← Luxembourg

Circulaire CSSF 20/759 — Circulaire CSSF

Circulaire CSSF 20/759 MISE À JOUR DE LA CIRCULAIRE CSSF 12/552, TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750 ET CSSF 20/759, RELATIVE À L’ADMINISTRATION CENTRALE, LA GOUVERNANCE INTERNE ET LA GESTION DES RISQUES CIRCULAIRE CSSF 20/759 1/115 Nous vous informons que le point 182 (8 ième tiret) de l'annexe de la circulaire 20/759 ainsi que le point 184 (8 ième tiret) de l'annexe 1 de la circulaire CSSF 20/757 ont été mis à jour en date du 11 décembre

  1. Circulaire 20/759 Concerne: Mise à jour de la circulaire CSSF 12/552, telle que modifiée par les circulaires CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750 et CSSF 20/758, relative à l’administration centrale, la gouvernance interne et la gestion des risques. Luxembourg, le 7 décembre 2020 Mesdames, Messieurs, À tous les établissements de crédit et professionnels
  2. Par la présente circulaire, la CSSF, en sa qualité d’autorité compétente, se effectuant des opérations de conforme aux orientations de l’Autorité Bancaire Européenne répertoriées au prêt point
  3. La CSSF intègre ces orientations dans sa pratique administrative et son approche réglementaire en vue de promouvoir la convergence des pratiques de surveillance dans ce domaine au niveau européen.
  4. Sont visées les orientations suivantes :

(1)de gouvernance interne (Guidelines on internal governance « EBA/GL/2017/11 ») et
(2)des orientations communes de l’EBA et de l’Autorité européenne des marchés financiers (« ESMA ») en matière d’éligibilité des membres d’organes de direction (Joint ESMA and EBA Guidelines on the assessment of the suitability of members of the management body and key function holders « EBA/GL/2017/12 ») ;
(3)d'application de la définition du défaut au titre de l'article 178 du règlement (UE) n° 575/2013 (Guidelines on the application of the definition of default under Article 178 of Regulation (EU) No 575/2013 « EBA/GL/2016/07 »),
(4)de spécification des types d’expositions devant être considérés comme présentant un risque élevé (Guidelines on specification of types of exposures to be associated with high risk « EBA/GL/2019/01 »),
(5)de gestion du risque de taux d’intérêt inhérent aux activités hors portefeuille de négociation (Guidelines on the management of interest rate risk arising from non-trading book activities « EBA/GL/2018/02 »),
(6)de corrections de la duration modifiée des titres de créance en vertu de l'article 340, paragraphe 3, deuxième alinéa, du règlement (UE) nº 575/2013 (Guidelines on corrections to modified duration for debt instruments under the second subparagraph of Article 340
(3)of Regulation (EU) 575/2013 « EBA/GL/2016/09 »). CIRCULAIRE CSSF 20/759 2/115
  1. Les orientations susmentionnées ont été incorporées dans la circulaire CSSF 12/552 sur l’administration centrale, la gouvernance interne et la gestion des risques. En même temps, la terminologie et les définitions de la circulaire ont été revues et certaines dispositions ont été précisées. Une version de la circulaire permettant de retracer les changements opérés se trouve en annexe.
  2. Les principaux changements concernent : a. L’extension du champ d’application aux compagnies financières holding et compagnies financières holding mixte ; b. Une articulation plus précise du concept de proportionnalité, par son rattachement à la notion d’établissement systémique au sens de la loi du 5 avril 1993 sur le secteur financier ; c. Des précisions sur l’application de la proportionnalité dans la mise en place de fonctions de contrôle interne ; d. Le renforcement de l’organe de direction dans sa fonction de surveillance à travers des dispositions renforcées en matière de diversité et d’indépendance ; e. La prise en compte des facteurs de risque environnementaux, sociétaux et de gouvernance (ESG) en vue d’assurer la viabilité du modèle d’affaires ; f. L’introduction d’un chapitre sommaire dédié aux risques découlant de l’activité de banque dépositaire.
  3. La circulaire CSSF 12/552, telle que remaniée, est applicable dans son intégralité aux établissements de crédit et en partie aux professionnels effectuant des opérations de prêt. Une circulaire séparée couvre dorénavant les entreprises d’investissement.
  4. La présente circulaire est applicable à partir du 1er janvier
  5. Claude WAMPACH Directeur Marco ZWICK Directeur Françoise KAUTHEN Claude MARX Directeur Directeur général Jean-Pierre FABER Directeur Annexe CIRCULAIRE CSSF 20/759 3/115 Le code couleur utilisé pour la version en « suivi des modifications » est le suivant : o o Rouge pour les ajouts/suppressions Vert pour les déplacements de texte Circulaire CSSF 12/552 telle que modifiée par les circulaires CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750 et CSSF 20/759 Concerne : Administration centrale, gouvernance interne et gestion des risques 1 Luxembourg, le 11 décembre 20127 décembre 2020 Mesdames, Messieurs, Les articles 5 paragraphe 1bis et 17 paragraphe 1bis38-1 de la loi du 5 avril 1993 relative au secteur financier (« LSF »), complétés par le règlement CSSF A tous les établissements de N° 15-02 relatif au processus de contrôle et d’évaluation prudentiels (« RCSSF crédit, entreprises 15-02 »), d’investissement et d'investissement qu’ils disposent d’un solide dispositif de gouvernance interne, professionnels effectuant des opérations de prêt1 exigent des établissements de crédit et des entreprises comprenant notamment une structure organisationnelle claire avec un partage des responsabilités qui soit bien défini, transparent et cohérent, des processus efficaces de détection, de gestion, de contrôle et de déclaration des risques auxquels ils sont ou pourraient être exposés, des mécanismes adéquats de contrôle interne, y compris des procédures administratives et comptables saines et des politiques et pratiques de rémunération permettant et promouvant une gestion saine et efficace des risques, ainsi que des mécanismes de contrôle et de sécurité de leurs systèmes informatiques. 1 Pour les professionnels effectuant des opérations de prêt, tels que définis à l’article 28-4 de la loi du 5 avril 1993 relative au secteur financier, le chapitre 3 de la partie III est applicable à l'exception du sous-chapitre 3.4 « Expositions présentant un risque particulièrement élevé ». Le paragraphe 12 du chapitre 2 de la partie III est également applicable. CIRCULAIRE CSSF 20/759 4/115 Dans le passé, suivant les développements réglementaires sur le plan international et les nécessités locales, la CSSF avait précisé les modalités d’application de ces articles dans différentes circulaires. L’ajout de nouvelles circulaires transposant les lignes directrices de l’Autorité bancaire européenne (EBA) en matière de gouvernance interne du 27 septembre 2011 (« EBA Guidelines on Internal Governance (GL 44) ») et celles du Comité de Bâle sur le contrôle bancaire (BCBS) en matière d’audit interne du 28 juin 2012 (« The internal audit function in banks ») aurait généré d’importantes redondances et multiplié les terminologies utilisées. Ainsi la CSSF a décidé de concentrer l’ensemble des modalités d’application clé en matière de gouvernance interne dans une circulaire unique. Cette circulaire reprend les lignes directrices de l’EBA et du BCBS mentionnées ci-avant qu’elle complète par les dispositions additionnelles contenues dans les circulaires IML 96/126, IML 98/143, CSSF 04/155, CSSF 05/178 et CSSF 10/466
  6. Par ailleurs, afin de présenter une vue d’ensemble, la circulaire reprend, par référence aux articles 5 paragraphe 1 et 17 paragraphe 1 de la loi du 5 avril 1993 relative au secteur financier, les modalités d’application en matière d’administration centrale telles que précisées dans la circulaire IML 95/
  7. En conséquence, les circulaires IML 95/120, IML 96/126, IML 98/143, CSSF 04/155, CSSF 05/178 et CSSF 10/466 sont abrogées dans le chef des établissements de crédit et entreprises d’investissement. 3 Finalement, la circulaire entend recueillir également l’ensemble des dispositions en matière de gestion des risques. La présente circulaire constitue un premier pas vers un recueil réglementaire consolidé en matière de gouvernance interne au sens large. Elle ne comprend pas l’ensemble des domaines visés, comme par exemple celui de la rémunération qui est couvert par le référentiel CRD (« Capital Requirements Directive » - circulaires CSSF 06/273 et CSSF 07/290) et par la circulaire CSSF 11/505 donnant des précisions relatives au principe de proportionnalité en matière de rémunération. 2 Circulaires IML 96/126 concernant l’organisation administrative et comptable, IML 98/143 concernant le contrôle interne, CSSF 04/155 concernant la fonction compliance, CSSF 05/178 concernant l’organisation administrative et comptable et la sous-traitance en matière informatique et CSSF 10/466 concernant les informations à publier en situations de crise. 3 Les circulaires IML 95/120, IML 96/126, IML 98/143 restent en vigueur pour les PSF qui ne sont pas des entreprises d’investissement ainsi que la circulaire CSSF 17/656 qui abroge et remplace la CSSF 05/
  8. Ces circulaires, ensemble avec la circulaire CSSF 04/155, restent d’application pour les établissements de paiement et les établissements de monnaie électronique. CIRCULAIRE CSSF 20/759 5/115 Le même constat s’applique aux risques. La présente circulaire se limite pour l’essentiel à transposer des lignes directrices du CEBS ainsi que des orientations de l’EBA. Il s’agit des lignes directrices du 2 septembre 2010 en matière de risques de concentration (« CEBS Guidelines on the management of concentration risk under the supervisory review process (GL31) »), des lignes directrices du 27 octobre 2010 en matière de tarification de la liquidité (« Guidelines on Liquidity Cost Benefit Allocation »), des orientations de l’EBA du 22 mai 2015 sur la gestion du risque de taux d'intérêt inhérent aux activités autres que de négociation (« Guidelines on the management of interest rate risk arising from non-trading activities » - EBA/GL/2015/08) et des orientations de l’EBA du 14 décembre 2015 sur les limites pour les expositions sur des entités du système bancaire parallèle qui exercent des activités bancaires en dehors d'un cadre réglementé au titre de l'article 395, paragraphe 2, du règlement (UE) n° 575/2013 (« Guidelines on the limits on exposures to shadow banking entities which carry out banking activities outside a regulated framework under Article 395
(2)of Regulation (EU) n° 575/2013 » - EBA/GL/2015/20). En outre, la circulaire reprend les principes de prudence de base dans le domaine de l’octroi des crédits et de la gestion patrimoniale privée. Pour ce qui concerne les établissements CRR, La présente circulaire précise les mesures que doivent prendre les établissements de crédit en exécution des dispositions de la LSF et du RCSSF 15-02 en matière d’administration centrale, de gouvernance interne et de gestion des risques. Elle reprend les principes, orientations et recommandations européennes et internationales qui s’appliquent en la matière, en les inscrivant de manière proportionnée dans le contexte du secteur bancaire luxembourgeois. Lorsqu’en raison de la taille, de la nature et de la complexité des activités et de l’organisation, l’application du principe de proportionnalité demande une administration centrale, une gouvernance interne ou une gestion des risques renforcées, les établissements de crédit se reportent aux principes énoncés à la partie I, chapitre 2 ainsi qu’aux orientations et recommandations listées en partie IV de la présente circulaire pour guider cette mise en œuvre. Ceci vaut en particulier pour les orientations de l’Autorité bancaire européenne (« EBA ») en matière de gouvernance interne (Guidelines on internal governance « EBA/GL/2017/11 ») et les orientations communes de l’EBA et de l’Autorité européenne des marchés financiers (« ESMA ») en matière d’éligibilité des membres d’organes de direction (Joint ESMA and EBA Guidelines on the assessment of the suitability of members of the management body and key function holders » EBA/GL/2017/12 »). Les principes et bonnes pratiques découlant d’autres sources déjà repris dans les versions précédentes de la circulaire sont maintenus dans la mesure où ceuxci ne sont pas devenus obsolètes. CIRCULAIRE CSSF 20/759 6/115 S’agissant de nominations de membres de l’organe de direction et de titulaires de fonctions clés, la présente circulaire doit se lire en parallèle avec le règlement CSSF N° 15-02 relatif au processus de contrôle et d’évaluation prudentiels s’appliquant aux établissements CRR la Procédure prudentielle en la matière publiée sur le site internet de la CSSF. Les multiples circulaires existantes relatives aux risques et à leur gestion seront rassemblées au sein d’une version ultérieure de la présente circulaire. Lorsqu’en réponse à des développements réglementaires sur le plan international ou des nécessités locales, la CSSF est amenée à préciser les exigences reprises dans la présente circulaire, elle procédera à la mise à jour de cette circulaire. La partie IV de la circulaire contient une chronologie des mises à jour qui permet au lecteur de retracer les modifications opérées par les mises à jour successives. La circulaire est divisée en quatre parties : la première partie contient le champ d’application, ; la deuxième partie, les exigences de structure en matière d’administration centrale et de gouvernance interne, ; la troisième partie, les exigences spécifiques en matière de gestion des risques et la quatrième partie, l’entrée en vigueur et les mesures transitoires et dispositions abrogatoires. La table des matières se présente comme suit la chronologie des mises à jour permettant au lecteur de retracer les modifications opérées par les mises à jour successives. Les encadrés qui apparaissent dans la circulaire contiennent des remarques et précisions qui servent d’orientation pour la mise en œuvre des exigences contenues dans la présente circulaire. TABLE DES MATIÈRES Définitions et champ d’application 14 Chapitre
  1. Définitions et abréviations 14 Chapitre
  2. Champ d’application et proportionnalité 17 Partie II. Dispositif en matière d’administration centrale et de gouvernance interne 20 Chapitre
  3. L’administration centrale 20 Chapitre
  4. Le dispositif de gouvernance interne 21 Partie I. CIRCULAIRE CSSF 20/759 7/115 Chapitre
  5. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne 23 Chapitre
  6. Organe de surveillance et direction autorisée 25 Sous-chapitre 4.
  7. L’organe de surveillance 25 Section 4.1.
  8. Responsabilités de l’organe de surveillance 25 Section 4.1.
  9. Composition et qualification de l’organe de surveillance 29 Section 4.1.
  10. Organisation et fonctionnement de l’organe de surveillance 31 Section 4.1.
  11. Comités spécialisés 33 Sous-section 4.1.4.
  12. Le comité d'audit 35 Sous-section 4.1.4.
  13. Le comité des risques 37 Sous-chapitre 4.
  14. La direction autorisée 39 Section 4.2.
  15. Responsabilités de la direction autorisée 39 Section 4.2.
  16. Qualification de la direction autorisée 43 Chapitre
  17. Organisation administrative, comptable et informatique 44 Sous-chapitre 5.
  18. L’organigramme et les ressources humaines 44 Sous-chapitre 5.
  19. Les procédure et la documentation interne 46 Sous-chapitre 5.
  20. L'infrastructure administrative et technique 47 Section 5.3.
  21. L'infrastructure administrative des fonctions commerciales 47 Section 5.3.
  22. La fonction financière et comptable 47 Section 5.3.
  23. La fonction informatique 49 Section 5.3.
  24. Le dispositif de communication et d’alerte interne et externe 50 Section 5.3.
  25. Le dispositif de gestion de crises 50 Chapitre
  26. Le contrôle interne 52 Sous-chapitre 6.
  27. Les contrôles opérationnels 53 Section 6.1.
  28. Contrôles quotidiens réalisés par le personnel exécutant 53 Section 6.1.
  29. Contrôles critiques continus54 Section 6.1.
  30. Contrôles réalisés par les membres de la direction autorisée sur les activités ou fonctions qui tombent sous leur responsabilité directe 54 Sous-chapitre 6.
