COMMISSION de SURVEILLANCE du SECTEUR FINANCIER Luxembourg, le 24 novembre 2014 A tous les établissements de crédit, entreprises d’investissement et professionnels effectuant des opérations de prêt * CIRCULAIRE CSSF 14/597 Concerne: Mise à jour de la circulaire CSSF 12/552 relative à l’administration centrale, la gouvernance interne et la gestion des risques Mesdames, Messieurs, 1. La circulaire CSSF 12/552 est modifiée conformément à l’annexe. L’annexe en question présente les changements apportés par la présente à la circulaire CSSF 12/552 en version « suivi des modifications » afin de faciliter la lecture. Ces changements portent sur les aspects suivants : Ajout d’un nouveau chapitre 6 dans la partie III de la circulaire CSSF 12/552. Ce chapitre répond à la recommandation du Comité Européen du Risque Systémique (CERS) sur le financement des établissements de crédit (CERS/2012/2) dont la sous-recommandation B prévoit la mise en place d’un cadre général de gestion du risque de charge pesant sur les actifs (« asset encumbrance ») ; Précisions apportées aux points 72 et 182. 2. Les modifications apportées par la présente circulaire à la circulaire CSSF 12/552 entrent en vigueur avec effet au 31 décembre 2014. COMMISSION DE SURVEILLANCE DU SECTEUR FINANCIER Claude SIMON Directeur Andrée BILLON Directeur Simone DELCOURT Directeur Jean GUILL Directeur général Annexe * Pour les professionnels effectuant des opérations de prêt, tels que définis à l’article 28-4 de la loi du 5 avril 1993 relative au secteur financier, seul le chapitre 3 de la partie III reste applicable. La présente circulaire ne change en rien les obligations qui incombent à ces professionnels. COMMISSION de SURVEILLANCE du SECTEUR FINANCIER Annexe Luxembourg, le 11 décembre 2012 A tous les établissements de crédit, entreprises d’investissement et professionnels effectuant des opérations de prêt 1 CIRCULAIRE CSSF 12/552 telle que modifiée par lesa circulaires CSSF 13/563 et CSSF 14/597 Concerne: Administration centrale, gouvernance interne et gestion des risques Mesdames, Messieurs, Les articles 5 paragraphe 1bis et 17 paragraphe 1bis de la loi du 5 avril 1993 relative au secteur financier exigent des établissements de crédit et des entreprises d'investissement qu’ils disposent d’un solide dispositif de gouvernance interne, comprenant notamment une structure organisationnelle claire avec un partage des responsabilités qui soit bien défini, transparent et cohérent, des processus efficaces de détection, de gestion, de contrôle et de déclaration des risques auxquels ils sont ou pourraient être exposés, des mécanismes adéquats de contrôle interne, y compris des procédures administratives et comptables saines et des politiques et pratiques de rémunération permettant et promouvant une gestion saine et efficace des risques, ainsi que des mécanismes de contrôle et de sécurité de leurs systèmes informatiques. Dans le passé, suivant les développements réglementaires sur le plan international et les nécessités locales, la CSSF avait précisé les modalités d’application de ces articles dans différentes circulaires. L’ajout de nouvelles circulaires transposant les lignes directrices de l’Autorité bancaire européenne (EBA) en matière de gouvernance interne du 27 septembre 2011 (« EBA Guidelines on Internal Governance (GL 44) ») et celles du Comité de Bâle sur le contrôle bancaire (BCBS) en matière d’audit interne du 28 juin 2012 (« The internal audit function in banks ») aurait généré d’importantes redondances et multiplié les terminologies utilisées. Ainsi la CSSF a décidé de concentrer l’ensemble des modalités d’application clé en matière de gouvernance interne dans une circulaire unique. Cette circulaire reprend les lignes directrices de l’EBA et du BCBS mentionnées ci-avant qu’elle complète par les dispositions additionnelles contenues dans les circulaires IML 96/126, IML 98/143, CSSF 04/155, CSSF 05/178 et CSSF 10/466 2. 1 Pour les professionnels effectuant des opérations de prêt, tels que définis à l’article 28-4 de la loi du 5 avril 1993 relative au secteur financier, seul le chapitre 3 de la partie III est applicable. 2 Circulaires IML 96/126 concernant l’organisation administrative et comptable, IML 98/143 concernant le contrôle interne, CSSF 04/155 concernant la fonction compliance, CSSF 05/178 concernant l’organisation administrative et comptable et la sous-traitance en matière informatique et CSSF 10/466 concernant les informations à publier en situations de crise. Par ailleurs, afin de présenter une vue d’ensemble, la circulaire reprend, par référence aux articles 5 paragraphe 1 et 17 paragraphe 1 de la loi du 5 avril 1993 relative au secteur financier, les modalités d’application en matière d’administration centrale telles que précisées dans la circulaire IML 95/120. En conséquence, les circulaires IML 95/120, IML 96/126, IML 98/143, CSSF 04/155, CSSF 05/178 et CSSF 10/466 sont abrogées dans le chef des établissements de crédit et entreprises d’investissement. 3 Finalement, la circulaire entend recueillir également l’ensemble des dispositions en matière de gestion des risques. La présente circulaire constitue un premier pas vers un recueil réglementaire consolidé en matière de gouvernance interne au sens large. Elle ne comprend pas l’ensemble des domaines visés, comme par exemple celui de la rémunération qui est couvert par le référentiel CRD (« Capital Requirements Directive » - circulaires CSSF 06/273 et CSSF 07/290) et par la circulaire CSSF 11/505 donnant des précisions relatives au principe de proportionnalité en matière de rémunération. Le même constat s’applique aux risques. La présente circulaire se limite pour l’essentiel à transposer des lignes directrices d’EBA. Il s’agit des lignes directrices du 2 septembre 2010 en matière de risques de concentration (« CEBS Guidelines on the management of concentration risk under the supervisory review process (GL31) ») et des lignes directrices du 27 octobre 2010 en matière de tarification de la liquidité (« Guidelines on Liquidity Cost Benefit Allocation »). En outre, la circulaire reprend les principes de prudence de base dans le domaine de l’octroi des crédits et de la gestion patrimoniale privée. Les multiples circulaires existantes relatives aux risques et à leur gestion seront rassemblées au sein d’une version ultérieure de la présente circulaire. Lorsqu’en réponse à des développements réglementaires sur le plan international ou des nécessités locales, la CSSF est amenée à préciser les exigences reprises dans la présente circulaire, elle procédera à la mise à jour de cette circulaire. La partie IV de la circulaire contient une chronologie des mises à jour qui permet au lecteur de retracer les modifications opérées par les mises à jour successives. La circulaire est divisée en quatre parties : la première contient le champ d’application, la deuxième les exigences de structure en matière d’administration centrale et de gouvernance interne, la troisième les exigences spécifiques en matière de gestion des risques et la quatrième l’entrée en vigueur et les mesures transitoires et dispositions abrogatoires. La table des matières se présente comme suit. Les encadrés qui apparaissent dans la circulaire contiennent des remarques et précisions qui servent d’orientation pour la mise en œuvre des exigences contenues dans la présente circulaire. 3 Les circulaires IML 95/120, IML 96/126, IML 98/143 et CSSF 05/178 restent en vigueur pour les PSF qui ne sont pas des entreprises d’investissement. Ces circulaires, ensemble avec la circulaire CSSF 04/155, restent d’application pour les établissements de paiement et les établissements de monnaie électronique. Circulaire CSSF 12/552 2/61 Table des matières Partie I. Définitions et champ d’application..................................................5 Chapitre 1. Définitions .......................................................................................5 Chapitre 2. Champ d’application........................................................................5 Partie II. Dispositif en matière d’administration centrale et de gouvernance interne 7 Chapitre 1. L’administration centrale.................................................................7 Chapitre 2. Le dispositif de gouvernance interne ...............................................7 Chapitre 3. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne..................................................................9 Chapitre 4. Conseil d’administration et direction autorisée .............................10 Sous-chapitre 4.1. Le conseil d’administration ...........................................................10 Section 4.1.1. Responsabilités du conseil d’administration..................................10 Section 4.1.2. Composition et qualification du conseil d’administration .............14 Section 4.1.3. Organisation et fonctionnement du conseil d’administration ........15 Section 4.1.4. Comités spécialisés ........................................................................15 Sous-section 4.1.4.1. Le comité d'audit............................................................................16 Sous-section 4.1.4.2. Le comité des risques.....................................................................17 Sous-chapitre 4.2. La direction autorisée.....................................................................18 Section 4.2.1. Responsabilités de la direction autorisée .......................................18 Section 4.2.2. Qualification de la direction autorisée ...........................................21 Section 4.2.3. Politiques spécifiques (de risque, de fonds propres et de liquidités)21 Chapitre 5. Organisation administrative, comptable et informatique...............22 Sous-chapitre 5.1. L’organigramme et les ressources humaines .................................22 Sous-chapitre 5.2. L'infrastructure administrative et technique...................................23 Section 5.2.1. L'infrastructure administrative des fonctions commerciales..........23 Section 5.2.2. La fonction financière et comptable ..............................................23 Section 5.2.3. La fonction informatique ...............................................................25 Section 5.2.4. Le dispositif de communication et d’alerte internes ......................26 Section 5.2.5. Le dispositif de gestion de crises ...................................................26 Sous-chapitre 5.3. La documentation interne ..............................................................27 Chapitre 6. Le contrôle interne .........................................................................27 Sous-chapitre 6.1. Les contrôles opérationnels ...........................................................28 Section 6.1.1. Contrôles quotidiens réalisés par le personnel exécutant...............28 Section 6.1.2. Contrôles critiques continus...........................................................28 Section 6.1.3. Contrôles réalisés par les membres de la direction autorisée sur les activités ou fonctions qui tombent sous leur responsabilité directe .........................................29 Sous-chapitre 6.2. Les fonctions de contrôle interne...................................................29 Section 6.2.1. Responsabilités génériques des fonctions de contrôle interne .......30 Section 6.2.2. Caractéristiques des fonctions de contrôle interne.........................31 Section 6.2.3. Exécution des travaux des fonctions de contrôle interne...............32 Section 6.2.4. Organisation des fonctions de contrôle interne..............................33 Section 6.2.5. La fonction de contrôle des risques ...............................................34 Sous-section 6.2.5.1. Responsabilités spécifiques et champ d’application de la fonction de contrôle des risques 35 Sous-section 6.2.5.2. Organisation de la fonction de contrôle des risques ......................36 Section 6.2.6. La fonction compliance .................................................................36 Sous-section 6.2.6.1. La charte de compliance ................................................................37 Sous-section 6.2.6.2. Responsabilités spécifiques et champ d’application de la fonction compliance 38 Sous-section 6.2.6.3. Organisation de la fonction compliance ........................................39 Section 6.2.7. La fonction d’audit interne ............................................................40 Circulaire CSSF 12/552 3/61 Sous-section 6.2.7.1. La charte d’audit interne ................................................................40 Sous-section 6.2.7.2. Responsabilités spécifiques et champ d’application de la fonction d’audit interne 42 Sous-section 6.2.7.3. Exécution des travaux d’audit interne............................................43 Sous-section 6.2.7.4. Organisation de la fonction d’audit interne ...................................44 Chapitre 7. Exigences spécifiques ....................................................................44 Sous-chapitre 7.1. Structure organisationnelle et entités juridiques (« Know-yourstructure ») 44 Section 7.1.1. Principes directeurs en matière d’activités « inhabituelles » ou « non transparentes » 45 Sous-chapitre 7.2. Gestion des conflits d’intérêts........................................................45 Section 7.2.1. Exigences additionnelles relatives aux conflits d’intérêts en relation avec des parties liées 46 Sous-chapitre 7.3. Procédure d’approbation des nouveaux produits (et des nouvelles activités) (« New Product Approval Process ») .......................................................................47 Sous-chapitre 7.4. Sous-traitance (« Outsourcing ») ...................................................48 Section 7.4.1. Exigences générales en matière de sous-traitance .........................48 Section 7.4.2. Exigences particulières en matière de sous-traitance dans le domaine informatique 50 Sous-section 7.4.2.1. Services de gestion/d’opération des systèmes informatiques ........50 Sous-section 7.4.2.2. Services de conseil, de développement et de maintenance............51 Sous-section 7.4.2.3. Services d’hébergement et propriété de l’infrastructure ................51 Section 7.4.3. Exigences générales supplémentaires ............................................52 Section 7.4.4. Documentation...............................................................................53 Chapitre 8. Reporting légal...............................................................................53 Partie III. Gestion des risques ........................................................................54 Chapitre 1. Principes généraux en matière de mesure et de gestion des risques54 Sous-chapitre 1.1. La gestion des risques ....................................................................54 Sous-chapitre 1.2. La mesure des risques ....................................................................54 Chapitre 2. Risques de concentration ...............................................................55 Chapitre 3. Risque de crédit .............................................................................55 Sous-chapitre 3.1. Principes généraux.........................................................................55 Sous-chapitre 3.2. Crédits immobiliers résidentiels aux particuliers...........................56 Sous-chapitre 3.3. Crédits aux promoteurs immobiliers..............................................57 Chapitre 4. Tarification du risque (« Risk Transfer Pricing »).........................58 Chapitre 5. Gestion patrimoniale privée (« banque privée »)...........................58 Chapitre 6. Risque de charge pesant sur les actifs (« asset encumbrance ») ....59 Partie IV. Entrée en vigueur, mesures transitoires et dispositions abrogatoires60 Circulaire CSSF 12/552 4/61 Partie I. Définitions et champ d’application Chapitre 1. Définitions 1. On entend aux fins de la présente circulaire par : 1) « conseil d’administration » : l’organe ou à défaut les personnes qui du point de vue du droit des sociétés contrôlent la gestion exercée par la direction autorisée. Le terme n’est pas à prendre dans son acceptation juridique, puisque les banques et