Circulaire CSSF 21/765 — Circulaire CSSF

Circulaire CSSF 21/765 MISE À JOUR DE LA CIRCULAIRE CSSF 01/27 ET DE LA CIRCULAIRE CSSF 07/325 SUITE AUX CHANGEMENTS APPORTÉS AU RÈGLEMENT CSSF 12-02 CIRCULAIRE CSSF 21/765 1/74 Circulaire CSSF 21/765 Re : Mise à jour de la Circulaire CSSF 01/27 et de la Circulaire CSSF 07/325 suite aux changements apportés au Règlement CSSF 12-02 Luxembourg, le 4 février 2021 Mesdames, Messieurs, A tous les établissements de crédit 1. La présente circulaire a pour objet de mettre à jour le contenu de la partie 10 relative aux obligations professionnelles en matière de prévention du blanchiment de capitaux et du financement du terrorisme du compte rendu analytique de révision, tel que défini dans la circulaire CSSF 01/27 relative aux règles pratiques concernant la mission des réviseurs d’entreprises agréés en vue de tenir compte des modifications apportées aux articles 49

(2)et 49

(3)du Règlement CSSF N°12-02, tel que modifié, relatif à la lutte contre le blanchiment de capitaux et le financement du terrorisme. Il est à préciser que cette mise à jour de la circulaire CSSF 01/27 concerne uniquement le volet LBC/FT et que le reste de la circulaire CSSF 01/27 sera fondamentalement revu au cours de l’année

La présente circulaire adapte également pour les succursales d'établissements de crédit agréés dans un autre Etat membre, le contenu du rapport du réviseur d’entreprises agréé relatif aux domaines spécifiques pour lesquels la CSSF conserve une responsabilité de contrôle en tant qu'autorité d'accueil, notamment le respect des règles de prévention du blanchiment de capitaux et du financement du terrorisme, tel que défini par la circulaire CSSF 07/
À partir de l’exercice se clôturant au 31 décembre 2020, la présente circulaire définit la partie 10 du compte rendu analytique de révision comme suit (voir l’annexe 1 pour le détail des modifications apportées à la circulaire CSSF 01/27) : « Le compte rendu analytique doit fournir une description des procédures établies dans l’établissement en vue de la prévention du blanchiment de capitaux et du financement du terrorisme, telles qu’exigées pour le respect de, respectivement définies dans : le chapitre 5 de la partie II de la loi relative au secteur financier, la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment de capitaux et contre le financement du terrorisme, dans le règlement grand-ducal du 1er février 2010 portant précision de certaines dispositions de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, le Règlement (UE) 2015/847 du Parlement européen et du Conseil du 20 mai 2015 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds, les actes internationaux en matière de lutte contre le financement du terrorisme portés à la connaissance des professionnels par voie de circulaires CSSF, les règlements CSSF en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et les circulaires CSSF en la matière. CIRCULAIRE CSSF 21/765 2/74 Le compte rendu analytique fournira en particulier les éléments suivants : • la description de la politique LBC/FT mise en place par le professionnel en vue de la prévention du blanchiment et du financement du terrorisme, la vérification de sa conformité aux dispositions du chapitre 5 de la partie II de la loi modifiée du 5 avril 1993 relative au secteur financier, de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, du Règlement grand-ducal, du règlement (UE) 2015/847, des règlements et circulaires CSSF en matière de LBC/FT, et le contrôle de leur bonne application ; • l’appréciation de l’analyse faite par le professionnel des risques de blanchiment de capitaux et de financement du terrorisme auxquels il est exposé. Le réviseur d’entreprises agréé doit vérifier si les procédures, infrastructures et contrôles mis en place, ainsi que l’étendue des mesures prises en matière de LBC/FT, sont appropriés face aux risques de blanchiment et de financement du terrorisme auxquels le professionnel est exposé, notamment par ses activités, la nature de sa clientèle et les produits et services offerts ; • une déclaration sur la réalisation d’un contrôle régulier du respect de la politique LBC/FT du professionnel par la fonction d’audit interne et le responsable du contrôle du respect des obligations professionnelles tel que défini à l’article 1

(1)du Règlement CSSF 12-02 du 14 décembre 2012 ; • la vérification des mesures de formation et de sensibilisation des employés en matière de blanchiment de capitaux et de financement du terrorisme, et en particulier en ce qui concerne la détection des opérations de blanchiment et de financement du terrorisme ; • un historique statistique des transactions suspectes détectées, renseignant sur le nombre de déclarations de transactions suspectes faites par le professionnel à la CRF ainsi que le montant total des fonds impliqués ; • le contrôle de l’application par le professionnel, dans son rôle respectif, des dispositions du Règlement (UE) 2015/847 et le pourcentage des transferts de fonds pour lesquels les données sur le donneur d’ordre ou le bénéficiaire ont été manquantes ou incomplètes et des mesures prises par le professionnel dans ce contexte. CIRCULAIRE CSSF 21/765 3/74 Le réviseur d’entreprises agréé doit indiquer sa méthode de sélection de l’échantillon des dossiers contrôlés et le taux de couverture de la population (nombre de dossiers contrôlés / nombre total de clients ; volume des dépôts contrôlés / volume total des dépôts). En cas du constat d’une non-conformité avec les dispositions légales ou réglementaires ou de lacunes, le réviseur d’entreprises agréé doit donner des indications précises permettant à la CSSF de juger la situation (nombre de dossiers non complets en suspens qui est à rapporter également au nombre total de dossiers contrôlés, détail des lacunes constatées, etc.). Remarque : Il est souligné que les réviseurs d’entreprises sont appelés à avertir également la CSSF de tous les cas de dénonciation qu’ils font en vertu de l’article 5 de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme et qui concernent un professionnel du secteur financier tombant sous la surveillance de la CSSF. De même les réviseurs d'entreprises doivent avertir la CSSF des cas où ils estiment que le professionnel aurait dû faire une dénonciation et ne l'a pas fait. Si applicable, le compte rendu analytique référé ci-dessus doit englober les succursales et filiales détenues majoritairement par le professionnel à l’étranger. Il doit couvrir, notamment, le respect par les succursales et filiales détenues majoritairement des dispositions applicables en matière de prévention du blanchiment de capitaux et du financement du terrorisme et le compte rendu analytique doit comporter, à cet égard : • une analyse des risques encourus par les succursales et filiales détenues majoritairement en matière de blanchiment et de financement du terrorisme. Ce point est à couvrir au point 13 « succursales à l’étranger » respectivement soit à la partie IV « compte rendu analytique de révision », soit dans la présente section ; • une description et une appréciation de la gestion des risques en matière de blanchiment et de financement du terrorisme dans les succursales et filiales détenues majoritairement. Ce point est à couvrir au point 13 « succursales à l’étranger » respectivement soit à la partie IV « compte rendu analytique de révision », soit dans la présente section ; • la vérification de l’implémentation et du respect de la politique LBC/FT du professionnel dans les succursales ou filiales détenues majoritairement. Ce point est à couvrir au point 13 « succursales à l’étranger » respectivement soit à la partie IV « compte rendu analytique de révision », soit dans la présente section. » 4. Au point 29 de la circulaire 07/325 est ajouté le paragraphe suivant (voir l’annexe 2 pour le détail des modifications apportées à la circulaire CSSF 07/325) : CIRCULAIRE CSSF 21/765 4/74 « Pour établir son rapport, le réviseur d’entreprises applique mutatis mutandis les dispositions applicables pour l’établissement du compte rendu analytique annuel de révision en ce qui concerne le respect des obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme et des règles de conduite pour la prestation de services d'investissement. Le rapport du réviseur d’entreprises inclut une description des procédures et contrôles en place au sein de la succursale ainsi que l’appréciation du réviseur d’entreprises. Les parties descriptives des rapports sont mises à la disposition du réviseur d’entreprises par les succursales. » Veuillez recevoir, Mesdames, Messieurs, l’assurance de nos sentiments très distingués. Claude WAMPACH Directeur Marco ZWICK Directeur Françoise KAUTHEN Claude MARX Directeur Directeur général Jean-Pierre FABER Directeur Annexe 1: Circulaire CSSF 01/27 telle que modifiée par les circulaires CSSF 08/340, CSSF 10/484, CSSF 11/521 et CSSF 21/765 Annexe 2 : Circulaire CSSF 07/325 telle que modifiée par la circulaire CSSF 21/765 CIRCULAIRE CSSF 21/765 5/74 Annexe 1 - Circulaire CSSF 01/27 telle que modifiée par les circulaires CSSF 08/340, CSSF 10/484, CSSF 11/521 et CSSF 21/765 Re : Règles pratiques concernant la mission des réviseurs d’entreprises Luxembourg, le 23 mars 2001 A tous les établissements de crédit luxembourgeois de droit et aux succursales d’établissement de crédit d’origine communautaire non Mesdames, Messieurs, La présente circulaire a pour objet de définir la portée du mandat du contrôle légal des comptes ainsi que le contenu des rapports de révision à établir dans ce contexte, en application de l’article 54

(1)de la loi modifiée du 5 avril 1993 relative au secteur financier (« loi relative au secteur financier »). Cette circulaire remplace la circulaire IML 89/60 du 14 décembre 1989 devenue obsolète suite à l’apparition de nouvelles dispositions légales, réglementaires et prudentielles, notamment en matière de contrôle consolidé, de contrôle interne, de l’adéquation des fonds propres, des risques de marché, ainsi que de la « prévention du blanchiment et du financement du terrorisme »1 et des règles de bonne conduite. La présente circulaire tient compte de l’élargissement de la mission légale des réviseurs d’entreprises par l’introduction de la loi du 29 avril 1999 transposant la directive 95/26/CE (dite « directive post-BCCI »), qui attribue aux réviseurs d’entreprises la fonction de signaler à l’autorité des situations qui nécessitent une intervention et un suivi particuliers et qui jette ainsi la base pour une nouvelle relation entre les réviseurs d’entreprises et la Commission de Surveillance du Secteur Financier (la « Commission »). La présente circulaire entend définir d’une manière générale le rôle et la mission des réviseurs d’entreprises dans le contexte du contrôle légal des comptes au vu des évolutions nationales et internationales récentes en matière de contrôle légal des comptes et sachant que les rapports de révision des réviseurs d’entreprises constituent une source importante d’informations pour l’autorité de contrôle bancaire dans l’exercice de sa mission de surveillance. Les dispositions de la présente circulaire sont applicables aux établissements de crédit de droit luxembourgeois ainsi qu’aux succursales d’établissements de crédit d’origine non communautaire. Dans la mesure où les succursales visées sont dispensées en principe de publier des comptes annuels se rapportant à leur propre activité, il y a lieu d’entendre dans le chef des succursales par « comptes annuels » les informations comptables annuelles définitives établies selon le schéma légal luxembourgeois des comptes annuels. CIRCULAIRE CSSF 21/765 6/74 Les dispositions de la présente circulaire ne sont pas applicables aux succursales d’établissements de crédit d’origine communautaire. Il s’agit de succursales d’établissements de crédit ayant leur siège social dans un Etat membre de la Communauté européenne ; sont assimilés aux établissements de crédit d’origine communautaire les établissements de crédit ayant leur siège social dans un autre Etat partie à l’Accord sur l’Espace économique européen dans les limites définies par cet accord et les actes y afférents. Une circulaire séparée sera adressée aux succursales d’établissements de crédit d’origine communautaire, qui doivent faire contrôler par un réviseur d’entreprises certains domaines spécifiques pour lesquelles la Commission garde une responsabilité de contrôle comme autorité d’accueil. Il s’agit principalement des domaines suivants : le risque de liquidité, le respect des règles de « prévention du blanchiment et financement du terrorisme », certains aspects du contrôle interne et des risques de marché, le respect des règles de bonne conduite et la sécurité du système informatique. SOMMAIRE I. Mandat II. Rapport sur les comptes annuels / comptes consolidés III. III.A. III.B. III.C. Compte rendu analytique annuel de révision IV. Compte rendu analytique consolidé de révision V. Communications à la Commission en vertu de l’article 54