  31. Les fonctions de contrôle interne 55 Section 6.2.
  32. Responsabilités génériques des fonctions de contrôle interne 56 Section 6.2.
  33. Caractéristiques des fonctions de contrôle interne 56 Section 6.2.
  34. Exécution des travaux des fonctions de contrôle interne 58 Section 6.2.
  35. Organisation des fonctions de contrôle interne 60 Section 6.2.
  36. La fonction de contrôle des risques 63 CIRCULAIRE CSSF 20/759 8/115 Sous-section 6.2.5.
  37. Responsabilités spécifiques et champ d’application de la fonction de contrôle des risques Sous-section 6.2.5.
  38. 65 Organisation de la fonction de contrôle des risques 67 Section 6.2.
  39. La fonction compliance 68 Sous-section 6.2.6.
  40. La charte de compliance Sous-section 6.2.6.
  41. Champ d’application et responsabilités spécifiques de la fonction compliance 70 Sous-section 6.2.6.
  42. Organisation de la fonction compliance Section 6.2.
  43. 69 73 La fonction d’audit interne 73 Sous-section 6.2.7.
  44. La charte d’audit interne 74 Sous-section 6.2.7.
  45. Responsabilités spécifiques et champ d’application de la fonction d’audit interne 76 Sous-section 6.2.7.
  46. Exécution des travaux d’audit interne 77 Sous-section 6.2.7.
  47. Organisation de la fonction d’audit interne 79 Chapitre
  48. Exigences spécifiques 80 Sous-chapitre 7.
  49. Structure organisationnelle et entités juridiques (« Know-your-structure ») 80 Section 7.1.
  50. Structures complexes et activités inhabituelles ou potentiellement non transparentes 81 Sous-chapitre 7.
  51. Gestion des conflits d’intérêts 81 Section 7.2.
  52. Exigences spécifiques relatives aux conflits d’intérêts en relation avec des parties liées 83 Sous-chapitre 7.
  53. Procédure d’approbation des nouveaux produits (« New Product Approval Process ») 84 Sous-chapitre 7.
  54. Sous-traitance (« Outsourcing ») 85 Section 7.4.
  55. Exigences générales en matière de soustraitance 86 Section 7.4.
  56. Exigences particulières en matière de soustraitance dans le domaine informatique 89 Sous-section 7.4.2.
  57. Services informatiques 89 Sous-section 7.4.2.
  58. Services maintenance 90 Sous-section 7.4.2.
  59. Services l’infrastructure 91 de gestion/d’opération de conseil, de d’hébergement des systèmes développement et et propriété Section 7.4.
  60. Exigences générales supplémentaires Section 7.4.
  61. Documentation 93 Chapitre
  62. Reporting légal 94 Partie III. Gestion des risques 94 de de 92 CIRCULAIRE CSSF 20/759 9/115 Chapitre
  63. Principes généraux en matière de mesure et de gestion des risques 94 Sous-chapitre 1.
  64. Le cadre de gestion des risques à l’échelle de l’établissement 94 Section 1.1.
  65. Généralités 94 Section 1.1.
  66. Politiques spécifiques (de risque, de fonds propres et de liquidités) 94 Section 1.1.
  67. Détection, gestion, mesure et déclaration des risques 96 Chapitre
  68. Risques de concentration 97 Chapitre
  69. Risque de crédit 98 Sous-chapitre 3.
  70. Principes généraux 98 Sous-chapitre 3.
  71. Crédits immobiliers résidentiels aux particuliers 100 Sous-chapitre 3.
  72. Crédits aux promoteurs immobiliers 101 Sous-chapitre 3.
  73. Expositions présentant un risque particulièrement élevé 102 Sous-chapitre 3.
  74. Expositions non performantes et expositions restructurées 102 Chapitre
  75. Tarification du risque (« Risk Transfer Pricing ») 103 Chapitre
  76. Gestion patrimoniale privée (« banque privée ») 104 Chapitre
  77. Risques liés aux entités shadow banking 105 Sous-chapitre 6.
  78. Mise en œuvre de principes de contrôle interne solides 105 Sous-chapitre 6.
  79. Application de limites quantitatives 106 Chapitre
  80. Risque de charge pesant sur les actifs (« asset encumbrance ») 108 Chapitre
  81. Risque de taux d’intérêt 109 Sous-chapitre 8.1 Risque de taux d’intérêt inhérent aux activités autres que de négociation 109 Sous-chapitre 8.
  82. Corrections de la duration modifiée des titres de créance 109 Chapitre
  83. Risques liés à la conservation d’actifs financiers par des tiers 110 Partie IV. Chronologie 110 Partie I. Définitions et champ d’application 10 Chapitre
  84. Définitions 10 Chapitre
  85. Champ d’application 10 Partie II. Dispositif en matière d’administration centrale et de gouvernance interne 12 Chapitre
  86. L’administration centrale 12 Chapitre
  87. Le dispositif de gouvernance interne 13 Chapitre
  88. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne 15 Chapitre
  89. Conseil d’administration et direction autorisée 17 Sous-chapitre 4.
  90. Le conseil d’administration 17 CIRCULAIRE CSSF 20/759 10/115 Section 4.1.
  91. Responsabilités du conseil d’administration 17 Section 4.1.
  92. Composition et qualification du conseil d’administration 21 Section 4.1.
  93. Organisation et fonctionnement du conseil d’administration 22 Section 4.1.
  94. Comités spécialisés 23 Sous-section 4.1.4.
  95. Le comité d'audit 24 Sous-section 4.1.4.
  96. Le comité des risques 25 Sous-chapitre 4.
  97. La direction autorisée 26 Section 4.2.
  98. Responsabilités de la direction autorisée 26 Section 4.2.
  99. Qualification de la direction autorisée 30 Section 4.2.
  100. Politiques spécifiques (de risque, de fonds propres et de liquidités) 30 Chapitre
  101. Organisation administrative, comptable et informatique 31 Sous-chapitre 5.
  102. L’organigramme et les ressources humaines 31 Sous-chapitre 5.
  103. L'infrastructure administrative et technique 32 Section 5.2.
  104. L'infrastructure administrative des fonctions commerciales 32 Section 5.2.
  105. La fonction financière et comptable 33 Section 5.2.
  106. La fonction informatique 35 Section 5.2.
  107. Le dispositif de communication et d’alerte internes 35 Section 5.2.
  108. Le dispositif de gestion de crises 36 Sous-chapitre 5.
  109. La documentation interne 36 Chapitre
  110. Le contrôle interne 37 Sous-chapitre 6.
  111. Les contrôles opérationnels 38 Section 6.1.
  112. Contrôles quotidiens réalisés par le personnel exécutant 38 Section 6.1.
  113. Contrôles critiques continus38 Section 6.1.
  114. Contrôles réalisés par les membres de la direction autorisée sur les activités ou fonctions qui tombent sous leur responsabilité directe 38 Sous-chapitre 6.
  115. Les fonctions de contrôle interne 39 Section 6.2.
  116. Responsabilités génériques des fonctions de contrôle interne 40 Section 6.2.
  117. Caractéristiques des fonctions de contrôle interne 41 Section 6.2.
  118. Exécution des travaux des fonctions de contrôle interne 42 Section 6.2.
  119. Organisation des fonctions de contrôle interne 43 Section 6.2.
  120. La fonction de contrôle des risques 45 Sous-section 6.2.5.
  121. Responsabilités spécifiques et champ d’application de la fonction de contrôle des risques Sous-section 6.2.5.
  122. 46 Organisation de la fonction de contrôle des risques 47 CIRCULAIRE CSSF 20/759 11/115 Section 6.2.
  123. La fonction compliance 47 Sous-section 6.2.6.
  124. La charte de compliance Sous-section 6.2.6.
  125. Responsabilités spécifiques et champ d’application de la fonction compliance 49 Sous-section 6.2.6.
  126. Organisation de la fonction compliance Section 6.2.
  127. 48 51 La fonction d’audit interne 52 Sous-section 6.2.7.
  128. La charte d’audit interne 52 Sous-section 6.2.7.
  129. Responsabilités spécifiques et champ d’application de la fonction d’audit interne 53 Sous-section 6.2.7.
  130. Exécution des travaux d’audit interne 55 Sous-section 6.2.7.
  131. Organisation de la fonction d’audit interne 56 Chapitre
  132. Exigences spécifiques 57 Sous-chapitre 7.
  133. Structure organisationnelle et entités juridiques (« Know-your-structure ») 57 Section 7.1.
  134. Principes directeurs en matière d’activités « inhabituelles » ou « non transparentes » 57 Sous-chapitre 7.
  135. Gestion des conflits d’intérêts 58 Section 7.2.
  136. Exigences additionnelles relatives aux conflits d’intérêts en relation avec des parties liées 59 Sous-chapitre 7.
  137. Procédure d’approbation des nouveaux produits (et des nouvelles activités) (« New Product Approval Process ») 60 Sous-chapitre 7.
  138. Sous-traitance (« Outsourcing ») 61 Section 7.4.
  139. Exigences générales en matière de soustraitance 61 Section 7.4.
  140. Exigences particulières en matière de soustraitance dans le domaine informatique 63 Sous-section 7.4.2.
  141. Services informatiques 64 Sous-section 7.4.2.
  142. Services maintenance 64 Sous-section 7.4.2.
  143. Services l’infrastructure 65 de gestion/d’opération de conseil, de d’hébergement des systèmes développement et et propriété Section 7.4.
