← Luxembourg

Circulaire CSSF 20/757 — Circulaire CSSF

Circulaire CSSF 20/757 Introduction de la circulaire CSSF 20/758 sur l’administration centrale, la gouvernance interne et la gestion des risques et abrogation dans le chef des entreprises d’investissement de la circulaire CSSF 12/552 (telle que modifiée par les circulaires CSSF 13/563, 14/597, 16/642, 16/647, 17/655 et 20/750) sur l’administration centrale, la gouvernance interne et la gestion des risques CIRCULAIRE CSSF 20/757 1/118 Nous vous informons que le point 182 (8 ième tiret) de l'annexe de la circulaire 20/759 ainsi que le point 184 (8 ième tiret) de l'annexe 1 de la circulaire CSSF 20/757 ont été mis à jour en date du 11 décembre

  1. Circulaire CSSF 20/757 Concerne : Introduction de la circulaire CSSF 20/758 sur l’administration centrale, la gouvernance interne et la gestion des risques et abrogation dans le chef des entreprises d’investissement de la circulaire CSSF 12/552 (telle que modifiée par les circulaires CSSF 13/563, 14/597, 16/642, 16/647, 17/655 et 20/750) sur l’administration centrale, la gouvernance interne et la gestion des risques Luxembourg, le 7 décembre 2020 À toutes les entreprises d’investissement Mesdames, Messieurs,
  2. Par la présente circulaire, la CSSF, en sa qualité d’autorité compétente, se conforme aux orientations de l’Autorité bancaire européenne (« EBA ») et aux orientations communes de l’EBA et de l’Autorité européenne des marchés financiers (« ESMA ») répertoriées au point
  3. La CSSF intègre ces orientations dans sa pratique administrative et son approche réglementaire en vue de promouvoir la convergence des pratiques de surveillance dans ce domaine au niveau européen.
  4. Sont visées les orientations suivantes : (a) Orientations sur la gouvernance interne (Guidelines on internal governance « EBA/GL/2017/11 »), (b) Orientations sur l’évaluation de l’aptitude des membres de l’organe de direction et des titulaires de postes clés (Joint ESMA and EBA Guidelines on the assessment of the suitability of members of the management body and key function holders « EBA/GL/2017/12 »), (c) Orientations sur la gestion du risque de taux d’intérêt inhérent aux activités hors portefeuille de négociation (Guidelines on the management of interest rate risk arising from non-trading book activities « EBA/GL/2018/02 ») 1, (d) Orientations sur les corrections de la duration modifiée des titres de créance en vertu de l’article 340, paragraphe 3, deuxième alinéa, du règlement (UE) nº 575/2013 (Guidelines on corrections to modified duration for debt instruments under the second subparagraph of Article 340

(3)of Regulation (EU) 575/2013 « EBA/GL/2016/09 ») 2, 1 Les EBA/GL/2018/02 visent uniquement les entreprises d’investissement CRR. 2 Les EBA/GL/2016/09 visent uniquement les entreprisse d’investissement CRR. CIRCULAIRE CSSF 20/757 2/118
  1. La présente circulaire abroge dans le chef des entreprises d’investissement la circulaire CSSF 12/552 sur l’administration centrale, la gouvernance interne et la gestion des risques (ci-après la « Circulaire CSSF 12/552 ») et la remplace par la circulaire CSSF 20/758 sur l’administration centrale, la gouvernance interne et la gestion des risques (ci-après la « Circulaire CSSF 20/758 »). La Circulaire CSSF 12/552 reste applicable dans son intégralité aux établissements de crédit et en partie aux professionnels effectuant des opérations de prêt.
  2. Les orientations mentionnées au point 2 ont été incorporées dans la Circulaire CSSF 20/
  3. La terminologie et les définitions de la circulaire ont également été revues et certaines dispositions ont été précisées. Une version « suivi des modifications » entre la Circulaire CSSF 12/552 et la Circulaire CSSF 20/758 se trouve en Annexe
  5. Les principaux changements par rapport à la Circulaire CSSF 12/552 concernent : a. L’extension du champ d’application aux compagnies financières holding et compagnies financières holding mixte ; b. Une articulation plus précise du concept de proportionnalité, par son rattachement à la notion d’établissement systémique au sens de la loi du 5 avril 1993 sur le secteur financier ; c. Des précisions sur l’application de la proportionnalité dans la mise en place de fonctions de contrôle interne ; d. Le renforcement de l’organe de direction dans sa fonction de surveillance à travers des dispositions renforcées en matière de diversité et d’indépendance ; e. La prise en compte des facteurs de risque environnementaux, sociétaux et de gouvernance (ESG) en vue d’assurer la viabilité du modèle d’affaires. f. Une présentation sur les principaux changements entre la Circulaire CSSF 12/552 et la Circulaire CSSF 20/758 se trouve en Annexe
  7. La présente circulaire est applicable à partir du 1er janvier
  8. Claude WAMPACH Directeur Marco ZWICK Directeur Françoise KAUTHEN Claude MARX Directeur Directeur général CIRCULAIRE CSSF 20/757 Jean-Pierre FABER Directeur 3/118 Annexes : Annexe 1 : Version « suivi des modifications » entre la Circulaire CSSF 12/552 et la Circulaire CSSF 20/758 Annexe 2 : Présentation sur les principaux changements entre la Circulaire CSSF 12/552 et la Circulaire CSSF 20/758 CIRCULAIRE CSSF 20/757 4/118 Le code couleur utilisé pour la version en « suivi des modifications » est le suivant : o o Rouge pour les ajouts/suppressions Vert pour les déplacements de texte Circulaire CSSF 12/552 telle que modifiée par les circulaires CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647 et CSSF 17/655 Circulaire CSSF 20/758 Concerne : Administration centrale, gouvernance interne et gestion des risques 1 Mesdames, Messieurs, Luxembourg, le 11 décembre 20127 décembre 2020 Les articles 5 paragraphe 1bis et 17 paragraphe 1bis et 38-1 de la loi du 5 avril 1993 relative au secteur financier (« LSF »), complétés par le règlement CSSF N° A tous toutes les 15-02 relatif au processus de contrôle et d’évaluation prudentiels (« RCSSF 15- établissements de crédit, 02 ») 2 exigent des établissements de crédit et des entreprises d’investissement entreprises d’investissement et professionnels effectuant des opérations de prêt1 qu’ils d’investissement qu’elles disposent d’un solide dispositif de gouvernance interne, comprenant notamment une structure organisationnelle claire avec un partage des responsabilités qui soit bien défini, transparent et cohérent, des processus efficaces de détection, de gestion, de contrôle et de déclaration des risques auxquels ils elles sont ou pourraient être exposésexposées, des mécanismes adéquats de contrôle interne, y compris des procédures administratives et comptables saines et des politiques et pratiques de rémunération permettant et promouvant une gestion saine et efficace des risques, ainsi que des mécanismes de contrôle et de sécurité de leurs systèmes informatiques. 1 Pour les professionnels effectuant des opérations de prêt, tels que définis à l’article 28-4 de la loi du 5 avril 1993 relative au secteur financier, seul le chapitre 3 de la partie III est applicable. 2 Le RCSSF 15-02 s’applique uniquement aux établissements CRR, c’est-à-dire, aux établissements de crédit et aux entreprises d’investissement CRR. CIRCULAIRE CSSF 20/757 5/118 Dans le passé, suivant les développements réglementaires sur le plan international et les nécessités locales, la CSSF avait précisé les modalités d’application de ces articles dans différentes circulaires. L’ajout de nouvelles circulaires transposant les lignes directrices de l’Autorité bancaire européenne (EBA) en matière de gouvernance interne du 27 septembre 2011 (« EBA Guidelines on Internal Governance (GL 44) ») et celles du Comité de Bâle sur le contrôle bancaire (BCBS) en matière d’audit interne du 28 juin 2012 (« The internal audit function in banks ») aurait généré d’importantes redondances et multiplié les terminologies utilisées. Ainsi la CSSF a décidé de concentrer l’ensemble des modalités d’application clé en matière de gouvernance interne dans une circulaire unique. Cette circulaire reprend les lignes directrices de l’EBA et du BCBS mentionnées ci-avant qu’elle complète par les dispositions additionnelles contenues dans les circulaires IML 96/126, IML 98/143, CSSF 04/155, CSSF 05/178 et CSSF 10/466
  9. Par ailleurs, afin de présenter une vue d’ensemble, la circulaire reprend, par référence aux articles 5 paragraphe 1 et 17 paragraphe 1 de la loi du 5 avril 1993 relative au secteur financier, les modalités d’application en matière d’administration centrale telles que précisées dans la circulaire IML 95/
  10. En conséquence, les circulaires IML 95/120, IML 96/126, IML 98/143, CSSF 04/155, CSSF 05/178 et CSSF 10/466 sont abrogées dans le chef des établissements de crédit et entreprises d’investissement. 4 Finalement, la circulaire entend recueillir également l’ensemble des dispositions en matière de gestion des risques. La présente circulaire constitue un premier pas vers un recueil réglementaire consolidé en matière de gouvernance interne au sens large. Elle ne comprend pas l’ensemble des domaines visés, comme par exemple celui de la rémunération qui est couvert par le référentiel CRD (« Capital Requirements Directive » - circulaires CSSF 06/273 et CSSF 07/290) et par la circulaire CSSF 11/505 donnant des précisions relatives au principe de proportionnalité en matière de rémunération. 3 Circulaires IML 96/126 concernant l’organisation administrative et comptable, IML 98/143 concernant le contrôle interne, CSSF 04/155 concernant la fonction compliance, CSSF 05/178 concernant l’organisation administrative et comptable et la sous-traitance en matière informatique et CSSF 10/466 concernant les informations à publier en situations de crise. 4 Les circulaires IML 95/120, IML 96/126, IML 98/143 restent en vigueur pour les PSF qui ne sont pas des entreprises d’investissement ainsi que la circulaire CSSF 17/656 qui abroge et remplace la CSSF 05/
  11. Ces circulaires, ensemble avec la circulaire CSSF 04/155, restent d’application pour les établissements de paiement et les établissements de monnaie électronique. CIRCULAIRE CSSF 20/757 6/118 Le même constat s’applique aux risques. La présente circulaire se limite pour l’essentiel à transposer des lignes directrices du CEBS ainsi que des orientations de l’EBA. Il s’agit des lignes directrices du 2 septembre 2010 en matière de risques de concentration (« CEBS Guidelines on the management of concentration risk under the supervisory review process (GL31) »), des lignes directrices du 27 octobre 2010 en matière de tarification de la liquidité (« Guidelines on Liquidity Cost Benefit Allocation »), des orientations de l’EBA du 22 mai 2015 sur la gestion du risque de taux d’intérêt inhérent aux activités autres que de négociation (« Guidelines on the management of interest rate risk arising from non-trading activities » EBA/GL/2015/08) et des orientations de l’EBA du 14 décembre 2015 sur les limites pour les expositions sur des entités du système bancaire parallèle qui exercent des activités bancaires en dehors d’un cadre réglementé au titre de l’article 395, paragraphe 2, du règlement (UE) n° 575/2013 (« Guidelines on the limits on exposures to shadow banking entities which carry out banking activities outside a regulated framework under Article 395
(2)of Regulation (EU) n° 575/2013 » EBA/GL/2015/20). En outre, la circulaire reprend les principes de prudence de base dans le domaine de l’octroi des crédits et de la gestion patrimoniale privée. Pour ce qui concerne les établissements CRR, 5 la présente circulaire doit se lire en parallèle avec le règlement CSSF N° 15-02 relatif au processus de contrôle et d’évaluation prudentiels s’appliquant aux établissements CRR. Les multiples circulaires existantes relatives aux risques et à leur gestion seront rassemblées au sein d’une version ultérieure de la présente circulaire. Lorsqu’en réponse à des développements réglementaires sur le plan international ou des nécessités locales, la CSSF est amenée à préciser les exigences reprises dans la présente circulaire, elle procédera à la mise à jour de cette circulaire. La partie IV de la circulaire contient une chronologie des mises à jour qui permet au lecteur de retracer les modifications opérées par les mises à jour successives. 5 Le terme « établissement CRR » est défini à l’article 1er, paragraphe 1 du règlement CSSF N° 15-
  1. CIRCULAIRE CSSF 20/757 7/118 La présente circulaire précise les mesures que doivent prendre les entreprises d’investissement en exécution des dispositions de la LSF et du RCSSF 15-02 6 en matière d’administration centrale, de gouvernance interne et de gestion des risques. Elle reprend les principes, orientations et recommandations européennes et internationales qui s’appliquent en la matière, en les inscrivant de manière proportionnée dans le contexte du secteur financier luxembourgeois. Lorsqu’en raison de la taille, de la nature et de la complexité des activités et de l’organisation, l’application du principe de proportionnalité demande une administration centrale, une gouvernance interne ou une gestion des risques renforcées, les établissements se reportent aux principes énoncés à la partie I, chapitre 2 ainsi qu’aux orientations et recommandations précitées pour guider cette mise en œuvre. Ceci vaut en particulier pour les orientations de l’Autorité bancaire européenne (« EBA ») en matière de gouvernance interne (Guidelines on internal governance « EBA/GL/2017/11 ») et les orientations communes de l’EBA et de l’Autorité européenne des marchés financiers (« ESMA ») en matière d’éligibilité des membres d’organe de direction et des titulaires de fonctions clés (Joint ESMA and EBA Guidelines on the assessment of the suitability of members of the management body and key function holders « EBA/GL/2017/12 »). La présente circulaire abroge et remplace la circulaire CSSF 12/552 sur l’administration centrale, la gouvernance interne et la gestion des risques (telle que modifiée par les circulaires CSSF 13/563, 14/597, 16/642, 16/647, 17/655 et 20/750), dans le chef des entreprises d’investissement. S’agissant de nominations d’administrateurs, de directeurs autorisés et de titulaires de fonctions clés, la présente circulaire doit se lire en parallèle avec la Procédure prudentielle en la matière publiée sur le site internet de la CSSF. La circulaire est divisée en quatre parties : la première partie contient les définitions et le champ d’application, ; la deuxième partie, les exigences de structure en matière d’administration centrale et de gouvernance interne, ; la troisième partie, les exigences spécifiques en matière de gestion des risques et la quatrième partie, l’entrée en vigueur et les mesures transitoires et dispositions abrogatoires. La table des matières se de la présente comme suit circulaire. Les encadrés qui apparaissent dans la circulaire contiennent des remarques et précisions qui servent d’orientation pour la mise en œuvre des exigences contenues dans la présente circulaire. 6 Idem CIRCULAIRE CSSF 20/757 8/118 TABLE DES MATIÈRES Partie I. Définitions et champ d’application 15 Chapitre
  2. Définitions et abréviations 15 Chapitre
  3. Champ d’application et proportionnalité 17 Partie II. Dispositif en matière d’administration centrale et de gouvernance interne 20 Chapitre