(3)de la loi relative au secteur financier VI. Dispositions finales VII. Annexes

Principes généraux Schéma du compte rendu analytique Commentaires relatifs au schéma du compte rendu analytique Liste des tableaux synoptiques de l’IRE Questionnaire relatif à la fonction « tête de groupe » exercée par une banque luxembourgeoise CIRCULAIRE CSSF 21/765 7/74
Tableau de synthèse relatif au système informatique Schémas de ventilation relatifs au risque de crédit/risque de contrepartie
Exemple de classification des créances I. Mandat Les établissements de crédit doivent donner sous forme écrite à leur réviseur d'entreprises un mandat détaillé qui contiendra au moins les dispositions suivantes:
Le contrôle des comptes annuels doit être effectué selon les recommandations de travail émises par l'Institut des Réviseurs d'Entreprises luxembourgeois (IRE). En l’occurrence, l’IRE prévoit l’application des normes de révision internationales (« International Standards on Auditing », ISAs) publiées par l’IFAC (« International Federation of Accountants »), adaptées ou complétées au besoin à la législation ou la pratique nationale. Le contrôle doit s’étendre à tous les domaines spécifiés au point
ci-dessous, le cas échéant par application des principes de la norme internationale ISAE (« International Standard on Assurance Engagements ») de l’IFAC. Le contrôle doit se baser plus particulièrement sur la norme IAPS 1006 The Audit of International Commercial Banks également émise par l’IFAC.
Le contrôle doit s'étendre à tous les domaines d'activités de l'établissement de crédit, que ces activités relèvent du bilan ou du hors-bilan. Le mandat conféré au réviseur d'entreprises ne peut pas exclure du champ du contrôle un type d'activités, une catégorie d'opérations ou une opération spécifique. Par ailleurs, le contrôle doit couvrir l’ensemble des risques bancaires ainsi que tous les aspects financiers, d’organisation et de contrôle interne de la banque. Le contrôle doit permettre de fournir toutes les informations requises dans le compte rendu analytique défini dans la présente circulaire (cf. le chapitre III. cidessous).
• Le mandat pour le contrôle annuel doit comporter expressément la mission de : vérifier le respect du chapitre 5 de la partie II de la loi relative au secteur financier, de la loi du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, du règlement grand-ducal du 1er février 2010 portant précision de certaines dispositions de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et le financement du CIRCULAIRE CSSF 21/765 8/74 terrorisme, du Règlement (UCE) 17812015/2006 847 du Parlement européen et du Conseil du 15 novembre 200620 mai 2015 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds, des actes internationaux en matière de lutte contre le financement du terrorisme portés à la connaissance des établissements par voie de circulaires CSSF, des règlements CSSF en matière de lutte contre le blanchiment et le financement du terrorisme, des circulaires CSSF en la matière, ainsi que la bonne application des procédures internes pour la prévention du blanchiment et du financement du terrorisme. • vérifier le respect de l’article 37 de la loi relative au secteur financier et des principes arrêtés par la circulaire CSSF 07/307 (MIFID) concernant les règles de conduite relatives au secteur financier, ainsi que la bonne application des procédures internes pour l’application des règles de conduite. • vérifier le respect des dispositions des titres III et IV de la loi relative aux services de paiement. • vérifier le respect par l’établissement de crédit de toutes les autres circulaires de la Commission mentionnées dans la suite de la présente circulaire. • porter un jugement sur l’analyse par l’établissement des risques de blanchiment ou de financement du terrorisme auxquels il fait face et vérifier si les procédures, les infrastructures et les contrôles en matière de lutte contre le blanchiment et le financement du terrorisme mis en place par l’établissement, ainsi que l’étendue des mesures prises par l’établissement de crédit, sont appropriés au vu des risques de blanchiment et de financement du terrorisme auxquels l’établissement est ou pourrait être exposé notamment de par ses activités, la nature de sa clientèle et les produits et services offerts.
Le mandat pour le contrôle annuel de l’établissement de crédit doit englober toutes les succursales de la banque à l’étranger. Pour le contrôle du respect des normes luxembourgeoises en matière de « blanchiment et de financement du terrorisme » et des règles de conduite, le mandat doit englober également toutes les filiales de l’établissement de crédit à l’étranger.
Le contrôle des comptes annuels défini ci-dessus est à documenter d'une part par un rapport sur les comptes annuels (cf. le chapitre II. ci-dessous) et d'autre part par un compte rendu analytique annuel de révision (cf. le chapitre III. cidessous). 5bis. Le compte rendu analytique annuel de révision doit être basé sur la situation comptable établie sur base des instructions relatives aux tableaux B 1.1./B 1.6 et B 2.1./B 2.5 reprises dans le Recueil des instructions aux banques. CIRCULAIRE CSSF 21/765 9/74
Conformément à l’article 111 de la loi modifiée du 17 juin 1992 relative aux comptes des établissements de crédit (« loi sur les comptes des banques »), l’établissement de crédit qui établit des comptes consolidés destinés à la publication doit les faire contrôler par le réviseur d’entreprises auquel a été confié le contrôle des documents comptables annuels. Le contrôle des comptes consolidés doit être effectué selon les recommandations de travail de l’IRE pour le contrôle des comptes consolidés. Il doit aboutir à l’établissement d'un rapport sur les comptes consolidés (cf. le chapitre II. ci-dessous) et d'un compte rendu analytique consolidé de révision (cf. le chapitre IV. ci-dessous). Le compte rendu analytique consolidé de révision doit être basé sur la situation comptable consolidée correspondant au périmètre du contrôle consolidé exercé par la Commission. Cette situation comptable consolidée doit être établie sur base des instructions relatives aux tableaux B 6.1./B 6.6 et B 6.2./B 6.7 reprises dans le Recueil des instructions aux banques. Toutefois, le périmètre du contrôle consolidé applicable pour la publication des comptes peut aussi être utilisé pour le reporting prudentiel comptable, à condition que la différence entre les deux ne soit pas matérielle. Dans ce cas, l’accord préalable de la CSSF est nécessaire. Il est rappelé par ailleurs que l’établissement de crédit qui est établissementmère, ou qui détient certaines participations spécifiques, doit le cas échéant fournir à la Commission annuellement outre le rapport annuel ou à défaut les comptes annuels des filiales ou participations visées également le compte rendu analytique de révision des entreprises concernées, conformément aux lettres spécifiques que la Commission adresse aux établissements de crédit à la suite d’une demande d’autorisation d’une prise de participation. Les établissements de crédit visés par la présente circulaire sont priés d'envoyer à la Commission, pour le 30 septembre 2001 au plus tard, une copie du mandat, couvrant les exigences précitées, confié à leur réviseur d'entreprises pour le contrôle des comptes annuels et consolidés le cas échéant relatifs aux exercices sociaux commençant après le 31 décembre
Les établissements de crédit sont tenus d'informer la Commission de toute modification apportée à ce mandat ou de tout renouvellement qui se ferait avec des modalités autres que celles qui ont été communiquées initialement à la Commission. En général, les établissements de crédit doivent immédiatement informer la Commission au cas où leur réviseur d'entreprises aurait dénoncé son mandat avant l'échéance du terme ou s'il envisage de ne pas faire proroger son mandat. CIRCULAIRE CSSF 21/765 10/74 De même, les établissements de crédit sont appelés à notifier à la Commission, motifs à l'appui, leur intention de dénoncer le mandat de leur réviseur d'entreprises ou de ne pas le proroger. La Commission analysera lors de toute demande de changement du réviseur d'entreprises les raisons du changement envisagé et appréciera si l’établissement de crédit a, dans la procédure de choix du nouveau réviseur d'entreprises, évalué soigneusement l'adéquation des compétences et des ressources de ce dernier par rapport au type et au volume d’activités de la banque et par rapport à la nature et à la complexité de ses systèmes internes. Les établissements communiquent à cette occasion une copie du mandat accordé au nouveau réviseur d’entreprises. II. Rapport sur les comptes annuels / comptes consolidés Le rapport sur les comptes annuels (consolidés) contient l'attestation du réviseur d'entreprises (auditor’s report ou short form report, Bestätigungsvermerk). Il est soumis à la publication légale, ensemble avec les comptes annuels (consolidés) ainsi que le rapport (consolidé) de gestion sur lesquels il porte, conformément à l’article 71 (article 112) de la loi sur les comptes des banques. Dans le rapport sur les comptes annuels (consolidés), le réviseur d’entreprises émet son attestation suivant la norme ISA 700 telle qu’adoptée par l’IRE. Le rapport sur les comptes annuels (consolidés) doit être accompagné des éléments sur lesquels il porte, à savoir les comptes annuels (consolidés) et le rapport (consolidé) de gestion. Conformément à l'article 2

(1)(article 85

(1)) de la loi sur les comptes des banques, les comptes annuels (consolidés) comprennent le bilan (consolidé), le compte de profits et pertes (consolidé) ainsi que l'annexe. Ces documents forment un tout. Le rapport (consolidé) de gestion est défini à l’article 70 (article 110) de la loi précitée. Il est rappelé dans ce contexte que les dispositions de la loi sur les comptes des banques ainsi que les règles et instructions émises par la Commission en matière d’établissement des comptes des établissements de crédit sont à respecter strictement et qu'il n'est permis d'y déroger qu’avec l’accord préalable de la Commission dans les cas prévus. CIRCULAIRE CSSF 21/765 11/74 Au cas où un réviseur d'entreprises annoncerait à la banque qu’il va émettre une attestation qualifiée ou qu’il va refuser de certifier les comptes, l'établissement de crédit concerné doit immédiatement en avertir la Commission (cf. également le chapitre V. Communications à la Commission en vertu de l’article 54

(3)de la loi relative au secteur financier ci-dessous). Le rapport sur les comptes annuels doit obligatoirement être soumis à la Commission avant l'assemblée générale ordinaire des actionnaires dans le cadre de la procédure du «VISA». III. Compte rendu analytique annuel de révision III. A. Principes généraux Le compte rendu analytique (long form report, Prüfungsbericht) a pour objectif de rendre compte de manière descriptive et analytique des constatations concernant les aspects financiers et organisationnels que le réviseur d’entreprises a faites lors de son contrôle. Le compte rendu analytique que les établissements font établir par leur réviseur d'entreprises n’est pas destiné au public. Il sert exclusivement de source d'informations aux organes de direction et d’administration de l’établissement de crédit concerné ainsi qu’à l'autorité de surveillance. Aussi le compte rendu analytique doit-il être suffisamment exhaustif et transparent, fournissant des descriptions et appréciations détaillées de chaque aspect essentiel, afin qu’il permette un jugement précis et fondé sur l'organisation et le système de contrôle interne, la situation financière et son évolution, ainsi que les risques encourus par l’établissement contrôlé, y compris en matière de blanchiment et de financement du terrorisme. En ce qui concerne le langage utilisé dans les appréciations, le compte rendu analytique ne doit pas contenir des formulations imprécises du type négatif (« Nous n’avons pas trouvé de faiblesses graves ») ou encore à des appréciations globales et approximatives (« Nous avons constaté que la plupart des points sont conformes à la réglementation »). Le compte rendu analytique doit plutôt donner pour chaque domaine et chaque sujet une évaluation positive en indiquant chaque fois sa méthodologie de travail (recours à la technique du sondage, méthode de sélection de l’échantillon, …) et, le cas échéant, le détail des irrégularités et des faiblesses identifiées, ceci afin de permettre à la Commission de mieux comprendre et juger la portée des problèmes constatés. CIRCULAIRE CSSF 21/765 12/74 La responsabilité de la direction d’une banque est nécessairement impliquée dans la mise à disposition des informations de base nécessaires à la rédaction des parties descriptives du compte rendu analytique. Le réviseur d'entreprises peut reprendre dans son compte rendu des parties descriptives rédigées par les soins de la direction, mais il doit toutefois garantir le caractère adéquat de ces descriptions. Au besoin, il doit ajouter sous sa propre responsabilité les modifications ou compléments qui s’imposent. Par contre, le réviseur d’entreprises doit procéder lui-même de façon indépendante à une analyse et à des travaux de contrôle adaptés conduisant à une appréciation détaillée de l’ensemble des risques et aspects financiers et organisationnels de l’établissement de crédit et à une documentation exhaustive de cette analyse. Le réviseur d'entreprises doit se prononcer, dans le cadre de ses contrôles habituels, sur le respect de l’ensemble des dispositions légales et prudentielles applicables au secteur bancaire, dont en particulier la loi relative au secteur financier, la loi sur les comptes des banques, les dispositions de la loi modifiée du 10 avril 1915 concernant les sociétés commerciales (« loi sur les sociétés commerciales ») qui sont applicables aux banques et les instructions de la Commission. Le réviseur d'entreprises doit avoir vérifié si l’organisation et les procédures de contrôle procurent l’assurance raisonnable que l’établissement n’a pas enfreint aux dispositions légales ou prudentielles, ce qui d’une part pourrait affecter les états financiers et d’autre part porter atteinte à la réputation de l’établissement de crédit ou à celle de la place financière. Aux fins du contrôle, le réviseur peut se baser sur les travaux de l’audit interne ou de la fonction « compliance » dans le respect des principes de la norme ISA 610 telle qu’adoptée par l’IRE. Le réviseur d'entreprises doit effectuer des contrôles spécifiques supplémentaires uniquement s’il a des indications que l’établissement de crédit a enfreint aux dispositions légales ou prudentielles. Dans ce cas, il doit immédiatement en avertir la Commission (cf. également le chapitre V. « Communications à la Commission en vertu de l’article 54