  144. Exigences générales supplémentaires Section 7.4.
  145. Documentation 67 Chapitre
  146. Reporting légal 68 Partie III. Gestion des risques 68 Chapitre
  147. Principes généraux en matière de mesure et de gestion des risques 68 Sous-chapitre 1.
  148. La gestion des risques 68 Sous-chapitre 1.
  149. La mesure des risques 69 Chapitre
  150. Risques de concentration 69 de de 66 CIRCULAIRE CSSF 20/759 12/115 Chapitre
  151. Risque de crédit 70 Sous-chapitre 3.
  152. Principes généraux 70 Sous-chapitre 3.
  153. Crédits immobiliers résidentiels aux particuliers 71 Sous-chapitre 3.
  154. Crédits aux promoteurs immobiliers 72 Chapitre
  155. Tarification du risque (« Risk Transfer Pricing ») 73 Chapitre
  156. Gestion patrimoniale privée (« banque privée ») 73 Chapitre
  157. Risques liés aux entités shadow banking 74 Sous-chapitre 6.
  158. Mise en œuvre de principes de contrôle interne solides 75 Sous-chapitre 6.
  159. Application de limites quantitatives 75 Chapitre
  160. Risque de charge pesant sur les actifs (« asset encumbrance ») 77 Chapitre
  161. Risque de taux d’intérêt inhérent aux activités autres que de négociation 78 Partie IV. Entrée en vigueur, mesures transitoires et dispositions abrogatoires 78 CIRCULAIRE CSSF 20/759 13/115 Partie I. Définitions et champ d’application Chapitre
  162. Définitions et abréviations
  163. On entend aux fins de la présente circulaire par : 1) « conseil d’administration » : l’organe ou à défaut les personnes qui du point de vue du droit des sociétés contrôlent la gestion exercée par la direction autorisée. Le terme n’est pas à prendre dans son acceptation juridique, puisque les banques et entreprises d’investissement peuvent revêtir une forme juridique qui ne prévoit pas de « conseil d’administration » au sens du droit des sociétés. Par exemple, en présence d’un conseil de surveillance, ce dernier assumera les responsabilités que la présente circulaire attribue au « conseil d’administration » ; 2) « direction autorisée » : les personnes visées aux articles 7 paragraphe 2 et 19 paragraphe 2 de la loi du 5 avril 1993 relative au secteur financier. Ces personnes sont désignées par « directeurs autorisés » ; 3) « établissement » : une entité telle que définie au chapitre 2 de la partie I ; 4) « fonction clé » : toute fonction dont l’exercice permet d’avoir une influence notable sur la conduite ou le contrôle des activités. Ces fonctions clé comprennent au minimum les administrateurs, directeurs autorisés et les responsables des trois fonctions de contrôle interne suivant le point 105 (c’està-dire la fonction de contrôle des risques, la fonction compliance et la fonction d’audit interne) ; 5) « LSF » : la loi du 5 avril 1993 relative au secteur financier ; 6) « parties liées » : les entités juridiques appartenant au groupe auquel l’établissement appartient ainsi que les employés, actionnaires, directeurs et membres du conseil d’administration de ces entités. CIRCULAIRE CSSF 20/759 14/115 Chapitre
  164. Champ d’application 1) La présente circulaire s’applique aux établissements de crédit et aux entreprises d’investissement de droit luxembourgeois, y compris à leurs succursales, ainsi qu’aux succursales luxembourgeoises d’établissements de crédit et d’entreprises d’investissement dont l’origine se situe en dehors de l’Espace économique européen. Pour les domaines où la CSSF conserve une responsabilité de contrôle en tant compétente » : la Banque centrale qu’autorité d’accueil « autorité européenne (« BCE ») pour les établissements de crédit importants (« significant institutions », « SI ») ou la Commission de Surveillance du Secteur Financier (« CSSF ») pour les établissements de crédit moins importants (« less significant institutions », « LSI ») 4 et les succursales établies au Luxembourg d’établissements de crédit de pays tiers. La CSSF conserve par ailleurs en tant qu’autorité d’accueil – il s’agit des mesures en matière de lutte contre le blanchimentdes succursales luxembourgeoises d’établissements de crédit agréés dans un autre Etat membre une responsabilité de contrôle de certains domaines non liés à la surveillance prudentielle bancaire, à savoir notamment la lutte contre le blanchiment de capitaux et le financement du terrorisme, de marchés d’instruments financiers et de la liquidité - les règles applicables à la fourniture de services d’investissement et le contrôle des obligations applicables aux dépositaires d’OPC luxembourgeois. 2) « direction autorisée » ou « directeurs autorisés » : la direction autorisée est assimilée à l’organe de direction dans sa fonction exécutive selon les orientations de l’EBA en matière de gouvernance interne (Guidelines on internal governance « EBA/GL/2017/11 »). Les directeurs autorisés correspondent aux personnes visées à l’article 7 paragraphe 2 de la LSF et à la direction générale, telle que définie à l’article 3 du CRD IV. D’un point de vue prudentiel, la direction autorisée est responsable de la gestion journalière d’un établissement, conformément aux orientations stratégiques et politiques clés approuvées par l’organe de surveillance. Dans un système moniste, les directeurs autorisés peuvent être également membres du conseil d’administration, alors que dans un système dualiste, la direction autorisée correspond strictement au directoire ; 4 Conformément aux dispositions du Règlement UE N°1024/2013 du Conseil du 15 octobre 2013 (« règlement MSU ») confiant à la BCE des missions spécifiques ayant trait aux politiques en matière de surveillance prudentielle des établissements de crédit et du Règlement UE N° 468/2014 de la Banque centrale européenne établissant le cadre de la coopération au sein du mécanisme de surveillance unique entre la Banque centrale européenne, les autorités compétentes nationales et les autorités désignées nationales (« règlement-cadre MSU »). CIRCULAIRE CSSF 20/759 15/115 3) « établissement » : les établissements de crédit de droit luxembourgeois, y compris leurs succursales, les succursales luxembourgeoises d’établissements de crédit et d’entreprises d’investissement originaires de pays tiers ainsi que les succursales luxembourgeoises d’établissements de crédit agréés dans un autre Etat membre ; 4) « établissement d’importance significative » : les établissements de crédit d’importance systémique suivant l’article 59-3 de la LSF et, le cas échéant, les autres établissements de crédit déterminés par l'autorité compétente sur base de l'évaluation de la taille et de l'organisation interne des établissements ainsi que de la nature, de l’échelle et de la complexité de leurs activités ; 5) « organe de direction » : l’organe de direction, suivant la définition de la LSF, correspond à l’organe de direction dans sa fonction de surveillance et dans sa fonction exécutive selon les orientations de l’EBA en matière de gouvernance interne (Guidelines on internal governance « EBA/GL/2017/11 »). Il désigne le conseil d’administration et la direction autorisée d’un Etat membre de l’Espace économique européenétablissement pourvu d’une organisation moniste ou le conseil de surveillance et le directoire d’un établissement pourvu d’une organisation dualiste ; 6) « organe de surveillance » : l’organe de surveillance correspond à l’organe de direction dans sa fonction de surveillance selon les orientations de l’EBA en matière de gouvernance interne (Guidelines on internal governance « EBA/GL/2017/11 ») et aux membres de l’organe de direction qui n’exercent pas de fonction exécutive au sens de la LSF. La réglementation du secteur financier alloue aux conseils d’administration et aux conseils de surveillance des établissements de crédit des responsabilités en matière de surveillance et de contrôle, ainsi qu’en matière de détermination et d’approbation des orientations stratégiques et des principes directeurs ; 7) « parties liées » : les entités (structures) juridiques appartenant au groupe auquel l’établissement appartient ainsi que les membres du personnel, actionnaires et membres de l’organe de direction de ces entités ; 8) « Procédure prudentielle » : procédure prudentielle de nomination des membres de l’organe de direction et des titulaires de fonctions clés auprès des établissements de crédit ; 9) « titulaires de fonctions clés » : les responsables des fonctions dont l’exercice permet d’avoir une influence notable sur la conduite ou le contrôle des activités des établissements. Ils comprennent en particulier les responsables des trois fonctions de contrôle interne auprès de l’ensemble des établissements, à savoir : le Chief Risk Officer (« CRO ») pour la fonction de contrôle des risques, le Chief Compliance Officer (« CCO ») pour la fonction compliance et le Chief Internal Auditor (« CIA ») pour la fonction d’audit interne, ainsi que le responsable de la fonction financière (Chief Financial Officer, « CFO ») auprès des établissements d’importance significative ; 10) CEBS : Committee of European Banking Supervisors ; CIRCULAIRE CSSF 20/759 16/115 11) CRDIV : Directive 2013/36/UE du 26 juin 2013 concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE ; 12) CRR : le règlement européen n° 575/2013 du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement ; 13) EEE : Espace Economique Européen ; 14) ICAAP : Internal Capital Adequacy Assessment Process ; 15) ILAAP : Internal Liquidity Adequacy Assessment Process ; 16) LSF : la loi modifiée du 5 avril 1993 relative au secteur financier ; 17) MiFID : Markets in Financial Instruments Directive. Chapitre
  165. Champ d’application et proportionnalité
  166. La circulaire s’applique aux établissements de crédit de droit luxembourgeois, y compris leurs succursales, ainsi qu’aux succursales luxembourgeoises d’établissements de crédit de pays tiers. Pour les domaines où la CSSF conserve une responsabilité de contrôle en tant qu’autorité d’accueil, respectivement en tant qu’autorité en charge d’un domaine ne faisant pas partie de la surveillance prudentielle bancaire - il s’agit notamment des mesures en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, des règles applicables en matière de fourniture de services d’investissement et des obligations applicables aux dépositaires d’OPC luxembourgeois - les succursales luxembourgeoises d’établissements de crédit agréés dans un autre Etat membre mettent en place en coordination avec cet établissement agréé un dispositif en matière d’administration centrale et de gouvernance interne ainsi qu’une gestion des risques qui sont comparables à ceux prescrits par la présente circulaire. Toutes les entités visées aux paragraphes précédents sont désignées ci-après par le terme « établissements ». En ce qui concerne les professionnels effectuant des opérations de prêt, tels que définis à l’article 28-4 de la LSF, seul le chapitre 3 de la partie III de la présente circulaire est applicable. Le chapitre 6 de la partie III de la présente circulaire s’applique uniquement aux établissements de crédit. 2.
  167. La circulaire s’applique aux établissements sur une base individuelle, sousconsolidée et consolidée., aux compagnies financières holding ou aux compagnies financières holding mixtes visées à l’article 21a
(1)de la CRD IV et aux établissements de crédit visés à l’article 21a
(4)
  1. c)de la CRD IV. CIRCULAIRE CSSF 20/759 17/115 Lorsqu’il existe des entités juridiques, consolidées ou non, pour lesquelles Si l’établissement est une entreprise mère au sens de la LSF, le terme « établissement » sert à désigner le « groupe », c’est-à-dire l’ensemble formé par l’entreprise mère (la « tête de groupe ») et les entités juridiques pour lesquelles l’établissement est entreprise mère au sens de la LSF.), la circulaire s’applique alors au « groupe » dans son ensemble, aux : à l’entreprise mère ainsi qu’aux différentes entités juridiques qui le composent, ce groupe - qu’elles soient incluses ou non dans le périmètre de consolidation prudentielle suivant le CRR - y compris leurs les succursales éventuelles, ainsi qu’aux relations entre ces entités juridiques, dans le respect des lois et des dispositions réglementaires nationales qui s’appliquent aux entités juridiques en question. Dans le cas d’entités juridiques dans lesquelles l’établissement détient une participation entre 20% et 50% mais pour lesquelles l’établissement n’est pas entreprise mère au sens de la LSF, l’établissement tête de groupe fait tout son possible, de concert avec les autres actionnaires ou associés concernés, pour que soit mis en place dans ces entités juridiques un dispositif en matière d’administration centrale et de gouvernance interne ainsi qu’une gestion des risques qui répondent à des standards comparables à ceux prescrits par la présente circulaire et dans le respect des lois et des dispositions réglementaires applicables aux niveaux nationaux. Ainsi, quelle que soit la structure organisationnelle et opérationnelle de l’établissement ou d’un groupe, la mise en œuvre de la présente circulaire permet à l’établissement d’avoir une maîtrise complète de ses activités et des risques auxquels il est exposé ou pourrait être exposé, y compris les activités et les risques intragroupe et peu importe la localisation de ces activités et des risques. 3. Les mesures d’exécution que les établissements prennent en vertu de la présente circulaire sont proportionnelles à leur taille et à leur organisation interne ainsi qu’à la nature, à l’échelle et à la complexité des de leurs activités, y compris les risques, et de l’organisation de l’établissement. . En pratique, l’application du principe de proportionnalité conduit les établissements qui sont plus importants, complexes ou risqués à se doter d’un dispositif renforcé en matière d’administration centrale et, de gouvernance interne. et de gestion des risques. Ce dispositif renforcé comprend par exemple, l’instauration de comités spécialisés suivant, la section 4.1.4. nomination de membres indépendants additionnels à l’organe de surveillance ou encore de directeurs autorisés supplémentaires pour faciliter la gestion journalière. CIRCULAIRE CSSF 20/759 18/115 A l’opposé, pour des établissements dont la diversité, la taille ou, l’organisation interne ainsi que la nature, l'échelle et la complexité de l’activité des activités sont moindres, le principe de proportionnalité peut jouer à la baisse. Ainsi ces établissements peuvent, un établissement ayant des activités limitées et peu complexes peut fonctionner adéquatement au sens de la présente circulaire avec en désignant des responsables des fonctions compliance et de contrôle des risques assumées à temps partiel (voir les points 129 et 141), avec un audit interne sous-traité (point 117sans remettre en cause le principe de permanence de la fonction) ou encore moyennant le recours à des experts externes en vue de réaliser certaines en sous-traitant l’exécution des tâches opérationnelles de contrôle l’audit interne (point 118). entièrement ou partiellement. L’application à la baisse du principe de proportionnalité est limitée en particulier par le principe de la ségrégation des tâches qui exige que les tâches et responsabilités doivent être attribuées de façon à éviter les conflits d’intérêts dans le chef d'une même personne (voir le point 71). Au niveau de la direction autorisée, ce principe est atténué par le principe de la responsabilité collective de la direction autorisée (voir le point 72). alors que la répartition des tâches au niveau de la direction autorisée s’effectue dans le respect du principe de la ségrégation des tâches, la responsabilité reste collective. Par application du principe de proportionnalité, lorsqu’un établissement ne nécessite pas plus que deux directeurs autorisés, la répartition efficace des tâches n’est pas toujours compatible avec une ségrégation stricte des tâches au niveau de cette direction. Par exemple, il est admissible dans ce cas de figure que le même membre de la direction autorisée soit en charge à la fois de l'organisation administrative, comptable et informatique et des fonctions de contrôle interne (voir le point 63). La mise en œuvre du principe de proportionnalité tient compte des éléments suivants : a. la forme juridique et la structure de propriété et de financement de l’établissement ; b. le modèle d’affaires et la stratégie en matière de risque ; c. la taille de l’établissement et de ses filiales ainsi que la nature et la complexité des activités (y compris le type de clientèle et la complexité des produits ou contrats) ; d. la nature et la complexité de la structure organisationnelle et opérationnelle, y compris l’empreinte géographique, les canaux de distribution et les activités sous-traitées ; e. la nature et l’état des systèmes d'information et dispositifs de continuité. CIRCULAIRE CSSF 20/759 19/115 Quelle que soit l’organisation retenue, les arrangements en la matière permettent à l’établissement d’opérer dans le plein respect des dispositions prévues au chapitre 3 de la partie II. à la partie II de la présente circulaire. Les établissements documentent par écrit leur analyse en matière de proportionnalité et en font approuver les conclusions par l’organe de surveillance. Partie II. Dispositif en matière d’administration centrale et de gouvernance interne Chapitre 1. L’administration centrale 1. Les établissements disposent au Luxembourg d’une solide administration centrale, comportant leur « centre de prise de décision » et leur « centre administratif ». L’administration centrale, qui englobe au sens large, les fonctions de direction et de gestion, d'exécution et de contrôle, permet à l’établissement d’avoir la maîtrise de l’ensemble de ses activités. 