  4. L’administration centrale 20 Chapitre
  5. Le dispositif de gouvernance interne 21 Chapitre
  6. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne 23 Chapitre
  7. Conseil d’administration et direction autorisée 25 Sous-chapitre 4.
  8. Le conseil d’administration 25 Section 4.1.
  9. Responsabilités du conseil d’administration 25 Section 4.1.
  10. Composition et qualification du conseil d’administration 31 Section 4.1.
  11. Organisation et fonctionnement du conseil d’administration 32 Section 4.1.
  12. Comités spécialisés 34 Sous-section 4.1.4.
  13. Le comité d’audit 36 Sous-section 4.1.4.
  14. Le comité des risques 38 Sous-chapitre 4.
  15. La direction autorisée 40 Section 4.2.
  16. Responsabilités de la direction autorisée 40 Section 4.2.
  17. Qualification de la direction autorisée 44 Chapitre
  18. Organisation administrative, comptable et informatique 45 Sous-chapitre 5.
  19. L’organigramme et les ressources humaines 45 Sous-chapitre 5.
  20. Les procédures et la documentation interne 47 Sous-chapitre 5.
  21. L’infrastructure administrative et technique 48 Section 5.3.
  22. L’infrastructure administrative des fonctions commerciales 48 Section 5.3.
  23. La fonction financière et comptable 48 Section 5.3.
  24. La fonction informatique 50 Section 5.3.
  25. Le dispositif de communication et d’alerte interne et externe 52 Section 5.3.
  26. Le dispositif de gestion de crises 52 Chapitre
  27. Le contrôle interne 55 CIRCULAIRE CSSF 20/757 9/118 Sous-chapitre 6.
  28. Les contrôles opérationnels 56 Section 6.1.
  29. Contrôles quotidiens réalisés par le personnel exécutant 56 Section 6.1.
  30. Contrôles critiques continus56 Section 6.1.
  31. Contrôles réalisés par les membres de la direction autorisée sur les activités ou fonctions qui tombent sous leur responsabilité directe 57 Sous-chapitre 6.
  32. Les fonctions de contrôle interne 58 Section 6.2.
  33. Responsabilités génériques des fonctions de contrôle interne 59 Section 6.2.
  34. Caractéristiques des fonctions de contrôle interne 60 Section 6.2.
  35. Exécution des travaux des fonctions de contrôle interne 62 Section 6.2.
  36. Organisation des fonctions de contrôle interne 63 Section 6.2.
  37. La fonction de contrôle des risques 66 Sous-section 6.2.5.
  38. Champ d’application et responsabilités spécifiques de la fonction de contrôle des risques Sous-section 6.2.5.
  39. 68 Organisation de la fonction de contrôle des risques 70 Section 6.2.
  40. La fonction compliance 71 Sous-section 6.2.6.
  41. La charte de compliance 72 Sous-section 6.2.6.
  42. Champ d’application et responsabilités spécifiques de la fonction compliance 73 Sous-section 6.2.6.
  43. 76 Organisation de la fonction compliance Section 6.2.
  44. La fonction d’audit interne 77 Sous-section 6.2.7.
  45. La charte d’audit interne 77 Sous-section 6.2.7.
  46. Responsabilités spécifiques et champ d’application de la fonction d’audit interne 79 Sous-section 6.2.7.
  47. Exécution des travaux d’audit interne 81 Sous-section 6.2.7.
  48. Organisation de la fonction d’audit interne 82 Chapitre
  49. Exigences spécifiques 83 Sous-chapitre 7.
  50. Structure organisationnelle et entités juridiques (« Know-your-structure ») 83 Section 7.1.
  51. Structures complexes et activités inhabituelles ou potentiellement non transparentes 84 Sous-chapitre 7.
  52. Gestion des conflits d’intérêts 85 Section 7.2.
  53. Exigences spécifiques relatives aux conflits d’intérêts en relation avec des parties liées 86 Sous-chapitre 7.
  54. Procédure d’approbation des nouveaux produits (« New Product Approval Process ») 87 CIRCULAIRE CSSF 20/757 10/118 Sous-chapitre 7.
  55. Sous-traitance (« Outsourcing ») 88 Section 7.4.
  56. Exigences générales en matière de soustraitance 89 Section 7.4.
  57. Exigences particulières en matière de soustraitance dans le domaine informatique 92 Sous-section 7.4.2.
  58. Services de gestion/d’opération des systèmes informatiques 93 Sous-section 7.4.2.
  59. Services de conseil, de développement et de maintenance 94 Sous-section 7.4.2.
  60. Services l’infrastructure 94 d’hébergement et propriété de Section 7.4.
  61. Exigences générales supplémentaires 96 Section 7.4.
  62. Documentation 97 Chapitre
  63. Reporting légal 98 Partie III. Gestion des risques 98 Chapitre
  64. Principes généraux en matière de mesure et de gestion des risques 98 Sous-chapitre 1.
  65. Le cadre de gestion des risques à l’échelle de l’établissement 98 Section 1.1.
  66. Généralités 98 Section 1.1.
  67. Politiques spécifiques (de risque, de fonds propres et de liquidités) 98 Section 1.1.
  68. Détection, gestion, mesure et déclaration des risques 101 Chapitre
  69. Risques de concentration 102 Chapitre
  70. Tarification du risque (« Risk Transfer Pricing ») 107 Chapitre
  71. Gestion de fortune et activités associées (activités de « private banking ») 107 Chapitre
  72. Risques liés aux entités shadow banking 108 Sous-chapitre 5.
  73. Mise en œuvre de principes de contrôle interne solides 109 Sous-chapitre 5.
  74. Application de limites quantitatives 109 Chapitre
  75. Risque de taux d’intérêt 111 Sous-chapitre 6.
  76. Risque de taux d’intérêt inhérent aux activités autres que de négociation 112 Sous-chapitre 6.
  77. Corrections de la duration modifiée des titres de créance 114 Chapitre
  78. Risques liés à la conservation d’actifs financiers par des tiers 114 Partie IV. Entrée en vigueur 114 Partie I. Définitions et champ d’application 7 Chapitre
  79. Définitions 7 Chapitre
  80. Champ d’application 8 Partie II. Dispositif en matière d’administration centrale et de gouvernance interne 10 CIRCULAIRE CSSF 20/757 11/118 Chapitre
  81. L’administration centrale 10 Chapitre
  82. Le dispositif de gouvernance interne 10 Chapitre
  83. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne 12 Chapitre
  84. Conseil d’administration et direction autorisée 14 Sous-chapitre 4.
  85. Le conseil d’administration 14 Section 4.1.
  86. Responsabilités du conseil d’administration 14 Section 4.1.
  87. Composition et qualification du conseil d’administration 18 Section 4.1.
  88. Organisation et fonctionnement du conseil d’administration 19 Section 4.1.
  89. Comités spécialisés 20 Sous-section 4.1.4.
  90. Le comité d’audit 21 Sous-section 4.1.4.
  91. Le comité des risques 23 Sous-chapitre 4.
  92. La direction autorisée 24 Section 4.2.
  93. Responsabilités de la direction autorisée 24 Section 4.2.
  94. Qualification de la direction autorisée 27 Section 4.2.
  95. Politiques spécifiques (de risque, de fonds propres et de liquidités) 27 Chapitre
  96. Organisation administrative, comptable et informatique 29 Sous-chapitre 5.
  97. L’organigramme et les ressources humaines 29 Sous-chapitre 5.
  98. L’infrastructure administrative et technique 30 Section 5.2.
  99. L’infrastructure administrative des fonctions commerciales 30 Section 5.2.
  100. La fonction financière et comptable 31 Section 5.2.
  101. La fonction informatique 32 Section 5.2.
  102. Le dispositif de communication et d’alerte internes 34 Section 5.2.
  103. Le dispositif de gestion de crises 34 Sous-chapitre 5.
  104. La documentation interne 35 Chapitre
  105. Le contrôle interne 36 Sous-chapitre 6.
  106. Les contrôles opérationnels 37 Section 6.1.
  107. Contrôles quotidiens réalisés par le personnel exécutant 37 Section 6.1.
  108. Contrôles critiques continus37 Section 6.1.
  109. Contrôles réalisés par les membres de la direction autorisée sur les activités ou fonctions qui tombent sous leur responsabilité directe 37 Sous-chapitre 6.
  110. Les fonctions de contrôle interne 38 Section 6.2.
  111. Caractéristiques des fonctions de contrôle interne 40 CIRCULAIRE CSSF 20/757 12/118 Section 6.2.
  112. Exécution des travaux des fonctions de contrôle interne 41 Section 6.2.
  113. Organisation des fonctions de contrôle interne 43 Section 6.2.
  114. La fonction de contrôle des risques 45 Sous-section 6.2.5.
  115. Responsabilités spécifiques et champ d’application de la fonction de contrôle des risques Sous-section 6.2.5.
  116. 46 Organisation de la fonction de contrôle des risques 47 Section 6.2.
  117. La fonction compliance 47 Sous-section 6.2.6.
  118. La charte de compliance 48 Sous-section 6.2.6.
  119. Responsabilités spécifiques et champ d’application de la fonction compliance 49 Sous-section 6.2.6.
  120. 51 Organisation de la fonction compliance Section 6.2.
  121. La fonction d’audit interne 52 Sous-section 6.2.7.
  122. La charte d’audit interne 52 Sous-section 6.2.7.
  123. Exécution des travaux d’audit interne 55 Sous-section 6.2.7.
  124. Organisation de la fonction d’audit interne 57 Chapitre
  125. Exigences spécifiques 57 Sous-chapitre 7.
  126. Structure organisationnelle et entités juridiques (« Know-your-structure ») 57 Section 7.1.
  127. Principes directeurs en matière d’activités « inhabituelles » ou « non transparentes » 58 Sous-chapitre 7.
  128. Gestion des conflits d’intérêts 59 Section 7.2.
  129. Exigences additionnelles relatives aux conflits d’intérêts en relation avec des parties liées 60 Sous-chapitre 7.
  130. Procédure d’approbation des nouveaux produits (et des nouvelles activités) (« New Product Approval Process ») 61 Sous-chapitre 7.