entreprises d’investissement peuvent revêtir une forme juridique qui ne prévoit pas de « conseil d’administration » au sens du droit des sociétés. Par exemple, en présence d’un conseil de surveillance, ce dernier assumera les responsabilités que la présente circulaire attribue au « conseil d’administration » ; 2) « direction autorisée » : les personnes visées aux articles 7 paragraphe 2 et 19 paragraphe 2 de la loi du 5 avril 1993 relative au secteur financier. Ces personnes sont désignées par « directeurs autorisés » ; 3) « établissement » : une entité telle que définie au chapitre 2 de la partie I ; 4) « fonction clé » : toute fonction dont l’exercice permet d’avoir une influence notable sur la conduite ou le contrôle des activités. Ces fonctions clé comprennent au minimum les administrateurs, directeurs autorisés et les responsables des trois fonctions de contrôle interne suivant le point 105 (c’est-àdire la fonction de contrôle des risques, la fonction compliance et la fonction d’audit interne); 5) « LSF » : la loi du 5 avril 1993 relative au secteur financier ; 6) « parties liées » : les entités juridiques appartenant au groupe auquel l’établissement appartient ainsi que les employés, actionnaires, directeurs et membres du conseil d’administration de ces entités. Chapitre 2. Champ d’application 2. La présente circulaire s’applique aux établissements de crédit et aux entreprises d’investissement de droit luxembourgeois, y compris à leurs succursales, ainsi qu’aux succursales luxembourgeoises d’établissements de crédit et d’entreprises d’investissement dont l’origine se situe en dehors de l’Espace économique européen. Pour les domaines où la CSSF conserve une responsabilité de contrôle en tant qu’autorité d’accueil – il s’agit des mesures en matière de lutte contre le blanchiment et le financement du terrorisme, de marchés d’instruments financiers et de la liquidité - les succursales luxembourgeoises d’établissements de crédit et d’entreprises d’investissement originaires d’un Etat membre de l’Espace économique européen mettent en place un dispositif en matière d’administration centrale et de gouvernance interne ainsi qu’une gestion des risques qui sont comparables à ceux prescrits par la présente circulaire. En ce qui concerne les professionnels effectuant des opérations de prêt, tels que définis à l’article 28-4 de la LSF, seul le chapitre 3 de la partie III de la présente circulaire est applicable. Toutes les entités visées aux paragraphes précédents sont désignées ci-après par le terme « établissements ». Circulaire CSSF 12/552 5/61 En ce qui concerne les professionnels effectuant des opérations de prêt, tels que définis à l’article 28-4 de la LSF, seul le chapitre 3 de la partie III de la présente circulaire est applicable. Le chapitre 6 de la partie III de la présente circulaire s’applique uniquement aux établissements de crédit. 3. La circulaire s’applique aux établissements sur base individuelle et consolidée. Lorsqu’il existe des entités juridiques, consolidées ou non, pour lesquelles l’établissement est entreprise mère au sens de la LSF, le terme « établissement » sert à désigner le « groupe », c’est-à-dire l’ensemble formé par l’entreprise mère (la « tête de groupe ») et les entités juridiques pour lesquelles l’établissement est entreprise mère au sens de la LSF. La circulaire s’applique alors au « groupe » dans son ensemble, aux différentes entités juridiques qui le composent, y compris leurs succursales éventuelles, ainsi qu’aux relations entre ces entités juridiques, dans le respect des lois et des dispositions réglementaires nationales qui s’appliquent aux entités juridiques en question. Dans le cas d’entités juridiques dans lesquelles l’établissement détient une participation entre 20% et 50% mais pour lesquelles l’établissement n’est pas entreprise mère au sens de la LSF, l’établissement tête de groupe fait tout son possible, de concert avec les autres actionnaires ou associés concernés, pour que soit mis en place dans ces entités juridiques un dispositif en matière d’administration centrale et de gouvernance interne ainsi qu’une gestion des risques qui répondent à des standards comparables à ceux prescrits par la présente circulaire et dans le respect des lois et des dispositions réglementaires applicables aux niveaux nationaux. Quelle que soit la structure organisationnelle et opérationnelle de l’établissement, la mise en œuvre de la présente circulaire permet à l’établissement d’avoir une maîtrise complète de ses activités et des risques auxquels il est exposé ou pourrait être exposé, peu importe la localisation de ces activités et risques. 4. Les mesures d’exécution que les établissements prennent en vertu de la présente circulaire sont proportionnelles à la nature, à l’échelle et à la complexité des activités, y compris les risques, et de l’organisation de l’établissement. En pratique, l’application du principe de proportionnalité conduit les établissements qui sont plus importants, complexes ou risqués à se doter d’un dispositif renforcé en matière d’administration centrale et de gouvernance interne. Ce dispositif comprend par exemple l’instauration de comités spécialisés suivant la section 4.1.4. A l’opposé, pour des établissements dont la diversité, la taille ou la complexité de l’activité sont moindres, le principe de proportionnalité peut jouer à la baisse. Ainsi ces établissements peuvent fonctionner adéquatement au sens de la présente circulaire avec des fonctions compliance et de contrôle des risques assumées à temps partiel (voir les points 129 et 141), avec un audit interne sous-traité (point 117) ou encore moyennant le recours à des experts externes en vue de réaliser certaines tâches de contrôle interne (point 118). L’application à la baisse du principe de proportionnalité est limitée en particulier par le principe de la ségrégation des tâches qui exige que les tâches et responsabilités doivent être attribuées de façon à éviter les conflits d’intérêts dans le chef d'une même personne (voir le point 71). Au niveau de la direction autorisée, ce principe est atténué par le principe de la responsabilité collective de la direction autorisée (voir le point 72). Alors que la Circulaire CSSF 12/552 6/61 répartition des tâches au niveau de la direction autorisée s’effectue dans le respect du principe de la ségrégation des tâches, la responsabilité reste collective. Par application du principe de proportionnalité, lorsqu’un établissement ne nécessite pas plus que deux directeurs autorisés, la répartition efficace des tâches n’est pas toujours compatible avec une ségrégation stricte des tâches au niveau de cette direction. Par exemple, il est admissible dans ce cas de figure que le même membre de la direction autorisée soit en charge à la fois de l'organisation administrative, comptable et informatique et des fonctions de contrôle interne (voir le point 63). Quelle que soit l’organisation retenue, les arrangements en la matière permettent à l’établissement d’opérer dans le plein respect des dispositions prévues au chapitre 3 de la partie II. Partie II. Dispositif en matière d’administration centrale et de gouvernance interne Chapitre 1. L’administration centrale 5. Les établissements disposent au Luxembourg d’une solide administration centrale, comportant leur « centre de prise de décision » et leur « centre administratif ». L’administration centrale, qui englobe au sens large les fonctions de direction et de gestion, d'exécution et de contrôle, permet à l’établissement d’avoir la maîtrise de l’ensemble de ses activités. 6. La notion de centre de prise de décision ne comprend pas seulement l'activité de la direction autorisée suivant les articles 7 paragraphe 2 et 19 paragraphe 2 de la LSF, mais également celle des responsables des différentes fonctions commerciales, de support et de contrôle ou des différentes unités opérationnelles (services, départements ou métiers) existant à l'intérieur de l'établissement. 