2. La notion de Le centre de prise de décision ne comprend pas seulement l'activité de la direction autorisée suivant ainsi que les articles 7 paragraphe 2 et 19 paragraphe 2 de la LSF, mais également celle des responsables des différentes fonctions commerciales, des fonctions de support et de contrôle ou et des différentes unités opérationnelles (services, départements ou métiers) existant à l'intérieur de l'établissement. 3. Le centre administratif comprend en particulier une bonne organisation l’organisation administrative, comptable et informatique qui assure en permanence la bonne administration des valeurs et des biens, l'exécution adéquate des opérations, l'enregistrement correct et exhaustif des opérations et la production d'une information de gestion correcte, complète, pertinente, compréhensible et disponible sans délais. Il inclut à ce titre l’infrastructure administrative des fonctions commerciales (section 5.2.1), les fonctions de support, en particulier dans le domaine financier et comptable (section 5.2.2) et informatique (section 5.2.3), ainsi que le contrôle interne (chapitre 6).délai. 4. Lorsque l’établissement est tête de groupe suivant le point 3, l’administration centrale permet à l’établissement de concentrer en son siège à Luxembourg toute l’information de gestion nécessaire pour gérer, suivre et contrôler de façon continue les activités du groupe. De même, l’administration centrale permet à l’établissement d’atteindre toutes les entités juridiques et succursales qui composent le groupe afin de leur fournir toute l’information de gestion nécessaire. La notion d’information de gestion s’entend au sens le plus large, incluant l’information financière et le reporting prudentiel légal. CIRCULAIRE CSSF 20/759 20/115 Chapitre 2. Le dispositif de gouvernance interne 5. La gouvernance interne est une composante limitée mais cruciale de la gouvernance d’entreprise, se concentrant sur la structure interne et l’organisation d’un établissement. La gouvernance d’entreprise est un concept plus vaste qui peut être décrit comme étant l’ensemble des relations entre un établissement, son conseil d’administration organe de surveillance, sa direction autorisée, ses actionnaires et les autres parties prenantes. La gouvernance interne doit assurer en particulier la gestion saine et prudente des activités, y compris des risques qui leur sont inhérents. Afin d’atteindre cet objectif, les établissements mettent en place un dispositif de gouvernance interne qui répond au concept des « trois lignes de défense » (« three-lines-of-defence model »). La première ligne de défense est constituée par les unités opérationnelles qui prennent ou acquièrent des risques dans le cadre d’une politique et de limites prédéfinies et qui effectuent des contrôles tels que décrits en particulier à la section 6.1.1. «°La seconde ligne est formée par les fonctions de support, y compris la fonction financière et comptable (section 5.2.2 de la présente circulaire), et les fonctions compliance et de contrôle des risques (sous-chapitre 6.2 et sections 6.2.5 et 6.2.6 de la présente circulaire, et orientation 1.3 5 mises en œuvre par la circulaire CSSF 20/750 pour le cadre de gestion des risques liés aux technologies de l’information et de la communication et à la sécurité) qui contribuent au contrôle indépendant des risques.°» 6 La troisième ligne est constituée par la fonction d’audit interne qui, conformément au sous-chapitre 6.2 et à la section 6.2.7, effectue une évaluation indépendante, objective et critique des deux premières lignes de défense. Les trois lignes de défense sont complémentaires, chaque ligne de défense assumant ses responsabilités de contrôle indépendamment des autres lignes. Les contrôles réalisés par les trois lignes de défense comprennent les quatre niveaux de contrôles prévus au point 100. 6. Concrètement, et dans le but de respecter les objectifs définis au point précédent, Le dispositif de gouvernance interne comprend notamment : 5 Orientation 3.3 dans la version anglaise. 6 Modifié par la circulaire CSSF 20/750 CIRCULAIRE CSSF 20/759 21/115 • une structure organisationnelle et opérationnelle claire et cohérente comportant des pouvoirs de décision, des liens hiérarchiques et fonctionnels et un partage des responsabilités clairement définis, transparents, cohérents, complets et exempts de conflits d’intérêts (sous-chapitres 5.1, 7.1 et 7.2) ; • des mécanismes adéquats de contrôle interne qui répondent aux dispositions du chapitre 6 de cette partie. Ces mécanismes comprennent des procédures administratives, comptables et informatiques saines et des politiques et pratiques de rémunération permettant et promouvant une gestion saine et efficace des risques par application des règles contenues dans les circulaires CSSF 06/273, CSSF 07/290 et CSSF 11/505, en ligne avec la stratégie de l’établissement en matière de risques, ainsi que des mécanismes de contrôle et de sécurité des systèmes d’information de gestion. La notion de système d’information de gestion comprend les systèmes informatiques (sections 5.2.1 à 5.2.3, sous-chapitres 5.3 et 7.4) ; • une procédure formelle d’escalade, de règlement et, le cas échéant, de sanctions pour les problèmes, déficiences et irrégularités relevés par le biais des mécanismes de contrôle interne, y compris les fonctions de contrôle interne suivant le sous-chapitre 6.2 ; • un processus clair de prise de risques comprenant un appétit au risque formellement et précisément arrêté dans tous les domaines d’activité, un processus décisionnel rigoureux, des analyses de qualité et des limites ; • des processus de détection, de mesure, de déclaration, de gestion et, d’atténuation ainsi que et de contrôle des risques auxquels les établissements sont ou pourraient être exposés conformément au chapitre 1 de la partie III ; • un système d’information de gestion, y compris en matière de risques, ainsi qu’un dispositif de communication interne comprenant un dispositif interne d’alerte (« whistleblowing ») qui permet au personnel de l’établissement d’attirer l'attention des responsables sur toutes leurs préoccupations importantes et légitimes liées à la gouvernance interne de l’établissement (section 5.2.4) ; • une procédure formelle d’escalade, de règlement et de sanction des problèmes, déficiences et irrégularités relevés par le biais des mécanismes de contrôle et d’alerte internes ; • un dispositif de gestion de continuité des activités visant à limiter les risques de perturbation grave des activités et à assurer le maintien des opérations clé clés telles que définies par le conseil d’administration l’organe de surveillance sur proposition de la direction autorisée. Ce dispositif comprend un plan de continuité qui décrit les actions à mettre en œuvre afin de poursuivre les activités en cas d’incident ou sinistre (sections 5.2.3 et 7.4) ; • un dispositif de gestion de crises qui assure une capacité de réaction appropriée en cas de crise, y compris un plan de rétablissement des activités. Ce dispositif satisfait redressement conforme aux exigences énoncées à du chapitre 2 de la section 5.2.5 partie IV de la LSF. CIRCULAIRE CSSF 20/759 22/115 7. Les établissements promeuvent Tout établissement promeut une culture interne du contrôle et du risque et de la conformité qui vise à assurer que tout le personnel de l’établissement participe activement au contrôle interne ainsi qu’à la détection, à la déclaration et au contrôle des risques encourus par l’établissement et adopte une attitude positive à l’égard du contrôle interne tel que défini au chapitre 6. Cette culture généralisée des risques et de la conformité, forte et omniprésente, doit également se refléter dans les stratégies, politiques et procédures de l’établissement, les formations proposées et les messages véhiculés aux membres du personnel en ce qui concerne la prise et la gestion des risques au sein de l’établissement. Une telle culture se caractérise par l’exemple donné par l’organe de direction (« tone from the top ») et implique la responsabilisation de tous les membres du personnel pour leurs actes et comportements, un dialogue ouvert et critique et l’absence d’incitation à une prise de risque inappropriée. Chapitre 3. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne 8. Le dispositif en matière d’administration centrale et de gouvernance interne est élaboré et mis en œuvre de sorte à ce qu’il : • fonctionne de manière intègre (« intégrité »). Ce volet inclut aussi bien la gestion des conflits d’intérêts que la sécurité, en particulier en matière de systèmes d’information ; • soit fiable et fonctionne de manière continue (« robustesse »). En vertu du principe de continuité, les établissements tout établissement se dotent dote également d’arrangements visant à rétablir le fonctionnement du dispositif de gouvernance interne en cas de discontinuité ; • soit efficace (« efficacité »). L'efficacité s’apprécie en particulier par rapport au fait que les risques sont effectivement gérés et contrôlés ; • réponde aux besoins de l’établissement dans son ensemble et de toutes ses unités organisationnelles et opérationnelles (« adéquation ») ; • soit cohérent dans son ensemble et dans ses parties (« cohérence ») ; • soit complet (« exhaustivité »). En ce qui concerne les risques, l’exhaustivité signifie que l’ensemble des risques doit être inclus dans le périmètre du dispositif de gouvernance interne. Ce périmètre ne s’arrête pas (nécessairement) au seul périmètre (consolidé) prudentiel ou comptable ;. Il doit permettre à l’établissement de disposer d’une vue exhaustive sur tous ses risques, en termes de leur substance économique, en tenant compte de toutes les interactions existant à travers l’établissement. S’agissant du contrôle interne, le principe d’exhaustivité implique que le contrôle interne porte sur tous les domaines du fonctionnement de l’établissement ; CIRCULAIRE CSSF 20/759 23/115 • soit transparent (« transparence »). La transparence comprend une attribution et une communication claires et visibles des rôles et des responsabilités aux différents membres du personnel, à la direction autorisée et aux unités opérationnelles et organisationnelles de l’établissement. ; 9. En exécution d’un organigramme (sous-chapitre 5.1), l'établissement dispose au siège luxembourgeois, dans ses succursales ainsi que dans l’ensemble des différentes entités juridiques qui composent le groupe, de ressources humaines suffisantes en nombre et disposant d’une compétence professionnelle individuelle et collective appropriée, ainsi que de l’infrastructure administrative et technique nécessaire et suffisante pour pouvoir exercer les activités qu'il veut réaliser. Ces ressources humaines et cette infrastructure respectent les dispositions des souschapitres 5.1 et 5.2. La sous-traitance est possible dans les conditions énoncées au sous-chapitre 7.4. 10. Les établissements documentent par écrit l’ensemble du dispositif en matière d’administration centrale et de gouvernance interne ainsi que l’ensemble de leurs activités (opérations et risques) conformément au sous-chapitre 5.3. • soit conforme aux exigences légales et réglementaires, y compris par rapport aux exigences de la présente circulaire (« conformité »). 11.9. En vue d’assurer et de maintenir la solidité du dispositif en matière d’administration centrale et de gouvernance interne, ce dernier fait l'objet d’une révision objective, critique et régulière, au moins une fois par an. Cette révision tient compte de tous les changements internes et externes qui peuvent avoir une influence significative défavorable sur la solidité de ce dispositif dans son ensemble et sur le profil de risque et la capacité de l’établissement à gérer et à supporter ses risques en particulier. 