  131. Sous-traitance (« Outsourcing ») 62 Section 7.4.
  132. Exigences générales en matière de soustraitance 62 Section 7.4.
  133. Exigences particulières en matière de soustraitance dans le domaine informatique 65 Sous-section 7.4.2.
  134. Services de gestion/d’opération des systèmes informatiques 65 Sous-section 7.4.2.
  135. Services de conseil, de développement et de maintenance 66 Sous-section 7.4.2.
  136. Services l’infrastructure 66 Section 7.4.
  137. CIRCULAIRE CSSF 20/757 d’hébergement et propriété Exigences générales supplémentaires de 68 13/118 Section 7.4.
  138. Documentation Chapitre
  139. Reporting légal Partie III. Gestion des risques Chapitre
  140. Principes généraux en matière de mesure et de gestion des risques Sous-chapitre 1.
  141. La gestion des risques Sous-chapitre 1.
  142. La mesure des risques Chapitre
  143. Risques de concentration Chapitre
  144. Risque de crédit Sous-chapitre 3.
  145. Principes généraux Sous-chapitre 3.
  146. Crédits immobiliers résidentiels aux particuliers Sous-chapitre 3.
  147. Crédits aux promoteurs immobiliers 74 Chapitre
  148. Tarification du risque (« Risk Transfer Pricing ») Chapitre
  149. Gestion patrimoniale privée (« banque privée ») Chapitre
  150. Risques liés aux entités shadow banking Sous-chapitre 6.
  151. Mise en œuvre de principes de contrôle interne solides Sous-chapitre 6.
  152. Application de limites quantitatives 77 Chapitre
  153. Risque de charge pesant sur les actifs (« asset encumbrance ») Chapitre
  154. Risque de taux d’intérêt inhérent aux activités autres que de négociation Partie IV. Entrée en vigueur, mesures transitoires et dispositions abrogatoires CIRCULAIRE CSSF 20/757 69 69 70 70 70 70 71 71 71 73 75 75 76 77 79 80 81 14/118 Partie I. Définitions et champ d’application Chapitre
  155. Définitions et abréviations
  156. On entend aux fins de la présente circulaire par : 1) « conseil d’administration » : l’organe ou à défaut les personnes qui du point de vue du droit des sociétés contrôlent la gestion exercée par la direction autorisée. La réglementation du secteur financier alloue aux conseils d’administration des entreprises d’investissement des responsabilités en matière de surveillance et de contrôle, ainsi qu’en matière de détermination et d’approbation des orientations stratégiques et politiques clés. Le terme de « conseil d’administration » n’est pas à prendre dans son acceptation juridique, puisque les banques et entreprises d’investissement peuvent revêtir une forme juridique qui ne prévoit pas de « conseil d’administration » au sens du droit des sociétés. Par exemple, en présence d’un conseil de surveillance dans une organisation dualiste, ce dernier assumera les responsabilités que la présente circulaire attribue au « conseil d’administration » ;. Le conseil d’administration correspond également à l’organe de direction dans sa fonction de surveillance selon les EBA/GL/2017/
  157. 2) « direction autorisée » ou « directeurs autorisés » : les personnes visées aux articles 7 paragraphe 2 et à l’article 19 paragraphe 2 de la LSF. D’un point de vue prudentiel, la direction autorisée est responsable de la gestion conformément journalière aux d’une orientations entreprise stratégiques d’investissement, et politiques clés approuvées par le conseil d’administration. La direction autorisée est également assimilée à l’organe de direction dans sa fonction exécutive selon les EBA/GL/2017/
  158. Dans un système moniste, les directeurs autorisés peuvent être membres du conseil d’administration, alors que dans un système dualiste, la direction autorisée correspond au directoire. 3) « entreprise d’investissement CRR » : une entreprise d’investissement au sens de l’article 4, paragraphe 1er, point 2) du règlement (UE) n° 575/
  159. 4) « entreprise d’investissement non CRR » : une entreprise d’investissement autre qu’une entreprise d’investissement CRR. 5) « « établissement(s) » ou « entreprise(s) d’investissement » » : les entreprises d’investissement CRR et les entreprises d’investissement non CRR de droit luxembourgeois, y compris leurs succursales, les succursales luxembourgeoises d’entreprises d’investissement de pays tiers ainsi que les succursales luxembourgeoises d’entreprises d’investissement agréées dans un autre Etat membre. CIRCULAIRE CSSF 20/757 15/118 6) « établissement d’importance significative » : pour les besoins de la présente circulaire, une entreprise d’investissement d’importance systémique suivant l’article 59-3 de la LSF et, le cas échéant, les autres entreprises d’investissement déterminées par la CSSF sur base de l’évaluation de la taille et de l’organisation interne des entreprises d’investissement ainsi que de la nature, de l’échelle et de la complexité de leurs activités. 7) « ICAAP » : Internal Capital Adequacy Assessment Process. 8) « ILAAP » : Internal Liquidity Adequacy Assessment Process. 3)9) « LSF » : la loi modifiée du 5 avril 1993 relative au secteur financier. Ces personnes sont désignées par « directeurs autorisés » ; 4) « établissement » : une entité telle que définie au chapitre 2 de la partie I ; 10) « fonction clé » : toute « MiFID » : Markets in Financial Instruments Directive. 11) « organe de direction » : l’organe de direction, suivant la définition de la LSF, correspond à l’organe de direction dans sa fonction de surveillance et dans sa fonction exécutive selon les EBA/GL/2017/
  160. Il désigne le conseil d’administration et la direction autorisée d’un établissement pourvu d’une organisation moniste ou le conseil de surveillance et le directoire d’un établissement pourvu d’une organisation dualiste. 12) « parties liées » : les entités (structures) juridiques appartenant au groupe auquel l’établissement appartient ainsi que les membres du personnel, actionnaires, directeurs et membres du conseil d’administration de ces entités. 13) « Procédure prudentielle » : procédure prudentielle d’approbation des administrateurs, directeurs autorisés et titulaires de fonctions clés auprès des entreprises d’investissement. 14) « règlement CRR » : le règlement (UE) n° 575/2013 du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d’investissement. 5)15) « titulaires de fonctions clés » : les responsables des fonctions dont l’exercice permet d’avoir une influence notable sur la conduite ou le contrôle des activités. Ces fonctions clé des établissements. Ils comprennent au minimum les administrateurs, directeurs autorisés et en particulier les responsables des trois fonctions de contrôle interne suivant le point 105 (c’est-à-dire auprès de l’ensemble des établissements, à savoir : le Chief Risk Officer (« CRO ») pour la fonction de contrôle des risques, le Chief Compliance Officer (« CCO ») pour la fonction compliance et le Chief Internal Auditor (« CIA ») pour la fonction d’audit interne) ;, ainsi que le responsable de la fonction financière (Chief Financial Officer, « CFO ») auprès des établissements d’importance significative. CIRCULAIRE CSSF 20/757 16/118 6) « LSF » : la loi du 5 avril 1993 relative au secteur financier ; 7) « parties liées » : les entités juridiques appartenant au groupe auquel l’établissement appartient ainsi que les employés, actionnaires, directeurs et membres du conseil d’administration de ces entités. Chapitre
  161. Champ d’application et proportionnalité
  162. La présente circulaire s’applique aux établissements de crédit et aux entreprises d’investissement de droit luxembourgeois, y compris à leurs succursales, ainsi qu’aux succursales luxembourgeoises d’établissements de crédit et d’entreprises d’investissement dont l’origine se situe en dehors de l’Espace économique européen. de pays tiers. Pour les domaines où la CSSF conserve une responsabilité de contrôle en tant qu’autorité d’accueil -– il s’agit notamment des mesures en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, ainsi que des règles applicables en matière de marchés d’instruments financiers et fourniture de la liquidité services d’investissement - les succursales luxembourgeoises d’établissements de crédit et d’entreprises d’investissement originaires d’unagréées dans un autre Etat membre de l’Espace économique européen mettent en place en coordination avec cette entreprise agréée un dispositif en matière d’administration centrale et de gouvernance interne ainsi qu’une gestion des risques qui sont comparables à ceux prescrits par la présente circulaire. Toutes les entités visées aux paragraphes précédents sont désignées ci-après par le terme « établissements ». En ce qui concerne les professionnels effectuant des opérations de prêt, tels que définis à l’article 28-4 de la LSF, seul le chapitre 3 de la partie III de la présente circulaire est applicable. Le chapitre 6 de la partie III de la présente circulaire s’applique uniquement aux établissements de crédit.
  163. La circulaire s’applique aux établissements sur une base individuelle, sousconsolidée et consolidée ainsi qu’aux compagnies financières holding ou aux compagnies financières holding mixtes visées à l’article 49
(2)points
  1. a)à
  2. c)de la LSF. CIRCULAIRE CSSF 20/757 17/118 Lorsqu’il existe des entités juridiques, consolidées ou non, pour lesquellesSi l’établissement est une entreprise mère au sens de la LSF, le terme « établissement » sert à désigner le « groupe », c’est-à-dire l’ensemble formé par l’entreprise mère (la « (tête de groupe ») et les entités juridiques pour lesquelles l’établissement est entreprise mère au sens de la LSF. La), la circulaire s’applique alors au « groupe » dans son ensemble, aux : à l’entreprise mère ainsi qu’aux différentes entités juridiques qui le composent, ce groupe -– qu’elles soient incluses ou non dans le périmètre de consolidation prudentielle suivant le règlement CRR - y compris leurs les succursales éventuelles, ainsi qu’aux relations entre ces entités juridiques, dans le respect des lois et des dispositions réglementaires nationales qui s’appliquent aux entités juridiques en question. Dans le cas d’entités juridiques dans lesquelles l’établissement détient une participation entre 20% et 50% mais pour lesquelles l’établissement n’est pas entreprise mère au sens de la LSF, l’établissement tête de groupe fait tout son possible, de concert avec les autres actionnaires ou associés concernés, pour que soit mis en place dans ces entités juridiques un dispositif en matière d’administration centrale et de gouvernance interne ainsi qu’une gestion des risques qui répondent à des standards comparables à ceux prescrits par la présente circulaire et dans le respect des lois et des dispositions réglementaires applicables aux niveaux nationaux. Quelle Ainsi, quelle que soit la structure organisationnelle et opérationnelle de l’établissement ou d’un groupe, la mise en œuvre de la présente circulaire permet à l’établissement d’avoir une maîtrise complète de ses activités et des risques auxquels il est exposé ou pourrait être exposé, y compris les activités et les risques intragroupe et peu importe la localisation de ces activités et des risques. Les mesures d’exécution que les établissements prennent en vertu de la présente circulaire sont proportionnelles à leur taille et à leur organisation interne ainsi qu’à la nature, à l’échelle et à la complexité des de leurs activités, y compris les risques, et de l’organisation de l’établissement. En pratique, l’application du principe de proportionnalité conduit les établissements qui sont plus importants, complexes ou risqués à se doter d’un dispositif renforcé en matière d’administration centrale et, de gouvernance interne et de gestion des risques. Ce dispositif renforcé comprend par exemple, l’instauration de comités spécialisés suivant, la section 4.1.4. nomination de membres indépendants additionnels au conseil d’administration ou encore de directeurs autorisés supplémentaires pour faciliter la gestion journalière. CIRCULAIRE CSSF 20/757 18/118 A l’opposé, pour des établissements dont la diversité, la taille ou, l’organisation interne ainsi que la nature, l’échelle et la complexité de l’activité des activités sont moindres, le principe de proportionnalité peut jouer à la baisse. Ainsi ces établissements peuvent Ainsi, un établissement ayant des activités limitées et peu complexes peut fonctionner adéquatement au sens de la présente circulaire avec en désignant des responsables des fonctions compliance et de contrôle des risques assumées à temps partiel (voir les points 129 et 141), avec un audit interne sous-traité (point 117sans remettre en cause le principe de permanence de la fonction) ou encore moyennant le recours à des experts externes en vue de réaliser certaines en sous-traitant l’exécution des tâches opérationnelles de contrôle l’audit interne (point 118) entièrement ou partiellement. L’application à la baisse du principe de proportionnalité est limitée en particulier par le principe de la ségrégation des tâches qui exige que les tâches et responsabilités doivent être attribuées de façon à éviter les conflits d’intérêts dans le chef d’une même personne (voir le point 71). Au niveau de la direction autorisée, ce principe est atténué par le principe de la responsabilité collective de la direction autorisée (voir le point 72). Alors alors que la répartition des tâches au niveau de la direction autorisée s’effectue dans le respect du principe de la ségrégation des tâches, la responsabilité reste collective. Par application du principe de proportionnalité, lorsqu’un établissement ne nécessite pas plus que deux directeurs autorisés, la répartition efficace des tâches n’est pas toujours compatible avec une ségrégation stricte des tâches au niveau de cette direction. Par exemple, il est admissible dans ce cas de figure que le même membre de la direction autorisée soit en charge à la fois de l’organisation administrative, comptable et informatique et des fonctions de contrôle interne (voir le point 63). La mise en œuvre du principe de proportionnalité tient compte des éléments suivants : a. la forme juridique et la structure de propriété et de financement de l’établissement ; b. le modèle d’affaires et la stratégie en matière de risque ; c. la taille de l’établissement et de ses filiales ainsi que la nature et la complexité des activités (y compris le type de clientèle et la complexité des produits ou contrats) ; d. la nature et la complexité de la structure organisationnelle et opérationnelle, y compris l’empreinte géographique, les canaux de distribution et les activités sous-traitées ; e. la nature et l’état des systèmes d’information et dispositifs de continuité. CIRCULAIRE CSSF 20/757 19/118 Quelle que soit l’organisation retenue, les arrangements en la matière permettent à l’établissement d’opérer dans le plein respect des dispositions prévues au chapitre 3 de la partie II à la partie II de la présente circulaire. Les établissements documentent par écrit leur analyse en matière de proportionnalité et en font approuver les conclusions par le conseil d’administration. Partie II. Dispositif en matière d’administration centrale et de gouvernance interne Chapitre 1. L’administration centrale 1. Les établissements disposent au Luxembourg d’une solide administration centrale, comportant leur « centre de prise de décision » et leur « centre administratif ». L’administration centrale, qui englobe au sens large, les fonctions de direction et de gestion, d’exécution et de contrôle, permet à l’établissement d’avoir la maîtrise de l’ensemble de ses activités. 2. La notion deLe centre de prise de décision ne comprend pas seulement l’activité de la direction autorisée suivant ainsi que les articles 7 paragraphe 2 et 19 paragraphe 2 de la LSF, mais également celle des responsables des différentes fonctions commerciales, des fonctions de support et de contrôle ou et des différentes unités opérationnelles (services, départements ou métiers) existant à l’intérieur de l’établissement. 