7. Le centre administratif comprend en particulier une bonne organisation administrative, comptable et informatique qui assure en permanence la bonne administration des valeurs et des biens, l'exécution adéquate des opérations, l'enregistrement correct et exhaustif des opérations et la production d'une information de gestion correcte, complète, pertinente, compréhensible et disponible sans délais. Il inclut à ce titre l’infrastructure administrative des fonctions commerciales (section 5.2.1), les fonctions de support, en particulier dans le domaine financier et comptable (section 5.2.2) et informatique (section 5.2.3), ainsi que le contrôle interne (chapitre 6). 8. Lorsque l’établissement est tête de groupe suivant le point 3, l’administration centrale permet à l’établissement de concentrer en son siège à Luxembourg toute l’information de gestion nécessaire pour gérer, suivre et contrôler de façon continue les activités du groupe. De même, l’administration centrale permet à l’établissement d’atteindre toutes les entités juridiques et succursales qui composent le groupe afin de leur fournir toute l’information de gestion nécessaire. La notion d’information de gestion s’entend au sens le plus large, incluant l’information financière et le reporting prudentiel. Chapitre 2. Le dispositif de gouvernance interne 9. La gouvernance interne est une composante limitée mais cruciale de la gouvernance d’entreprise, se concentrant sur la structure interne et l’organisation d’un Circulaire CSSF 12/552 7/61 établissement. La gouvernance d’entreprise est un concept plus vaste qui peut être décrit comme étant l’ensemble des relations entre un établissement, son conseil d’administration, sa direction autorisée, ses actionnaires et les autres parties prenantes. La gouvernance interne doit assurer en particulier la gestion saine et prudente des activités, y compris des risques qui leur sont inhérents. Afin d’atteindre cet objectif, les établissements mettent en place un dispositif de gouvernance interne qui répond au concept des « trois lignes de défense » (« three-lines-of-defence model »). La première ligne de défense est constituée par les unités opérationnelles qui prennent ou acquièrent des risques dans le cadre d’une politique et de limites prédéfinies et qui effectuent des contrôles tels que décrits en particulier à la section 6.1.1. La seconde ligne est formée par les fonctions de support, y compris la fonction financière et comptable (section 5.2.2) ainsi que la fonction informatique (section 5.2.3), et les fonctions compliance et de contrôle des risques (sous-chapitre 6.2 et sections 6.2.5 et 6.2.6) qui contribuent au contrôle indépendant des risques. La troisième ligne est constituée par la fonction d’audit interne qui, conformément au sous-chapitre 6.2 et à la section 6.2.7, effectue une évaluation indépendante, objective et critique des deux premières lignes de défense. Les trois lignes de défense sont complémentaires, chaque ligne de défense assumant ses responsabilités de contrôle indépendamment des autres lignes. Les contrôles réalisés par les trois lignes de défense comprennent les quatre niveaux de contrôles prévus au point 100. 10. Concrètement, et dans le but de respecter les objectifs définis au point précédent, le dispositif de gouvernance interne comprend notamment : ▪ une structure organisationnelle et opérationnelle claire et cohérente comportant des pouvoirs de décision, des liens hiérarchiques et fonctionnels et un partage des responsabilités clairement définis, transparents, cohérents, complets et exempts de conflits d’intérêts (sous-chapitres 5.1, 7.1 et 7.2); ▪ des mécanismes adéquats de contrôle interne qui répondent aux dispositions du chapitre 6. Ces mécanismes comprennent des procédures administratives, comptables et informatiques saines et des politiques et pratiques de rémunération permettant et promouvant une gestion saine et efficace des risques par application des règles contenues dans les circulaires CSSF 06/273, CSSF 07/290 et CSSF 11/505, en ligne avec la stratégie de l’établissement en matière de risques, ainsi que des mécanismes de contrôle et de sécurité des systèmes d’information de gestion. La notion de système d’information de gestion comprend les systèmes informatiques (sections 5.2.1 à 5.2.3, souschapitres 5.3 et 7.4); ▪ une procédure formelle d’escalade, de règlement et, le cas échéant, de sanctions pour les problèmes, déficiences et irrégularités relevés par le biais des mécanismes de contrôle interne, y compris les fonctions de contrôle interne suivant le sous-chapitre 6.2 ; ▪ des processus de détection, de mesure, de déclaration, de gestion et d’atténuation ainsi que de contrôle des risques auxquels les établissements sont ou pourraient être exposés conformément au chapitre 1 de la partie III ; Circulaire CSSF 12/552 8/61 ▪ un système d’information de gestion, y compris en matière de risques, ainsi qu’un dispositif de communication interne comprenant un dispositif interne d’alerte (« whistleblowing ») qui permet au personnel de l’établissement d’attirer l'attention des responsables sur toutes leurs préoccupations importantes et légitimes liées à la gouvernance interne de l’établissement (section 5.2.4); ▪ un dispositif de gestion de continuité des activités visant à limiter les risques de perturbation grave des activités et à assurer le maintien des opérations clé telles que définies par le conseil d’administration sur proposition de la direction autorisée. Ce dispositif comprend un plan de continuité qui décrit les actions à mettre en œuvre afin de poursuivre les activités en cas d’incident ou sinistre (sections 5.2.3 et 7.4); ▪ un dispositif de gestion de crises qui assure une capacité de réaction appropriée en cas de crise, y compris un plan de rétablissement des activités. Ce dispositif satisfait aux exigences énoncées à la section 5.2.5. 11. Les établissements promeuvent une culture interne du contrôle et du risque qui vise à assurer que tout le personnel de l’établissement participe activement au contrôle interne ainsi qu’à la détection, à la déclaration et au contrôle des risques encourus par l’établissement et adopte une attitude positive à l’égard du contrôle interne tel que défini au chapitre 6. Chapitre 3. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne 12. Le dispositif en matière d’administration centrale et de gouvernance interne est élaboré et mis en œuvre de sorte à ce qu’il ▪ fonctionne de manière intègre (« intégrité »). Ce volet inclut aussi bien la gestion des conflits d’intérêts que la sécurité, en particulier en matière de systèmes d’information; ▪ soit fiable et fonctionne de manière continue (« robustesse »). En vertu du principe de continuité, les établissements se dotent également d’arrangements visant à rétablir le fonctionnement du dispositif de gouvernance interne en cas de discontinuité; ▪ soit efficace (« efficacité »). L'efficacité s’apprécie en particulier au fait que les risques sont effectivement gérés et contrôlés; ▪ réponde aux besoins de l’établissement dans son ensemble et de toutes ses unités organisationnelles et opérationnelles (« adéquation »); ▪ soit cohérent dans son ensemble et dans ses parties (« cohérence »); ▪ soit complet (« exhaustivité »). En ce qui concerne les risques, l’exhaustivité signifie que l’ensemble des risques doit être inclus dans le périmètre du dispositif de gouvernance interne. Ce périmètre ne s’arrête pas (nécessairement) au seul périmètre (consolidé) prudentiel ou comptable ; il doit permettre à l’établissement de disposer d’une vue exhaustive sur tous ses risques, en termes de leur substance économique, en tenant compte de toutes les interactions existant à travers l’établissement. S’agissant du contrôle interne, le principe d’exhaustivité implique que le contrôle interne porte sur tous les domaines du fonctionnement de l’établissement; Circulaire CSSF 12/552 9/61 ▪ soit transparent (« transparence »). La transparence comprend une attribution et une communication claires et visibles des rôles et des responsabilités aux différents membres du personnel, à la direction autorisée et aux unités opérationnelles et organisationnelles de l’établissement. 