(3)de la loi relative au secteur financier » ci-dessous). CIRCULAIRE CSSF 21/765 13/74 Le réviseur d'entreprises doit communiquer en détail les faiblesses et les points à améliorer qu’il aura constatés lors de son contrôle. Cette communication peut se faire dans le cadre du compte rendu analytique ou par l’intermédiaire d'une lettre de recommandations (management letter) adressée à la direction de l’établissement. Les constatations du réviseur d’entreprises doivent être accompagnées des commentaires de la direction de la banque. Dans le cas de l’établissement d’une lettre de recommandations, celle-ci devra être annexée au compte rendu analytique sauf dans des cas exceptionnels, où, sur base d’une demande dûment justifiée, la Commission accorde un délai pour la remise de cette lettre de recommandations après le compte rendu analytique. Lorsque le réviseur d’entreprises n’émet pas de lettre de recommandations, il doit l’indiquer expressément. Le réviseur d’entreprises doit en outre mentionner l’existence de tous les autres documents qu’il a émis dans le cadre de son contrôle annuel et qui concernent un domaine particulier couvert dans la présente circulaire. Sont visés notamment les rapports intérimaires portant sur des domaines d'activités spécifiques, tel par exemple le contrôle des crédits ou le contrôle du système informatique. Seule la conclusion générale ou le cas échéant la synthèse des points essentiels de pareils rapports intermédiaires ou partiels doit être reprise dans le compte rendu analytique. Ne sont pas visés les rapports que le réviseur d’entreprises a établis dans le cadre de ses missions de conseil. A côté du rapport sur les comptes annuels et du compte rendu analytique, les établissements de crédit doivent communiquer spontanément à la Commission, sans y être invités spécifiquement, également tous les autres documents émis par le réviseur d'entreprises dans le cadre de son contrôle annuel, tels que visés ci-dessus. Finalement, il y a lieu de souligner qu’à l’instar du rapport sur les comptes annuels (consolidés) le compte rendu analytique annuel (consolidé) de révision doit porter la signature de l’associé en charge du mandat auprès de la firme de révision. Le compte rendu analytique annuel de révision est à remettre à la Commission au plus tard un mois après l'assemblée générale ordinaire de l'établissement de crédit. Sur demande dûment justifiée, la Commission peut accorder un délai supplémentaire d'un mois. Des rapports intermédiaires ou partiels doivent être communiqués par la banque à la Commission dès que la banque les a reçus. Les établissements de crédit soumis à la surveillance sur base consolidée de la Commission remettent à celle-ci, au plus tard trois mois après leur assemblée générale ordinaire : CIRCULAIRE CSSF 21/765 14/74 • le compte rendu analytique consolidé de révision, ainsi que, le cas échéant, conformément Commission aux lettres spécifiques que la adresse aux établissements de crédit à la suite d’une demande d’autorisation d’une prise de participation • les comptes rendus analytiques de révision de leurs filiales comprises dans la surveillance sur base consolidée, • les comptes rendus analytiques de révision de certaines participations spécifiques non consolidées. Sur demande dûment justifiée, la Commission peut accorder un délai supplémentaire d'un mois. Des rapports intermédiaires ou partiels doivent être communiqués par la banque à la Commission dès que la banque les a reçus. Les comptes rendus analytiques doivent être transmis à la Commission outre sur papier également sur support électronique. III.B. Schéma du compte rendu analytique Le compte rendu analytique doit être établi suivant le schéma ci-dessous. Le schéma en question correspond aux missions du réviseur d’entreprises auprès des établissements de crédit de droit luxembourgeois et des succursales d’établissements de crédit d’origine non communautaire. Il doit être adapté au volume et à la complexité des activités et à la structure de l’établissement contrôlé. Le cas échéant, le réviseur d’entreprises doit compléter le schéma indiqué par les points qu’il juge nécessaires. Lorsqu’un point déterminé du schéma ne s’applique pas à un établissement de crédit, le réviseur d’entreprises doit le mentionner explicitement sous le point en question. Pour les banques d’émission de lettres de gage, le compte rendu analytique doit fournir des informations et analyses complémentaires correspondant à leur activité spécifique. Ces éléments seront précisés dans une circulaire séparée.

Mandat
Evénements significatifs
Organisation et administration 3.
Organisation générale 3.1.
Descriptif des actionnaires 3.1.
Organigramme de la banque 3.1.
Organes de direction et de gestion CIRCULAIRE CSSF 21/765 15/74 3.1.
Organisation du réseau d’exploitation 3.1.
Disaster recovery plan / Business continuity plan 3.1.
Respect de la circulaire IML 95/120 3.
Organisation administrative 3.
Système comptable 3.
Système informatique 3.4.
Tableau de synthèse 3.4.
Schéma fonctionnel des flux 3.4.
Analyse des risques 3.4.
Internet 3.4.
Back-up informatique 3.4.
Outsourcing 3.4.
Insourcing
Contrôle interne 4.
Procédures internes 4.
Systèmes internes d'information et de contrôle de gestion 4.
Risk management 4.
Comité d’audit 4.
Audit interne 4.
Compliance
Activités 5.
Crédits 5.1.
Crédits commerciaux et industriels 5.1.1.
nationaux 5.1.1.
internationaux 5.1.
Crédits retail (crédits à la consommation, crédits personnels, cartes de crédit, …) 5.1.2.
nationaux 5.1.2.
internationaux 5.1.
Crédits hypothécaires résidentiels 5.1.
Crédits lombards 5.
Collecte de dépôts 5.
Activités de marché (sauf activités sur titres : devises, taux d’intérêt, métaux précieux, matières premières, credit derivatives, …) 5.3.
Pour compte propre (bilan – hors-bilan) 5.3.
Pour compte de la clientèle 5.
Activités sur titres pour compte propre (y compris produits dérivés) CIRCULAIRE CSSF 21/765 16/74 5.4.
Portefeuille des immobilisations financières : à revenu fixe et à revenu variable 5.4.
Portefeuille de placement : à revenu fixe et à revenu variable 5.4.
Portefeuille de négociation : à revenu fixe et à revenu variable 5.
Activités sur titres pour compte de la clientèle 5.
Gestion de fortunes 5.
Activités relatives aux OPC 5.7.
Banque dépositaire 5.7.
Administration centrale 5.7.
Autres activités 5.
Corporate finance (conseils en matière de structure du capital, de fusions et rachats d’entreprises, …) 5.
Direct banking (phone banking, internet banking, …) 5.
Systèmes de paiement et de règlement de titres 5.
Autres activités bancaires (domiciliation, assurances, insourcing, …)
Rapports périodiques à communiquer à la Commission
Coefficients prudentiels 7.
Ratio de solvabilité 7.
Ratio de liquidité
Analyse des comptes annuels
Risques bancaires 9.
Politique commerciale et stratégie en matière de gestion des risques 9.
Analyse quantitative et qualitative des différents risques bancaires 9.2.
Risque de crédit / Risque de contrepartie 9.2.
Risques de marché 9.2.
Risque de règlement 9.2.
Risque de change 9.2.
Risque de taux d'intérêt 9.2.
Risque de liquidité 9.2.
Risque de rentabilité 9.2.
Risque opérationnel 9.2.
Risque légal et risque de réputation CIRCULAIRE CSSF 21/765 17/74 9.2.
Risques liés à la gestion de fortunes, aux activités relatives aux OPC et aux autres fonctions de gestion et de service
Obligations professionnelles en matière de « prévention du blanchiment et du financement du terrorisme
Obligations professionnelles en matière de règles de conduite et dispositions des titres III et IV de la loi relative aux services de paiement
Relations avec les entreprises liées
Succursales à l’étranger
Suivi des problèmes soulevés dans des rapports précédents
Conclusion générale III.C. Commentaires relatifs au schéma du compte rendu analytique
Mandat Le réviseur d’entreprises fournit une brève description de son mandat de contrôle annuel. Dans le cadre de ce point, le réviseur d’entreprises indiquera également toutes les prestations d’autres services que lui-même, sa firme ou son groupe, ont fournies auprès de l’établissement de crédit contrôlé.
Evénements significatifs Ce point indique le cas échéant les événements significatifs qui ont eu lieu au cours de l’exercice sous revue. Il s’agit par exemple de décisions stratégiques du conseil d’administration et du comité de direction, du début ou de la fin de réorganisations importantes, du lancement ou de l’arrêt d’une activité, de la conclusion d’opérations exceptionnelles ou de négociations avec d’autres établissements ou groupes en matière de fusion/acquisition ou de collaboration. CIRCULAIRE CSSF 21/765 18/74 Lorsqu’il n’y a pas eu d’événements significatifs au cours de l’exercice sous revue, le réviseur d’entreprises mentionnera ce fait expressément.
Organisation et administration Ce point doit fournir une vue d’ensemble de la structure opérationnelle et décisionnelle de l’établissement de crédit. Il doit permettre de tirer des conclusions précises quant au respect des dispositions des circulaires IML 95/120 relative à l’administration centrale et 96/126 relative à l’organisation administrative et comptable. 3.
Organisation Générale 3.1.
Description de l’actionnariat et du groupe Ce point fournit une description de l’actionnariat direct de la banque ainsi que du groupe auquel elle appartient. Le cas échéant, il y a lieu de présenter cette structure sous forme d’un organigramme. 3.1.
Organigramme de la banque L’organigramme de l’établissement de crédit doit distinguer entre la direction, les différents départements et services, avec indication du nombre des effectifs respectifs, ainsi que les comités et représenter les lignes hiérarchiques et fonctionnelles correspondantes en indiquant également les délégations de pouvoirs générales et particulières. Sont à identifier en particulier les fonctions de risk manager, d’audit interne, de compliance officer et d’EDP security officer. L’organigramme doit être présenté sous forme graphique avec au besoin des commentaires explicatifs à l’appui. Au cas où l’organigramme structurel serait différent de l’organigramme fonctionnel, les deux représentations sont à inclure dans le compte rendu analytique. 3.1.
Organes de direction et de gestion CIRCULAIRE CSSF 21/765 19/74 Il y a lieu d’indiquer d’abord la liste des membres des organes de direction en mentionnant spécifiquement ceux qui sont agrées par la Commission en vertu de l’article 7

