dans la Communauté et abrogeant le règlement (CE) No. 2560/2001 et du règlement (CE) No. 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d’ordre accompagnant les virements de fonds par l’établissement de paiement.

1. Succursales et agents Les succursales de l’établissement de paiement sont à englober par le réviseur d’entreprises agréé dans le contrôle annuel de l’établissement de paiement. Circulaire CSSF 12/550 page 21/27 Ce contrôle est à traiter dans un chapitre à part du compte rendu analytique pour chaque succursale pris séparément et doit couvrir tant les aspects prudentiels (situation financière, risques, organisation) que le respect des dispositions applicables en matière de prévention du blanchiment et du financement du terrorisme, ainsi que des règles de conduite. Sont à fournir en particulier pour chaque succursale :  un organigramme ;  une description des activités ;  une analyse des risques encourus par la succursale, y compris en matière de lutte contre le blanchiment et le financement du terrorisme ;  une description et une appréciation de la gestion des risques dans la succursale ;  une description et une appréciation des procédures en matière de contrôle interne appliquées dans la succursale, l’existence d’une fonction d’audit interne propre et les modalités de l’intégration de la succursale dans le plan d’inspection du service audit interne de l’établissement de paiement ;  les déficiences graves que le contrôle de l’audit interne auprès de la succursale a révélées le cas échéant,  une appréciation de l’adéquation de l’organisation administrative et comptable,  la mise en œuvre et la vérification du respect des procédures en matière de prévention du blanchiment et du financement du terrorisme dans la succursale ;  la mise en œuvre et la vérification du respect des procédures luxembourgeoises en matière des règles de conduite dans la succursale,  l’intégration de la succursale au point de vue comptable,  l’intégration des systèmes et traitements informatiques de la succursale et leur intégration dans les systèmes et traitements informatiques de l’établissement de paiement. Le compte rendu analytique doit également indiquer les dispositions légales et réglementaires que les succursales établis dans un autre Etat membre de la Communauté Européenne (y compris l’Islande, le Liechtenstein et la Norvège) doivent respecter dans le pays d’accueil, ainsi que leur respect par l’établissement concerné. Concernant les agents situés à l’étranger par l’intermédiaire desquels l’établissement de paiement entend fournir des services de paiement, le réviseur d’entreprises agréé doit décrire et apprécier dans un chapitre à part l’encadrement de ces agents par l’établissement de paiement. Une attention particulière doit être réservée aux obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme. Circulaire CSSF 12/550 page 22/27
2. Relations avec les entreprises liées Le réviseur d’entreprises agréé doit attester dans le compte rendu analytique qu’il a examiné les transactions intragroupes et spécifier si celles-ci s'effectuent à des conditions de marché (at arm's length). Le réviseur d’entreprises agréé doit indiquer sa méthode de sélection de l’échantillon des opérations contrôlées et le taux de couverture de la population. Sont à décrire et à commenter notamment:  la politique et les objectifs poursuivis par l’établissement de paiement dans ses relations avec les entreprises liées,  le type d’opérations intragroupes effectuées,  les garanties émises en faveur/reçues de la part d’entreprises liées,  la part des intérêts perçus de la part d’entreprises liées, respectivement la part des intérêts payés aux entreprises liées,  les prix facturés pour services rendus ou obtenus,  le partage des marges perçues sur les clients transférés dans le groupe, etc. ...
3. Suivi des problèmes soulevés dans des rapports précédents Le réviseur d’entreprises agréé fait le suivi des irrégularités et faiblesses graves constatées lors des contrôles précédents et qui sont détaillées soit dans un compte rendu analytique précédent, soit dans une lettre de recommandation séparée adressée à la direction.
4. Conclusion générale Dans la conclusion générale, le réviseur d’entreprises agréé doit prendre position sur tous les points essentiels de son contrôle, de façon à donner une vue d’ensemble sur la situation de l’établissement de paiement contrôlé. De manière plus générale, le réviseur d'entreprises agréé doit résumer les principales remarques et conclusions figurant dans le rapport. Il indiquera également les principales recommandations et observations adressées à la direction de l’établissement de paiement dans le cadre du contrôle des comptes annuels ainsi que la réaction de celle-ci y relative. Au cas où le réviseur d’entreprises agréé adresserait une lettre de recommandations séparée à la direction, il suffit que la conclusion générale fasse Circulaire CSSF 12/550 page 23/27 référence pour cette partie au document en question, qui doit alors figurer en annexe du compte rendu analytique. Le réviseur d'entreprises agréé indiquera la liste complète de tous les documents qu’il a émis dans le cadre de son contrôle des comptes annuels de l'exercice sous revue. Le réviseur d'entreprises agréé décrira l'existence d'éventuels problèmes de l’établissement de paiement avec des autorités de surveillance étrangères. IV. Compte rendu analytique consolidé de révision Le compte rendu analytique consolidé de révision est à établir selon les mêmes principes et suivant le même schéma que le compte rendu annuel de révision. Il doit toutefois se concentrer sur les informations spécifiques à la situation consolidée. Le compte rendu analytique consolidé de révision doit détailler le périmètre de consolidation et les changements éventuels du périmètre au cours de l’exercice sous revue. Si l’établissement de paiement soumis au contrôle consolidé de la CSSF est exempté de publier des comptes consolidés ou lorsque le périmètre de consolidation de la publication de comptes consolidés diffère du périmètre de consolidation de la surveillance sur une base consolidée, le compte rendu analytique consolidé de révision doit être basé sur la situation comptable consolidée correspondant au périmètre du contrôle consolidé exercé par la CSSF. L’objectif du compte rendu analytique consolidé de révision est de procurer une vue d’ensemble sur la situation du groupe et de donner des indications sur l’organisation et les activités du groupe ainsi que sur la gestion et la structure des risques du groupe. Le compte rendu analytique consolidé de révision reprendra brièvement les différents points du schéma pour chaque filiale consolidée. V. Communications à la CSSF en vertu de l’article 37