13. En exécution d’un organigramme (sous-chapitre 5.1), l'établissement dispose au siège luxembourgeois, dans ses succursales ainsi que dans l’ensemble des différentes entités juridiques qui composent le groupe, de ressources humaines suffisantes en nombre et disposant d’une compétence professionnelle individuelle et collective appropriée, ainsi que de l’infrastructure administrative et technique nécessaire et suffisante pour pouvoir exercer les activités qu'il veut réaliser. Ces ressources humaines et cette infrastructure respectent les dispositions des souschapitres 5.1 et 5.2. La sous-traitance est possible dans les conditions énoncées au sous-chapitre 7.4. 14. Les établissements documentent par écrit l’ensemble du dispositif en matière d’administration centrale et de gouvernance interne ainsi que l’ensemble de leurs activités (opérations et risques) conformément au sous-chapitre 5.3. 15. En vue d’assurer et de maintenir la solidité du dispositif en matière d’administration centrale et de gouvernance interne, ce dernier fait l'objet d’une révision objective, critique et régulière, au moins une fois par an. Cette révision tient compte de tous les changements internes et externes qui peuvent avoir une influence significative défavorable sur la solidité de ce dispositif dans son ensemble et sur le profil de risque et la capacité de l’établissement à gérer et à supporter ses risques en particulier. 16. Les établissements publient les éléments clé de leur dispositif de gouvernance interne dans le respect des règles régissant la partie XIX de la circulaire CSSF 06/273 (« pilier 3 »). Cette publication inclut la structure organisationnelle et opérationnelle, y compris en matière de contrôle interne, la stratégie en matière de risques ainsi que le profil de risque. Ces informations décrivent la situation actuelle et son évolution attendue d’une manière claire, objective et pertinente. Chapitre 4. Conseil d’administration et direction autorisée Sous-chapitre 4.1. Le conseil d’administration Section 4.1.1. Responsabilités du conseil d’administration 17. Le conseil d'administration a la responsabilité globale de l’établissement. Il veille à faire assurer l’activité et à préserver la continuité de l’activité au moyen d’un solide dispositif en matière d’administration centrale et de gouvernance interne conformément aux dispositions de la présente circulaire. A cette fin, le conseil d’administration approuve et arrête par écrit, dans le respect des dispositions légales et réglementaires et après avoir entendu la direction autorisée et les responsables des fonctions de contrôle interne, et dans le but de protéger l’établissement et sa réputation, notamment la stratégie commerciale (modèle d’activités) de l’établissement dans le respect des intérêts financiers de l’établissement à long terme, de sa solvabilité et de sa situation des liquidités; Circulaire CSSF 12/552 10/61 la stratégie de l’établissement en matière de risques, y compris la tolérance au risque et les principes directeurs régissant la détection, la mesure, la déclaration, la gestion et le contrôle des risques; la stratégie de l’établissement en matière de fonds propres et de liquidités réglementaires et internes; les principes directeurs d’une structure organisationnelle et opérationnelle claire et cohérente qui règle en particulier la création et le maintien par l’établissement d’entités (structures) juridiques, ainsi que les principes directeurs en matière de systèmes d’informations, y compris l’aspect sécurité, et de dispositif de communication interne, y compris le dispositif interne d’alerte; les principes directeurs relatifs aux mécanismes de contrôle interne qui incluent les fonctions de contrôle interne et la politique de rémunération, les principes directeurs en matière d’escalade, de règlement et de sanctions visant à assurer que tout comportement non respectueux de règles applicables soit adéquatement poursuivi et sanctionné, ainsi que les principes directeurs en matière de déontologie (« code de conduite interne») et de valeurs d’entreprise, y compris dans le domaine de la gestion des conflits d’intérêts; les principes directeurs en matière d’administration centrale au Luxembourg, comprenant les moyens humains et matériels que nécessite la mise en œuvre de la structure organisationnelle et opérationnelle ainsi que des stratégies de l’établissement, les principes directeurs en matière d’organisation administrative, comptable et informatique, les principes directeurs en matière de sous-traitance (« outsourcing ») ainsi que les principes directeurs régissant la modification de l’activité (en termes de couverture de marchés et de clientèle, de nouveaux produits et de services) et l’approbation et le maintien d’activités « inhabituelles » ou « non transparentes »; les principes directeurs applicables en matière de dispositif de gestion de continuité des activités et de gestion de crises et les principes directeurs régissant la nomination et la succession aux fonctions clé de l’établissement, ainsi que les procédures régissant le conseil d’administration en termes de sa composition, de ses responsabilités, de son organisation et de son fonctionnement. 4 Les principes directeurs régissant la nomination et la succession aux fonctions clé de l’établissement stipulent qu’en la matière, l’établissement doit se conformer aux exigences de la présente circulaire, à la procédure prudentielle d’approbation des titulaires de fonctions clé telle que publiée sur le site internet de la CSSF ainsi qu’aux orientations publiées par l’EBA le 22 novembre 2012 (Guidelines on the assessment of the suitability of members of the management body and key function holders - EBA/GL/2012/06). 4 Dans le respect de la gouvernance d’entreprise, les principes directeurs et procédures applicables aux membres du conseil d’administration sont à soumettre le cas échéant aux actionnaires pour accord. Circulaire CSSF 12/552 11/61 Remarque : Les orientations de l’EBA en matière d’évaluation de l’aptitude des titulaires de fonctions clé prévoient en particulier que les établissements : ▪ identifient l’ensemble des fonctions clé (voir aussi le point 1 à ce sujet); ▪ définissent les critères (en termes d’honorabilité, de compétences professionnelles et de qualités personnelles) qu’ils mettent en œuvre afin d’apprécier l’aptitude des titulaires des fonctions clé. Ces critères sont conformes aux critères prévus aux points 13 à 15 de l’orientation précitée de l’EBA ; ▪ exigent que les titulaires des fonctions clé soient honorables et présentent les compétences professionnelles et qualités personnelles nécessaires à l’exécution de leur mandat ; ▪ évaluent par écrit l’aptitude des titulaires de fonctions clé, préalablement à leur nomination, régulièrement au cours de leur mandat et sur base ad hoc lorsqu’une telle réévaluation s’impose ; ▪ définissent des politiques et procédures relatives à la sélection des titulaires de fonctions clé qui respectent les principes d’une solide gouvernance interne (conformément aux points 7 et 8 de l’orientation précitée de l’EBA). 18. Le conseil d’administration charge la direction autorisée de mettre en œuvre les stratégies et principes directeurs en matière de gouvernance interne visés au point 17 par le biais de politiques et de procédures internes écrites, à l’exception des principes directeurs qui régissent la nomination et la succession au conseil d’administration. 19. Le conseil d’administration surveille la mise en œuvre par la direction autorisée de ses stratégies et principes directeurs en matière de gouvernance interne. A cette fin, il doit notamment approuver les politiques que la direction autorisée arrête en vertu du point 18. 