3. Le centre administratif comprend en particulier une bonne organisation l’organisation administrative, comptable et informatique qui assure en permanence la bonne administration des valeurs et des biens, l’exécution adéquate des opérations, l’enregistrement correct et exhaustif des opérations et la production d’une information de gestion correcte, complète, pertinente, compréhensible et disponible sans délais. Il inclut à ce titre l’infrastructure administrative des fonctions commerciales (section 5.2.1), les fonctions de support, en particulier dans le domaine financier et comptable (section 5.2.2) et informatique (section 5.2.3), ainsi que le contrôle interne (chapitre 6).délai. 4. Lorsque l’établissement est tête de groupe suivant le point 3, l’administration centrale permet à l’établissement de concentrer en son siège à Luxembourg toute l’information de gestion nécessaire pour gérer, suivre et contrôler de façon continue les activités du groupe. De même, l’administration centrale permet à l’établissement d’atteindre toutes les entités juridiques et succursales qui composent le groupe afin de leur fournir toute l’information de gestion nécessaire. La notion d’information de gestion s’entend au sens le plus large, incluant l’information financière et le reporting prudentiel légal. CIRCULAIRE CSSF 20/757 20/118 Chapitre 2. Le dispositif de gouvernance interne 5. La gouvernance interne est une composante limitée mais cruciale de la gouvernance d’entreprise, se concentrant sur la structure interne et l’organisation d’un établissement. La gouvernance d’entreprise est un concept plus vaste qui peut être décrit comme étant l’ensemble des relations entre un établissement, son conseil d’administration, sa direction autorisée, ses actionnaires et les autres parties prenantes. La gouvernance interne doit assurer en particulier la gestion saine et prudente des activités, y compris des risques qui leur sont inhérents. Afin d’atteindre cet objectif, les établissements mettent en place un dispositif de gouvernance interne qui répond au concept des « trois lignes de défense » (« three-linesof-defence model »). La première ligne de défense est constituée par les unités opérationnelles qui prennent ou acquièrent des risques dans le cadre d’une politique et de limites prédéfinies et qui effectuent des contrôles tels que décrits en particulier à la section 6.1.1. La seconde ligne est formée par les fonctions de support, y compris la fonction financière et comptable (section 5.2.2) ainsi que la fonction informatique (section 5.2.3), et les fonctions compliance et de contrôle des risques (souschapitre 6.2 et sections 6.2.5 et 6.2.6) qui contribuent au contrôle indépendant des risques. La troisième ligne est constituée par la fonction d’audit interne qui, conformément au sous-chapitre 6.2 et à la section 6.2.7, effectue une évaluation indépendante, objective et critique des deux premières lignes de défense. Les trois lignes de défense sont complémentaires, chaque ligne de défense assumant ses responsabilités de contrôle indépendamment des autres lignes. Les contrôles réalisés par les trois lignes de défense comprennent les quatre niveaux de contrôles prévus au point 100. 6. Concrètement, et dans le but de respecter les objectifs définis au point précédent, le Le dispositif de gouvernance interne comprend notamment : • une structure organisationnelle et opérationnelle claire et cohérente comportant des pouvoirs de décision, des liens hiérarchiques et fonctionnels et un partage des responsabilités clairement définis, transparents, cohérents, complets et exempts de conflits d’intérêts (souschapitres 5.1, 7.1 et 7.2) ; CIRCULAIRE CSSF 20/757 21/118 • des mécanismes adéquats de contrôle interne qui répondent aux dispositions du chapitre 6 de cette partie. Ces mécanismes comprennent des procédures administratives, comptables et informatiques saines et des politiques et pratiques de rémunération permettant et promouvant une gestion saine et efficace des risques par application des règles contenues dans les circulaires CSSF 06/273, CSSF 07/290 et CSSF 11/505, en ligne avec la stratégie de l’établissement en matière de risques, ainsi que des mécanismes de contrôle et de sécurité des systèmes d’information de gestion. La notion de système d’information de gestion comprend les systèmes informatiques (sections 5.2.1 à 5.2.3, sous-chapitres 5.3 et 7.4) ; • une procédure formelle d’escalade, de règlement et, le cas échéant, de sanctions pour les problèmes, déficiences et irrégularités relevés par le biais des mécanismes de contrôle interne, y compris les fonctions de contrôle interne suivant le sous-chapitre 6.2 ; • un processus clair de prise de risques comprenant un appétit au risque formellement et précisément arrêté dans tous les domaines d’activité, un processus décisionnel rigoureux, des analyses de qualité et des limites ; • des processus de détection, de mesure, de déclaration, de gestion et, d’atténuation ainsi que et de contrôle des risques auxquels les établissements sont ou pourraient être exposés conformément au chapitre 1 de la partie III ; • un système d’information de gestion, y compris en matière de risques, ainsi qu’un dispositif de communication interne comprenant un dispositif interne d’alerte (« whistleblowing ») qui permet au personnel de l’établissement d’attirer l’attention des responsables sur toutes leurs préoccupations importantes et légitimes liées à la gouvernance interne de l’établissement (section 5.2.4) ; • une procédure formelle d’escalade, de règlement et de sanction des problèmes, déficiences et irrégularités relevés par le biais des mécanismes de contrôle et d’alerte internes ; • un dispositif de gestion de continuité des activités visant à limiter les risques de perturbation grave des activités et à assurer le maintien des opérations clé clés telles que définies par le conseil d’administration sur proposition de la direction autorisée. Ce dispositif comprend un plan de continuité qui décrit les actions à mettre en œuvre afin de poursuivre les activités en cas d’incident ou sinistre (sections 5.2.3 et 7.4) ; • un dispositif de gestion de crises qui assure une capacité de réaction appropriée en cas de crise, y compris un plan de rétablissement des activités. Ce dispositif satisfait redressement conforme aux exigences énoncées à du chapitre 2 de la section 5.2.5 partie IV de la LSF. CIRCULAIRE CSSF 20/757 22/118 7. Les établissements promeuvent Tout établissement promeut une culture interne du contrôle et du risque et de la conformité qui vise à assurer que tout le personnel de l’établissement participe activement au contrôle interne ainsi qu’à la détection, à la déclaration et au contrôle des risques encourus par l’établissement et adopte une attitude positive à l’égard du contrôle interne tel que défini au chapitre 6. Cette culture généralisée des risques et de la conformité, forte et omniprésente, doit également se refléter dans les stratégies, politiques et procédures de l’établissement, les formations proposées et les messages véhiculés aux membres du personnel en ce qui concerne la prise et la gestion des risques au sein de l’établissement. Une telle culture se caractérise par l’exemple donné par le conseil d’administration et la direction autorisée (« tone from the top ») et implique la responsabilisation de tous les membres du personnel pour leurs actes et comportements, un dialogue ouvert et critique et l’absence d’incitation à une prise de risque inappropriée. Chapitre 3. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne 8. Le dispositif en matière d’administration centrale et de gouvernance interne est élaboré et mis en œuvre de sorte à ce qu’il : • fonctionne de manière intègre (« intégrité »). Ce volet inclut aussi bien la gestion des conflits d’intérêts que la sécurité, en particulier en matière de systèmes d’information ; • soit fiable et fonctionne de manière continue (« robustesse »). En vertu du principe de continuité, les établissements tout établissement se dotent dote également d’arrangements visant à rétablir le fonctionnement du dispositif de gouvernance interne en cas de discontinuité ; • soit efficace (« efficacité »). L’efficacité s’apprécie en particulier par rapport au fait que les risques sont effectivement gérés et contrôlés ; • réponde aux besoins de l’établissement dans son ensemble et de toutes ses unités organisationnelles et opérationnelles (« adéquation ») ; • CIRCULAIRE CSSF 20/757 soit cohérent dans son ensemble et dans ses parties (« cohérence ») ; 23/118 • soit complet (« exhaustivité »). En ce qui concerne les risques, l’exhaustivité signifie que l’ensemble des risques doit être inclus dans le périmètre du dispositif de gouvernance interne. Ce périmètre ne s’arrête pas (nécessairement) au seul périmètre (consolidé) prudentiel ou comptable ; il. Il doit permettre à l’établissement de disposer d’une vue exhaustive sur tous ses risques, en termes de leur substance économique, en tenant compte de toutes les interactions existant à travers l’établissement. S’agissant du contrôle interne, le principe d’exhaustivité implique que le contrôle interne porte sur tous les domaines du fonctionnement de l’établissement ; • soit transparent (« transparence »). La transparence comprend une attribution et une communication claires et visibles des rôles et des responsabilités aux différents membres du personnel, à la direction autorisée et aux unités opérationnelles et organisationnelles de l’établissement ;. 9. En exécution d’un organigramme (sous-chapitre 5.1), l’établissement dispose au siège luxembourgeois, dans ses succursales ainsi que dans l’ensemble des différentes entités juridiques qui composent le groupe, de ressources humaines suffisantes professionnelle en individuelle nombre et et collective disposant d’une appropriée, compétence ainsi que de l’infrastructure administrative et technique nécessaire et suffisante pour pouvoir exercer les activités qu’il veut réaliser. Ces ressources humaines et cette infrastructure respectent les dispositions des sous-chapitres 5.1 et 5.2. La sous-traitance est possible dans les conditions énoncées au sous-chapitre 7.4. 10. Les établissements documentent par écrit l’ensemble du dispositif en matière d’administration centrale et de gouvernance interne ainsi que l’ensemble de leurs activités (opérations et risques) conformément au sous-chapitre 5.3. • soit conforme aux exigences légales et réglementaires, y compris par rapport aux exigences de la présente circulaire (« conformité »). 11.9. En vue d’assurer et de maintenir la solidité du dispositif en matière d’administration centrale et de gouvernance interne, ce dernier fait l’objet d’une révision objective, critique et régulière, au moins une fois par an. Cette révision tient compte de tous les changements internes et externes qui peuvent avoir une influence significative défavorable sur la solidité de ce dispositif dans son ensemble et sur le profil de risque et la capacité de l’établissement à gérer et à supporter ses risques en particulier. CIRCULAIRE CSSF 20/757 24/118 12.10. Les établissements entreprises d’investissement CRR publient les éléments clé de leur dispositif clés en matière de gouvernance interne dans le respect et de gestion des règles régissant la partie XIX risques conformément aux dispositions du règlement CRR (article 435 et titre Ier de la circulaire CSSF 06/273 (« pilier 3 »). Cette huitième partie) ainsi qu’aux orientations relatives aux exigences de publication inclut la structure organisationnelle et opérationnelle, y compris en matière de contrôle interne, la stratégie en matière de risques ainsi que le profil de risque. Ces informations décrivent la situation actuelle et son évolution attendue d’une manière claire, objective et pertinente. L’EBA (Guidelines on disclosure requirements under Part Eight of Regulation (EU) No 575/2013, « EBA/GL/2016/11 »). Chapitre 4. Conseil d’administration et direction autorisée Sous-chapitre 4.1. Le conseil d’administration Section 4.1.1. Responsabilités du conseil d’administration 13.11. Le conseil d’administration a la responsabilité globale de l’établissement. Il veille à faire assurer l’activité Il définit, surveille et à préserver porte la continuité responsabilité de l’activité au moyen la mise en place d’un solide dispositif en matière d’administration centrale et, de gouvernance interne conformément aux dispositions de la présente circulaire.et de contrôle interne, qui comprend une organisation interne clairement structurée et des fonctions de contrôle interne indépendantes ayant une autorité, une importance et des ressources appropriées à leurs responsabilités. Le cadre mis en place doit permettre d’assurer la gestion saine et prudente de l’établissement, d’en préserver la continuité et d’en protéger la réputation. A cette fin, le conseil d’administration approuve et arrête par écrit, dans le respect des dispositions légales et réglementaires et après avoir entendu la direction autorisée et les responsables des fonctions de contrôle interne, et dans le but de protéger l’établissement et sa réputation, notamment les éléments clés suivants du dispositif en matière d’administration centrale, de gouvernance interne et de gestion des risques : • la stratégie commerciale (modèle d’activités d’affaires) de l’établissement dans le respect des intérêts financiers de l’établissement à long terme, de sa solvabilité et de sa situation des liquidités, de sa situation des liquidités et de son appétit au risque. Le développement et le maintien d’un modèle d’affaires durable exige la prise en compte de tous les risques matériels, y compris les risques environnementaux, sociaux et de gouvernance ; CIRCULAIRE CSSF 20/757 25/118 • la stratégie de l’établissement en matière de risques, y compris la tolérance l’appétit au risque et les principes directeurs régissant la détection, la mesure, la déclaration, la le cadre global de prise et de gestion et le contrôle des risques de l’établissement ; • la stratégie de l’établissement en matière de fonds propres et de réserves de liquidités réglementaires et internes ; • les principes directeurs d’une une structure organisationnelle et opérationnelle claire et cohérente qui règle en particulier la création et le maintien par l’établissement d’entités (structures) juridiques, ainsi que les principes directeurs en matière de systèmes d’informations, y compris l’aspect sécurité, et de dispositif de communication interne, y compris le dispositif interne d’alerte ; • les principes directeurs en matière de systèmes, de technologie et de sécurité de l’information conformément à la circulaire CSSF 20/750, y compris les dispositifs internes de communication et d’alerte ; • les principes directeurs relatifs aux mécanismes de contrôle interne, qui incluent les fonctions de contrôle interne et la ; • les principes directeurs en matière de politique de rémunération, ; • les principes directeurs en matière de déontologie, de valeurs d’entreprise et de gestion des conflits d’intérêts ; • les principes directeurs en matière d’escalade, de règlement et de sanctions visant à assurer que tout comportement non respectueux dedes règles applicables soit adéquatement poursuivi et sanctionné, ainsi que les principes directeurs en matière de déontologie (« code de conduite interne») et de valeurs d’entreprise, y compris dans le domaine de la gestion des conflits d’intérêts ; • les principes directeurs en matière d’administration centrale au Luxembourg, comprenant : o les moyens humains et matériels que nécessite la mise en œuvre de la structure organisationnelle et opérationnelle ainsi que des stratégies de l’établissement, les principes directeurs en matière d’organisation o une organisation administrative, comptable et informatique, intègre et respectant les lois et standards applicables, o les principes directeurs en matière de sous-traitance (« outsourcing ») y compris de nature informatique se reposant ou non sur une infrastructure de « cloud computing », ainsi que o les principes directeurs régissant la modification de l’activité (en termes de couverture de marchés et de clientèle, de nouveaux produits et de services) et l’approbation et le maintien d’activités « inhabituelles » ou « potentiellement non transparentes » ; • les principes directeurs applicables en matière de dispositif de gestion de continuité des activités et de gestion de crises ; et CIRCULAIRE CSSF 20/757 26/118 • les principes directeurs régissant la nomination et la succession au conseil d’administration, à la direction autorisée et aux titulaires de fonctions clé clés de l’établissement, ainsi que les procédures régissant le conseil d’administration en termes de sa composition, de ses comprenant les aspects de diversité, de responsabilités, d’organisation, de son organisation et de son fonctionnement et d’évaluation individuelle et collective de ses membres. 