(2)de la loi relative au secteur financier (principe des « 4 yeux »). Ce point comportera une description des pouvoirs des organes de direction avec une indication précise des limites à ces pouvoirs. En ce qui concerne plus particulièrement la direction, le réviseur d’entreprises indiquera si : - les (au moins) deux membres de la direction tiennent leurs pouvoirs directement du conseil d’administration, et - si leurs pouvoirs sont égaux (ce qui est la condition pour une gestion collégiale et ce qui doit être reflété correctement dans l’organigramme de la banque). Le compte rendu analytique doit indiquer si à côté du conseil d’administration et de la direction autorisée d’autres instances de décision existent : sous-comités du conseil d’administration (comité de crédit, ...), comités internes locaux, comités à l’échelle du groupe où l’établissement participe (comités de crédit, de trésorerie, …). Dans l’affirmative, il doit en indiquer la composition et les pouvoirs, ainsi que les éventuels droits de veto dont disposent les directeurs agréés de la banque luxembourgeoise à l’égard des décisions de ces instances. Le compte rendu analytique doit en outre reprendre la liste des personnes, directeurs agréés, responsables pour certaines fonctions, telle que visée par la circulaire CSSF 2000/19. Il indiquera en outre tous les changements intervenus au cours de l’exercice dans le chef de ces personnes. Comme les personnes visées peuvent charger des collaborateurs de l’exercice de certaines tâches pratiques liées à ces fonctions, le compte rendu analytique doit fournir le cas échéant une description et une appréciation sur cette collaboration. 3.1.4. Organisation du réseau d’exploitation Le descriptif de l’organisation du réseau porte sur le réseau d’agences national, les filiales nationales et étrangères, les succursales à l’étranger, les bureaux de représentation à l’étranger, les installations direct banking comme les call center ainsi que sur tous les accords de coopération en matière de distribution de produits et services de la banque par des partenaires ou de produits et services d’autres établissements. CIRCULAIRE CSSF 21/765 20/74 Au cas où l’établissement détiendrait des succursales et/ou filiales, le compte rendu analytique fournit sous ce point également une description et une appréciation de l’intégration des succursales ou filiales dans la structure organisationnelle, fonctionnelle et décisionnelle de la banque. Pour ce faire, le réviseur d’entreprises s’attachera à analyser la fonction « tête de groupe » exercée par la banque de droit luxembourgeois, en répondant notamment aux questions reprises dans le questionnaire relatif à la fonction « tête de groupe » exercée par une banque luxembourgeoise, figurant à l’annexe. Une revue de l’organisation des succursales et de leurs activités, ainsi qu’une analyse de leurs risques sera fournie dans un chapitre séparé pour chaque succursale à l’étranger. (cf. le point 13. du compte rendu analytique) En cas de détention de filiales soumises au contrôle consolidé de la Commission, un compte rendu analytique consolidé de révision doit être établi. (cf. le chapitre IV. « Compte rendu analytique consolidé de révision » ci-dessous) Le compte rendu analytique indique au présent point également si l’établissement a recours en relation avec des avoirs de clients aux services de gestionnaires externes et donne le cas échéant une description et une appréciation de la manière dont ces relations sont gérées et documentées. Le compte rendu analytique se prononcera enfin sur l’existence de toute autre sorte de contrats de coopération en relation avec l’organisation et l’administration, le contrôle interne ou les activités avec des entreprises liées ou non (p.ex. avec des apporteurs d’affaires). Le réviseur d’entreprises relèvera sous ce point les éventuels conflits de la banque en relation avec des gestionnaires externes ou des contrats de coopération. 3.1.5. Disaster recovery plan / Business continuity plan Il y a lieu de fournir une description et une appréciation du plan de secours global que l’établissement de crédit a établi en cas de sinistre de ses propres locaux, respectivement en cas d’impossibilité d’accéder à ses propres locaux (solution groupe, firme spécialisée, tests réguliers, mesures de sécurité, …). Pour les aspects de sécurité et de back-up informatiques, il peut être renvoyé au point 3.4.5. du compte rendu analytique. CIRCULAIRE CSSF 21/765 21/74 3.1.6. Respect de la circulaire IML 95/120 Le résultat des contrôles effectués en vue de la vérification du respect des principes relatifs à l’administration centrale énoncés dans la circulaire IML 95/120 est à présenter en annexe dans le tableau synoptique de l’IRE « Respect de la circulaire IML 95/120 relative à l’administration centrale ». Ce tableau 1 établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à des commentaires fournis à d’autres endroits du compte rendu analytique. 3.2. Organisation administrative Ce point doit donner une description et une appréciation de l'organisation administrative et de son adéquation au regard du type et volume d'activités de l'établissement de crédit. Le système des réconciliations des comptes espèces et titres doit être décrit avec indication du nombre, du montant et de l’ancienneté des suspens. Les procédures en matière d’extournes et en matière d’opérations avec effet rétroactif doivent être décrites ; il sera mentionné si les raisons de ces opérations doivent être documentées et si ces opérations doivent être autorisées par un supérieur hiérarchique. Si le nombre d’extournes est anormalement élevé, les raisons doivent en être indiquées. 1 disponible auprès du secrétariat de l’IRE et sur le site Internet de l’IRE : http://www.ire.lu CIRCULAIRE CSSF 21/765 22/74 Le point sous rubrique reprend en outre le résultat des contrôles effectués en vue de la vérification du respect des principes relatifs à l'organisation administrative énoncés dans la circulaire IML 96/126. Le résultat est à présenter en annexe dans le tableau synoptique de l’IRE « Respect de la circulaire IML 96/126 relative à l’organisation administrative et comptable ». Ce tableau 1 établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à des commentaires fournis à d’autres endroits du compte rendu analytique. 3.3. Système comptable Ce point doit fournir une description et une appréciation du fonctionnement et de l’adéquation du système comptable. Le point sous rubrique reprend en outre le résultat des contrôles effectués en vue de la vérification du respect des principes relatifs au système comptable énoncés dans la circulaire IML 96/126. Le résultat est à présenter en annexe dans le tableau synoptique de l’IRE « Respect de la circulaire IML 96/126 relative à l’organisation administrative et comptable ». Ce tableau 2 établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à des commentaires fournis à d’autres endroits du compte rendu analytique. Au cas où le management information system (MIS) serait intégré dans la fonction comptable et qu’il serait couvert en détail au point 4.2. « Systèmes internes d’information et de contrôle de gestion », il peut être renvoyé en tout ou en partie au point en question. 1 disponible auprès du secrétariat de l’IRE et sur le site Internet de l’IRE : http://www.ire.lu 2 disponible auprès du secrétariat de l’IRE et sur le site Internet de l’IRE : http://www.ire.lu CIRCULAIRE CSSF 21/765 23/74 Le compte rendu analytique se prononcera explicitement sur l’adéquation du traitement des comptes dormants et l’existence et l’adéquation du traitement de comptes internes. 3.4. Système informatique Ce point du compte rendu analytique donne une description des systèmes et traitements informatiques et une appréciation de leur fiabilité et de la sécurité des données traitées. Dans ce contexte, le réviseur d’entreprises doit vérifier plus particulièrement si l’établissement de crédit respecte les principes relatifs au système informatique énoncés au point 4.5.2. de la circulaire IML 96/126. Le résultat de ces contrôles est à présenter en annexe dans le tableau synoptique de l’IRE « Respect de la circulaire IML 96/126 relative à l’organisation administrative et comptable ». Ce tableau 1 établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à des commentaires fournis à d’autres endroits du compte rendu analytique. 3.4.1. Tableau de synthèse Le compte rendu analytique contient un tableau de synthèse (voir l’exemple en annexe) mettant en relation les fonctions principales relatives à l’activité de l’établissement avec les éléments informatiques qui les opèrent. Ces éléments informatiques se décomposent en éléments logiciels (les applications informatiques ou chaînes de programmes) et matériels (les plates-formes informatiques et leur système d’exploitation). 3.4.1.1. Les éléments matériels (ordinateurs et périphériques) qui opèrent une ou plusieurs fonctions principales seront identifiés par leur marque, leur modèle, leur système d’exploitation (y compris numéro de version) et le nom logique permettant de les identifier sans équivoque. 1 disponible auprès du secrétariat de l’IRE et sur le site Internet de l’IRE : http://www.ire.lu CIRCULAIRE CSSF 21/765 24/74 Les postes de travail ne doivent pas être repris dans le descriptif s’ils n’opèrent pas au moins une fonction principale à l’activité. 3.4.1.2. Les éléments logiciels qui opèrent une ou plusieurs fonctions principales feront l’objet d’une description simplifiée qui reprendra au moins les informations relatives : • à la gestion des données : type de gestion (base de données, fichiers indexés, fichiers séquentiels, combinaison de différents types) et nom du produit, • à la méthode d’analyse et de programmation, ceci afin d’identifier clairement les développements « orienté objet ». Les langages de programmation ou les outils intégrés de développement (CASE tools) seront indiqués, • au mode de traitement : temps réel, différé (batch) ou mixte avec, pour le dernier cas, indication des fonctions qui sont traitées en batch, • à l’architecture : client-serveur et nombre de niveaux, en indiquant, par niveau, les fonctions servies (par exemple client-serveur à trois niveaux : présentation, application, données) et l’identification du matériel supportant chaque fonction, • au développement : - développement interne (avec ou sans recours à des soustraitants), - progiciel (avec indication du nom du fournisseur), progiciel modifié (si plus de 20% des fonctionnalités ont été modifiées), avec indication des intervenants dans les modifications (interne, fournisseur, mixte), • aux modifications importantes opérées depuis l’exercice précédent. 3.4.1.3. En cas de recours à un outsourcing des systèmes ou traitements informatiques, les éléments y relatifs doivent être clairement identifiés (cf. également le point 3.4.6. ci-dessous). 3.4.2. Schéma fonctionnel des flux Les principaux liens (interfaces) qui existent entre les fonctions et, par conséquent, les systèmes renseignés conformément au point 3.4.1., seront décrits dans un schéma fonctionnel des flux. CIRCULAIRE CSSF 21/765 25/74 Lorsque toutes les fonctions sont intégrées au sein d’un logiciel unique fonctionnant sur un seul matériel (cas d’un progiciel bancaire), il n’est pas nécessaire de détailler les flux internes, mais uniquement les flux entrants et sortants du système. Au cas où l’établissement exercerait des fonctions liées aux organismes de placement collectif (OPC) (dépositaire, teneur de registre, distributeur, …) celles-ci doivent être reprises dans le tableau synthétique et le schéma fonctionnel des flux, avec mention si ces fonctions sont sous-traitées ou non. En cas de recours à un outsourcing des systèmes ou traitements informatiques, les éléments y relatifs doivent être clairement identifiés (cf. également le point 3.4.6. cidessous). 3.4.3. Analyse des risques Une analyse des risques devra porter au moins sur les quatre points suivants : - Sécurité des informations : critères de confidentialité, d’intégrité et de continuité (politique de sécurité, de gestion et de suivi ; sécurité physique ; sécurité logique) - Développement et maintenance des systèmes (contrôle de qualité et de mise en exploitation ; documentation) - Procédures d’exploitation : gestion des traitements batchs ; sauvegardes ; impression des rapports ; etc. (planification, ordonnancement et contrôle ; procédures de contrôle des sorties et des traitements, procédures de sauvegarde, de restauration et d’archivage) - Support technique du système d’information (maintenance des logiciels de base ; maintenance et administration des bases de données ; maintenance et surveillance du réseau de communication ; assistance utilisateur et périinformatique) 3.4.4. Internet Les services offerts par Internet feront l’objet d’un point particulier du compte rendu analytique, étant donné la spécificité de ce mode de communication ou de distribution et l’accroissement des risques y relatifs. CIRCULAIRE CSSF 21/765 26/74 3.4.4.1. Le compte rendu analytique fournit une description du site en précisant sa nature (informatif, consultatif, transactionnel). 3.4.4.2. Le compte rendu analytique comporte une description des mécanismes de sécurité mis en place, tant au niveau physique (firewall, routeurs, …) qu’aux niveaux logique (détecteurs d’intrusions ; anti-virus ; authentification des clients ; confidentialité des communications par encryptage, signatures électroniques et gestion des clés ; intégrité et non-répudiation des transactions ; …) et organisationnel (suivi des journaux / log, configuration des équipements de sécurité, génération des clés ou certificats d’authentification des clients, monitoring des systèmes en dehors des heures de bureau, …). 3.4.5. Back-up informatique Il y a lieu de décrire les grandes lignes du plan d’urgence en place qui doit permettre à l’établissement de crédit de fonctionner normalement en cas de panne de son système informatique, y compris pour ce qui est des connexions Internet. 3.4.6. Outsourcing En cas de recours par l’établissement de crédit à un outsourcing des systèmes ou des traitements informatiques, à savoir dans les deux hypothèses prévues dans la circulaire IML 96/126, le compte rendu analytique doit décrire en détail le fonctionnement du transfert d’activités en question et commenter le respect de toutes les conditions prévues aux points 4.5.2.1. et 4.5.2.2. respectivement de la circulaire précitée, ainsi que le cas échéant le respect des conditions supplémentaires fixées par la Commission ou les modalités particulières convenues entre l’établissement de crédit concerné et la Commission dans des cas spécifiques. Par ailleurs, les points 3.4.1. à 3.4.5. et 3.4.7 restent pleinement applicables. En cas de traitement des données par un centre de traitement informatique externe, le réviseur d'entreprises doit se prononcer plus particulièrement sur les contrôles sur place effectués par le service d’audit interne de l’établissement de crédit, respectivement les contrôles effectués par le réviseur d'entreprises lui-même dans le centre de traitement en question. 3.4.7. Insourcing CIRCULAIRE CSSF 21/765 27/74 Lorsque l’établissement de crédit fait de l’insourcing, à savoir dans l’hypothèse où il offre des services en matière des systèmes ou des traitements informatiques à des tiers, il y a lieu de fournir le détail des services offerts et des contreparties, ainsi que leur encadrement dans l’établissement qui offre ces services. 4. Contrôle interne Le présent point doit fournir une description de la manière dont le système de contrôle interne est organisé dans la banque et une appréciation de son adéquation au regard du type et volume d'activité de l’établissement de crédit et des risques réels et potentiels auxquels l’établissement est exposé en matière de blanchiment et de financement du terrorisme. En outre, ce point doit permettre de vérifier le respect des dispositions de la circulaire IML 98/143 relative au contrôle interne. Les informations à cet égard sont à fournir en annexe dans le tableau synoptique de l’IRE « Respect de la circulaire IML 98/143 relative au contrôle interne ». Ce tableau 1 établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à des commentaires fournis à d’autres endroits du compte rendu analytique. 4.1. Procédures internes Ce point fournit une appréciation de leur adéquation, de leur fonctionnement et de leur respect. 4.2. Systèmes internes d'information et de contrôle de gestion Ce point fournit une description et une appréciation des systèmes internes d'information et de contrôle de gestion; en particulier: description et appréciation du management information system (MIS) et plus généralement du système de communication interne, description et appréciation du système de gestion des risques, accompagnées d'une analyse de l'existence de limites de gestion dûment approuvées et du contrôle de leur respect. 1 disponible auprès du secrétariat de l’IRE et sur le site Internet de l’IRE : http://www.ire.lu CIRCULAIRE CSSF 21/765 28/74 Au cas où le MIS serait couvert en détail au point 3.3. « Système comptable », il peut être renvoyé en tout ou en partie au point en question. 4.3. Risk management Le compte rendu analytique doit indiquer si une fonction spécifique de risk management existe dans la banque. Dans l’affirmative, il y a lieu de fournir une description et une appréciation des attributions et du fonctionnement de la fonction en question. 4.4. Comité d’audit Au cas où la banque aurait instauré un comité d’audit, le compte rendu analytique doit décrire la composition, les modalités de fonctionnement et les compétences de ce comité. 4.5. Audit interne Ce point fournit • une appréciation sur l’adéquation et le respect du plan d’audit interne; • une description et une appréciation de la façon dont la fonction audit interne fonctionne (in-house, soutien de la maison-mère, recours à un expert externe auquel cas il y a lieu de se prononcer sur la coordination avec le chef du service d’audit interne, recours à des tiers professionnels); • une appréciation de la qualité de cette fonction. Le réviseur indiquera en particulier si l’audit interne de l’établissement répond aux normes de l’ « Institute of Internal Auditors » (IIA Inc.); • pour les établissements ayant des agences ou succursales dans le pays ou à l'étranger, l’intégration de ces implantations dans le plan d’audit; • une évaluation de l’adéquation du suivi des recommandations du service audit internes. 4.6. Compliance Le compte rendu analytique doit indiquer si une fonction de compliance officer existe dans la banque. Dans l’affirmative, il y a lieu de fournir une description et une appréciation des attributions et du fonctionnement de la fonction en question. 5. Activités CIRCULAIRE CSSF 21/765 29/74 Sous ce point le compte rendu analytique fournit une description synthétique du type d’activités de l’établissement de crédit sur base du schéma indiqué. Alternativement, la description des activités peut être basée sur la structure fonctionnelle de l’établissement de crédit, à condition que toutes les activités soient couvertes. Lorsqu’une banque n’a pas d’activité (ou une activité restreinte) dans un domaine particulier, le compte rendu analytique doit le mentionner expressément. Lorsqu’il y a eu un changement de la structure d’activités, l’abandon d’une activité ou le lancement d’activités nouvelles ou encore lorsqu’il y a eu des opérations exceptionnelles au cours de l’exercice sous revue, il en sera rapporté au point 2. « Evénements significatifs ». 6. Rapports périodiques à communiquer à la Commission 6.1.Le compte rendu analytique doit décrire et apprécier les systèmes et l’infrastructure mis en place en vue d’établir les rapports prudentiels périodiques à la Commission ainsi que les mesures de contrôle interne visant à garantir que les données communiquées à la Commission sont complètes, correctes et établies selon les règles qui s’y appliquent. Le réviseur d’entreprises procédera à des tests par échantillonnage, dont il décrira la méthodologie et dont il commentera les résultats. Des informations explicites sont à fournir le cas échéant sur l’intégration des données des agences et des succursales dans le reporting. Le compte rendu analytique doit se prononcer sur la bonne application des dispositions prises en matière de transmission des données périodiques à la Commission conformément aux circulaires IML 93/92 concernant la transmission des renseignements périodiques sur support informatique et IML 97/135 concernant la transmission des données prudentielles et statistiques par voie de télécommunication. CIRCULAIRE CSSF 21/765 30/74 Le résultat de ces contrôles est à présenter en annexe dans les tableaux synoptiques de l’IRE « Respect de la circulaire IML 93/92 concernant la transmission des renseignements périodiques sur support informatique » et « Respect de la circulaire IML 97/135 concernant la transmission des données prudentielles et statistiques par voie de télécommunication ». Ces tableaux 1 établis par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) sont à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à des commentaires fournis à d’autres endroits du compte rendu analytique. 6.2. Le réviseur d’entreprises se prononcera également dans le cadre de ce point sur le traitement et le suivi réservés à l’ensemble de la correspondance entre la banque et la Commission. Il indiquera en l’occurrence si l’établissement maintient un dossier centralisé à ce sujet ainsi que le nom et la fonction de la personne en charge de ce dossier. Au cas où il n’existerait pas de dossier centralisé dans la banque, le réviseur se prononcera sur la manière dont l’établissement permet la consultation complète des échanges de correspondance banque Commission. Au cas où l’établissement de crédit détiendrait une filiale/succursale à l’étranger, le réviseur se prononcera en particulier sur le traitement et le suivi réservés auprès de l’établissement de crédit à la correspondance entre sa filiale/succursale et l’autorité de surveillance du pays d’établissement de celleci. Le réviseur relèvera les points significatifs de la correspondance, dont notamment tous les cas de nonrespect de la réglementation par la filiale ou la succursale. 7. Coefficients prudentiels 2 7.1. Ratio de solvabilité 1 disponibles auprès du secrétariat de l’IRE et sur le site Internet de l’IRE : http://www.ire.lu 2 Ce point traite uniquement du ratio de solvabilité et du ratio de liquidité. Le respect des limites prudentielles en matière de grands risques est à analyser séparément dans le cadre de l’analyse du risque de crédit / risque de contrepartie (cf. le point 9.2.1. du compte rendu analytique). CIRCULAIRE CSSF 21/765 31/74 Le compte rendu analytique doit fournir une description et une appréciation des moyens mis en oeuvre par la direction de la banque pour suivre et assurer le respect du ratio de solvabilité prudentiel. Par ailleurs, le réviseur d’entreprises doit traiter plus particulièrement les points suivants: • confirmer si le calcul des fonds propres servant de numérateur au ratio de solvabilité est correct ; • fournir dans son compte rendu analytique une appréciation du caractère adéquat et du respect des procédures arrêtées par les organes de décision de l’établissement en matière d’inclusion et d’exclusion de positions particulières du portefeuille de négociation, conformément au point 1.4 de la partie II de la circulaire CSSF 2000/10 portant définition de ratios de fonds propres en application de l’article 56 de la loi relative au secteur financier ; • Le compte rendu analytique doit reprendre les points essentiels des procédures spécifiant les critères régissant l’inclusion et l’exclusion de positions particulières du portefeuille de négociation, qui sont à arrêter de manière détaillée et écrite par les organes responsables de l’établissement de crédit ; • donner une description et une appréciation des systèmes mis en place par l’établissement en vertu des points 23. et 24. de la partie IV de la circulaire CSSF 2000/10 en vue de la couverture des risques autres que ceux pris en compte dans le ratio intégré, respectivement dans le ratio simplifié ; • procéder aux vérifications et se prononcer sur le respect des modalités décrites au point 6.3.f ) de la partie VII circulaire CSSF 2000/10 lorsqu’un établissement de crédit souhaite inclure le bénéfice arrêté à une date intermédiaire dans ses fonds propres de base; • émettre dans son compte rendu analytique une appréciation du respect des conditions énumérées au point 7.