(4)de la loi LSP Conformément au paragraphe

(4)de l’article 37 de la loi LSP, le réviseur d’entreprises agréé est tenu de signaler à la CSSF rapidement tout fait ou décision dont il a pris connaissance dans l’exercice du contrôle des documents comptables annuels d’un établissement de paiement ou d’une autre mission légale, lorsque ce fait ou cette décision: Circulaire CSSF 12/550 page 24/27   concerne cet établissement de paiement et est de nature à - constituer une violation grave des dispositions de la loi LSP ou des dispositions réglementaires prises pour son exécution, ou - porter atteinte à la continuité de l’exploitation de l’établissement de paiement, ou - entraîner le refus de la certification des comptes ou l’émission de réserves y relatives. Le réviseur d’entreprises agréé est également tenu de signaler rapidement à la CSSF tout fait ou décision répondant à l’un des trois critères mentionnés ci-dessus, dont il a eu connaissance dans l’exercice du contrôle des documents comptables annuels ou d’une autre mission légale auprès d’une entreprise liée par un lien de contrôle à l’établissement de paiement auprès duquel il effectue une mission légale. Par « une autre mission légale », il y a lieu d’entendre notamment :  un contrôle spécifique effectué auprès d’un établissement de paiement à la demande de la CSSF sur base du paragraphe

(2)de l’article 37 de la loi LSP,  une intervention dans le cadre d’un projet de fusion d’entreprises, en vertu de la loi sur les sociétés commerciales,  une intervention dans le cadre d’un projet de scission d’entreprises, en vertu de la loi sur les sociétés commerciales,  une intervention dans le cadre de la libération du capital social par des apports ne consistant pas en numéraire, en vertu de la loi sur les sociétés commerciales. Exemples de faits ou décisions relevant ou pouvant relever de l’obligation de communication à la CSSF :  problèmes d’évaluation en matière de risque de crédit / risque de contrepartie (y inclus le risque de « chargeback » éventuel) ;  fraudes susceptibles d’entraîner des pertes importantes ;  litiges importants ;  difficultés financières dans une succursale ou filiale ;  événement majeur dans une succursale ou filiale ;  erreurs significatives dans les états périodiques tels que définis par la circulaire CSSF 11/511 ;  octroi d’un dividende intérimaire alors que l’établissement de paiement dispose de fonds propres insuffisants ou à peine suffisants ;  dépassements importants et répétés des limites internes ;  changement d’activité sans infrastructure adéquate ;  déficiences graves dans le système de contrôle interne ; Circulaire CSSF 12/550 page 25/27  augmentations significatives des risques attachés à l’activité de l’établissement de paiement ;  non-respect des obligations professionnelles découlant de la législation relative à la lutte contre le blanchiment et contre le financement du terrorisme applicable aux établissements de paiement ;  non-respect des obligations professionnelles telles que prévues aux titres III et IV de la loi LSP ;  violation par un directeur du principe des « 4 yeux » (p.ex. dans la cadre d’une procédure d’octroi de crédit) ;  conflits majeurs au sein des organes de décision de l’établissement ;  départ imprévu d’un dirigeant occupant une fonction-clé ;  dysfonctionnements importants dans l’organisation ou dans l’infrastructure informatique ;  réorganisation importante ;  changement d’actionnaire détenant une participation qualifiée sans l’accord préalable de la CSSF ;  prise d’une participation qualifiée sans autorisation préalable de la CSSF ;  non-respect des dispositions de l’article 14 de la loi LSP concernant les exigences en matière de protection des fonds. Le réviseur d’entreprises agréé est en outre tenu de fournir à la CSSF tous les renseignements ou certifications que celle-ci requiert sur les points dont le réviseur d’entreprises agréé a ou doit avoir connaissance dans le cadre de sa mission. En contrepartie de l’obligation de communication à la CSSF, le paragraphe 5 de l’article 37 de la loi LSP, garantit au réviseur d'entreprises agréé qui révèle de bonne foi un renseignement confidentiel en application du paragraphe

(4)dudit article, la protection contre d’éventuels recours en responsabilité. VI. Dispositions finales La CSSF peut, sur demande écrite dûment justifiée, dispenser un établissement de paiement de l’établissement d’un compte rendu analytique annuel de révision ou d’un compte rendu analytique consolidé de révision en fonction de la nature et des risques de ses activités. La circulaire CSSF 12/533 fournit des précisions sur les conditions et modalités du régime dérogatoire applicable aux établissements de paiement tel qu’instauré par l’article 48 de la loi LSP. Circulaire CSSF 12/550 page 26/27 Les instructions de la présente circulaire sont à observer dans leur ensemble pour les comptes annuels des exercices comptables débutant après le 31 décembre 2011. Veuillez recevoir, Mesdames, Messieurs, l'assurance de nos sentiments distingués. COMMISSION DE SURVEILLANCE DU SECTEUR FINANCIER Claude SIMON Directeur Circulaire CSSF 12/550 Andrée BILLON Directeur Simone DELCOURT Directeur Jean GUILL Directeur général page 27/27