7 Les principes directeurs régissant la nomination et la succession aspects de diversité font référence aux fonctions clé de l’établissement stipulent qu’en la matière, l’établissement doit se conformer aux exigences de la présente circulaire, à la procédure prudentielle d’approbation caractéristiques des titulaires de fonctions clé telle que publiée membres de l’organe de direction, y compris leur âge, sexe, origine géographique et parcours éducatif et professionnel. La promotion de la diversité repose sur le site internet de la CSSF ainsi qu’aux orientations publiées par l’EBA le 22 novembre 2012 (Guidelines on the assessment of the suitability of members of the management body and key function holders EBA/GL/2012/06).principe de non-discrimination et sur des mesures garantissant l’égalité des chances. 7 Dans le respect de la gouvernance d’entreprise, les principes directeurs et procédures applicables aux membres du conseil d’administration sont à soumettre le cas échéant aux actionnaires pour accord. CIRCULAIRE CSSF 20/757 27/118 Remarque : Les orientations de l’EBA en matière d’évaluation de l’aptitude des titulaires de fonctions clé prévoient en particulier que les établissements : • identifient l’ensemble des fonctions clé (voir aussi le point 1 à ce sujet) ; • définissent les critères (en termes d’honorabilité, de compétences professionnelles et de qualités personnelles) qu’ils mettent en œuvre afin d’apprécier l’aptitude des titulaires des fonctions clé. Ces critères sont conformes aux critères prévus aux points 13 à 15 de l’orientation précitée de l’EBA ; • exigent que les titulaires des fonctions clé soient honorables et présentent les compétences professionnelles et qualités personnelles nécessaires à l’exécution de leur mandat ; • évaluent par écrit l’aptitude des titulaires de fonctions clé, préalablement à leur nomination, régulièrement au cours de leur mandat et sur base ad hoc lorsqu’une telle réévaluation s’impose ; • définissent des politiques et procédures relatives à la sélection des titulaires de fonctions clé qui respectent les principes d’une solide gouvernance interne (conformément aux points 7 et 8 de l’orientation précitée de l’EBA). 14.12. Le conseil d’administration charge la direction autorisée de mettre en œuvre les stratégies et principes directeurs en matière de gouvernance interne visés au point 17 par le biais de politiques et de procédures internes écrites, (à l’exception des principes directeurs qui régissent la nomination et la succession au sein du conseil d’administration et les procédures déterminant son fonctionnement). 15.13. Le conseil d’administration surveille la mise en œuvre par la direction autorisée de ses des stratégies et principes directeurs en matière de gouvernance interne. A cette fin, il doit notamment approuver et approuve les politiques que la direction autorisée arrête en vertu du point 18 de ces stratégies et principes. CIRCULAIRE CSSF 20/757 28/118 16.14. Le conseil d’administration évalue d’une manière critique, adapte en cas de besoin et ré-approuve à des intervalles réguliers, et au moins une fois par an, le dispositif de gouvernance interne, comprenant les stratégies clés et principes directeurs et leur implémentation au sein de l’établissement, les mécanismes de contrôle interne et le cadre de prise et de gestion des risques. Ces évaluations et ré-approbations visent à assurer que le dispositif de gouvernance interne continue à répondre aux exigences de la présente circulaire et aux objectifs d’une gestion efficace, saine et prudente des activités. L’évaluation et l’approbationla ré-approbation par le conseil d’administration portent en particulier sur : • l’adéquation entre les risques encourus, la capacité de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires, compte tenu des stratégies et principes directeurs fixés par le conseil d’administration et la réglementation existante et notamment applicable, y compris la circulaire CSSF 11/506 ; • les stratégies et principes directeurs en vue de les améliorer et de les adapter aux changements internes et externes, actuels et anticipés, ainsi qu’aux enseignements tirés du passé ; • la manière dont la direction autorisée s’acquitte des de ses responsabilités énoncées au sous-chapitre 4.2. et les performances de ses membres. Dans ce contexte, le conseil d’administration revoit et évalue d’une manière critique et constructive les actions, propositions, décisions de, et informations fournies par, la direction autorisée et veille en particulier à ce que la direction autorisée mette en œuvre de manière prompte et efficace les mesures correctrices requises pour remédier aux problèmes, déficiences et irrégularités relevés par les fonctions de contrôle interne, le réviseur d’entreprises agréé et la CSSF, conformément aux deux derniers paragraphes du point 57, la CSSF et, le cas échéant, une autre autorité compétente ; • l’adéquation de la structure organisationnelle et opérationnelle. Le conseil d’administration doit avoir une compréhension parfaite de la structure organisationnelle de l’établissement, en particulier en termes des entités (structures) juridiques sous-jacentes, de leur raison d’être, des liens et interactions intra-groupe qui les relient ainsi que des risques y liés. Il vérifie que la structure organisationnelle et opérationnelle correspond aux stratégies et principes directeurs visés au point 17, qu’elle permet une gestion saine et prudente des activités qui est exempte d’opacité et de complexité indue, et qu’elle reste justifiée par rapport aux objectifs assignés. Cette exigence s’applique tout particulièrement aux activités « inhabituelles » ou « potentiellement non transparentes » ; CIRCULAIRE CSSF 20/757 29/118 • l’efficacité et l’efficience des mécanismes de contrôle interne mis en place par la direction autorisée. Les évaluations en question peuvent être préparées par les comités mis en place par application du point 33. spécialisés. Elles se font en particulier sur base des informations reçues de la part de la direction autorisée (point 61), des rapports de révision émis par le réviseur d’entreprises agréé (rapports sur les comptes annuels, comptes rendus analytiques et, le cas échéant, « management letters »), du rapport des rapports ICAAP (point 61)/ILAAP et des rapports de synthèse des fonctions de contrôle interne (point 116) que le conseil d’administration est appelé à approuver à cette occasion. 17.15. Il appartient au conseil d’administration de promouvoir une culture interne en matière de risque et de compliance qui sensibilise le personnel de l’établissement aux impératifs d’une gestion saine et prudente des risques et qui favorise une attitude positive à l’égard du contrôle interne et de la compliance, et de stimuler le développement d’un dispositif de gouvernance interne qui permet d’atteindre ces objectifs. S’agissant des fonctions de contrôle interne, le conseil d’administration veille à ce que les travaux de ces fonctions soient exécutés suivant des normes reconnues. Par ailleurs, le conseil d’administration approuve le plan d’audit interne conformément au point 151. et dans le cadre de politiques approuvées. 16. Le conseil d’administration veillera à consacrer un temps suffisant aux thématiques du risque. 18.17. Lorsque le conseil d’administration prend connaissance que le dispositif en matière d’administration centrale ou de gouvernance interne ne permet plus une gestion saine et prudente des activités ou que les risques encourus ne sont ou ne seront plus adéquatement supportés par la capacité de l’établissement à gérer ces risques, par des fonds propres ou des réserves de liquidités réglementaires ou internes, il exige de la direction autorisée de lui présenter sans délais des mesures correctrices et en informe notifie immédiatement la CSSF. L’obligation de notification à la CSSF porte aussi sur toutes les informations qui remettent en cause la qualification ou l’honorabilité d’un membre de membres du conseil d’administration ou de la direction autorisée ou d’un responsable d’une fonction de contrôle interne clé. CIRCULAIRE CSSF 20/757 30/118 Section 4.1.2. Composition et qualification du conseil d’administration 19.18. Les membres du conseil d’administration doivent être suffisants en nombre et présenter dans leur ensemble une composition adéquate qui permet au conseil d’administration de s’acquitter pleinement de toutes ses responsabilités. Le caractère adéquat se réfère en particulier aux compétences qualités professionnelles (connaissances, compréhension compétences et expérience adéquates), ainsi qu’aux qualités personnelles des membres du conseil d’administration. Les qualités personnelles sont celles qui leur permettent d’exécuter leur mandat de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance d’esprit requis. Par ailleurs, chaque membre doit justifier de son honorabilité professionnelle. Les principes directeurs régissant l’électionla nomination et la succession des administrateurs membres du conseil d’administration expliquent et arrêtent les facultés jugées nécessaires en vue d’assurer une composition et une qualification appropriée appropriées du conseil d’administration. 20.19. Le conseil d’administration doit disposer dans son ensemble collectivement de connaissances, compétences et d’une compétence appropriée expérience appropriées à la nature, à l’échelle et à la complexité des activités et de l’organisation de l’établissement. Le conseil d’administration, en tant que collectif, doit avoir collectivement une compréhension parfaite de l’ensemble des activités (et des risques qui leur sont inhérents) ainsi que de l’environnement économique et réglementaire dans lequel évolue l’établissement. Les membres du conseil d’administration disposent individuellement d’une parfaite compréhension du dispositif de gouvernance interne et de leurs responsabilités au sein de l’établissement. Ils maîtrisent les activités qui sont du ressort de leur domaine d’expertise et disposent d’une bonne compréhension des autres activités significatives de l’établissement. 21.20. Les membres du conseil d’administration veillent à ce que leurs qualités personnelles leur permettent d’exécuter leur mandat d’administrateur de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance d’esprit requis. A ce titre, le conseil d’administration ne peut pas compter parmi ses membres une majorité de personnes qui assument un rôle exécutif au sein de l’établissement (directeurs autorisés ou autres employés membres du personnel de l’établissement, à l’exception des représentants du personnel élus conformément à la réglementation applicable). CIRCULAIRE CSSF 20/757 31/118 Les membres du conseil d’administration veillent à ce que leur mandat d’administrateur soit et reste compatible avec leurs autres emplois, mandats et intérêts éventuels, en particulier en termes de conflits d’intérêts et de disponibilité. Ils informent le conseil d’administration des mandats qu’ils ont en dehors de l’établissement. 22.21. Les termes des mandats d’administrateur doivent être fixés de manière à permettre au conseil d’administration d’exercer ses responsabilités de manière continue et efficace. La reconduction d’administrateursde membres existants doit s’orienter en particulier à leurs performances passées. La continuité du fonctionnement du conseil d’administration doit être assurée. 22. Les principes directeurs régissant la nomination et la succession des membres du conseil d’administration prévoient les mesures nécessaires pour que ces membres soient et restent qualifiés tout au long de leur mandat. Ces mesures comprennent une initiation spécifique pour comprendre la structure, le modèle d’affaires, le profil de risque et les dispositifs de gouvernance et ensuite des formations professionnelles programmes de formation professionnelle qui permettent aux membres du conseil d’administration de mettre comprendre d’une part, les opérations de l’établissement, leur rôle et d’autre part, de maintenir à jour et d’approfondir leurs compétences requises. 23. En principe, chaque entreprise d’investissement CRR devrait nommer au moins un membre à son conseil d’administration qui peut être considéré comme « membre indépendant ». Un membre indépendant du conseil administration ne connaît pas de conflits d’intérêts de nature à altérer sa capacité de jugement, du fait qu’il est, ou a été dans un passé récent, lié par une relation quelconque - professionnelle, familiale ou autre - avec l’établissement, l’actionnaire qui le contrôle ou la direction de l’un ou de l’autre. Pour l’appréciation du caractère d’indépendance, les établissements appliquent les critères de la section 9.3 des EBA/GL/2017/12 telle que reproduite en annexe I. Les établissements qui sont d’importance significative ou dont les actions sont admises à la négociation sur un marché réglementé veilleront à doter leur conseil d’administration d’un nombre suffisant de membres indépendants, compte tenu de leur organisation ainsi que de la nature, de l’échelle et de la complexité de leurs activités. Section 4.1.3. Organisation et fonctionnement du conseil d’administration 24. Le conseil d’administration se réunit régulièrement en vue de s’acquitter de manière efficace de ses responsabilités. L’organisation et le fonctionnement du conseil d’administration sont consignés par écrit. Les objectifs et les responsabilités de ses membres sont également documentés par des mandats écrits. CIRCULAIRE CSSF 20/757 32/118 25. Les travaux du conseil d’administration doivent être documentés par écrit. Cette documentation inclut l’agenda des réunions, et les procès-verbaux des réunions ainsi que avec les décisions et mesures prises par le conseil d’administration. Les procès-verbaux sont un outil important qui doit aider le conseil d’administration et ses membres à faire le suivi des décisions d’une part, et permettre au conseil d’administration et à ses membres de rendre des comptes aux actionnaires et à la CSSF d’autre part. Ainsi, des points de routine peuvent figurer de façon succincte sous forme de simple décision au procèsverbal d’une réunion, alors que des points importants de l’ordre du jour impliquant des risques pour l’établissement ou débattus contradictoirement doivent être rapportés plus en détail, permettant au lecteur de suivre les débats et d’identifier les positions défendues. 26. Le conseil d’administration évalue régulièrement les procédures régissant le conseil d’administration, son mode de fonctionnement et ses travaux en vue de les améliorer, d’en assurer l’efficacité et de vérifier si les procédures qui lui sont applicables sont respectées dans la pratique. Il veille à ce que tous ses membres aient une vision claire de leurs obligations, leurs responsabilités et de la répartition des tâches au sein du conseil d’administration et des comités spécialisés qui en dépendent. 