f)de la partie VII de la circulaire CSSF 2000/10 et de l'adéquation de l’inclusion de ces dettes dans les fonds propres lors de l'inclusion de certains types de dettes subordonnées dans les fonds propres complémentaires ; • émettre dans son compte rendu analytique une appréciation du respect des conditions énumérées au point 8.
a)de la partie VII de la circulaire CSSF 2000/10 et de l'adéquation de l’inclusion de ces dettes dans les fonds propres lors de l'inclusion de certains types de dettes subordonnées dans les fonds propres surcomplémentaires ; • dans le cas d’une exigence de fonds propres supplémentaire due à partir du 11e jour suivant le dépassement des limites aux grands risques dû au portefeuille de négociation, vérifier et confirmer dans le compte rendu analytique que l’établissement de crédit n’a pas procédé à des opérations CIRCULAIRE CSSF 21/765 32/74 visant à contourner cette exigence (point 21. de la partie XIII de la circulaire CSSF 2000/10) ; • confirmer si les mesures de contrôle interne permettent de signaler les dépassements des limites de minimis reprises dans le Recueil les instructions aux banques (partie IV, Rapport 1.4., pp. 4-10) au cas où l’établissement de crédit bénéficierait de l’accord de la Commission lui permettant de calculer un ratio simplifié. Les déficiences éventuelles sont à indiquer. De même, il y a lieu d’indiquer les dépassements des limites de minimis (montant, pourcentage, durée) ainsi que les mesures prises par l’établissement en vue de respecter à nouveau les limites en question ; • Au cas où l’établissement de crédit bénéficierait de l’accord de la Commission lui permettant de calculer ses exigences de fonds propres dues au titre de risque de change, de risque de variation de prix des matières premières, de risque de taux d’intérêt ou de risque de variation de prix des titres de propriété à l’aide de ses propres modèles internes de gestion des risques, le réviseur d’entreprises s’exprimera sur l’adéquation des résultats produits par les modèles internes en question, ainsi que sur le suivi des résultats et du fonctionnement des modèles internes dans la banque. Une description détaillée des modèles internes utilisés par la banque doit être fournie au point 9. « Risques bancaires ». 7.2. Ratio de liquidité Le compte rendu analytique doit fournir une description et une appréciation des moyens mis en oeuvre par la direction de la banque pour suivre et assurer le respect du ratio de liquidité. CIRCULAIRE CSSF 21/765 33/74 Le réviseur d’entreprises doit contrôler en outre la conformité de l’établissement de crédit avec les principes énoncés dans la circulaire IML 93/104 portant définition d’un ratio de liquidité à observer par les établissements de crédit. Le résultat de ces contrôles est à présenter en annexe dans le tableau synoptique de l’IRE « Respect de la circulaire IML 93/104 portant définition d’un ratio de liquidité à observer par les établissements de crédit ». Ce tableau 1 établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à des commentaires fournis à d’autres endroits du compte rendu analytique. 8. Analyse des comptes annuels Le compte rendu analytique doit fournir une analyse des comptes annuels qui doit comprendre des commentaires et des explications spécifiques sur les postes importants et les évolutions remarquables de la situation financière. A titre d’exemple, les éléments suivants sont à indiquer: • les commentaires sur des accroissements ou des diminutions significatifs de certains postes du bilan ou du hors-bilan; • le montant des revenus perçus sur l’investissement des fonds propres, qu’il y a lieu de rapporter également au montant total des revenus d’intérêt ou autres revenus. Pour les établissements qui n’identifient pas expressément le réinvestissement de leurs fonds propres, il est admis d’indiquer le rendement moyen de leurs actifs. Le présent point ne vise pas le ROE (return on equity). Concernant la définition du terme « fonds propres », il peut être référé à la définition interne de la banque. Dans tous les cas l’analyse sera accompagnée d’une brève définition des termes employés ; • les commentaires sur les raisons d’une baisse ou d’une augmentation significative de la marge sur intérêts, du résultat trading, des commissions, des frais généraux, des corrections de valeur. A noter qu’il n’y a pas lieu de reproduire sous ce point l’annexe des comptes annuels, mais de donner des informations et des explications complémentaires. 1 disponible auprès du secrétariat de l’IRE et sur le site Internet de l’IRE : http://www.ire.lu CIRCULAIRE CSSF 21/765 34/74 Le compte rendu analytique indique également les éléments postérieurs à la clôture dont le réviseur d’entreprises a eu connaissance et qui peuvent influencer l’appréciation de la situation économique et financière de l’établissement de crédit. 9. Risques bancaires 9.1. Politique commerciale et stratégie en matière de gestion des risques La direction de la banque doit décrire sa politique commerciale ainsi que sa stratégie en matière de gestion des risques qui y sont liés. La direction doit décrire le processus d’évaluation interne en matière d’adéquation des fonds propres et l’allocation de ceux-ci aux différents risques que la banque encourt, ainsi que sa stratégie pour maintenir le niveau de ses fonds propres. Elle doit indiquer la personne ou le service en charge du contrôle de ce processus. Elle doit en particulier décrire les objectifs que la banque s’est fixés en ce qui concerne le niveau de fonds propres économiques et le niveau du ratio de solvabilité y correspondant compte tenu du profil de risque, de la qualité du processus de gestion des risques et de la qualité de son environnement de contrôle interne. La direction doit fournir une description des moyens qu’elle entend mettre en œuvre pour suivre et assurer le respect de ces objectifs internes. Le réviseur doit apprécier sur base de cette description si la banque dispose des ressources financières et d’infrastructure adéquates pour maîtriser les risques. 9.2. Analyse quantitative et qualitative des différents risques bancaires Le contrôle des comptes annuels comporte implicitement une certaine appréciation sur la viabilité économique de l’établissement de crédit dans une perspective de continuité de l’exploitation, conformément aux normes professionnelles généralement utilisées en la matière. Cette partie du compte rendu analytique est considérée comme essentielle du point de vue prudentiel de la Commission. Elle doit comprendre une analyse détaillée du degré d'exposition de l’établissement de crédit au moins aux risques suivants, dont la liste est à compléter le cas échéant en fonction de l’activité et de la situation de l’établissement de crédit concerné: • • • • • • Risque de crédit / Risque de contrepartie Risques de marché Risque de règlement Risque de change Risque de taux d'intérêt Risque de liquidité CIRCULAIRE CSSF 21/765 35/74 • • • • Risque de rentabilité Risque opérationnel Risque légal et risque de réputation Risques liés à la gestion de fortunes, aux activités relatives aux organismes de placement collectif et aux autres fonctions de gestion et de services Le compte rendu analytique comprend pour chacun des risques énumérés d’une part une analyse quantitative et d’autre part une analyse qualitative: L’analyse quantitative doit indiquer, dans la mesure où les risques sont quantifiables, l’envergure des risques (positions évaluées aux cours du marché) ainsi que des provisions et corrections de valeur y afférentes (en termes absolus et en termes relatifs). L’analyse qualitative doit fournir une analyse du contrôle interne des risques et notamment: • • • • • de l’identification des risques provenant des diverses activités de la banque, • • des mesures en cas de dépassement des limites, • du suivi par la direction et le conseil d’administration (management information system: contenu, périodicité). du recensement et introduction dans le système de communication interne, des systèmes d’évaluation des positions et de mesure des risques, de la politique de provisionnement et traitement comptable, des systèmes de limites (par contrepartie, par type d’instrument, …) comprenant aussi une description des limites stop loss, de l’encadrement organisationnel (existence d’une unité indépendante de contrôle du risque), Pour l’analyse qualitative, il peut être renvoyé en tout ou en partie au point 3. du compte rendu analytique consacré au contrôle interne, au cas où les aspects mentionnés ci-dessus ou certains de ces aspects seraient traités en détail dans le point en question. Le présent point doit néanmoins fournir les conclusions essentielles. CIRCULAIRE CSSF 21/765 36/74 9.2.1. Risque de crédit / Risque de contrepartie 1 9.2.1.1. Le compte rendu analytique fournira une description et une appréciation des éléments suivants : • le suivi et la gestion du risque de crédit/risque de contrepartie1 (dont notamment : les modèles internes et les méthodes statistiques de gestion du risque de crédit/risque de contrepartie), • les fonctions d’alarme (les critères de classement des créances comme douteuses, non performing, irrécupérables, etc.), • la politique de provisionnement (dont notamment : les événements déclencheurs, les méthodes statistiques), • le traitement comptable des intérêts sur créances à problèmes (en particulier, il y a lieu d’indiquer si le traitement comptable en question est conforme aux instructions de la Commission figurant au chapitre XV.2. des Définitions et commentaires préliminaires du Recueil des instructions aux banques), • l’évaluation et la gestion des garanties. En l’occurrence, il y a lieu d’indiquer les marges de sécurité appliquées par la banque aux différents types d’actifs reçus en gage (hypothèques sur immeubles résidentiels, hypothèques sur immeubles commerciaux, obligations d’Etat, obligations bancaires, obligations commerciales, actions new economy, …), le service en charge de l’évaluation des garanties, la fréquence d’évaluation des actifs financiers en question, les cours servant à l’évaluation des garanties et les procédures de la banque en cas de diminution de la valeur des actifs financiers reçus en gage en-dessous des marges de sécurité fixées par la banque. Le compte rendu analytique indique en outre si les contrats de gage signés par le client reflètent correctement la procédure à suivre par la banque en cas de diminution de la valeur des garanties en-dessous des limites fixées par la banque. • la qualité des dossiers de crédit et l’adéquation de la documentation en général. 9.2.1.2. Le compte rendu analytique doit décrire les caractéristiques essentielles des opérations affectées d’un risque de crédit/risque de contrepartie1. 1 Sont visées toutes les opérations affectées d’un risque de crédit/risque de contrepartie telles que visées au point 2.1. de la partie XIII de la circulaire CSSF 2000/10. CIRCULAIRE CSSF 21/765 37/74 Il y a lieu de ventiler les opérations sous rubrique suivant : • le type d’opérations (opérations de crédit : crédits commerciaux et industriels, crédits retail, crédits hypothécaires résidentiels, crédits lombards, … ; investissements dans des asset backed securities ; passifs éventuels et engagements au hors-bilan : garanties, opérations de mise en pension, … ; instruments dérivés : outrights, IRS, equity swaps, commodity swaps, credit default swaps …), • • • le secteur économique / le type de contrepartie 1(cf. le schéma en annexe), la zone géographique (cf. le schéma en annexe), le type de garantie, si cette information est pertinente pour l’établissement de crédit en question. D’autre part, le compte rendu analytique fournit une ventilation par échéances du risque de crédit/risque de contrepartie (cf. le schéma en annexe). Le compte rendu analytique doit indiquer en outre si l’établissement de crédit a opéré des transferts de risque de crédit/risque de contrepartie au moyen de véhicules de titrisation ou d’instruments dérivés, auquel cas il y a lieu de fournir le montant des opérations en question et de décrire et d’analyser les risques que la banque retient toujours dans ses livres (first loss credit enhancements, liquidity backup, early amortisation clauses, repurchase notes, …). Par ailleurs le compte rendu analytique doit relever tout autre élément remarquable. 9.2.1.3. Le réviseur d'entreprises doit émettre une appréciation du risque de défaillance des contreparties, des garanties, des retards de paiements ainsi que des risques particuliers en relation avec les opérations affectées d’un risque de crédit/risque de contrepartie. Il y a lieu d’indiquer les risques qui sont apparus au cours de l’exercice sous revue, si des corrections de valeur ou provisions ont été effectuées en vue de leur couverture et si celles-ci sont suffisantes. D’autre part, il y a lieu de fournir les détails suivants : • ventiler le montant total des créances et des corrections de valeur y relatives suivant les critères de classification internes utilisés par la banque (à indiquer 1 Il y a lieu de se référer à la classification interne de la banque. CIRCULAIRE CSSF 21/765 38/74 au point 9.2.1.1. ci-dessus) en distinguant entre les différents types d’opérations (cf. l’exemple en annexe), • ventiler les créances à problèmes suivant le secteur économique / le type de contrepartie 1, • • rapporter le montant des créances à problèmes au montant total des créances, indiquer et commenter l’évolution globale des corrections de valeur et des provisions, • le montant des corrections de valeur et des provisions est à rapporter d’une part au montant total des créances à problèmes, et d’autre part au montant total des créances, • il y a lieu de relever si des besoins en provisionnement nouveaux sont apparus postérieurement à la clôture de l’exercice, • le compte rendu analytique indique le montant des intérêts (courus, échus ou non échus) qui ont été comptabilisés au compte de profits et pertes et qui ont fait l’objet de corrections de valeur, • le compte rendu analytique indique également le montant des intérêts (courus, échus ou non échus) qui n’ont pas été comptabilisés au compte de profits et pertes du fait que le crédit afférent a été placé sur base non accrual. • il y a lieu d’indiquer séparément le montant des créances amorties et des intérêts y relatifs. Les données chiffrées indiquées aux points 3, 4, 5, 7, 8 et 9 sont à fournir sur les trois derniers exercices. Les indications précitées en matière de risque-pays sont à indiquer séparément. 9.2.1.4. Le compte rendu analytique fournit des commentaires et une appréciation du calcul des grands risques et du respect des limites aux grands risques arrêtées dans la circulaire CSSF 2000/10. Il convient de confirmer notamment si les montants pris en compte dans les calculs sont corrects et plus particulièrement si les clients liés sont correctement regroupés. Tous les cas de dépassement des limites aux grands risques sont à relever et le réviseur d'entreprises doit se prononcer sur l'existence d'une dérogation écrite accordée par la Commission. 1 Il y a lieu de se référer à la classification interne de la banque. CIRCULAIRE CSSF 21/765 39/74 Tous les cas de dépassement des limites aux grands risques non autorisés sont à décrire en détail, notamment quant à la contrepartie, le montant maximal du risque, l’évolution, la motivation, la durée du dépassement, les raisons d’un éventuel constat interne tardif et du non-signalement à la Commission, les mesures internes correctrices. Sont en outre à décrire en détail (contrepartie, pays, nature, montants, échéances, taux, garanties, corrections de valeur, autres commentaires, appréciation): • les risques sur les 15 plus importants débiteurs/groupes de débiteurs liés, • les engagements importants sur les actionnaires détenant une participation qualifiée dans l’établissement de crédit, • les engagements importants qui, de l’avis du réviseur d’entreprises, ont des aspects particuliers notamment d’un point de vue conditions, garanties, traitement du dossier ou tout autre aspect, • tous les engagements douteux sur un débiteur/groupe de débiteurs liés supérieurs au plus faible des deux montants suivants : EUR 3 mio ou 10% des fonds propres. Sont visés les engagements irrécupérables (avec indication des corrections de valeur), ainsi que tous les autres engagements douteux classés en engagements performing et non performing, en indiquant chaque fois le montant des corrections de valeur. 9.2.1.5. L’aspect risque-pays doit être traité séparément. En particulier, il y a lieu de fournir une description et une appréciation de la politique et de la gestion du risque-pays de l’établissement de crédit, de l’existence de limites et de garanties et de la politique de provisionnement y relative. 9.2.1.6. Le réviseur d’entreprises doit indiquer sa méthode de sélection de l’échantillon des opérations analysées et le taux de couverture de la population. 9.2.2. Risques de marché Le compte rendu analytique doit fournir une description des activités de marché (titres, devises, futures, options, ...) en distinguant entre activités/instruments de couverture (hedging) et activités/instruments de spéculation (trading), ainsi qu’une description et une appréciation du système d’évaluation et de contrôle des risques de marché instauré dans la banque. CIRCULAIRE CSSF 21/765 40/74 Lorsque la banque traite des activités de marché pour compte de clients, il y a lieu de décrire en détail les activités traitées, la gestion interne des opérations en question (fixation des prix, évaluation, répercussion des appels de marges, …) et leur traitement comptable, ainsi que les mesures prises par l’établissement de crédit en vue de la couverture des risques y afférents. Au cas où une description détaillée des activités de marché serait fournie au point 5. « Activités », il peut être renvoyé au point en question. Le point sous rubrique doit reprendre en outre le résultat des contrôles effectués en vue de la vérification du respect des règles reprises dans la circulaire IML 93/101 relative à l'organisation et au contrôle interne de l'activité de marché des établissements de crédit ainsi que dans la circulaire IML 95/119 relative à la gestion des risques liés aux activités sur instruments dérivés. Le résultat de ces contrôles est à présenter en annexe dans les tableaux synoptiques de l’IRE « Respect de la circulaire IML 93/101 relative à l'organisation et au contrôle interne de l'activité de marché des établissements de crédit » et « Respect de la circulaire IML 95/119 relative à la gestion des risques liés aux activités sur instruments dérivés ». Ces tableaux 1 établis par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) sont à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à d’autres endroits du compte rendu analytique. 9.2.3. Risque de règlement Le compte rendu analytique fournit une description et une appréciation de la manière dont l’établissement mesure, contrôle et gère son risque de règlement. Est visé le risque que l’établissement de crédit encourt sur le montant global qui lui est dû à partir du moment où il s’est irrévocablement engagé dans une transaction jusqu’au dénouement définitif de celle-ci. 9.2.4. Risque de change Le compte rendu analytique fournit une description et une appréciation de la manière dont l’établissement mesure, contrôle et gère son risque de change global. 9.2.5. Risque de taux d’intérêt 1 disponibles auprès du secrétariat de l’IRE et sur le site Internet de l’IRE : http://www.ire.lu CIRCULAIRE CSSF 21/765 41/74 Le compte rendu analytique doit fournir une description et une appréciation de la stratégie de l’établissement de crédit en matière de risque de taux d’intérêt et de son système interne de gestion du risque de taux d’intérêt. Il y a lieu de répondre plus particulièrement aux questions suivantes : • L’établissement de crédit a-t-il un système de mesure du risque de taux d’intérêt qui prend en compte l’ensemble des éléments sensibles au risque de taux d’intérêt (actif, passif et hors-bilan) et en particulier, ce système couvre-t-il les volets trading, et non trading ? • Les systèmes d’évaluation du risque de taux d’intérêt tiennent-ils compte de chacune des différentes sources matérielles de risque de taux d’intérêt dont le repricing risk, le yield curve risk, le basis risk et l’optionality ? • Est-il tenu compte dans le système d’évaluation à la fois de la perspective de l’impact sur la valeur économique et de la perspective de l’impact sur les revenus ;  L’établissement de crédit utilise-t-il : un modèle basé sur les échéances (gap analysis, duration, Barwertmodell) ou un modèle basé sur des techniques statistiques de simulation (simulation approach) ? • Quelles sont les procédures de validation et de stress testing des systèmes d’évaluation ? 9.2.6. Risque de liquidité Le compte rendu analytique fournit une description et une appréciation de la manière dont l’établissement mesure, contrôle et gère son risque de liquidité. Le compte rendu analytique se prononcera en particulier sur la diversification des sources de refinancement de l’établissement. 9.2.7. Risque de rentabilité Le compte rendu analytique fournit une description et une appréciation de la manière dont l’établissement mesure, contrôle et gère son risque de rentabilité, i.e. le risque de tomber en-dessous du seuil de rentabilité. Il y a lieu d’indiquer aussi bien l’analyse globale que les analyses par produit, par activité, … . 9.2.8. Risque opérationnel CIRCULAIRE CSSF 21/765 42/74 Le compte rendu analytique doit fournir une description et une appréciation de l’approche de la banque quant à l’identification, la quantification et la gestion du risque opérationnel qui est généralement défini comme étant le risque de pertes directes ou indirectes résultant de procédures internes inadéquates ou défaillantes, des personnes et systèmes ou éventuellement d’événements externes. Il y a lieu de répondre plus particulièrement aux questions suivantes : • Quelles sont les procédures d’identification, de catégorisation et de gestion des événements comportant un risque opérationnel ? • L’établissement de crédit tient-il compte dans son approche de la distinction low frequency high severity losses / high frequency low severity losses ? • L’établissement de crédit a-t-il mis en place un système de reporting des pertes encourues et une base de données de pertes opérationnelles réalisées dans le passé, par ligne de métier et de façon globale ? • L’établissement de crédit utilise-t-il un modèle de calcul des pertes attendues ? Si tel est le cas, il y a lieu de décrire le modèle et de fournir des précisions sur les différentes composantes (indicateur de l’exposition au risque opérationnel, probabilité de défaut, perte effectivement réalisée) ? • L'établissement de crédit a-t-il recours à des techniques de transfert ou de réduction du risque opérationnel comme l’outsourcing ou la conclusion de contrats d’assurances ? • Quelle est la politique de couverture (provisions spécifiques et/ou générales, amortissement immédiat) de l’établissement de crédit en matière de pertes liées au risque opérationnel ? 9.2.9. Risque légal et risque de réputation Le compte rendu analytique fournit une description et une appréciation de la manière dont l’établissement contrôle et gère son risque légal et de réputation, y compris en matière de blanchiment et de financement du terrorisme. 9.2.10. Risques liés à la gestion de fortunes, aux activités relatives aux organismes de placement collectif et aux autres fonctions de gestion et de service 9.2.10.1. Gestion de fortunes Le point sous rubrique doit fournir une description des conditions et du volume des activités poursuivies, ventilées entre gestion sur une base discrétionnaire (portfolio management) et gestion sur une base non discrétionnaire (portfolio advice) et ventilées éventuellement par origine géographique de la clientèle, ainsi qu’une appréciation de l'adéquation des procédures internes et des systèmes de contrôle interne propres à la gestion de fortunes. CIRCULAIRE CSSF 21/765 43/74 Le compte rendu analytique doit indiquer si les systèmes mis en place assurent une sécurité adéquate au regard notamment du suivi des contrats et des pouvoirs délégués aux gestionnaires dans le cadre de leurs relations avec la clientèle, mais également au regard des opérations traitées pour le compte des membres du personnel et de la direction des établissements concernés. En l’occurrence, le compte rendu analytique doit fournir une description de la manière dont les gestionnaires sont encadrés et le réviseur d’entreprises doit confirmer si le principe de la séparation des fonctions est strictement observé. Le réviseur d’entreprises émettra par ailleurs un avis sur l'adéquation des procédures de hold mail et du suivi des comptes dormants et des comptes bloqués, l’existence et le contrôle du respect de mandats écrits en cas de gestion discrétionnaire et le contrôle des performances de la gestion. En cas d’existence de relations avec des intermédiaires financiers, il y a lieu de décrire les procédures de sélection ou d’acceptation des intermédiaires en question et d’émettre une appréciation quant à l’adéquation des procédures que la banque s’est données pour maîtriser les risques inhérents à ce type de collaboration. Concernant les procédures relatives aux comptes dormants, il peut être renvoyé au point 3.3. « Système comptable ». Le compte rendu analytique doit également contenir une description et une appréciation du système d’envoi des extraits de compte et du système de la gestion de la signalétique client. Le compte rendu analytique produira une liste des événements majeurs concernant l’activité en question, dont notamment les mouvements de clientèle et les nouveaux produits offerts. Il indiquera en outre les cas où la responsabilité de la banque a été ou risque d’être sanctionnée par un dédommagement à payer : le volume de l’opération en jeu, le montant des dédommagements financiers éventuels ainsi que les provisions constituées ou à constituer. 9.2.10.2. Activités relatives aux organismes de placement collectif Remarque préliminaire : Au cas où l’établissement de crédit aurait subi un audit suivant la norme internationale ISA 402, type B, ou suivant la norme américaine SAS 70, type 2, ou selon toute autre norme équivalente, et qui couvre tous les aspects repris ci-dessous en relation avec les activités relatives aux organismes de placement collectif, le compte rendu analytique ne reprend pas le point sous rubrique. Le réviseur d’entreprises mentionnera alors explicitement qu’il y a eu un contrôle de ce type dont l’établissement de crédit devra fournir une copie à la Commission. CIRCULAIRE CSSF 21/765 44/74
a)Description de l’activité Trois aspects sont à développer en ce qui concerne la description de l’activité afin de pouvoir évaluer son étendue et mesurer les risques auxquels l’établissement est exposé. Ces éléments ont trait à la clientèle, aux services offerts par l’établissement ainsi qu’à la politique de sélection et la qualité des tiers.
aa)Description de la clientèle Cette description couvre le montant des actifs « gérés » et le nombre de structures juridiques (fonds et/ou compartiments) que ces actifs représentent. De plus, la description doit indiquer : • si l’établissement est actif uniquement sur le marché des OPC luxembourgeois ou s’il compte également des OPC d’autres législations parmi ses clients ; • les volumes absolus (VNI) et les pourcentages d’OPC luxembourgeois (partie I, partie II de la loi modifiée du 30 mars 1988 relative aux OPC) et d’OPC étrangers avec mention du pays d’origine de ces OPC ; • la politique d’investissement des OPC gérés: produits classiques, zones géographiques, produits dérivés, produits non cotés peu liquides, autres produits sophistiqués.
ab)Les services offerts par la banque Un deuxième aspect concerne la nature des services offerts par la banque: promoteur, constitution d’OPC, domiciliation de fonds, sociétés de gestion, conseiller en investissements, agent comptable, agent registre, banque dépositaire. Pour chacune des activités exercées par l’établissement, le compte rendu analytique donnera une courte description du volume et des types d’OPC concernés, ainsi que des fonctions assumées par la banque.
ac)Les tiers Le troisième aspect concerne la qualité des tiers avec lesquels l’établissement travaille le cas échéant: promoteurs, gestionnaires, banque dépositaire, agent de transfert, correspondants. Le compte rendu analytique décrira la politique de l’établissement en ce qui concerne les critères de sélection de ces contreparties. Le réviseur donnera un aperçu des tiers avec lesquelles l’établissement est en relation (volume et qualité) et il indiquera si ces contreparties ont été retenues en application de la politique de l’établissement.
b)Organisation et moyens de l’activité: Généralités CIRCULAIRE CSSF 21/765 45/74 L’aspect organisation et moyens est abordé sous deux points de vue: l’organisation et les procédures générales ainsi que le traitement informatique.
ba)Organisation et procédures générales Le compte rendu analytique indique si l’établissement est en possession d’un manuel de procédures décrivant les tâches relatives à chacune des fonctions exercées et si ce manuel inclut tant des procédures générales que spécifiques à la diversité de l’activité. Il s’explique sur la séparation des tâches spécifiquement entre celle de banque dépositaire et d’agent comptable.
bb)Système informatique La description du système informatique traitera du niveau d’intégration du système et de la nécessité d’effectuer des doubles saisies lorsque l’établissement effectue plusieurs tâches pour un même client. Au niveau du système comptable de calcul de VNI, le réviseur d’entreprises se prononcera sur le fait si le système est adapté au type d’investissements souscrits par les OPC en permettant leur évaluation automatique dans la mesure du possible. Les écritures ou évaluations manuelles et les procédures de contrôle spécifiques y relatives sont également à relever.
bc)Adéquation de l’organisation et du système informatique Le réviseur d’entreprises donnera son appréciation quant à l'adéquation du système informatique et des ressources humaines mises à disposition en vue de garantir la bonne exécution des obligations contractuelles de l’établissement de crédit dans le domaine des fonds d'investissement.
c)Points spécifiques
ca)Certaines procédures devront être décrites plus en détail par le réviseur qui donnera également son avis en ce qui concerne leur efficacité. Il s’agit des procédures spécifiques suivantes: • procédure de contrôle d’investissement, de la politique et des restrictions • procédure d’évaluation du portefeuille-titres par l’agent comptable en distinguant les différents types d’investissements et en insistant plus particulièrement sur les titres non cotés et les titres non liquides, • procédure de contrôle de l’exactitude du calcul de la valeur nette d’inventaire CIRCULAIRE CSSF 21/765 46/74 • procédure de contrôle relatif à la provenance des fonds (procédures « antiblanchiment et financement de terrorisme » 1) de l’agent registre.
cb)Le réviseur d’entreprises établira également une liste des événements majeurs concernant l’activité OPC, dont les mouvements de clientèle par exemple.
cc)Il indiquera en outre les cas où la responsabilité de la banque a été ou risque d’être sanctionnée par un dédommagement à payer : le volume de l’opération en jeu, le montant des dédommagements financiers éventuels ainsi que les provisions constituées ou à constituer. Il lui est demandé plus particulièrement d’établir une liste des erreurs de VNI sur l’année en cours en précisant la source d’erreur, le montant des dédommagements financiers éventuels ainsi que les provisions constituées ou à constituer. 9.2.10.3. Autres fonctions de gestion et de service Le point sous rubrique doit fournir une description du type et du volume des activités poursuivies (fonction de dépositaire d'avoirs de tiers, fonction de fiduciaire, de conseil et d'administration, de la constitution, de la domiciliation et de la tenue de comptabilité de sociétés, ainsi que de la fonction d'administrateur de sociétés, …), ainsi qu’une appréciation de l'adéquation des procédures internes et des systèmes de contrôle interne propres aux différentes fonctions de gestion ou de service. Le compte rendu analytique doit indiquer si l’établissement de crédit s’acquitte avec soin et professionnalisme de ces autres fonctions de gestion et de service au titre desquelles l’établissement de crédit peut être tenu comme responsable de négligence ou de manquement à ses obligations. Le compte rendu analytique produira une liste des événements majeurs concernant les activités en question, dont notamment les mouvements de clientèle et les nouveaux produits ou services offerts. Il indiquera en outre les cas où la responsabilité de la banque a été ou risque d’être sanctionnée par un dédommagement à payer : le volume de l’opération en jeu, le 1 Circulaire CSSF 10/484 CIRCULAIRE CSSF 21/765 47/74 montant des dédommagements financiers éventuels ainsi que les provisions constituées ou à constituer. 10. Obligations professionnelles en matière de prévention du blanchiment et du financement du terrorisme Le compte rendu analytique doit fournir une description des procédures établies dans l’établissement en vue de la prévention du blanchiment et du financement du terrorisme, telles qu’exigées pour le respect de, respectivement définies dans : le chapitre 5 de la partie II de la loi relative au secteur financier, la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, dans le règlement grand-ducal du 1er février 2010 portant précision de certaines dispositions de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, le Règlement (UCE) 17812015/2006 847 du Parlement européen et du Conseil du 15 novembre 200620 mai 2015 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds, les actes internationaux en matière de lutte contre le financement du terrorisme portés à la connaissance des professionnels par voie de circulaires CSSF, les règlements CSSF en matière de lutte contre le blanchiment et le financement du terrorisme et les circulaires CSSF en la matière. Le compte rendu analytique fournira en particulier les éléments suivants : • la description de la politique LBC/FT mise en place par le professionnel en vue de la prévention du blanchiment et du financement du terrorisme, la vérification de sa conformité aux dispositions du chapitre 5 de la partie II de la loi modifiée du 5 avril 1993 relative au secteur financier, de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, du Règlement grand-ducal, du règlement (UE) 2015/847, des règlements et circulaires CSSF en matière de LBC/FT, et le contrôle de leur bonne applicationune description de la politique d’acceptation des clients ; • l’appréciation de l’analyse faite par le professionnel des risques de blanchiment de capitaux et de financement du terrorisme auxquels il est exposé. Le réviseur d’entreprises agréé doit vérifier si les procédures, infrastructures et contrôles mis en place, ainsi que l’étendue des mesures prises en matière de LBC/FT, sont appropriés face aux risques de blanchiment et de financement du terrorisme auxquels le professionnel est exposé, notamment par ses activités, la nature de sa clientèle et les produits et services offertsune appréciation de l’adéquation des procédures internes de la banque propres à la prévention du blanchiment et du financement du terrorisme ainsi que leur conformité aux dispositions du chapitre 5 de la partie II de la loi relative au secteur financier, de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, du règlement grand-ducal du 1er février 2010 portant précision de certaines dispositions de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme, du Règlement (CE) 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d'ordre CIRCULAIRE CSSF 21/765 48/74 accompagnant les virements de fonds, des actes internationaux en matière de financement du terrorisme portés à la connaissance des établissements par voie de circulaires CSSF, des règlements CSSF en matière en matière de lutte contre le blanchiment et le financement du terrorisme, des circulaires CSSF en la matière. Le réviseur d’entreprises se prononcera également sur la bonne application des procédures en question. Le résultat de ces contrôles est à présenter en outre en annexe dans le tableau « Mesures en matière de lutte contre le blanchiment et le financement du terrorisme et la prévention de l’utilisation du secteur financier à des fins de blanchiment ou de financement du terrorisme de l’IRE. Ce tableau établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter, le cas échéant, par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à d’autres endroits du compte rendu analytique ; • une déclaration sur la réalisation d’un contrôle régulier du respect de la politique LBC/FT du professionnel par la fonction d’l'existence d'un contrôle régulier du respect des procédures par le service audit interne et le responsable du contrôle du respect des obligations professionnelles tel que défini à l’article 1