20. Le conseil d’administration évalue d’une manière critique et approuve à des intervalles réguliers, et au moins une fois par an, le dispositif de gouvernance interne de l’établissement. Ces évaluations et approbations visent à assurer que le dispositif de gouvernance interne continue à répondre aux exigences de la présente circulaire et aux objectifs d’une gestion efficace, saine et prudente des activités. L’évaluation et l’approbation par le conseil d’administration portent en particulier sur : l’adéquation entre les risques encourus, la capacité de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires, compte tenu des stratégies et principes directeurs fixés par le conseil d’administration et la réglementation existante et notamment la circulaire CSSF 11/506; Circulaire CSSF 12/552 12/61 les stratégies et principes directeurs en vue de les améliorer et de les adapter aux changements internes et externes, actuels et anticipés, ainsi qu’aux enseignements tirés du passé; la manière dont la direction autorisée s’acquitte des responsabilités énoncées au sous-chapitre 4.2. Dans ce contexte, le conseil d’administration veille en particulier à ce que la direction autorisée mette en œuvre de manière prompte et efficace les mesures correctrices requises pour remédier aux problèmes, déficiences et irrégularités relevés par les fonctions de contrôle interne, le réviseur d’entreprises agréé et la CSSF, conformément aux deux derniers paragraphes du point 57; l’adéquation de la structure organisationnelle et opérationnelle. Le conseil d’administration doit avoir une compréhension parfaite de la structure organisationnelle de l’établissement, en particulier en termes des entités (structures) juridiques sous-jacentes, de leur raison d’être, des liens et interactions intra-groupe qui les relient ainsi que des risques y liés. Il vérifie que la structure organisationnelle et opérationnelle correspond aux stratégies et principes directeurs visés au point 17, qu’elle permet une gestion saine et prudente des activités qui est exempte d’opacité et de complexité indue, et qu’elle reste justifiée par rapport aux objectifs assignés. Cette exigence s’applique tout particulièrement aux activités « inhabituelles » ou « non transparentes »; l’efficacité et l’efficience des mécanismes de contrôle interne mis en place par la direction autorisée. Les évaluations en question peuvent être préparées par les comités mis en place par application du point 33. Elles se font en particulier sur base des informations reçues de la part de la direction autorisée (point 61), des rapports de révision émis par le réviseur d’entreprises agréé (rapports sur les comptes annuels, comptes rendus analytiques et, le cas échéant, « management letters »), du rapport ICAAP (point 61) et des rapports de synthèse des fonctions de contrôle interne (point 116) que le conseil d’administration est appelé à approuver à cette occasion. 21. Il appartient au conseil d’administration de promouvoir une culture interne en matière de risque qui sensibilise le personnel de l’établissement aux impératifs d’une gestion saine et prudente des risques et qui favorise une attitude positive à l’égard du contrôle interne et de la compliance et de stimuler le développement d’un dispositif de gouvernance interne qui permet d’atteindre ces objectifs. S’agissant des fonctions de contrôle interne, le conseil d’administration veille à ce que les travaux de ces fonctions soient exécutés suivant des normes reconnues. Par ailleurs, le conseil d’administration approuve le plan d’audit interne conformément au point 151. 22. Lorsque le conseil d’administration prend connaissance que le dispositif en matière d’administration centrale ou de gouvernance interne ne permet plus une gestion saine et prudente des activités ou que les risques encourus ne sont ou ne seront plus adéquatement supportés par la capacité de l’établissement à gérer ces risques, par des fonds propres ou des réserves de liquidités réglementaires ou internes, il exige de la direction autorisée de lui présenter sans délais des mesures correctrices et en informe immédiatement la CSSF. L’obligation de notification à la CSSF porte aussi sur toutes les informations qui remettent en cause la qualification ou l’honorabilité Circulaire CSSF 12/552 13/61 d’un membre du conseil d’administration ou de la direction autorisée ou d’un responsable d’une fonction de contrôle interne. Section 4.1.2. Composition et qualification du conseil d’administration 23. Les membres du conseil d’administration doivent être suffisants en nombre et présenter dans leur ensemble une composition adéquate qui permet au conseil d’administration de s'acquitter pleinement de toutes ses responsabilités. Le caractère adéquat se réfère en particulier aux compétences professionnelles (connaissances, compréhension et expérience), ainsi qu’aux qualités personnelles des membres du conseil d’administration. Par ailleurs chaque membre doit justifier son honorabilité professionnelle. Les principes directeurs régissant l’élection et la succession des administrateurs expliquent et arrêtent les facultés jugées nécessaires en vue d’assurer une composition et une qualification appropriée du conseil d’administration. 24. Le conseil d’administration doit disposer dans son ensemble d’une compétence appropriée à la nature, à l’échelle et à la complexité des activités et de l’organisation de l’établissement. Le conseil d’administration, en tant que collectif, doit avoir une compréhension parfaite de l’ensemble des activités (et des risques qui leur sont inhérents) ainsi que de l’environnement économique et réglementaire dans lequel évolue l’établissement. Les membres du conseil d’administration disposent individuellement d’une parfaite compréhension du dispositif de gouvernance interne et de leurs responsabilités au sein de l’établissement. Ils maîtrisent les activités qui sont du ressort de leur domaine d’expertise et disposent d’une bonne compréhension des autres activités significatives de l’établissement. 25. Les membres du conseil d’administration veillent à ce que leurs qualités personnelles leur permettent d’exécuter leur mandat d’administrateur de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance requis. A ce titre, le conseil d’administration ne peut pas compter parmi ses membres une majorité de personnes qui assument un rôle exécutif au sein de l’établissement (directeurs autorisés ou autres employés de l’établissement, à l’exception des représentants du personnel). Les membres du conseil d’administration veillent à ce que leur mandat d’administrateur soit et reste compatible avec leurs autres emplois et intérêts éventuels, en particulier en termes de conflits d’intérêts et de disponibilité. Ils informent le conseil d’administration des mandats qu’ils ont en dehors de l’établissement. 26. Les termes des mandats d’administrateur doivent être fixés de manière à permettre au conseil d’administration d’exercer ses responsabilités de manière continue et efficace. La reconduction d’administrateurs existants doit s’orienter en particulier à leurs performances passées. La continuité du fonctionnement du conseil d’administration doit être assurée. 27. Les principes directeurs régissant la nomination et la succession des membres du conseil d’administration prévoient les mesures nécessaires pour que ces membres soient et restent qualifiés tout au long de leur mandat. Ces mesures comprennent des formations professionnelles qui permettent aux membres du conseil d’administration de mettre à jour et d’approfondir leurs compétences requises. Circulaire CSSF 12/552 14/61 Section 4.1.3. Organisation et fonctionnement du conseil d’administration 28. Le conseil d’administration se réunit régulièrement en vue de s’acquitter de manière efficace de ses responsabilités. 29. Les travaux du conseil d’administration doivent être documentés par écrit. Cette documentation inclut l’agenda des réunions, les procès-verbaux des réunions ainsi que les décisions et mesures prises par le conseil d’administration. 30. Le conseil d’administration évalue régulièrement les procédures régissant le conseil d’administration, son mode de fonctionnement et ses travaux en vue de les améliorer, d’en assurer l’efficacité et de vérifier si les procédures qui lui sont applicables sont respectées dans la pratique. 