27. Il appartient au président du conseil d’administration d’en assurer une composition équilibrée, notamment en termes de diversité, de veiller à son bon fonctionnement, de promouvoir au sein du conseil d’administration une culture de discussion informée et contradictoire et de proposer l’électionla nomination d’administrateurs indépendants. Un administrateur indépendant est un administrateur qui ne connaît Le président du conseil d’administration n’exerce pas de conflit d’intérêts, fonctions exécutives au sein de nature à altérer sa capacité de jugement du fait qu’il est lié par une relation d’affaires familiale ou autre 8 - avec l’établissement, l’actionnaire qui. Ainsi, les mandats de directeur autorisé et de président du conseil d’administration ne sont pas cumulables, et le contrôle ou la direction de l’un ouprésident du conseil d’administration ne peut pas être un autre membre du personnel de l’autrel’établissement. La CSSF recommande aux grands établissements d’avoir un ou plusieurs administrateurs indépendants. 28. Les mandats de directeur autorisé et de président du conseil d’administration ne sont pas cumulables. 8 Y inclus une relation salariale CIRCULAIRE CSSF 20/757 33/118 Section 4.1.4. Comités spécialisés 28. En vue d’accroître son efficacité, le Le conseil d’administration peut se faire assister par des comités spécialisés dans le domaine les domaines notamment de l’audit, des risques, de la compliance, de la rémunération, et des ressources humaines (notamment à travers l’intervention d’un comité de nomination des personnes occupant une fonction clé) ainsi que nominations ou encore de la gouvernance interne, et de la déontologie et de la compliance lorsque , en fonction de ses besoins et compte tenu de l’organisation, de la nature, de l’échelle et de la complexité de l’établissement et de ses des activités l’exigent. Ces comités comprennent des administrateurs qui ne font pas partie de la direction autorisée ni du personnel de l’établissement. Ils peuvent également comprendre, au besoin, des experts externes, indépendants de l’établissement de l’établissement. Leur mission consiste Les missions des comités spécialisés consistent à fournir au conseil d’administration des appréciations critiques concernant l’organisation et le fonctionnement de l’établissement dans les leurs domaines précités de compétences spécifiques. 29. Les établissements d’importance significative doivent mettre en vue de permettre aux place un comité d’audit, un comité des risques, un comité de nomination et un comité de rémunération. 30. En application du principe de proportionnalité, les établissements qui ne sont pas d’importance significative peuvent mettre en place des comités dédiés combinant différents domaines de responsabilités, par exemple un comité d’audit et des risques, un comité d’audit et compliance ou encore un comité des risques et de rémunération. Les membres de tels comités combinés doivent posséder, individuellement et collectivement, les connaissances, les compétences et l’expertise nécessaires à l’exercice de leurs fonctions. 29.31. Sans préjudice d’exigences légales et réglementaires spécifiques en la matière, les membres permanents des comités spécialisés sont, selon le cas, des membres du conseil d’administration d’exercer de manière efficace leur mission de surveillance et d’assumer leurs responsabilités en vertu de qui n’exercent pas de fonction exécutive au sein de l’établissement ou des membres indépendants. Chaque comité est composé d’au moins trois membres dont les connaissances, compétences et expertises sont en adéquation avec les missions du comité. Lorsqu’il existe au sein d’un établissement plusieurs comités spécialisés, l’établissement devrait, dans la présente circulairemesure où le nombre de membres non-exécutifs et indépendants du conseil d’administration le permet, veiller à ce que les membres des comités respectifs soient différents. L’établissement devrait par ailleurs essayer d’assurer une rotation des présidents et membres des comités, compte tenu de l’expérience, des connaissances et des compétences spécifiques individuelles et collectives requises. CIRCULAIRE CSSF 20/757 34/118 30. Le conseil d’administration fixe par écrit le mandat, la composition et les procédures de travail des comités spécialisés. En vertu de ces procédures, les comités spécialisés doivent pouvoir demander tout document et toute information qu’ils jugent utiles pour l’exercice de leur mission. Par ailleurs, les procédures prévoient les conditions dans lesquelles le réviseur d’entreprises agréé ainsi que toute personne appartenant à l’établissement, y compris la direction autorisée, sont associés aux travaux des comités spécialisés. 31. Le conseil d’administration veille à ce que les différents comités interagissent efficacement et rapportent régulièrement au conseil d’administration. Le conseil d’administration ne peut pas déléguer aux comités spécialisés ses pouvoirs de décision et responsabilités en vertu de la présente circulaire. 32. Les comités spécialisés sont présidés par un de leurs membres. Ces présidents de comité disposent de connaissances approfondies dans le domaine d’activité du comité qu’ils président et assurent un débat critique et constructif au sein du comité. 33. La CSSF recommande aux établissements d’importance significative que leur comité des risques comporte une majorité de membres indépendants, y compris son président. 34. Les comités spécialisés se réunissent régulièrement, afin de se décharger des tâches et travaux qui leur sont alloués ou encore pour préparer les réunions du conseil d’administration. Ils peuvent, suivant leurs besoins, se faire assister par des experts externes, indépendants de l’établissement, et peuvent associer à leurs travaux le réviseur d’entreprises agréé, les directeurs autorisés, les autres comités spécialisés, les responsables des fonctions de contrôle interne ainsi que d’autres personnes travaillant pour l’établissement, sans que ces personnes ne soient membres et sans qu’elles ne participent aux recommandations du comité. 35. Le conseil d’administration fixe par écrit les missions, la composition et les procédures de travail des comités spécialisés. En vertu de ces procédures, les comités spécialisés reçoivent des rapports réguliers des fonctions de contrôle interne sur l’évolution du profil de risque de l’établissement, les infractions par rapport au cadre réglementaire, à la gouvernance interne et à la gestion des risques ainsi que les préoccupations soulevées par l’intermédiaire du dispositif interne d’alerte et les mesures pour y remédier. Ils doivent pouvoir demander tout document et toute information qu’ils jugent utiles pour l’exercice de leur mission. Les comités documentent les agendas de leurs réunions ainsi que les conclusions et recommandations selon les mêmes principes qu’au point 25. Par ailleurs, les procédures prévoient les conditions dans lesquelles les experts externes fournissent leur assistance et les modalités selon lesquelles d’autres personnes sont associées aux travaux des comités spécialisés. CIRCULAIRE CSSF 20/757 35/118 36. Le conseil d’administration veille à ce que les différents comités interagissent efficacement, communiquent entre eux et avec les fonctions de contrôle interne et le réviseur d’entreprises agréé et rapportent régulièrement au conseil d’administration. 33.37. Le conseil d’administration ne peut pas déléguer aux comités spécialisés ses pouvoirs et responsabilités en vertu de la présente circulaire. Lorsque le conseil d’administration ne se fait pas assister par des comités spécialisés, les tâches énoncées aux sous-sections 4.1.4.1 et 4.1.4.2 incombent directement au conseil d’administration. Sous-section 4.1.4.1. Le comité d’audit 9 34.38. Le comité d’audit a pour objet d’assister le conseil d’administration dans les domaines de l’information financière, du contrôle interne, y compris l’audit interne, ainsi que du contrôle par le réviseur d’entreprises agréé. 35.39. La CSSF recommande aux grands Sans préjudice des autres dispositions de la section 4.1.4, les établissements de doivent créer un comité d’audit afin de faciliter le contrôle effectif des activités lorsqu’ils y sont tenus par le conseil d’administration l’article 52 de la loi modifiée du 23 juillet 2016 relative à la profession de l’audit (« Loi Audit »). Le comité d’audit comprend au moins trois membres et sa composition est déterminée en accord avec ses missions et son mandat conformément aux points 33 et 34. Les compétences collectives des membres du comité d’audit doivent être représentatives des activités et des risques de l’établissement et comprendre des compétences spécifiques en matière d’audit et de comptabilité. Le comité d’audit peut associer à ses travaux la direction autorisée, le responsable de la fonction d’audit interne ainsi que le réviseur d’entreprises agréé de l’établissement. Ces personnes peuvent assister aux réunions du comité ; elles n’en sont pas membres. 36. Le fonctionnement du comité d’audit, en particulier en termes de fréquence et de durée des réunions, est déterminé en fonction de son mandat et de sa mission d’assister le conseil d’administration. 40. Le comité d’audit est en charge du processus de nomination, de reconduction, de révocation 10 et de rémunération du réviseur d’entreprises agréé. 9 Pour les établissements qui doivent se doter d’un comité d’audit conformément à la loi du 18 décembre 2009 relative à la profession de l’audit, la présente circulaire s’applique sans préjudice des dispositions codifiées à l’article 74 (« Comité d’audit ») de cette loi. 10 Le pouvoir de désignation du réviseur d’entreprises agréé appartient cependant au conseil d’administration de l’entreprise d’investissement conformément à l’article 22 de la LSF. CIRCULAIRE CSSF 20/757 36/118 37.41. Le comité d’audit confirme la charte d’audit interne (point 144) ainsi que le plan d’audit pluriannuel et ses révisions. Il apprécie si les moyens humains et matériels engagés au niveau de l’audit interne sont suffisants et s’assure que les auditeurs internes possèdent les compétences nécessaires (point 111) et que l’indépendance de la fonction d’audit interne est sauvegardéenécessaires. 38. Le comité d’audit confirme le plan d’audit interne (point 151) approuvé par la direction autorisée. Il prend connaissance des informations sur l’état du contrôle interne que lui fournit la direction autorisée selon une fréquence au moins annuelle en vertu du point 61 de la présente circulaire. 39.42. Le comité d’audit délibère régulièrement sur et de manière critique sur les sujets suivants 11 : • le suivi du le respect des règles comptables et le processus d’élaboration de l’information financière, ; • l’état du contrôle interne et le respect des règles fixées à ce sujet dans la présente circulaire, sur base notamment des rapports de la fonction d’audit interne, ; • la qualité du travail réalisé par la fonction d’audit interne et le respect des règles fixées à ce sujet dans la présente circulaire (voir sections 6.2.3. et 6.2.7.3), ; • la nomination, la reconduction, la révocation et la rémunération du réviseur d’entreprises agréé, • la qualité du travail réalisé par le réviseur d’entreprises agréé, son indépendance et objectivité, son respect des règles déontologiques en vigueur dans le domaine ainsi que la portée et la fréquence d’audit. A ce titre, le comité d’audit analyse et évalue d’une manière critique le plan d’audit, les rapports sur les comptes annuels, les « “management letters” » ainsi que , les comptes rendus analytiques réalisés et, le cas échéant, la nature appropriée des services autres que ceux liés à l’audit des comptes qui auraient été fournis par le réviseur d’entreprises agréé et assure un examen et suivi de l’indépendance du réviseur d’entreprises agréé ou du cabinet de révision agréé, en particulier pour ce qui concerne la fourniture de services complémentaires à l’établissement, ; • le suivi approprié et sans délai indu par la direction autorisée des recommandations de la fonction d’audit interne et du réviseur d’entreprises agréé destinées à améliorer l’organisation et le contrôle interne, et les actions entreprises pour remédier aux problèmes, déficiences et irrégularités relevés. 11 L’annexe 2 des lignes directrices du BCBS en matière d’audit interne du 28 juin 2012 (« The internal audit function in banks ») contient une liste plus exhaustive de tâches généralement assignées au comité d’audit. CIRCULAIRE CSSF 20/757 37/118 40. les actions à prendre en cas de En rendant compte au conseil d’administration dans son ensemble, le comité d’audit propose les mesures nécessaires pour corriger rapidement les problèmes, déficiences et irrégularités relevés par le service constatés. Le comité d’audit interne et informe le réviseur d’entreprises agréé, le respect conseil d’administration des dispositions légales et statutaires ainsi que des règles CSSF pour l’établissement des comptes annuels individuels et, le cas échéant, consolidés, et sur la pertinence des méthodes comptables adoptées. 41.43. Il est admissible que le comité d’audit couvre également le volet compliance sans qu’un comité conclusions de l’audit externe, de compliance à part soit constitué. Dans ce cas, le mandat et la composition ses travaux pour s’assurer de l’intégrité du reporting légal et du rôle assumé par le comité d’audit reflètent ces nouvelles attributions. En particulier, les personnes associées au comité d’audit en vertu du point 39 incluent le « Chief Compliance Officer » suivant le point 105 dans ce processus. Sous-section 4.1.4.2. Le comité des risques 42.44. Le comité des risques a pour objet d’assisterde conseiller le conseil d’administration dans sa mission d’évaluation pour les aspects liés à la stratégie globale en matière de risques et d’appétit au risque et également de l’assister pour l’évaluation de l’adéquation entre les risques encourus, la capacité de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires. La CSSF recommande aux grands Les établissements de même qu’aux établissements présentant un profil de risque plus élevé ou complexe de d’importance significative doivent créer un comité des risques afin de faciliter, dans le contrôle effectif respect des risques par le conseil d’administration. 43.45. Le comité des risques peut associer à ses travaux la direction autorisée ainsi que les responsables des fonctions de contrôle interne. Ces personnes peuvent assister aux réunions dispositions de l’article 7 du comité ; elles n’en sont pas membres RCSSF 15-02. 44.46. Le comité des risques confirme les politiques spécifiques de la direction autorisée suivant la section 41.1.2.3 de la partie III. Il assiste le conseil d’administration dans sa mission de surveillance de la mise en application de la stratégie en matière de risques, du cadre global de prise et de gestion des risques et de l’adéquation de l’ensemble des risques encourus en lien avec la stratégie, l’appétit au risque et les mesures d’atténuation de risque de l’établissement. CIRCULAIRE CSSF 20/757 38/118 47. Le comité des risques apprécie si les moyens humains et matériels, ainsi que l’organisation de la fonction de contrôle des risques (section 6.2.5.)sont suffisants et s’assure que les membres de la fonction de contrôle des risques possèdent les compétences nécessaires. 45.48. Le comité des risques conseille et assiste le conseil d’administration en ce qui concerne le recrutement d’experts externes que le conseil d’administration se proposerait d’engager pour apporter du conseil ou du support. 