(1)du Règlement CSSF 12-02 du 14 décembre 2012 ; • la vérification desles mesures de formation et de sensibilisationd’information des employés en matière de blanchiment de capitaux et de financement du terrorisme, et en particulier en ce qui concerne la détection des opérations de blanchiment et de financement du terrorisme ; • un historique statistique des transactions suspectes détectées, renseignant sur le nombre des cas de déclarations de transactions suspectes faites par la banque au Procureur d'Etat (Cellule de Renseignement Financier)le professionnel à la CRF, ainsi que le montant total des fonds impliquésengagés ; • le contrôle de l’application par le professionnel, dans son rôle respectif, des dispositions du Règlement (UE) 2015/847 et le pourcentage des transferts de fonds pour lesquels les données sur le donneur d’ordre ou le bénéficiaire ont été manquantes ou incomplètes et des mesures prises par le professionnel dans ce contexteune appréciation de l’analyse par l’établissement des risques de blanchiment ou de financement de terrorisme auxquels il fait face. Le réviseur doit vérifier si les procédures, les infrastructures et les contrôles en matière de lutte contre le blanchiment et le financement du terrorisme mis en place par l’établissement, ainsi que l’étendue des mesures prises par l’établissement, sont appropriés au vu des risques de blanchiment et de financement du terrorisme auxquels l’établissement est ou pourrait être exposé, notamment de par ses activités, la nature de sa clientèle et les produits et services offerts. Le réviseur d’entreprises agréé doit indiquer sa méthode de sélection de l’échantillon des dossiers contrôlés et le taux de couverture de la population (nombre de dossiers contrôlés / nombre total de clients ; volume des dépôts contrôlés / volume total des dépôts). CIRCULAIRE CSSF 21/765 49/74 En cas du constat d’une non-conformité avec les dispositions légales ou réglementaires ou de lacunes, le réviseur d’entreprises agréé doit donner des indications précises permettant à la CSSF de juger la situation (nombre de dossiers non complets en suspens qui est à rapporter également au nombre total de dossiers contrôlés, détail des lacunes constatées, etc.). (cf. également le chapitre V. « Communications à la CSSF en vertu de l’article 54