31. Il appartient au président du conseil d’administration de promouvoir au sein du conseil d’administration une culture de discussion informée et contradictoire et de proposer l’élection d’administrateurs indépendants. Un administrateur indépendant est un administrateur qui ne connaît pas de conflit d'intérêts, de nature à altérer sa capacité de jugement du fait qu’il est lié par une relation d'affaires - familiale ou autre 5 - avec l’établissement, l'actionnaire qui le contrôle ou la direction de l'un ou de l'autre. La CSSF recommande aux grands établissements d’avoir un ou plusieurs administrateurs indépendants. 32. Les mandats de directeur autorisé et de président du conseil d’administration ne sont pas cumulables. Section 4.1.4. Comités spécialisés 33. En vue d’accroître son efficacité, le conseil d’administration peut se faire assister par des comités spécialisés dans le domaine notamment de l’audit, des risques, de la rémunération, des ressources humaines (notamment à travers l’intervention d’un comité de nomination des personnes occupant une fonction clé) ainsi que de la gouvernance interne, de la déontologie et de la compliance lorsque la nature, l’échelle et la complexité de l’établissement et de ses activités l’exigent. Ces comités comprennent des administrateurs qui ne font pas partie de la direction autorisée ni du personnel de l’établissement. Ils peuvent également comprendre, au besoin, des experts externes, indépendants de l’établissement. Leur mission consiste à fournir au conseil d’administration des appréciations critiques concernant l’organisation et le fonctionnement de l’établissement dans les domaines précités en vue de permettre aux membres du conseil d’administration d’exercer de manière efficace leur mission de surveillance et d’assumer leurs responsabilités en vertu de la présente circulaire. 34. Le conseil d’administration fixe par écrit le mandat, la composition et les procédures de travail des comités spécialisés. En vertu de ces procédures, les comités spécialisés doivent pouvoir demander tout document et toute information qu’ils jugent utiles pour l’exercice de leur mission. Par ailleurs, les procédures prévoient les conditions dans lesquelles le réviseur d’entreprises agréé ainsi que toute personne appartenant à l’établissement, y compris la direction autorisée, sont associés aux travaux des comités spécialisés. 5 Y inclus une relation salariale Circulaire CSSF 12/552 15/61 35. Le conseil d’administration veille à ce que les différents comités interagissent efficacement et rapportent régulièrement au conseil d’administration. Le conseil d’administration ne peut pas déléguer aux comités spécialisés ses pouvoirs de décision et responsabilités en vertu de la présente circulaire. 36. Les comités spécialisés sont présidés par un de leurs membres. Ces présidents de comité disposent de connaissances approfondies dans le domaine d’activité du comité qu’ils président. 37. Lorsque le conseil d’administration ne se fait pas assister par des comités spécialisés, les tâches énoncées aux sous-sections 4.1.4.1 et 4.1.4.2 incombent directement au conseil d’administration. Sous-section 4.1.4.1. Le comité d'audit 6 38. Le comité d’audit a pour objet d’assister le conseil d’administration dans les domaines de l’information financière, du contrôle interne, y compris l’audit interne, ainsi que du contrôle par le réviseur d’entreprises agréé. 39. La CSSF recommande aux grands établissements de créer un comité d’audit afin de faciliter le contrôle effectif des activités par le conseil d’administration. Le comité d’audit comprend au moins trois membres et sa composition est déterminée en accord avec ses missions et son mandat conformément aux points 33 et 34. Les compétences collectives des membres du comité d’audit doivent être représentatives des activités et des risques de l'établissement et comprendre des compétences spécifiques en matière d'audit et de comptabilité. Le comité d’audit peut associer à ses travaux la direction autorisée, le responsable de la fonction d’audit interne ainsi que le réviseur d’entreprises agréé de l’établissement. Ces personnes peuvent assister aux réunions du comité ; elles n’en sont pas membres. 40. Le fonctionnement du comité d’audit, en particulier en termes de fréquence et de durée des réunions, est déterminé en fonction de son mandat et de sa mission d’assister le conseil d’administration. 41. Le comité d’audit confirme la charte d’audit interne (point 144). Il apprécie si les moyens humains et matériels engagés au niveau de l’audit interne sont suffisants et s’assure que les auditeurs internes possèdent les compétences nécessaires (point 111) et que l’indépendance de la fonction d’audit interne est sauvegardée. 42. Le comité d’audit confirme le plan d’audit interne (point 151) approuvé par la direction autorisée. Il prend connaissance des informations sur l’état du contrôle interne que lui fournit la direction autorisée selon une fréquence au moins annuelle en vertu du point 61 de la présente circulaire. 43. Le comité d’audit délibère régulièrement sur 7: ▪ le suivi du processus d’élaboration de l’information financière, 6 Pour les établissements qui doivent se doter d’un comité d’audit conformément à la loi du 18 décembre 2009 relative à la profession de l’audit, la présente circulaire s’applique sans préjudice des dispositions codifiées à l’article 74 (« Comité d’audit ») de cette loi. 7 L’annexe 2 des lignes directrices du BCBS en matière d’audit interne du 28 juin 2012 (« The internal audit function in banks ») contient une liste plus exhaustive de tâches généralement assignées au comité d’audit. Circulaire CSSF 12/552 16/61 ▪ l’état du contrôle interne et le respect des règles fixées à ce sujet dans la présente circulaire sur base notamment des rapports de la fonction d’audit interne, ▪ la qualité du travail réalisé par la fonction d’audit interne et le respect des règles fixées à ce sujet dans la présente circulaire (voir sections 6.2.3. et 6.2.7.3), ▪ la nomination, la reconduction, la révocation et la rémunération du réviseur d’entreprises agréé, ▪ la qualité du travail réalisé par le réviseur d’entreprises agréé, son indépendance et objectivité, son respect des règles déontologiques en vigueur dans le domaine d’audit. A ce titre, le comité d’audit analyse et évalue d’une manière critique le plan d’audit, les rapports sur les comptes annuels, les “management letters” ainsi que les comptes rendus analytiques réalisés par le réviseur d’entreprises agréé et assure un examen et suivi de l’indépendance du réviseur d’entreprises agréé ou du cabinet de révision agréé, en particulier pour ce qui concerne la fourniture de services complémentaires à l’établissement, ▪ le suivi approprié et sans délai indu par la direction autorisée des recommandations de la fonction d’audit interne et du réviseur d’entreprises agréé destinées à améliorer l’organisation et le contrôle interne, ▪ les actions à prendre en cas de problèmes, déficiences et irrégularités relevés par le service d’audit interne et le réviseur d’entreprises agréé, ▪ le respect des dispositions légales et statutaires ainsi que des règles CSSF pour l’établissement des comptes annuels individuels et, le cas échéant, consolidés, et sur la pertinence des méthodes comptables adoptées. 44. Il est admissible que le comité d’audit couvre également le volet compliance sans qu’un comité de compliance à part soit constitué. Dans ce cas, le mandat et la composition du comité d’audit reflètent ces nouvelles attributions. En particulier, les personnes associées au comité d’audit en vertu du point 39 incluent le « Chief Compliance Officer » suivant le point 105. Sous-section 4.1.4.2. Le comité des risques 45. Le comité des risques a pour objet d’assister le conseil d’administration dans sa mission d’évaluation de l’adéquation entre les risques encourus, la capacité de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires. 46. La CSSF recommande aux grands établissements de même qu’aux établissements présentant un profil de risque plus élevé ou complexe de créer un comité des risques afin de faciliter le contrôle effectif des risques par le conseil d’administration. 47. Le comité des risques peut associer à ses travaux la direction autorisée ainsi que les responsables des fonctions de contrôle interne. Ces personnes peuvent assister aux réunions du comité ; elles n’en sont pas membres. 