12.10. Les établissements publient les éléments clé de leur dispositif clés en matière de gouvernance interne dans le respect et de gestion des règles régissant la partie XIX risques conformément aux dispositions du CRR (article 435 et titre Ier de la circulaire CSSF 06/273 (« pilier 3 »). Cette huitième partie) ainsi qu’aux orientations relatives aux exigences de publication inclut la structure organisationnelle et opérationnelle, y compris en matière de contrôle interne, la stratégie en matière de risques ainsi que le profil l’EBA (Guidelines on disclosure requirements under part eight of regulation (EU) no 575/2013, « EBA/GL/2016/11 »).de risque. Ces informations décrivent la situation actuelle et son évolution attendue d’une manière claire, objective et pertinente. CIRCULAIRE CSSF 20/759 24/115 Chapitre 4. Conseil d’administration Organe de surveillance et direction autorisée Sous-chapitre 4.1. Le conseil d’administrationL’organe de surveillance Section 4.1.1. Responsabilités du conseil d’administration de l’organe de surveillance 13.11. Le conseil d'administration L’organe de surveillance a la responsabilité globale de l’établissement. Il veille à faire assurer l’activité définit, surveille et à préserver porte la continuité responsabilité de l’activité au moyen la mise en place d’un solide dispositif en matière d’administration centrale et de gouvernance interne conformément aux dispositions de la présente circulaire., de gouvernance et de contrôle interne, qui comprend une organisation interne clairement structurée et des fonctions de contrôle interne indépendantes ayant une autorité, une importance et des ressources appropriées à leurs responsabilités. Le cadre mis en place doit permettre d’assurer la gestion saine et prudente de l’établissement, d’en préserver la continuité et, d’en protéger la réputation. A cette fin, le conseil d’administration l’organe de surveillance approuve et arrête par écrit, dans le respect des dispositions légales et réglementaires et après avoir entendu la direction autorisée et les responsables des fonctions de contrôle interne, et dans le but de protéger l’établissement les éléments clés suivants du dispositif en matière d’administration centrale, de gouvernance interne et sa réputation, notamment de gestion des risques : • la stratégie commerciale (modèle d’activités d’affaires) de l’établissement dans le respect des intérêts financiers de l’établissement à long terme, de sa solvabilité et de sa situation des liquidités, de sa situation des liquidités et de son appétit au risque. Le développement et le maintien d’un modèle d’affaires durable exige la prise en compte de tous les risques matériels, y compris les risques environnementaux, sociaux et de gouvernance ; • la stratégie de l’établissement en matière de risques, y compris la tolérance l’appétit au risque et les principes directeurs régissant la détection, la mesure, la déclaration, la le cadre global de prise et de gestion et le contrôle des risques de l’établissement ; • la stratégie de l’établissement en matière de fonds propres et de réserves de liquidités réglementaires et internes ; • les principes directeurs d’une une structure organisationnelle et opérationnelle claire et cohérente qui règle en particulier la création et le maintien par l’établissement d’entités (structures) juridiques, ainsi que les principes directeurs en matière de systèmes d’informations, y compris l’aspect sécurité, et de dispositif de communication interne, y compris le dispositif interne d’alerte ; CIRCULAIRE CSSF 20/759 25/115 • les principes directeurs en matière de systèmes, de technologie et de sécurité de l’information conformément à la circulaire CSSF 20/750, y compris les dispositifs internes de communication et d’alerte ; • les principes directeurs relatifs aux mécanismes de contrôle interne, qui incluent les fonctions de contrôle interne et la ; • les principes directeurs en matière de politique de rémunération, ; • les principes directeurs en matière de déontologie, de valeurs d’entreprise et de gestion des conflits d’intérêts ; • les principes directeurs en matière d’escalade, de règlement et de sanctions visant à assurer que tout comportement non respectueux de des règles applicables soit adéquatement poursuivi et sanctionné, ainsi que les principes directeurs en matière de déontologie (« code de conduite interne») et de valeurs d’entreprise, y compris dans le domaine de la gestion des conflits d’intérêts ; • les principes directeurs en matière d’administration centrale au Luxembourg, comprenant : ▪ les moyens humains et matériels que nécessite la mise en œuvre de la structure organisationnelle et opérationnelle ainsi que des stratégies de l’établissement, les principes directeurs en matière d’organisation ▪ une organisation administrative, comptable et informatique, intègre et ▪ les respectant les lois et standards applicables, principes directeurs en matière de sous-traitance (« outsourcing »), y compris de nature informatique se reposant ou non sur une infrastructure de « cloud computing », ainsi que ▪ les principes directeurs régissant la modification de l’activité (en termes de couverture de marchés et de clientèle, de nouveaux produits et de services) et l’approbation et le maintien d’activités « inhabituelles » ou « potentiellement non transparentes » ; • les principes directeurs applicables en matière de dispositif de gestion de continuité des activités et de gestion de crises et ; CIRCULAIRE CSSF 20/759 26/115 • les principes directeurs régissant la nomination et la succession à l’organe de direction et aux fonctions clé clés de l’établissement, ainsi que les procédures régissant le conseil d’administration l’organe de surveillance en termes de sa composition, de ses comprenant les aspects de diversité, de responsabilités, de son organisation et d’organisation, de son fonctionnement et d’évaluation individuelle et collective de ses membres. 7 Les principes directeurs régissant la nomination et la succession aspects de diversité font référence aux fonctions clé de l’établissement stipulent qu’en la matière, l’établissement doit se conformer aux exigences de la présente circulaire, à la procédure prudentielle d’approbation caractéristiques des titulaires membres de fonctions clé telle que publiée l’organe de direction, y compris leur âge, sexe, origine géographique et parcours éducatif et professionnel. La promotion de la diversité repose sur le site internet de la CSSF ainsi qu’aux orientations publiées par l’EBA le 22 novembre 2012 (Guidelines on the assessment of the suitability of members of the management body and key function holders - EBA/GL/2012/06). principe de non-discrimination et sur des mesures garantissant l’égalité des chances. 14.12. Le conseil d’administration L’organe de surveillance charge la direction autorisée de mettre en œuvre les stratégies et principes directeurs en matière de gouvernance interne visés au point 17 par le biais de politiques et de procédures internes écrites, (à l’exception des principes directeurs qui régissent la nomination et la succession au conseil d’administration sein de l’organe de surveillance et les procédures déterminant son fonctionnement). 15.13. Le conseil d’administration L’organe de surveillance surveille la mise en œuvre par la direction autorisée de ses des stratégies et principes directeurs en matière de gouvernance interne. A cette fin, il doit notamment approuver et approuve les politiques que la direction autorisée arrête en vertu du point 18 de ces stratégies et principes. 16.14. Le conseil d’administration L’organe de surveillance évalue d’une manière critique et approuve, adapte en cas de besoin et réapprouve à des intervalles réguliers, et au moins une fois par an, le dispositif de gouvernance interne de l’établissement, comprenant les stratégies clés et principes directeurs et leur implémentation au sein de l’établissement, les mécanismes de contrôle interne et le cadre de prise et de gestion des risques. Ces évaluations et ré-approbations visent à assurer que le dispositif de gouvernance interne continue à répondre aux exigences de la présente circulaire et aux objectifs d’une gestion efficace, saine et prudente des activités. 7 Dans le respect de la gouvernance d’entreprise, les principes directeurs et procédures applicables aux membres de l’organe de surveillance sont à soumettre, le cas échéant aux actionnaires pour accord, dans le respect de la procédure prudentielle, telle que publiée sur le site de la CSSF. CIRCULAIRE CSSF 20/759 27/115 L’évaluation et l’approbationla ré-approbation par le conseil d’administration l’organe de surveillance portent en particulier sur : • l’adéquation entre les risques encourus, la capacité de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires, compte tenu des stratégies et principes directeurs fixés par le conseil d’administration l’organe de surveillance et la réglementation existante et notamment applicable, y compris la circulaire CSSF 11/506 ; • les stratégies et principes directeurs en vue de les améliorer et de les adapter aux changements internes et externes, actuels et anticipés, ainsi qu’aux enseignements tirés du passé ; • la manière dont la direction autorisée s’acquitte des responsabilités énoncées au sous-chapitre 4.2. Dans ce contexte, le conseil d’administration de ses responsabilités et les performances de ses membres. Dans ce contexte, l’organe de surveillance revoit et évalue d’une manière critique et constructive les actions, propositions, décisions de, et informations fournies par, la direction autorisée et veille en particulier à ce que la direction autorisée mette en œuvre de manière prompte et efficace les mesures correctrices requises pour remédier aux problèmes, déficiences et irrégularités relevés par les fonctions de contrôle interne, le réviseur d’entreprises agréé et la CSSF, conformément aux deux derniers paragraphes du point 57 l’autorité compétente ; • l’adéquation de la structure organisationnelle et opérationnelle. Le conseil d’administration L’organe de surveillance doit avoir une compréhension parfaite de la structure organisationnelle de l’établissement, en particulier en termes des entités (structures) juridiques sous-jacentes, de leur raison d’être, des liens et interactions intra-groupe qui les relient ainsi que des risques y liés. Il vérifie que la structure organisationnelle et opérationnelle correspond aux stratégies et principes directeurs visés au point 17, qu’elle permet une gestion saine et prudente des activités qui est exempte d’opacité et de complexité indue, et qu’elle reste justifiée par rapport aux objectifs assignés. Cette exigence s’applique tout particulièrement aux activités « inhabituelles » ou « potentiellement non transparentes » ; • l’efficacité et l’efficience des mécanismes de contrôle interne mis en place par la direction autorisée. Les évaluations en question peuvent être préparées par les comités mis en place par application du point 33 spécialisés. Elles se font en particulier sur base des informations reçues de la part de la direction autorisée (point 61), des rapports de révision émis par le réviseur d’entreprises agréé (rapports sur les comptes annuels, comptes rendus analytiques et, le cas échéant, « management letters »), du rapport des rapports ICAAP (point 61), ILAAP et des rapports de synthèse des fonctions de contrôle interne (point 116) que le conseil d’administration l’organe de surveillance est appelé à approuver à cette occasion. CIRCULAIRE CSSF 20/759 28/115 17.15. Il appartient au conseil d’administration à l’organe de surveillance de promouvoir une culture interne en matière de risque et de compliance qui sensibilise le personnel de l’établissement aux impératifs d’une gestion saine et prudente des risques et qui favorise une attitude positive à l’égard du contrôle interne et de la compliance, et de stimuler le développement d’un dispositif de gouvernance interne qui permet d’atteindre ces objectifs. S’agissant des fonctions de contrôle interne, le conseil d’administration l’organe de surveillance veille à ce que les travaux de ces fonctions soient exécutés suivant des normes reconnues. Par ailleurs, le conseil d’administration approuve le plan d’audit interne conformément au point 151. et dans le cadre de politiques approuvées. 16. L’organe de surveillance veillera à consacrer un temps suffisant aux thématiques du risque. 18.17. Lorsque le conseil d’administration l’organe de surveillance prend connaissance que le dispositif en matière d’administration centrale ou de gouvernance interne ne permet plus une gestion saine et prudente des activités ou que les risques encourus ne sont ou ne seront plus adéquatement supportés par la capacité de l’établissement à gérer ces risques, par des fonds propres ou des réserves de liquidités réglementaires ou internes, il exige de la direction autorisée de lui présenter sans délais des mesures correctrices et en informe notifie immédiatement la CSSF l’autorité compétente. L’obligation de notification à la CSSF l’autorité compétente porte aussi sur toutes les informations qui remettent en cause la qualification ou l’honorabilité d’un membre du conseil d’administration de membres de l’organe de direction ou de la direction autorisée ou d’un responsable d’une fonction de contrôle interne clé. Section 4.1.2. Composition et qualification du conseil d’administrationde l’organe de surveillance 19.18. Les membres du conseil d’administration de l’organe de surveillance doivent être suffisants en nombre et présenter dans leur ensemble une composition adéquate qui permet au conseil d’administration à l’organe de surveillance de s'acquitter pleinement de toutes ses responsabilités. Le caractère adéquat se réfère en particulier aux compétences qualités professionnelles (connaissances, compréhension compétences et expérience adéquates), ainsi qu’aux qualités personnelles des membres du conseil d’administration de l’organe de surveillance. Par ailleurs, chaque membre doit justifier son honorabilité professionnelle. Les principes directeurs régissant l’électionla nomination et la succession des administrateurs membres de l’organe de surveillance expliquent et arrêtent les facultés jugées nécessaires en vue d’assurer une composition et une qualification appropriée du conseil d’administration appropriées de l’organe de surveillance. CIRCULAIRE CSSF 20/759 29/115 20.19. Le conseil d’administration L’organe de surveillance doit disposer dans son ensemble collectivement de connaissances, compétences et d’une compétence appropriée expérience appropriées à la nature, à l’échelle et à la complexité des activités et de l’organisation de l’établissement. Le conseil d’administration, en tant que collectif, L’organe de surveillance doit avoir collectivement une compréhension parfaite de l’ensemble des activités (et des risques qui leur sont inhérents) ainsi que de l’environnement économique et réglementaire dans lequel évolue l’établissement. Les membres du conseil d’administration de l’organe de surveillance disposent individuellement d’une parfaite compréhension du dispositif de gouvernance interne et de leurs responsabilités au sein de l’établissement. Ils maîtrisent les activités qui sont du ressort de leur domaine d’expertise et disposent d’une bonne compréhension des autres activités significatives de l’établissement. 21.20. Les membres du conseil d’administration de l’organe de surveillance veillent à ce que leurs qualités personnelles leur permettent d’exécuter leur mandat d’administrateur de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance d’esprit requis. A ce titre, le conseil d’administration l’organe de surveillance ne peut pas compter parmi ses membres une majorité de personnes qui assument un rôle exécutif au sein de l’établissement (directeurs autorisés ou autres employés membres du personnel de l’établissement, à l’exception des représentants du personnel élus conformément à la réglementation applicable). Les membres du conseil d’administration de l’organe de surveillance veillent à ce que leur mandat d’administrateur soit et reste compatible avec leurs autres emplois, mandats et intérêts éventuels, en particulier en termes de conflits d’intérêts et de disponibilité. Ils informent le conseil d’administration l’organe de surveillance des mandats qu’ils ont en dehors de l’établissement. 22.21. Les termes des mandats d’administrateur doivent être fixés de manière à permettre au conseil d’administration à l’organe de surveillance d’exercer ses responsabilités de manière continue et efficace. La reconduction d’administrateursde membres existants doit s’orienter en particulier à leurs performances passées. La continuité du fonctionnement du conseil d’administration de l’organe de surveillance doit être assurée. CIRCULAIRE CSSF 20/759 30/115 22. Les principes directeurs régissant la nomination et la succession des membres du conseil d’administration de l’organe de surveillance prévoient les mesures nécessaires pour que ces membres soient et restent qualifiés tout au long de leur mandat. Ces mesures comprennent une initiation spécifique pour comprendre la structure, le modèle d’affaires, le profil de risque et les dispositifs de gouvernance et ensuite des formations professionnelles programmes de formation professionnelle qui permettent aux membres du conseil d’administration de mettre de l’organe de surveillance de comprendre d’une part, les opérations de l’établissement, leur rôle et d’autre part, de maintenir à jour et d’approfondir leurs compétences requises. 