46.49. Le comité des risques délibère régulièrement et de manière critique sur les sujets suivants : • l’état de la gestion des risques et le respect des règles prudentielles fixées à ce sujet, • le profil de risque de l’établissement, son évolution en conséquence d’événements internes et externes, son adéquation avec la stratégie approuvée en matière de risques, l’appétit aux risques, les politiques et systèmes de limites en matière de risques ainsi que la capacité de l’établissement à gérer et à supporter ces risques sur une base continue compte tenu de ses fonds propres et réserves de liquidités internes et réglementaires ; • l’adéquation du cadre de prise et de gestion des risques avec la stratégie et les objectifs commerciaux, la culture d’entreprise et le cadre de valeurs de l’établissement ; • la qualité du travail réalisé par la fonction de contrôle des risques et le respect des règles fixées à ce sujet dans la présente circulaire (voir sous-chapitre 6.2.3 et section 6.2.5 en particulier), ; • la situation des risques, son évolution future l’évaluation, par le biais de scénarios et son adéquation avec la stratégie de tests d’endurance, de l’influence d’événements externes et internes sur le profil de risque de l’établissement en matière et de risques, • l’adéquation entre les risques encourus, la capacité actuelle et future de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires, eu égard aux résultats de tests d’endurance suivant la circulaire CSSF 11/506,supporter ses risques ; • le suivi approprié et sans délai indu par la direction autorisée, des recommandations de la fonction de contrôle des risques, • et les actions à prendre en cas de entreprises pour remédier aux problèmes, déficiences et irrégularités relevés par la fonction de contrôle des risques. ; • la conformité et la tarification des produits et services clés offerts aux clients avec le modèle d’affaires et la stratégie approuvée en matière de risques ; CIRCULAIRE CSSF 20/757 39/118 • sans préjudice des responsabilités du comité de rémunération, le caractère approprié des avantages prévus dans les politiques et pratiques de rémunération, compte tenu du niveau de risques de l’établissement, de ses fonds propres et de ses réserves de liquidités internes et réglementaires ainsi que de sa profitabilité. Le comité des risques conseille le rend compte au conseil d’administration en matière de définition de la stratégie globale de l’établissement dans son ensemble du résultat de ses délibérations en matière de risques, y compris sa tolérance aux risques actuels et futursproposant les mesures nécessaires pour corriger rapidement les problèmes, déficiences et irrégularités constatés. 47.50. Le président du comité des risques ne peut être en même temps président du conseil d’administration ni d’aucun autre comité spécialisé. Sous-chapitre 4.2. Section 4.2.1. La direction autorisée Responsabilités de la direction autorisée 48.51. La direction autorisée est responsable pour de la gestion journalière efficace, saine et prudente des activités (et des risques qui leur sont inhérents). Cette gestion s’exerce dans le respect des stratégies et principes directeurs fixés approuvés par le conseil d’administration et de la réglementation existanteapplicable, en prenant en considération et en préservant les intérêts financiers de l’établissement à long terme, sa solvabilité et sa situation des liquidités.Les décisions prises par la direction autorisée dans ces domaines sont dûment documentées. La direction autorisée évalue de façon constructive et critique toutes les propositions, explications et informations qui lui sont soumises pour décision. La direction autorisée documente ses décisions à l’aide de procès-verbaux de réunions, qui doivent l’aider à faire le suivi des décisions prises d’une part, et lui permettre de rendre compte de sa gestion au conseil d’administration et à la CSSF d’autre part. Ainsi, des points de routine peuvent figurer de façon succincte sous forme de simple décision au procès-verbal d’une réunion, alors que des points importants de l’ordre du jour impliquant des risques pour l’établissement ou débattus contradictoirement doivent être rapportés plus en détail, permettant au lecteur de suivre les débats et d’identifier les positions défendues. 49.52. Conformément aux articles 7 paragraphe 2 et à l’article 19, paragraphe 2 de la LSF, les membres de la direction autorisée doivent être habilités à déterminer effectivement l’orientation de l’activité. Par conséquent, lorsque des décisions de gestion sont prises par des comités de gestion plus larges que la seule direction autorisée, il est requis que qu’au moins un membre de la direction autorisée en fasse partie et qu’il existe un droit de veto à leur son bénéfice. CIRCULAIRE CSSF 20/757 40/118 50.53. La direction autorisée doit en principe se trouver de façon permanente sur place. Toute dérogation à ce principe doit être autorisée par la CSSF. 51.54. La direction autorisée met en œuvre à travers des politiques et procédures internes écrites l’ensemble des stratégies et principes directeurs arrêtés par le conseil d’administration gouvernance interne, en dans matière le d’administration respect des centrale dispositions et de légales et réglementaires et après avoir entendu les fonctions de contrôle interne. Les politiques contiennent les mesures détaillées à mettre en œuvre, ; les procédures sont les instructions de travail qui régissent cette mise en œuvre. Le terme « procédures » est à prendre au sens large, comprenant l’ensemble des mesures, instructions et règles qui régissent l’organisation et le fonctionnement interne. Elle La direction autorisée veille à ce que l’établissement dispose dedes mécanismes de contrôle interne, des infrastructures techniques et des ressources humaines nécessaires pour assurer la gestion saine et prudente des activités (et des risques qui leur sont inhérents) dans le cadre d’un solide dispositif de gouvernance interne conformément à la présente circulaire. 55. En application du point 18 En application des principes directeurs en matière de déontologie, de valeurs d’entreprise et de gestion des conflits d’intérêts arrêtés par le conseil d’administration, la direction autorisée définit un code de conduite interne applicable à toutes les personnes travaillant dans l’établissement. Elle veille à son application correcte sur base de contrôles réguliers effectués par les fonctions compliance et d’audit interne. L’objectif de ce code de conduite doit être la prévention des risques opérationnels et de réputation dont l’établissement pourrait souffrir du fait de sanctions administratives ou pénales, de mesures restrictives à son encontre ou de litiges juridiques, de la perte de son image de marque ou de la confiance de ses clients et des consommateurs. Le code de conduite devrait rappeler au personnel, aux directeurs autorisés et aux membres du conseil d’administration le respect de la réglementation applicable, des règles et limites internes, des principes sous tendant un comportement honnête et intègre aussi bien que les cas de conduite inappropriée et les mesures de sanction qui en découleraient. 52.56. La direction autorisée doit avoir une compréhension parfaite de la structure organisationnelle et opérationnelle de l’établissement, en particulier en termes des entités d’entités (structures) juridiques sous-jacentes, de leur raison d’être, des liens et interactions intra-groupe qui les relient ainsi que des risques y liés. Elle veille à ce que les informations de gestion requises soient disponibles en temps utile à tous les niveaux de prise de décision et de contrôle de l’établissement et des structures entités juridiques qui le composent. CIRCULAIRE CSSF 20/757 41/118 53.57. Dans sa gestion journalière, la direction autorisée tient compte des conseils et avis formulés par les fonctions de contrôle interne. Lorsque les décisions prises par la direction autorisée ont ou pourraient avoir une incidence matérielle sur le profil de risque de l’établissement, la direction autorisée recueille au préalable l’avis de la fonction de contrôle des risques et le cas échéant de la fonction compliance. La direction autorisée met en œuvre de manière prompte et efficace les mesures correctrices pour remédier aux faiblesses (problèmes, déficiences et, irrégularités ou préoccupations) relevées par les fonctions de contrôle interne et, le réviseur d’entreprises agréé ou par l’intermédiaire du dispositif d’alerte interne en prenant en compte leurs les recommandations en la matièreémises dans ce contexte. Cette manière de procéder est arrêtée dans une procédure écrite que le conseil d’administration approuve sur proposition des fonctions de contrôle interne. Suivant cette procédure, les fonctions de contrôle interne classent les différentes faiblesses qu’elles ont identifiées par priorité et fixent, après accord de la direction autorisée, les délais (rapprochés) dans lesquels ces faiblesses sont corrigées. La direction autorisée désigne les unités opérationnelles ou personnes responsables pour la mise en œuvre des mesures correctrices en leur allouant les ressources (budgets, ressources humaines et infrastructure technique) nécessaires à cet effet. Il appartient aux fonctions de contrôle interne de suivre la mise en application des mesures correctrices. Pour tout retard significatif dans l’implémentation des mesures correctrices, la direction autorisée en informe le conseil d’administration qui doit autoriser les prorogations de des délais d’implémentation de des mesures correctrices. L’établissement met en place une procédure analogue, approuvée par le conseil d’administration, qui s’applique lorsque la CSSF demande à l’établissement de prendre des mesures (correctrices). Dans ce cas, tout retard significatif dans l’implémentation de ces mesures est à signaler par la direction autorisée au conseil d’administration et à la CSSF. Cette dernière autorise les prorogations de délais d’implémentation. 54.58. La direction autorisée vérifie la mise en application et le respect des politiques et procédures internes. Toute violation des politiques et procédures internes doit entraîner des mesures correctrices promptes et adaptées. 55.59. La direction autorisée s’assure régulièrement de la solidité du dispositif en matière d’administration centrale et de gouvernance interne. Elle adapte les politiques et procédures internes au regard des changements internes et externes, actuels et anticipés, et des enseignements tirés du passé. CIRCULAIRE CSSF 20/757 42/118 56.60. La direction autorisée informe les fonctions de contrôle interne des changements majeurs en matière d’activités (voir sous-chapitre 7.3) ou d’organisation afin de leur permettre de détecter et d’évaluer les risques qui peuvent en résulter. 61. La direction autorisée informe, de manière complète et par écrit, régulièrement et au moins une fois par an, le conseil d’administration sur l’implémentation, l’adéquation, l’efficacité et le respect du dispositif de gouvernance interne, comprenant l’état de la compliance (y compris les préoccupations soulevées par l’intermédiaire du dispositif d’alerte interne) et celui du contrôle interne, ainsi que le rapport les rapports ICAAP 12/ILAAP sur la situation et la gestion des risques, des fonds propres et des (réserves
  3. de)liquidités réglementaires et internes. Ces informations portent en particulier sur l’état du contrôle interne. 57.62. Une fois par an, la direction autorisée confirme à la CSSF le respect de la présente circulaire par le biais d’une phrase écrite unique suivie des signatures de toute la direction autorisée. Lorsqu’en raison d’un manque de conformité, la direction autorisée n’est pas en mesure de confirmer le respect intégral de la circulaire, la déclaration précitée prend la forme d’une réserve qui énonce sommairement les points de non-conformité en donnant des explications sur leurs raisons d’être. Pour les établissements de crédit, les informations à fournir à la CSSF en vertu du premier paragraphe doivent être soumises à la CSSF ensemble avec les comptes annuels à publier. 58.63. Lorsque la direction autorisée prend connaissance que le dispositif en matière d’administration centrale et de gouvernance interne ne permet plus une gestion saine et prudente des activités ou que les risques encourus ne sont ou ne seront plus adéquatement supportés par la capacité de l’établissement à gérer ces risques, par des fonds propres ou des réserves de liquidités réglementaires ou internes, elle en informe le conseil d’administration et la CSSF en leur fournissant sans délai toute l’information nécessaire pour apprécier la situation (voir également le point 22). 12 Voir le point 26 de la circulaire CSSF 07/301 CIRCULAIRE CSSF 20/757 43/118 59.64. Nonobstant la responsabilité collective des membres de la direction autorisée (voir le point 72), cette dernière désigne au moins un de ses membres qui est en charge de l’organisation administrative, comptable et informatique et qui assume la responsabilité de la mise en œuvre de la politique et des règles qu’elle a fixées dans ce domaine. Il Ce membre est responsable en particulier de l’établissement de l’organigramme et de la description des tâches (voir le point 68) qu’il soumet, avant leur mise en application, à l’approbation de la direction autorisée. Il veille ensuite à leur application correcte. Le membre en question est aussi responsable de la production et de la publication des informations comptables destinées aux tiers et de la communication des informations périodiques à la CSSF. Il veillera donc à ce que la forme et le contenu de ces informations soient conformes aux prescriptions légales et aux instructions de la CSSF en la matière. La direction autorisée désigne également parmi ses membres la ou les personnes en charge des fonctions de contrôle interne. 60.65. Les établissements informent la CSSF sur les personnes visées au point 105. La direction autorisée rapporte à la CSSF, par écrit et dans les meilleurs délais, les des nominations et révocations des membres de ces personnes la direction autorisée, conformément aux dispositions de la présente circulaire et de la Procédure prudentielle, en communiquant par ailleurs les motifs expliquant la révocation. Section 4.2.2. Qualification de la direction autorisée 61.66. Les membres de la direction autorisée possèdent, à la fois individuellement et collectivement, les compétences qualités professionnelles (connaissances, compréhension compétences professionnelle et les et expérience adéquates), l’honorabilité qualités personnelles nécessaires pour gérer l’établissement et déterminer effectivement l’orientation de son activité. Les qualités personnelles sont celles qui leur permettent d’exécuter leur mandat de directeur autorisé de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance d’esprit requis. CIRCULAIRE CSSF 20/757 44/118 Chapitre 5. Organisation administrative, comptable et informatique Sous-chapitre 5.1. L’organigramme et les ressources humaines 62.67. L’établissement doit disposer sur place de ressources humaines suffisantes en nombre et disposant de compétences professionnelles individuelles et collectives appropriées afin de prendre des décisions dans le cadre des politiques fixées par la direction autorisée et sur base de pouvoirs délégués, et afin d’exécuter les décisions prises dans le respect des procédures et de la réglementation existantes. Ces tâches de décision, d’exécution, comprenant l’initiation, l’enregistrement, le suivi et le contrôle des opérations, et de contrôle interne sont effectuées dans le cadre d’un organigramme des fonctions et d’une description des tâches arrêtés par la direction autorisée sous forme écrite. L’organigramme et la description des tâches sont arrêtés par écrit et mis à la disposition de l’ensemble du personnel concerné sous une forme facilement accessible. 63.68. L’organigramme retient pour les différentes fonctions (commerciales, de support et, de contrôle) ainsi que pour les différentes unités opérationnelles (services, départements ou métiers) leur structure et les liens hiérarchiques et fonctionnels entre elles et avec la direction autorisée et le conseil d’administration. 