(3)de la loi relative au secteur financier » ci-dessous). Remarque : Il est souligné que les réviseurs d’entreprises sont appelés à avertir également la CSSF de tous les cas de dénonciation qu’ils font en vertu de l’article 5 de la loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme et qui concernent un professionnel du secteur financier tombant sous la surveillance de la CSSF. De même les réviseurs d'entreprises doivent avertir la CSSF des cas où ils estiment que le professionnel aurait dû faire une dénonciation et ne l'a pas fait. Si applicable, le compte rendu analytique référé ci-dessus doit englober les succursales et filiales détenues majoritairement par le professionnel à l’étranger. Il doit couvrir, notamment, le respect par les succursales et filiales détenues majoritairement des dispositions applicables en matière de prévention du blanchiment de capitaux et du financement du terrorisme et le compte rendu analytique doit comporter, à cet égard : • une analyse des risques encourus par les succursales et filiales détenues majoritairement en matière de blanchiment et de financement du terrorisme. Ce point est à couvrir au point 13 « succursales à l’étranger » respectivement soit à la partie IV « compte rendu analytique consolidé de révision », soit dans la présente section ; • une description et une appréciation de la gestion des risques de blanchiment et de financement du terrorisme dans les succursales et filiales détenues majoritairement. Ce point est à couvrir au point 13 « succursales à l’étranger » respectivement soit à la partie IV « compte rendu analytique consolidé de révision », soit dans la présente section ; • la vérification de l’implémentation et du respect de la politique LBC/FT du professionnel dans les succursales ou filiales détenues majoritairement. Ce point est à couvrir au point 13 « succursales à l’étranger » respectivement soit à la partie IV « compte rendu analytique consolidé de révision », soit dans la présente section.