23. Chaque établissement devrait nommer au moins un membre à son organe de surveillance qui peut être considéré comme « membre indépendant ». Un membre indépendant de l’organe de surveillance ne connaît pas de conflits d'intérêts de nature à altérer sa capacité de jugement, du fait qu’il est, ou a été dans un passé récent, lié par une relation quelconque - professionnelle, familiale ou autre - avec l’établissement, l'actionnaire qui le contrôle ou la direction de l'un ou de l'autre. Pour l’appréciation du caractère d’indépendance, les établissements appliquent les critères de la section 9.3 des EBA/GL/2017/12 telle que reproduite en annexe I. Les établissements qui sont d’importance significative ou dont les actions sont admises à la négociation sur un marché réglementé veilleront à doter leur organe de surveillance d’un nombre suffisant de membres indépendants, compte tenu de leur organisation ainsi que de la nature, de l’échelle et de la complexité de leurs activités. Section 4.1.3. Organisation et fonctionnement du conseil d’administrationde l’organe de surveillance 24. Le conseil d’administration L’organe de surveillance se réunit régulièrement en vue de s’acquitter de manière efficace de ses responsabilités. L’organisation et le fonctionnement de l’organe de surveillance sont consignés par écrit. Les objectifs et les responsabilités de ses membres sont également documentés par des mandats écrits. CIRCULAIRE CSSF 20/759 31/115 25. Les travaux du conseil d’administration de l’organe de surveillance doivent être documentés par écrit. Cette documentation inclut l’agenda des réunions, et les procès-verbaux des réunions ainsi que avec les décisions et mesures prises par le conseil d’administration l’organe de surveillance. Les procès-verbaux sont un outil important qui doit aider l’organe de surveillance et ses membres à faire le suivi des décisions d’une part, et permettre à l’organe et à ses membres de rendre des comptes aux actionnaires et aux autorités compétentes, d’autre part. Ainsi, des points de routine peuvent figurer de façon succincte sous forme de simple décision au procès-verbal d’une réunion, alors que des points importants de l’ordre du jour impliquant des risques pour l’établissement ou débattus contradictoirement doivent être rapportés plus en détail, permettant au lecteur de suivre les débats et d’identifier les positions défendues. 26. Le conseil d’administration L’organe de surveillance évalue régulièrement les procédures régissant le conseil d’administration, son mode de fonctionnement et ses travaux en vue de les améliorer, d’en assurer l’efficacité et de vérifier si les procédures qui lui sont applicables sont respectées dans la pratique. Il veille à ce que tous ses membres aient une vision claire de leurs obligations, leurs responsabilités et de la répartition des tâches au sein de l’organe de surveillance et des comités spécialisés qui en dépendent. 27. Il appartient au président du conseil d’administration de l’organe de surveillance d’en assurer une composition équilibrée, notamment en termes de diversité, de veiller à son bon fonctionnement, de promouvoir au sein du conseil d’administration de l’organe de surveillance une culture de discussion informée et contradictoire et de proposer l’élection d’administrateurs la nomination de membres indépendants. Un administrateur indépendant est un administrateur qui ne connaît Le président de l’organe de surveillance n’exerce pas de conflit d'intérêts, de nature à altérer sa capacité de jugement du fait qu’il est lié par une relation d'affaires - familiale ou autre 8 - avec fonctions exécutives au sein de l’établissement, l'actionnaire qui le contrôle ou la direction de l'un ou de l'autre hormis situations exceptionnelles à autoriser par l’autorité compétente. La CSSF recommande aux grands établissements d’avoir un ou plusieurs administrateurs indépendants. 28. Les mandats de directeur autorisé et de président du conseil d’administration ne sont pas cumulables. 8 Y inclus une relation salariale CIRCULAIRE CSSF 20/759 32/115 Section 4.1.4. 28. Comités spécialisés En vue d’accroître son efficacité, le conseil d’administration L’organe de surveillance peut se faire assister par des comités spécialisés dans le domaine les domaines notamment de l’audit, des risques, de la compliance, de la rémunération, et des ressources humaines (notamment à travers l’intervention d’un comité de nomination des personnes occupant une fonction clé) ainsi que nominations ou encore de la gouvernance interne, et de la déontologie, en fonction de ses besoins et compte tenu de l’organisation, de la compliance lorsque la nature, de l’échelle et de la complexité de l’établissement et de ses des activités l’exigent. Ces comités comprennent des administrateurs qui ne font pas partie de la direction autorisée ni du personnel de l’établissement. Ils peuvent également comprendre, au besoin, des experts externes, indépendants de l’établissement. Leur mission consiste de l’établissement. Leurs missions consistent à fournir au conseil d’administration à l’organe de surveillance des appréciations critiques concernant l’organisation et le fonctionnement de l’établissement dans les domaines précités en vue de permettre aux membres du conseil d’administration d’exercer de manière efficace leur mission de surveillance et d’assumer leurs leurs domaines de compétences spécifiques. 29. Les établissements d’importance significative doivent mettre en place un comité d’audit, un comité des risques, un comité de nomination et un comité de rémunération. 29.30. En application du principe de proportionnalité, les établissements qui ne sont pas d’importance significative peuvent mettre en place des comités dédiés combinant différents domaines de responsabilités en vertu de la présente circulaire., par exemple un comité d’audit et des risques, un comité d’audit et compliance ou encore un comité des risques et de rémunération. Les membres de tels comités combinés doivent posséder, individuellement et collectivement, les connaissances, les compétences et l’expertise nécessaires à l’exercice de leurs fonctions. 30. Le conseil d’administration fixe par écrit le mandat, la composition et les procédures de travail des comités spécialisés. En vertu de ces procédures, les comités spécialisés doivent pouvoir demander tout document et toute information qu’ils jugent utiles pour l’exercice de leur mission. Par ailleurs, les procédures prévoient les conditions dans lesquelles le réviseur d’entreprises agréé ainsi que toute personne appartenant à l’établissement, y compris la direction autorisée, sont associés aux travaux des comités spécialisés. CIRCULAIRE CSSF 20/759 33/115 31. Le conseil d’administration veille à ce que les différents comités interagissent efficacement et rapportent régulièrement au conseil d’administration. Le conseil d’administration ne peut pas déléguer aux comités spécialisés ses pouvoirs de décision et responsabilités en vertu de la présente circulaire. 31. Sans préjudice d’exigences légales et réglementaires spécifiques en la matière, les membres permanents des comités spécialisés sont, selon le cas, des membres de l’organe de surveillance qui n’exercent pas de fonction exécutive au sein de l’établissement ou des membres indépendants. Chaque comité est composé d’au moins trois membres dont les connaissances, compétences et expertises sont en adéquation avec les missions du comité. Lorsqu’il existe au sein d’un établissement plusieurs comités spécialisés, l’établissement devrait, dans la mesure où le nombre de membres non-exécutifs et indépendants de l’organe de surveillance le permet, veiller à ce que les membres des comités respectifs soient différents. L’établissement devrait par ailleurs essayer d’assurer une rotation des présidents et membres des comités, compte tenu de l’expérience, des connaissances et des compétences spécifiques individuelles et collectives requises. 32. Les comités spécialisés sont présidés par un de leurs membres. Ces présidents de comité disposent de connaissances approfondies dans le domaine d’activité du comité qu’ils président et assurent un débat critique et constructif au sein du comité. 33. Lorsque le conseil d’administration La CSSF recommande aux établissements d’importance significative que leur comité des risques comporte une majorité de membres indépendants, y compris son président. 34. Les comités spécialisés se réunissent régulièrement, afin de se décharger des tâches et travaux qui leur sont alloués ou encore pour préparer les réunions de l’organe de surveillance. Ils peuvent, suivant leurs besoins, se faire assister par des experts externes, indépendants de l’établissement, et peuvent associer à leurs travaux le réviseur d’entreprises agréé, les directeurs autorisés, les autres comités spécialisés, les responsables des fonctions de contrôle interne ainsi que d’autres personnes travaillant pour l’établissement, sans que ces personnes ne soient membres et sans qu’elles ne participent aux recommandations du comité. CIRCULAIRE CSSF 20/759 34/115 35. L’organe de surveillance fixe par écrit les missions, la composition et les procédures de travail des comités spécialisés. En vertu de ces procédures, les comités spécialisés reçoivent des rapports réguliers des fonctions de contrôle interne sur l’évolution du profil de risque de l’établissement, les infractions par rapport au cadre réglementaire, à la gouvernance interne et à la gestion des risques ainsi que les préoccupations soulevées par l’intermédiaire du dispositif interne d’alerte et les mesures pour y remédier. Ils doivent pouvoir demander tout document et toute information qu’ils jugent utiles pour l’exercice de leur mission. Les comités documentent les agendas de leurs réunions ainsi que les conclusions et recommandations selon les mêmes principes qu’au point 25. Par ailleurs, les procédures prévoient les conditions dans lesquelles les experts externes fournissent leur assistance et les modalités selon lesquelles d’autres personnes sont associées aux travaux des comités spécialisés. 36. L’organe de surveillance veille à ce que les différents comités interagissent efficacement, communiquent entre eux et avec les fonctions de contrôle interne et le réviseur d’entreprises agréé et rapportent régulièrement à l’organe de surveillance. 33.37. L’organe de surveillance ne peut pas déléguer aux comités spécialisés ses pouvoirs et responsabilités en vertu de la présente circulaire. Lorsqu’il ne se fait pas assister par des comités spécialisés, les tâches énoncées aux sous-sections 4.1.4.1 et 4.1.4.2 lui incombent directement au conseil d’administration. Sous-section 4.1.4.1. Le comité d'audit 34.38. Le comité d’audit a pour objet d’assister le conseil d’administration l’organe de surveillance dans les domaines de l’information financière, du contrôle interne, y compris l’audit interne, ainsi que du contrôle par le réviseur d’entreprises agréé. 35.39. La CSSF recommande aux grands Sans préjudice des autres dispositions de la section 4.1.4, les établissements de doivent créer un comité d’audit afin de faciliter le contrôle effectif des activités lorsqu’ils y sont tenus par le conseil d’administration l’article 52 de la loi modifiée du 23 juillet 2016 relative à la profession de l’audit (« Loi Audit »). Le comité d’audit comprend au moins trois membres et sa composition est déterminée en accord avec ses missions et son mandat conformément aux points 33 et 34. Les compétences collectives des membres du comité d’audit doivent être représentatives des activités et des risques de l'établissement et comprendre des compétences spécifiques en matière d'audit et de comptabilité. Le comité d’audit peut associer à ses travaux la direction autorisée, le responsable de la fonction d’audit interne ainsi que le réviseur d’entreprises agréé de l’établissement. Ces personnes peuvent assister aux réunions du comité ; elles n’en sont pas membres. CIRCULAIRE CSSF 20/759 35/115 36. Le fonctionnement du comité d’audit, en particulier en termes de fréquence et de durée des réunions, est déterminé en fonction de son mandat et de sa mission d’assister le conseil d’administration. 40. Le comité d’audit est en charge du processus de nomination, de reconduction, de révocation et de rémunération du réviseur d’entreprises agréé. 37.41. Le comité d’audit confirme la charte d’audit interne (point 144) ainsi que le plan d’audit pluriannuel et ses révisions. Il apprécie si les moyens humains et matériels engagés au niveau de l’audit interne sont suffisants et s’assure que les auditeurs internes possèdent les compétences nécessaires (point 111) et que l’indépendance de la fonction d’audit interne est sauvegardéenécessaires. 38. Le comité d’audit confirme le plan d’audit interne (point 151) approuvé par la direction autorisée. Il prend connaissance des informations sur l’état du contrôle interne que lui fournit la direction autorisée selon une fréquence au moins annuelle en vertu du point 61 de la présente circulaire. 39.42. Le comité d’audit délibère régulièrement suret de manière critique sur les sujets suivants 9 : • le suivi du le respect des règles comptables et le processus d’élaboration de l’information financière, ; • l’état du contrôle interne et le respect des règles fixées à ce sujet dans la présente circulaire, sur base notamment des rapports de la fonction d’audit interne, ; • la qualité du travail réalisé par la fonction d’audit interne et le respect des règles fixées à ce sujet dans la présente circulaire (voir sections 6.2.3. et 6.2.7.3), ; • la nomination, la reconduction, la révocation et la rémunération du réviseur d’entreprises agréé, • la qualité du travail réalisé par le réviseur d’entreprises agréé, son indépendance et objectivité, son respect des règles déontologiques en vigueur dans le domaine ainsi que la portée et la fréquence d’audit. A ce titre, le comité d’audit analyse et évalue d’une manière critique le plan d’audit, les rapports sur les comptes annuels, les « “management letters” » ainsi que, les comptes rendus analytiques réalisés et, le cas échéant, la nature appropriée des services autres que ceux liés à l’audit des comptes qui auraient été fournis par le réviseur d’entreprises agréé et assure un examen et suivi de l’indépendance du réviseur d’entreprises agréé ou du cabinet de révision agréé, en particulier pour ce qui concerne la fourniture de services complémentaires à l’établissement, ; 9 L’annexe 2 des lignes directrices du BCBS en matière d’audit interne du 28 juin 2012 (« The internal audit function in banks ») contient une liste plus exhaustive de tâches généralement assignées au comité d’audit. CIRCULAIRE CSSF 20/759 36/115 • le suivi approprié et sans délai indu par la direction autorisée des recommandations de la fonction d’audit interne et du réviseur d’entreprises agréé destinées à améliorer l’organisation et le contrôle interne, et les actions entreprises pour remédier aux problèmes, déficiences et irrégularités relevés. • les actions En rendant compte à prendre en cas l’organe de surveillance dans son ensemble, le comité d’audit propose les mesures nécessaires pour corriger rapidement les problèmes, déficiences et irrégularités constatés. relevés par le service d’audit interne et le réviseur d’entreprises agréé, • le respect des dispositions légales et statutaires ainsi que des règles CSSF pour l’établissement des comptes annuels individuels et, le cas échéant, consolidés, et sur la pertinence des méthodes comptables adoptées. 40.43. Il est admissible que Le comité d’audit couvre également le volet compliance sans qu’un comité informe l’organe de compliance à part soit constitué. Dans ce cas, le mandat et la composition surveillance des conclusions de l’audit externe, de ses travaux pour s’assurer de l’intégrité du reporting légal et du rôle assumé par le comité d’audit reflètent ces nouvelles attributions. En particulier, les personnes associées au comité d’audit en vertu du point 39 incluent le « Chief Compliance Officer » suivant le point 105 dans ce processus. Sous-section 4.1.4.2. Le comité des risques 41.44. Le comité des risques a pour objet d’assister le conseil d’administration dans sa mission d’évaluation de conseiller l’organe de surveillance pour les aspects liés à la stratégie globale en matière de risques et d’appétit au risque et également de l’assister pour l’évaluation de l’adéquation entre les risques encourus, la capacité de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires. 42. La CSSF recommande aux grands Les établissements de même qu’aux établissements présentant un profil de risque plus élevé ou complexe de d’importance significative doivent créer un comité des risques afin de faciliter, dans le contrôle effectif respect des risques par le conseil d’administration. 