64.69. La description des tâches à remplir par le personnel exécutant explique la fonction, les pouvoirs et la responsabilité de chaque exécutant. 65.70. Sans préjudice du point 72, l’organigramme L’organigramme et la description des tâches sont établis sur base du principe de la séparation des tâches. En vertu de ce principe, les tâches et responsabilités doivent être attribuées de façon à éviter qu’elles ne soient incompatibles dans le chef d’une même personne. Le but poursuivi est d’écarter les conflits d’intérêts et de prévenir au moyen d’un environnement de contrôles réciproques qu’une personne puisse commettre des erreurs et irrégularités qui ne seraient pas découvertes. CIRCULAIRE CSSF 20/757 45/118 66.71. Conformément aux articles 7 paragraphe 2 et à l’article 19, paragraphe 2 de la LSF, la direction autorisée a une responsabilité collective en ce qui concerne la gestion de l’établissement. Le principe de la séparation des tâches ne peut déroge pas déroger à cette responsabilité conjointe. Cette dernière reste d’ailleurs compatible avec la pratique suivant laquelle les membres de la direction autorisée se répartissent les tâches journalières du suivi rapproché des différentes activités. Dans ce contexte, la CSSF recommande d’organiser L’établissement doit organiser cette répartition de manière à éviter les conflits d’intérêts. Ainsi, il est recommandé de ne pas attribuer à un même membre de la direction autorisée les ne peut se voir attribuer la charge ou la responsabilité à la fois de fonctions de prise de risque et de contrôle indépendant de ces mêmes risques. De même, le directeur autorisé, qui assume lui-même le poste de « Chief Risk Officer » et/ou le poste de « Chief Compliance Officer » suivant le point 141134 et/ou le point 148 de cette partie, ne peut pas en même temps être en charge de la fonction d’audit interne (voir les incompatibilités des fonctions dans l’encadré ci-dessous). Lorsque, en raison de la taille réduite de l’établissement, il est indispensable de regrouper plusieurs tâches et responsabilités sous une même personne, ce regroupement doit être organisé de sorte à ne pas porter préjudice à l’objectif poursuivi par la séparation des tâches. Incompatibilités des fonctions : Le directeur autorisé, qui assume lui-même le poste de « Chief Compliance Officer » et/ou de « Chief Risk Officer » indépendamment du fait qu’il est le membre de la direction autorisée en charge de la fonction Compliance et/ou le membre de la direction autorisée en charge de la fonction de contrôle des risques, ne peut pas être en même temps le membre de la direction autorisée en charge de la fonction d’audit interne et/ou le « Chief Internal Auditor ». 67.72. L’établissement dispose d’un programme de formation professionnelle continue qui assure que les membres du personnel ainsi que le, du conseil d’administration et de la direction autorisée restent compétents et comprennent le dispositif de gouvernance interne ainsi que leurs propres rôles et responsabilités à cet égard. 68.73. Chaque employé membre du personnel doit prendre annuellement au moins deux semaines calendaires consécutives dix jours consécutifs de congés personnels. Il doit être assuré que chaque membre du personnell’employé soit effectivement absent pendant ce congé et que son remplaçant prenne effectivement en charge le travail de la personne absente. CIRCULAIRE CSSF 20/757 46/118 Sous-chapitre 5.2. documentation interne L’infrastructure administrative Les procédures et lLa 74. Les établissements documentent par écrit l’ensemble du dispositif en matière d’administration centrale et de gouvernance interne. Cette documentation porte sur les stratégies, les principes directeurs, les politiques et les procédures relatifs à l’administration centrale et à la gouvernance interne. Elle comprend en particulier un manuel des procédures clair, complet, détaillé et facilement accessible dont les procédures sont connues de l’ensemble du au personnel de l’établissementconcerné et qui est tenu à jour en continu. 75. La description des procédures pour l’exécutionassurer l’exécution correcte des activités (opérations) porte sur les points suivants : • les étapes successives et logiques du traitement des opérations, de leur initiation à l’archivage de leur documentation, (« workflow ») ; flux des documents utilisés, • les contrôles périodiques à réaliser, ainsi que les moyens pour s’assurer que ceux-ci ont été réalisés. Comme le but est de garantir que les opérations sont exécutées de manière correcte, les procédures doivent être claires, mises à jour, complètes dans leur contenu et être connues par tous les employés concernés. 76. Les établissements documentent par écrit l’ensemble de leurs opérations, c’est-à-dire tout processus qui crée un engagement dans le chef de l’établissement ainsi que les décisions y relatives. La documentation doit être tenue à jour et conservée par l’établissement conformément à la loi. Elle doit être organisée de telle manière qu’elle puisse être aisément consultée par un tiers autorisé. A titre d’illustration en ce qui concerne les opérations de crédit, une documentation complète des décisions d’accorder, de modifier ou de résilier les crédits se trouve dans les dossiers de l’établissement au Luxembourg, de même que les contrats et toutes pièces relatives au suivi du service de la dette et de l’évolution financière du débiteur. 77. Les dossiers, documents de travail et rapports de contrôle des fonctions de contrôle interne, des experts et des sous-traitants visés au sous-chapitre 6.2 de cette partie ainsi que les rapports de révision établis par le réviseur d’entreprises agréé sont conservés pendant cinq ans au moins cinq ans, sans préjudice d’autres législations applicables, dans l’établissement luxembourgeois afin de permettre à l’établissement de retracer les contrôles effectués, les problèmes, déficiences ou irrégularités relevés ainsi que les recommandations et conclusions. La CSSF ainsi que le réviseur d’entreprises agréé doivent toujours pouvoir accéder à ces pièces. CIRCULAIRE CSSF 20/757 47/118 78. Tous les ordres d’opérations initiées par l’établissement et toute la correspondance avec les clients ou leurs mandataires émanent de l’établissement ; toute la correspondance y est adressée. Au cas où l’établissement dispose d’une succursale à l’étranger, cette dernière constitue le point de contact pour sa propre clientèle. technique L’établissement se dote des fonctions de support, des moyens matériels et techniques nécessaires et suffisants à l’exécution de ses activités. A cet égard, les principes formulés aux sections 5.2.1 à 5.2.5 sont d’application. Sous-chapitre 5.3. L’infrastructure administrative et technique 79. L’établissement se dote des fonctions de support, des moyens matériels et techniques nécessaires et suffisants à l’exécution de ses activités. Section 5.32.1. L’infrastructure administrative des fonctions commerciales 69.80. Chaque fonction commerciale doit reposer sur une infrastructure administrative qui garantit la mise en œuvre des décisions commerciales prises et leur bonne exécution, ainsi que le respect des pouvoirs et des procédures pour le domaine en question. Section 5.23.2. La fonction financière et comptable 70.81. L’établissement dispose d’un service comptable et financier dont la mission est d’assumer la gestion comptable et financière de l’établissement. Il est permis qu’à l’intérieur de l’établissement certaines parties de la fonction financière et comptable soient décentralisées sous condition toutefois que le service comptable et financier central centralise et contrôle l’ensemble des écritures passées dans les différents services et établisse les comptes globaux. Le service comptable et financier doit veiller à ce que l’intervention d’autres services se fasse dans le strict respect du plan comptable et des instructions y relatives. Le service central reste responsable de la préparation des comptes annuels et de la préparation des informations à fournir à la CSSF. Dans les établissements d’importance significative, le CFO est sélectionné, nommé et révoqué suivant une procédure interne écrite, avec approbation au préalable par le conseil d’administration. 71.82. La fonction financière et comptable opère sur base de procédures écrites qui prévoient : • d’identifier et d’enregistrer toutes les transactions entreprises par l’établissement ;, CIRCULAIRE CSSF 20/757 48/118 • d’expliquer l’évolution des soldes comptables d’un arrêté à l’autre par la • d’établir les comptes par application des règles de comptabilisation et conservation des mouvements ayant affecté les postes comptables, ; d’évaluation définies par la législation comptable et la réglementation y afférente ;, • de s’assurer de la fiabilité et de la pertinence des prix de marché et justes valeurs (« fair values ») utilisés dans l’établissement des comptes et du reporting à la CSSF, ; • de produire et de communiquer des informations périodiques à la CSSF, comprenant en premier lieu le reporting légal et réglementaire, et d’en assurer la fiabilité, notamment en matière de solvabilité, de liquidité, d’expositions de crédits non performants, de crédits restructurés et de grands risques. ; • de conserver toutes les pièces comptables suivant les dispositions légales en vigueur, ; • d’établir, le cas échéant, des comptes suivant le schéma comptable en vigueur dans le pays d’origine de l’actionnaire en vue de l’établissement des comptes consolidés, ; • de réaliser les réconciliations des comptes et des écritures comptables ; • de produire une information de gestion correcte, complète, pertinente, compréhensible et disponible sans délais qui permet à la direction autorisée la prise de décisions informées et de suivre de près l’évolution de la situation financière de l’établissement et sa conformité aux données budgétaires. Cette information servira comme instrument de contrôle de gestion et sera d’autant plus efficace si elle est basée sur une comptabilité analytique, ; • de s’assurer de la fiabilité du reporting financier. 72.83. Les établissements se dotent d’un contrôle de gestion qui est soit rattaché au service comptable et financier, soit rattaché dans l’organigramme directement à la direction autorisée de l’établissement. 73.84. Les tâches exercées au sein du service comptable et financier ne peuvent pas être cumulées avec d’autres tâches incompatibles, tant commerciales qu’administratives. 74.85. Dans le cadre de l’ouverture de comptes de tiers (bilan et hors-bilan), chaque établissement définit des règles précises d’enregistrement des comptes dans sa comptabilité. Il précise par ailleurs les conditions d’ouverture, de clôture et de fonctionnement de ces comptes. L’établissement doit éviter d’avoir dans la comptabilité une multitude de comptes avec des contenus incontrôlables, qui se prêteraient à exécuter des opérations non non-autorisées voire frauduleuses ; une attention particulière devra être accordée aux comptes dormants. A cet effet, l’établissement mettra en place des procédures de vérification et de suivi appropriées. CIRCULAIRE CSSF 20/757 49/118 75.86. L’ouverture et la clôture des comptes internes dans la comptabilité doit être validée par le service comptable et financier. En cas d’ouverture de comptes, cette validation doit intervenir avant que ces comptes ne commencent à devenir opérationnels. L’établissement fixe des règles concernant l’utilisation de pareils comptes et les pouvoirs pour leur ouverture et leur clôture. Le service comptable et financier veille à ce que les comptes internes soient soumis périodiquement à une procédure de justification de leur nécessité. Il y a lieu de veiller à ne pas tenir ouverts des comptes internes et des comptes de passage qui ne répondraient plus à une utilisation définie par les règles fixées. 76.87. Les écritures ayant un effet rétroactif ne peuvent servir qu’à des fins de régularisation. Les écritures ayant un effet rétroactif ainsi que les écritures en matière d’extournes sont à autoriser et surveiller à la fois au sein des services qui sont à l’origine de ces écritures et au par le service comptable et financier. 77.88. L’ensemble de l’organisation et des procédures comptables sont décrites dans un manuel des procédures comptables. Dans la définition et la mise en œuvre de ces procédures, les établissements veillent au respect du principe d’intégrité (point 12) afin d’éviter en particulier que le système comptable ne puisse être utilisé à des fins frauduleuses. Section 5.32.3. La fonction informatique 78.89. Les établissements organisent leur fonction informatique de manière à en avoir le contrôle et à en assurer la robustesse, l’efficacité, la cohérence et l’intégrité conformément au point 12 chapitre 3 de cette partie. Pour ce faire, ils respectent les exigences de la circulaire CSSF 20/750 relative aux exigences en matière de gestion des risques liés aux technologies de l’information et de la communication et à la sécurité. Ces exigences sont le mieux remplies lorsque la fonction informatique de l’établissement est prise en charge par son propre service informatique organisé et encadré par un dispositif de contrôle interne fixé par la direction autorisée. En règle générale, l’établissement disposera, dans des locaux à sa disposition au Luxembourg de son propre système informatique approprié et dûment documenté et engagera un personnel compétent pour gérer son système informatique. CIRCULAIRE CSSF 20/757 50/118 L’établissement se dote d’un processus de veille lui permettant d’être informé rapidement de l’apparition de nouvelles failles de sécurité d’une part, et d’une procédure de gestion des patchs devant permettre dans un délai réduit la correction desdites failles, dès lors qu’elles peuvent impacter significativement son système informatique. L’audit interne intègre dans son plan d’audit pluriannuel la revue du processus de veille et de la gestion des patchs ; il relève notamment tout manquement dans la mise en production d’un patch alors que celui-ci est notablement connu et documente les raisons d’un tel manquement dans un point d’audit. L’établissement doit être en mesure de fonctionner normalement en cas d’indisponibilité de son système informatique et il dispose à cet effet d’une solution de « back-up » en adéquation avec un plan de continuité et de rétablissement des activités. 79. Les établissements nomment un membre du personnel qui est responsable pour la fonction informatique. Cette personne est désignée par « IT Officer ». Pour des établissements de taille réduite, cette responsabilité peut être assumée par un membre de la direction autorisée qui peut s’appuyer sur une expertise externe. Par ailleurs, les établissements nomment un membre du personnel qui est responsable pour la sécurité des systèmes d’informations. Pour des établissements de taille réduite, cette responsabilité peut être assumée par un membre de la direction autorisée qui peut s’appuyer sur une expertise externe. Ce responsable est désigné par « Information Security Officer » ou « Responsable de la Sécurité des Systèmes d’Informations (RSSI) ». Le RSSI est la personne chargée de l’organisation et du pilotage de la sécurité de l’information, c’est-à-dire de la protection de l’information. Il doit être indépendant des fonctions opérationnelles et, selon son positionnement et la taille de l’organisme, dégagé de la mise en œuvre opérationnelle des actions de sécurité. Un mécanisme d’escalade doit lui permettre de rapporter tout problème exceptionnel au plus haut de la hiérarchie, y inclus le conseil d’administration. Ses missions essentielles sont la gestion de l’analyse des risques liés à l’information, la définition des moyens organisationnels, techniques, juridiques et humains requis, le contrôle de leur mise en place et de leur efficacité ainsi que, la conception du/des plan(
  4. s)d’actions visant à l’amélioration de la couvertu

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.