48. Le comité des risques confirme les politiques spécifiques de la direction autorisée suivant la section 4.2.3. 49. Le comité des risques apprécie si les moyens humains et matériels, ainsi que l’organisation de la fonction de contrôle des risques (section 6.2.5.) sont suffisants et Circulaire CSSF 12/552 17/61 s’assure que les membres de la fonction de contrôle des risques possèdent les compétences nécessaires. 50. Le comité des risques délibère régulièrement sur: ▪ l’état de la gestion des risques et le respect des règles prudentielles fixées à ce sujet, ▪ la qualité du travail réalisé par la fonction de contrôle des risques et le respect des règles fixées à ce sujet dans la présente circulaire (voir sous-chapitre 6.2.3 et section 6.2.5 en particulier), ▪ la situation des risques, son évolution future et son adéquation avec la stratégie de l’établissement en matière de risques, ▪ l’adéquation entre les risques encourus, la capacité actuelle et future de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires, eu égard aux résultats de tests d’endurance suivant la circulaire CSSF 11/506, ▪ le suivi approprié et sans délai indu par la direction autorisée des recommandations de la fonction de contrôle des risques, ▪ les actions à prendre en cas de problèmes, déficiences et irrégularités relevés par la fonction de contrôle des risques. 51. Le comité des risques conseille le conseil d’administration en matière de définition de la stratégie globale de l’établissement en matière de risques, y compris sa tolérance aux risques actuels et futurs. Sous-chapitre 4.2. La direction autorisée Section 4.2.1. Responsabilités de la direction autorisée 52. La direction autorisée est responsable pour la gestion journalière efficace, saine et prudente des activités (et des risques qui leur sont inhérents). Cette gestion s’exerce dans le respect des stratégies et principes directeurs fixés par le conseil d’administration et de la réglementation existante, en prenant en considération et en préservant les intérêts financiers de l’établissement à long terme, sa solvabilité et sa situation des liquidités. Les décisions prises par la direction autorisée dans ces domaines sont dûment documentées. 53. Conformément aux articles 7 paragraphe 2 et 19 paragraphe 2 de la LSF, les membres de la direction autorisée doivent être habilités à déterminer effectivement l'orientation de l'activité. Par conséquent, lorsque des décisions de gestion sont prises par des comités de gestion plus larges que la seule direction autorisée, il est requis que la direction autorisée en fasse partie et qu’il existe un droit de veto à leur bénéfice. La direction autorisée doit en principe se trouver de façon permanente sur place. Toute dérogation à ce principe doit être autorisée par la CSSF 54. La direction autorisée met en œuvre à travers des politiques et procédures internes écrites l’ensemble des stratégies et principes directeurs arrêtés par le conseil d’administration en matière d’administration centrale et de gouvernance interne, dans le respect des dispositions légales et réglementaires et après avoir entendu les fonctions de contrôle interne. Les politiques contiennent les mesures détaillées à Circulaire CSSF 12/552 18/61 mettre en œuvre, les procédures sont les instructions de travail qui régissent cette mise en œuvre. Le terme « procédures » est à prendre au sens large, comprenant l’ensemble des mesures, instructions et règles qui régissent l’organisation et le fonctionnement interne. Elle veille à ce que l’établissement dispose de mécanismes de contrôle interne, des infrastructures techniques et des ressources humaines nécessaires pour assurer la gestion saine et prudente des activités (et des risques qui leur sont inhérents) dans le cadre d’un solide dispositif de gouvernance interne conformément à la présente circulaire. 55. En application du point 18 la direction autorisée définit un code de conduite interne applicable à toutes les personnes travaillant dans l’établissement. Elle veille à son application correcte sur base de contrôles réguliers effectués par les fonctions compliance et d’audit interne. 56. La direction autorisée doit avoir une compréhension parfaite de la structure organisationnelle et opérationnelle de l’établissement, en particulier en termes des entités (structures) juridiques sous-jacentes, de leur raison d’être, des liens et interactions intra-groupe qui les relient ainsi que des risques y liés. Elle veille à ce que les informations de gestion requises soient disponibles en temps utile à tous les niveaux de prise de décision et de contrôle de l’établissement et des structures juridiques qui le composent. 57. Dans sa gestion journalière, la direction autorisée tient compte des conseils et avis formulés par les fonctions de contrôle interne. Lorsque les décisions prises par la direction autorisée ont ou pourraient avoir une incidence matérielle sur le profil de risque de l’établissement, la direction autorisée recueille au préalable l’avis de la fonction de contrôle des risques et le cas échéant de la fonction compliance. La direction autorisée met en œuvre de manière prompte et efficace les mesures correctrices pour remédier aux faiblesses (problèmes, déficiences et irrégularités) relevées par les fonctions de contrôle interne et le réviseur d’entreprises agréé en prenant en compte leurs recommandations en la matière. Cette manière de procéder est arrêtée dans une procédure écrite que le conseil d’administration approuve sur proposition des fonctions de contrôle interne. Suivant cette procédure, les fonctions de contrôle interne classent les différentes faiblesses qu’elles ont identifiées par priorité et fixent, après accord de la direction autorisée, les délais (rapprochés) dans lesquels ces faiblesses sont corrigées. La direction autorisée désigne les unités opérationnelles ou personnes responsables pour la mise en œuvre des mesures correctrices en leur allouant les ressources (budgets, ressources humaines et infrastructure technique) nécessaires à cet effet. Il appartient aux fonctions de contrôle interne de suivre la mise en application des mesures correctrices. Pour tout retard significatif dans l’implémentation des mesures correctrices, la direction autorisée en informe le conseil d’administration qui doit autoriser les prorogations de délais d’implémentation de mesures correctrices. L’établissement met en place une procédure analogue, approuvée par le conseil d’administration, qui s’applique lorsque la CSSF demande à l’établissement de prendre des mesures (correctrices). Dans ce cas, tout retard significatif dans l’implémentation de ces mesures est à signaler par la direction autorisée au conseil Circulaire CSSF 12/552 19/61 d’administration et à la CSSF. Cette dernière autorise les prorogations de délais d’implémentation. 58. La direction autorisée vérifie la mise en application et le respect des politiques et procédures internes. Toute violation des politiques et procédures internes doit entraîner des mesures correctrices promptes et adaptées. 59. La direction autorisée s'assure régulièrement de la solidité du dispositif en matière d’administration centrale et de gouvernance interne. Elle adapte les politiques et procédures internes au regard des changements internes et externes, actuels et anticipés, et des enseignements tirés du passé. 60. La direction autorisée informe les fonctions de contrôle interne des changements majeurs en matière d’activités (voir sous-chapitre 7.3) ou d’organisation afin de leur permettre de détecter et d’évaluer les risques qui peuvent en résulter. 61. La direction autorisée informe, de manière complète et par écrit, régulièrement et au moins une fois par an, le conseil d'administration sur l’implémentation, l’adéquation, l’efficacité et le respect du dispositif de gouvernance interne, comprenant l’état de la compliance et celui du contrôle interne, ainsi que le rapport ICAAP 8 sur la situation et la gestion des risques, des fonds propres et des (réserves
Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.