43.45. Le comité des risques peut associer à ses travaux la direction autorisée ainsi que les responsables des fonctions de contrôle interne. Ces personnes peuvent assister aux réunions dispositions de l’article 7 du comité ; elles n’en sont pas membres RCSSF 15-02. 44.46. Le comité des risques confirme les politiques spécifiques de la direction autorisée suivant la section 4 1.1.2.3. de la partie III. Il assiste l’organe de surveillance dans sa mission de surveillance de la mise en application de la stratégie en matière de risques, du cadre global de prise et de gestion des risques et de l’adéquation de l’ensemble des risques encourus en lien avec la stratégie, l’appétit au risque et les mesures d’atténuation de risque de l’établissement. CIRCULAIRE CSSF 20/759 37/115 45.47. Le comité des risques apprécie si les moyens humains et matériels, ainsi que l’organisation de la fonction de contrôle des risques (section 6.2.5.) sont suffisants et s’assure que les membres de la fonction de contrôle des risques possèdent les compétences nécessaires. 48. Le comité des risques conseille et assiste l’organe de surveillance en ce qui concerne le recrutement d’experts externes que l’organe de surveillance se proposerait d’engager pour apporter du conseil ou du support. 46.49. Le comité des risques délibère régulièrement et de manière critique sur les sujets suivants : • l’état de la gestion des risques et le respect des règles prudentielles fixées à ce sujet, • le profil de risque de l’établissement, son évolution en conséquence d’événements internes et externes, son adéquation avec la stratégie approuvée en matière de risques, l’appétit aux risques, les politiques et systèmes de limites en matière de risques ainsi que la capacité de l’établissement à gérer et à supporter ces risques sur une base continue compte tenu de ses fonds propres et réserves de liquidités internes et réglementaires ; • l’adéquation du cadre de prise et de gestion des risques avec la stratégie et les objectifs commerciaux, la culture d’entreprise et le cadre de valeurs de l’établissement ; • la qualité du travail réalisé par la fonction de contrôle des risques et le respect des règles fixées à ce sujet dans la présente circulaire (voir sous-chapitre 6.2.3 et section 6.2.5 en particulier), ; • la situation des risques, son évolution futurel’évaluation, par le biais de scénarios et son adéquation avec la stratégie de tests d’endurance, de l’influence d’événements externes et internes sur le profil de risque de l’établissement en matière et de risques, • l’adéquation entre les risques encourus, la capacité actuelle et future de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires, eu égard aux résultats de tests d’endurance suivant la circulaire CSSF 11/506,supporter ses risques ; • le suivi approprié et sans délai indu par la direction autorisée, des recommandations de la fonction de contrôle des risques, • et les actions à prendre en cas de entreprises pour remédier aux problèmes, déficiences et irrégularités relevés par la fonction de contrôle des risques. ; • Le comité des risques conseille le conseil d’administration la conformité et la tarification des produits et services clés offerts aux clients avec le modèle d’affaires et la stratégie approuvée en matière de définition risques ; CIRCULAIRE CSSF 20/759 38/115 • sans préjudice des responsabilités du comité de la stratégie globale rémunération, le caractère approprié des avantages prévus dans les politiques et pratiques de rémunération, compte tenu du niveau de risques de l’établissement, de ses fonds propres et de ses réserves de liquidités internes et réglementaires ainsi que de sa profitabilité. Le comité des risques rend compte à l’organe de surveillance dans son ensemble du résultat de ses délibérations en matière de risques, y compris sa tolérance aux risques actuels et futurs proposant les mesures nécessaires pour corriger rapidement les problèmes, déficiences et irrégularités constatés. 50. Le président du comité des risques ne peut être en même temps président de l’organe de surveillance ni d’aucun autre comité spécialisé. Sous-chapitre 4.2. Section 4.2.1. La direction autorisée Responsabilités de la direction autorisée 47.51. La direction autorisée est responsable pour de la gestion journalière efficace, saine et prudente des activités (et des risques qui leur sont inhérents). Cette gestion s’exerce dans le respect des stratégies et principes directeurs fixés approuvés par le conseil d’administration l’organe de surveillance et de la réglementation existanteapplicable, en prenant en considération et en préservant les intérêts financiers de l’établissement à long terme, sa solvabilité et sa situation des liquidités. Les décisions prises par la direction autorisée dans ces domaines sont dûment documentées. La direction autorisée évalue de façon constructive et critique toutes les propositions, explications et informations qui lui sont soumises pour décision. La direction autorisée documente ses décisions à l’aide de procèsverbaux de réunions, qui doivent l’aider à faire le suivi des décisions prises d’une part, et lui permettre de rendre compte de sa gestion à l'organe de surveillance et aux autorités compétentes d’autre part. Ainsi, des points de routine peuvent figurer de façon succincte sous forme de simple décision au procès-verbal d’une réunion, alors que des points importants de l’ordre du jour impliquant des risques pour l’établissement ou débattus contradictoirement doivent être rapportés plus en détail, permettant au lecteur de suivre les débats et d’identifier les positions défendues. 48.52. Conformément aux articles à l’article 7 paragraphe 2 et 19, paragraphe 2 de la LSF, les membres de la direction autorisée doivent être habilités à déterminer effectivement l'orientation de l'activité. Par conséquent, lorsque des décisions de gestion sont prises par des comités de gestion plus larges que la seule direction autorisée, il est requis que qu’au moins un membre de la direction autorisée en fasse partie et qu’il existe un droit de veto à leur son bénéfice. 53. La direction autorisée exerce une fonction permanente à l’intérieur de l’établissement ; elle doit en principe se trouver de façon permanente sur place. Toute dérogation à ce principe doit être autorisée par la CSSF. CIRCULAIRE CSSF 20/759 39/115 49.54. La direction autorisée met en œuvre à travers des politiques et procédures internes écrites l’ensemble des stratégies et principes directeurs arrêtés par le conseil d’administration l’organe de surveillance en matière d’administration centrale et de gouvernance interne, dans le respect des dispositions légales et réglementaires et après avoir entendu les fonctions de contrôle interne. Les politiques contiennent les mesures détaillées à mettre en œuvre, ; les procédures sont les instructions de travail qui régissent cette mise en œuvre. Le terme « procédures » est à prendre au sens large, comprenant l’ensemble des mesures, instructions et règles qui régissent l’organisation et le fonctionnement interne. Elle La direction autorisée veille à ce que l’établissement dispose de des mécanismes de contrôle interne, des infrastructures techniques et des ressources humaines nécessaires pour assurer la gestion saine et prudente des activités (et des risques qui leur sont inhérents) dans le cadre d’un solide dispositif de gouvernance interne conformément à la présente circulaire. 50.55. En application du point 18 des principes directeurs en matière de déontologie, de valeurs d’entreprise et de gestion des conflits d’intérêts arrêtés par l’organe de surveillance, la direction autorisée définit un code de conduite interne applicable à toutes les personnes travaillant dans l’établissement. Elle veille à son application correcte sur base de contrôles réguliers effectués par les fonctions compliance et d’audit interne. L’objectif de ce code de conduite doit être la prévention des risques opérationnels et de réputation dont l’établissement pourrait souffrir du fait de sanctions administratives ou pénales, de mesures restrictives à son encontre ou de litiges juridiques, de la perte de son image de marque ou de la confiance de ses clients et des consommateurs. Le code de conduite devrait rappeler au personnel et aux membres de l’organe de direction le respect de la réglementation applicable, des règles et limites internes, des principes sous tendant un comportement honnête et intègre aussi bien que les cas de conduite inappropriée et les mesures de sanction qui en découleraient. 51.56. La direction autorisée doit avoir une compréhension parfaite de la structure organisationnelle et opérationnelle de l’établissement, en particulier en termes des entités d’entités (structures) juridiques sous-jacentes, de leur raison d’être, des liens et interactions intra-groupe qui les relient ainsi que des risques y liés. Elle veille à ce que les informations de gestion requises soient disponibles en temps utile à tous les niveaux de prise de décision et de contrôle de l’établissement et des structures entités juridiques qui le composent. 52.57. Dans sa gestion journalière, la direction autorisée tient compte des conseils et avis formulés par les fonctions de contrôle interne. CIRCULAIRE CSSF 20/759 40/115 Lorsque les décisions prises par la direction autorisée ont ou pourraient avoir une incidence matérielle sur le profil de risque de l’établissement, la direction autorisée recueille au préalable l’avis de la fonction de contrôle des risques et le cas échéant de la fonction compliance. La direction autorisée met en œuvre de manière prompte et efficace les mesures correctrices pour remédier aux faiblesses (problèmes, déficiences et, irrégularités ou préoccupations) relevées par les fonctions de contrôle interne et, le réviseur d’entreprises agréé ou par l’intermédiaire du dispositif d’alerte interne en prenant en compte leurs les recommandations en la matière émises dans ce contexte. Cette manière de procéder est arrêtée dans une procédure écrite que le conseil d’administration l’organe de surveillance approuve sur proposition des fonctions de contrôle interne. Suivant cette procédure, les fonctions de contrôle interne classent les différentes faiblesses qu’elles ont identifiées par priorité et fixent, après accord de la direction autorisée, les délais (rapprochés) dans lesquels ces faiblesses sont corrigées. La direction autorisée désigne les unités opérationnelles ou personnes responsables pour la mise en œuvre des mesures correctrices en leur allouant les ressources (budgets, ressources humaines et infrastructure technique) nécessaires à cet effet. Il appartient aux fonctions de contrôle interne de suivre la mise en application des mesures correctrices. Pour tout retard significatif dans l’implémentation des mesures correctrices, la direction autorisée en informe le conseil d’administration l’organe de surveillance qui doit autoriser les prorogations de des délais d’implémentation dedes mesures correctrices. L’établissement met en place une procédure analogue, approuvée par le conseil d’administrationl’organe de surveillance, qui s’applique lorsque la CSSF l’autorité compétente demande à l’établissement de prendre des mesures (correctrices). Dans ce cas, tout retard significatif dans l’implémentation de ces mesures est à signaler par la direction autorisée au conseil d’administration et à la CSSF. Cette dernière autorise les prorogations de délais d’implémentation à l’organe de surveillance et à l’autorité compétente. 53.58. La direction autorisée vérifie la mise en application et le respect des politiques et procédures internes. Toute violation des politiques et procédures internes doit entraîner des mesures correctrices promptes et adaptées. 54.59. La direction autorisée s'assure régulièrement de la solidité du dispositif en matière d’administration centrale et de gouvernance interne. Elle adapte les politiques et procédures internes au regard des changements internes et externes, actuels et anticipés, et des enseignements tirés du passé. 55.60. La direction autorisée informe les fonctions de contrôle interne des changements majeurs en matière d’activités (voir sous-chapitre 7.3) ou d’organisation afin de leur permettre de détecter et d’évaluer les risques qui peuvent en résulter. CIRCULAIRE CSSF 20/759 41/115 61. La direction autorisée informe, de manière complète et par écrit, régulièrement et au moins une fois par an, le conseil d'administration l’organe de surveillance sur l’implémentation, l’adéquation, l’efficacité et le respect du dispositif de gouvernance interne, comprenant l’état de la compliance (y compris les préoccupations soulevées par l’intermédiaire du dispositif d’alerte interne) et celui du contrôle interne, ainsi que le rapport les rapports ICAAP/ILAAP sur la situation et la gestion des risques, des fonds propres et des (réserves
  2. de)liquidités réglementaires et internes. 56.62. Ces informations portent en particulier sur l'état du contrôle interne. Une fois par an, la direction autorisée confirme à la CSSF l’autorité compétente le respect de la présente circulaire par le biais d’une phrase écrite unique suivie des signatures de toute la direction autorisée. Lorsqu’en raison d’un manque de conformité, la direction autorisée n’est pas en mesure de confirmer le respect intégral de la circulaire, la déclaration précitée prend la forme d’une réserve qui énonce sommairement les points de non-conformité en donnant des explications sur leurs raisons d’être. Pour les établissements de crédit, Les informations à fournir à la CSSF en vertu du premier paragraphe doivent être soumises à la CSSF l’autorité compétente ensemble avec les comptes annuels à publier. 57.63. Lorsque la direction autorisée prend connaissance que le dispositif en matière d’administration centrale et de gouvernance interne ne permet plus une gestion saine et prudente des activités ou que les risques encourus ne sont ou ne seront plus adéquatement supportés par la capacité de l’établissement à gérer ces risques, par des fonds propres ou des réserves de liquidités réglementaires ou internes, elle en informe le conseil d’administration l’organe de surveillance et la CSSF l’autorité compétente en leur fournissant sans délai toute l’information nécessaire pour apprécier la situation (voir également le point 22). 58.64. Nonobstant la responsabilité collective des membres de la direction autorisée (voir le point 72), cette dernière désigne au moins un de ses membres qui est en charge de l'organisation administrative, comptable et informatique et qui assume la responsabilité de la mise en œuvre de la politique et des règles qu'elle a fixées dans ce domaine. Il Ce membre est responsable en particulier de l'établissement de l’organigramme et de la description des tâches (voir le point 68) qu'il soumet, avant leur mise en application, à l'approbation de la direction autorisée. Il veille ensuite à leur application correcte. Le membre en question est aussi responsable de la production et de la publication des informations comptables destinées aux tiers et de la communication des informations périodiques à la CSSF. l’autorité compétente. Il veillera donc à ce que la forme et le contenu de ces informations soient conformes aux prescriptions légales et de la CSSF aux instructions de l’autorité compétente en la matière. La direction autorisée désigne également parmi ses membres la ou les personnes en charge des fonctions de contrôle interne. CIRCULAIRE CSSF 20/759 42/115 59.65. Les établissements informent la CSSF sur les personnes visées au point 105. La direction autorisée rapporte à la CSSF, par écrit et dans les meilleurs délais, les l’autorité compétente des nominations et révocations des membres de ces personnes la direction autorisée, conformément aux dispositions de la présente circulaire et de la Procédure prudentielle, en communiquant par ailleurs les motifs expliquant la révocation. Section 4.2.2. Qualification de la direction autorisée 60.66. Les membres de la direction autorisée possèdent, à la fois individuellement et collectivement, les compétences qualités professionnelles (connaissances, compréhension compétences et expérience), l’honorabilité et les qualités personnelles nécessaires pour gérer l’établissement et déterminer effectivement l’orientation de son activité. Les qualités personnelles sont celles qui leur permettent d’exécuter leur mandat de directeur autorisé de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance d’esprit requis. Section 4.2.3. Politiques spécifiques (de risque, de fonds propres et de liquidités) 61.1. La politique de risque, qui met en œuvre la stratégie du conseil d’administration en matière de risques, comprend : • la détermination de la tolérance de l’établissement à l’égard des risques ; • la définition d’un système complet et cohérent de limites internes qui est adapté à la structure organisationnelle et opérationnelle, aux stratégies et aux politiques de l’établissement et qui limite la prise de risques conformément à la tolérance de l’établissement à l’égard du risque. Ce système inclut les politiques d’acceptation de risques qui définissent quels risques peuvent être pris et quels sont les critères et conditions qui s’appliquent en la matière ; • les mesures visant à promouvoir une saine culture du risque conformément au point 11 ; • les mesures à mettre en œuvre en vue de garantir une prise et une gestion des risques conformes aux politiques et limites établies. Ces mesures incluent en particulier l’existence d’une fonction de contrôle des risques et d’un dispositif de gestion des dépassements de limites, comprenant une procédure de régularisation des dépassements, de suivi de la régularisation ainsi que d’escalade et de sanction en cas de dépassement persistant ; • la définition d’un système d’information de gestion en matière de risques ; • les mesures à prendre en cas de matérialisation de risques (dispositif de gestion de crises et de gestion de continuité des activités). Conformément aux dispositions dans la partie III, chapitre 2, de la présente circulaire la politique de risques tient dûment compte des risques de concentration. CIRCULAIRE CSSF 20/759 43/115 62.1. La politique en matière de fonds propres et de liquidités, qui met en œuvre la stratégie du conseil d’administration en matière de fonds propres et de liquidités réglementaires et internes, comprend en particulier : • la définition de normes internes en matière de gestion, d’ampleur et de qualité des fonds propres et des liquidités réglementaires et internes. Ces normes internes doivent permettre à l’établissement de couvrir les risques encourus et de disposer de marges de sécurité raisonnables en cas de survenance de pertes financières ou d’impasses de liquidités significatives par référence notamment à la circulaire CSSF 11/506 ; • la mise en œuvre de processus intègres et efficaces pour planifier, suivre, rapporter et modifier le montant, le type et la répartition des fonds propres et des réserves de liquidité réglementaires et internes, en particulier par rapport aux besoins de fonds propres et de liquidités internes au titre de couverture des risques. Ces processus permettent à la direction autorisée et au personnel exécutant de disposer d’une information de gestion intègre, fiable et exhaustive en matière des risques et de leur couverture ; • les mesures mises en œuvre en vue de garantir une adéquation permanente des fonds propres et des (réserves
  3. de)liquidités réglementaires et internes ; • les mesures prises en vue de gérer efficacement des situations de crise (inadéquation des fonds propres ou impasse de liquidités réglementaires ou internes) ; • la désignation de fonctions responsables pour la gestion, le fonctionnement et l’amélioration des processus, systèmes de limites, procédures et contrôles internes mentionnés aux tirets précédents. Chapitre 5. Organisation administrative, comptable et informatique Sous-chapitre 5.1. L’organigramme et les ressources humaines 63.67. L'établissement doit disposer sur place de ressources humaines suffisantes en nombre et disposant de compétences professionnelles individuelles et collectives appropriées afin de prendre des décisions dans le cadre des politiques fixées par la direction autorisée et sur base de pouvoirs délégués, et afin d'exécuter les décisions prises dans le respect des procédures et de la réglementation existantes. Ces tâches de décision, d’exécution, comprenant l’initiation, l’enregistrement, le suivi et le contrôle des opérations, et de contrôle interne sont effectuées dans le cadre d'un organigramme des fonctions et d’une description des tâches arrêtés par la direction autorisée sous forme écrite. L’organigramme et la description des tâches sont L’organigramme et la description des tâches sont arrêtés par écrit et mis à la disposition de l'ensemble du personnel concerné sous une forme facilement accessible. CIRCULAIRE CSSF 20/759 44/115 64.68. L'organigramme retient pour les différentes fonctions (commerciales, de support et, de contrôle) ainsi que pour les différentes unités opérationnelles (services, départements ou métiers) leur structure et les liens hiérarchiques et fonctionnels entre elles et avec la direction autorisée et le conseil d’administration l’organe de surveillance. 65.69. La description des tâches à remplir par le personnel exécutant explique la fonction, les pouvoirs et la responsabilité de chaque exécutant. 66.70. Sans préjudice du point 72, L'organigramme et la description des tâches sont établis sur base du principe de la séparation des tâches. En vertu de ce principe, les tâches et responsabilités doivent être attribuées de façon à éviter qu'elles ne soient incompatibles dans le chef d'une même personne. Le but poursuivi est d’écarter les conflits d’intérêts et de prévenir au moyen d'un environnement de contrôles réciproques qu'une personne puisse commettre des erreurs et irrégularités qui ne seraient pas découvertes. 67.71. Conformément aux articles à l’article 7 paragraphe 2 et 19, paragraphe 2 de la LSF, la direction autorisée a une responsabilité collective en ce qui concerne la gestion de l’établissement. Le principe de la séparation des tâches ne peut déroge pas déroger à cette responsabilité conjointe. Cette dernière reste d’ailleurs compatible avec la pratique suivant laquelle les membres de la direction autorisée se répartissent les tâches journalières du suivi rapproché des différentes activités. Dans ce contexte, la CSSF recommande d’organiserL’établissement doit organiser cette répartition de manière à éviter les conflits d’intérêts. Ainsi, il est recommandé de ne pas attribuer à un même membre de la direction autorisée les ne peut se voir attribuer la charge ou la responsabilité à la fois de fonctions de prise de risque et de contrôle indépendant de ces mêmes risques. De même, le Par ailleurs, si dans un établissement de taille et d’activité limitées avec seulement deux directeurs agréés, il subsiste des conflits d’intérêt après l’attribution des fonctions de prises de risques et de contrôle entre ces deux directeurs et que ces conflits d’intérêt ne peuvent être mitigés de manière efficace, la nomination d’un troisième directeur autorisé, qui assume lui-même le poste de « Chief Compliance Officer » suivant le point 141, ne peut pas en même temps être en charge de la fonction d’audit interne. Lorsque, en raison de la taille réduite de l'établissement, il est indispensable de regrouper plusieurs tâches et responsabilités sous une même personne, ce regroupement doit être organisé de sorte à ne pas porter préjudice à l'objectif poursuivi par la séparation des tâches. est nécessaire. 68.72. L’établissement dispose d’un programme de formation professionnelle continue qui assure que les membres du personnel ainsi que le conseil d’administration et la de l’organe de direction autorisée restent compétents et comprennent le dispositif de gouvernance interne ainsi que leurs propres rôles et responsabilités à cet égard. CIRCULAIRE CSSF 20/759 45/115 69.73. Chaque employé membre du personnel doit prendre annuellement au moins dix jours consécutifs deux semaines calendaires consécutives de congés personnels. Il doit être assuré que l’employéchaque membre du personnel soit effectivement absent pendant ce congé et que son remplaçant prenne effectivement en charge le travail de la personne absente. Sous-chapitre 5.32. LaLes procédures et la documentation interne 74. Les établissements documentent par écrit l’ensemble du dispositif en matière d’administration centrale et de gouvernance interne. Cette documentation porte sur les stratégies, les principes directeurs, les politiques et les procédures relatifs à l’administration centrale et à la gouvernance interne. Elle comprend en particulier un manuel des procédures clair, complet, détaillé et facilement accessible au dont les procédures sont connues de l’ensemble du personnel de l’établissement concerné et qui est tenu à jour en continu. 75. La description des procédures pour assurer l'exécution correcte des activités (opérations) porte sur les points suivants : • les étapes successives et logiques du traitement des opérations, de leur initiation à l’archivage de leur documentation, (« workflow »), et flux des documents utilisés, • les contrôles périodiques à réaliser, ainsi que les moyens pour s'assurer que ceux-ci ont été réalisés. Comme le but est de garantir que les opérations sont exécutées de manière correcte, les procédures doivent être claires, mises à jour, complètes dans leur contenu et être connues par tous les employés concernés. 76. Les établissements documentent par écrit l’ensemble de leurs opérations, c’està-dire tout processus qui crée un engagement dans le chef de l'établissement ainsi que les décisions y relatives. La documentation doit être tenue à jour et conservée par l'établissement conformément à la loi. Elle doit être organisée de telle manière qu'elle puisse être aisément consultée par un tiers autorisé. A titre d'illustration en ce qui concerne les opérations de crédit, une documentation complète des décisions d'accorder, de modifier ou de résilier les crédits se trouve dans les dossiers de l'établissement au Luxembourg, de même que les contrats et toutes pièces relatives au suivi du service de la dette et de l'évolution financière du débiteur. CIRCULAIRE CSSF 20/759 46/115 77. Les dossiers, documents de travail et rapports de contrôle des fonctions de contrôle interne, des experts et des sous-traitants visés au sous-chapitre 6.2 ainsi que les rapports de révision établis par le réviseur d’entreprises agréé sont conservés pendant cinq ans au moins cinq ans, sans préjudice d’autres législations applicables, dans l’établissement luxembourgeois afin de permettre à l’établissement de retracer les contrôles effectués, les problèmes, déficiences ou irrégularités relevés ainsi que les recommandations et conclusions. La CSSF L’autorité compétente ainsi que le réviseur d’entreprises agréé doivent toujours pouvoir accéder à ces pièces. 78. Tous les ordres d'opérations initiées ou par l’établissement toute la leurs mandataires émanent de est Au où correspondance avec les clients l'établissement ; toute la correspondance y et adressée. cas l'établissement dispose d'une succursale à l'étranger, cette dernière constitue le point de contact pour sa propre clientèle. Sous-chapitre 5.23. L'infrastructure administrative et technique 70.79. L'établissement se dote des fonctions de support, des moyens matériels et techniques nécessaires et suffisants à l'exécution de ses activités. Section 5.23.1. L'infrastructure administrative des fonctions commerciales 71.80. Chaque fonction commerciale doit reposer sur une infrastructure administrative qui garantit la mise en œuvre des décisions commerciales prises et leur bonne exécution, ainsi que le respect des pouvoirs et des procédures pour le domaine en question. Section 5.23.2. La fonction financière et comptable 72.81. L'établissement dispose d'un service comptable et financier dont la mission est d'assumer la gestion comptable et financière de l'établissement. Il est permis qu'à l'intérieur de l'établissement certaines parties de la fonction financière et comptable soient décentralisées sous condition toutefois que le service comptable et financier central centralise et contrôle l'ensemble des écritures passées dans les différents services et établisse les comptes globaux. Le service comptable et financier doit veiller à ce que l'intervention d'autres services se fasse dans le strict respect du plan comptable et des instructions y relatives. Le service central reste responsable de la préparation des comptes annuels et de la préparation des informations à fournir à la CSSF l’autorité compétente. Dans les établissements d’importance significative, le CFO est sélectionné, nommé et révoqué suivant une procédure interne écrite, avec approbation au préalable par l'organe de surveillance. 73.82. La fonction financière et comptable opère sur base de procédures écrites qui prévoient : CIRCULAIRE CSSF 20/759 47/115 • d'identifier et d'enregistrer toutes les transactions entreprises par l'établissement, ; • d'expliquer l'évolution des soldes comptables d'un arrêté à l'autre par la conservation des mouvements ayant affecté les postes comptables, ; • d'établir les comptes par application des règles de comptabilisation et d'évaluation définies par la législation comptable et la réglementation y afférente, ; • de s’assurer de la fiabilité et de la pertinence des prix de marché et justes valeurs (« fair values ») utilisés dans l’établissement des comptes et du reporting à l’autorité compétente, ; • de produire et de communiquer des informations périodiques à l’autorité compétente, comprenant en premier lieu le reporting légal et réglementaire, et d’en assurer la fiabilité, notamment en matière de solvabilité, de liquidité, d’expositions de crédits non performants, de crédits restructurés et de grands risques. ; • de conserver toutes les pièces comptables suivant les dispositions légales en vigueur, ; • d'établir, le cas échéant, des comptes suivant le schéma comptable en vigueur dans le pays d'origine de l'actionnaire en vue de l'établissement des comptes consolidés, ; • de réaliser les réconciliations des comptes et des écritures comptables ; • de produire une information de gestion correcte, complète, pertinente, compréhensible et disponible sans délais qui permet à la direction autorisée la prise de décisions informées et de suivre de près l'évolution de la situation financière de l'établissement et sa conformité aux données budgétaires. Cette information servira comme instrument de contrôle de gestion et sera d'autant plus efficace si elle est basée sur une comptabilité analytique, ; • de s’assurer de la fiabilité du reporting financier. 74.83. Les établissements se dotent d'un contrôle de gestion qui est soit rattaché au service comptable et financier, soit rattaché dans l'organigramme directement à la direction autorisée de l'établissement. 75.84. Les tâches exercées au sein du service comptable et financier ne peuvent pas être cumulées avec d’autres tâches incompatibles, tant commerciales qu’administratives. 76.85. Dans le cadre de l'ouverture

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.