Obligations professionnelles en matière de règles de conduite et dispositions des titres III et IV de la loi relative aux services de paiement Le compte rendu analytique doit donner une description et une appréciation du respect de l’article 37 de la loi relative au secteur financier et des principes arrêtés par la circulaire CSSF 07/307 (MIFID) concernant les règles de conduite relatives au CIRCULAIRE CSSF 21/765 50/74 secteur financier, ainsi que de la bonne application des procédures internes pour l’application des règles de conduite. Le point sous rubrique doit reprendre en outre en annexe le résultat des contrôles effectués en vue de la vérification du respect des règles de conduite arrêtés par la circulaire CSSF 07/307 (MIFID) dans le tableau synoptique de l’IRE « Respect de la circulaire CSSF 07/307 (MIFID) concernant les règles de conduite relatives au secteur financier ». Ce tableau établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à d’autres endroits du compte rendu analytique. Le compte rendu analytique doit également donner une description et une appréciation du respect des dispositions des titres III et IV de la loi relative aux services de paiement. Le compte rendu analytique de révision du réviseur d’entreprises agréé doit explicitement mentionner si : • le prestataire de services de paiement a respecté les exigences en matière d’informations régissant les services de paiement telles que prévues au titre III de la loi relative aux services de paiement ; • le prestataire de services de paiement a respecté les exigences en matière d’exécution des opérations de paiement telles que prévues au chapitre 3 du titre IV de la loi relative aux services de paiement.
Relations avec les entreprises liées Au-delà des informations fournies dans l'annexe aux comptes annuels, le réviseur d’entreprises doit attester dans le compte rendu analytique qu'il a examiné les transactions intragroupes et spécifier si celles-ci s'effectuent à des conditions de marché (at arm's length). Le réviseur d’entreprises doit indiquer sa méthode de sélection de l’échantillon des opérations contrôlées et le taux de couverture de la population. Sont à décrire et à commenter notamment: • la politique et les objectifs poursuivis par la banque dans ses relations avec les entreprises liées, • • le type d’opérations intragroupes effectuées, les garanties émises en faveur/reçues de la part d’entreprises liées (circonstances, conditions, …), • la part des intérêts perçus de la part d’entreprises liées, respectivement la part des intérêts payés aux entreprises liées, • • les prix facturés pour services rendus ou obtenus, le partage des marges perçues sur les clients transférés dans le groupe, etc. ... CIRCULAIRE CSSF 21/765 51/74
Succursales à l’étranger Les succursales de l’établissement de crédit à l’étranger sont à englober par le réviseur d’entreprises dans le contrôle annuel de l’établissement de crédit. Ce contrôle est à traiter dans un chapitre à part du compte rendu analytique pour chaque succursale prise séparément et doit couvrir tant les aspects prudentiels (situation financière, risques, organisation) que le respect des dispositions applicables en matière de prévention du blanchiment et du financement du terrorisme, ainsi que des règles de conduite. Sont à fournir en particulier pour chaque succursale: • • un organigramme de la succursale, des données sur la structure d’activités et l’évolution de la structure des activités passée et envisagée, • une analyse des risques encourus par la succursale, y compris en matière de blanchiment et de financement du terrorisme, • une description et une appréciation de la gestion des risques dans la succursale, y compris en matière de blanchiment et de financement du terrorisme, • la vérification de l’implémentation et du respect de la politique LBC/FT du professionnel dans la succursale, • une description et une appréciation des procédures en matière de contrôle interne appliquées dans la succursale, l’existence d’une fonction d’audit interne propre et les modalités de l’intégration de la succursale dans le plan d’inspection du service audit interne du siège, • les déficiences graves que le contrôle de l’audit interne auprès de la succursale a révélées le cas échéant, • une appréciation de l’adéquation de l’organisation administrative et comptable, • une appréciation de l’adéquation de l’infrastructure dans la succursale en termes de ressources humaines et techniques, systèmes d’information, contrôle de gestion et audit interne, • l’implémentation et la vérification du respect des procédures en matière de prévention du blanchiment et du financement du terrorisme dans la succursale, • l’implémentation et la vérification du respect des procédures luxembourgeoises en matière des règles de conduite dans la succursale, • l’intégration de la succursale au point de vue comptable, CIRCULAIRE CSSF 21/765 52/74 • une description des systèmes et traitements informatiques de la succursale et leur intégration dans les systèmes et traitements informatiques du siège. Le compte rendu analytique doit également indiquer les dispositions légales et réglementaires que les succursales établies dans un autre Etat membre de la Communauté européenne (y compris l’Islande, le Liechtenstein et la Norvège) doivent respecter dans le pays d’accueil, notamment en matière de liquidité, ainsi que leur respect par l’établissement concerné. Le réviseur d’entreprises se prononcera également sur la conformité de l’établissement de crédit avec la circulaire IML 93/99 concernant les dispositions relatives aux établissements de crédit luxembourgeois désirant exercer des activités bancaires dans d’autres pays de la CE par voie de l’établissement de succursales ou par libre prestation de services. Le résultat de ces contrôles est à présenter en annexe dans le tableau synoptique de l’IRE « Respect de la circulaire IML 93/99 concernant les dispositions relatives aux établissements de crédit luxembourgeois désirant exercer des activités bancaires dans d’autres pays de la CE par voie de l’établissement de succursales ou par libre prestation de services ». Ce tableau 1 établi par l’IRE avec les appréciations « oui », « non » et « n/a » (non applicable) est à compléter le cas échéant par des indications chiffrées ou des explications complémentaires. Le réviseur peut également y faire référence à d’autres endroits du compte rendu analytique.
Suivi des problèmes soulevés dans des rapports précédents Le réviseur d’entreprises indique dans cette partie de son rapport le suivi des irrégularités et des faiblesses graves constatées lors des contrôles précédents et qui sont détaillées soit dans un compte rendu analytique précédent, soit dans une lettre de recommandation séparée adressée à la direction. (cf. également le chapitre III.A. « Principes généraux » ci-dessus)
Conclusion générale 1 disponible auprès du secrétariat de l’IRE et sur le site Internet de l’IRE : http://www.ire.lu CIRCULAIRE CSSF 21/765 53/74 Dans la conclusion générale, le réviseur d’entreprises doit prendre position sur tous les points essentiels de son contrôle, de façon à donner une vue d’ensemble sur la situation de l’établissement de crédit contrôlé. De manière plus générale, le réviseur d'entreprises doit résumer les principales remarques et conclusions figurant dans le rapport. Il indiquera également les principales recommandations et observations adressées à la direction de l’établissement de crédit dans le cadre du contrôle des comptes annuels ainsi que la réaction de celle-ci y relative. Au cas où le réviseur d’entreprises adresserait une lettre de recommandations séparée à la direction, il suffit que la conclusion générale fasse référence pour cette partie au document en question, qui doit alors figurer en annexe du compte rendu analytique sauf dans des cas exceptionnels suite à l’accord de la Commission sur base d’une demande dûment justifiée. (cf. également le chapitre III.A. « Principes généraux » ci-dessus) Le réviseur d'entreprises indiquera la liste complète de tous les documents qu’il a émis dans le cadre de son contrôle des comptes annuels de l'exercice sous revue. (cf. également le chapitre III.A. « Principes généraux » ci-dessus) Le réviseur d'entreprises décrira l'existence d'éventuels problèmes de l’établissement avec des autorités de surveillance étrangères. IV. Compte rendu analytique consolidé de révision Le compte rendu analytique consolidé de révision est à établir selon les mêmes principes et suivant le même schéma que le compte rendu annuel de révision. Il doit toutefois se concentrer sur les informations spécifiques à la situation consolidée. Au cas où un établissement de crédit de droit luxembourgeois soumis au contrôle consolidé de la Commission serait exempté de publier des comptes consolidés ou lorsque le périmètre de consolidation de la publication de comptes consolidés diffère du périmètre de consolidation de la surveillance sur une base consolidée, le compte rendu analytique consolidé de révision doit être basé sur la situation comptable consolidée correspondant au périmètre du contrôle consolidé exercé par la Commission. Cette situation comptable consolidée doit être établie sur base des instructions des tableaux B.6.
et B.6.
reprises dans le Recueil des instructions aux banques. CIRCULAIRE CSSF 21/765 54/74 L’objectif du compte rendu analytique consolidé de révision est de procurer une vue d’ensemble sur la situation du groupe et de donner des indications sur la gestion du groupe et la structure des risques du groupe. Le compte rendu analytique consolidé de révision peut se référer au compte rendu analytique annuel de révision d’une des sociétés comprises dans la consolidation sur des points déterminés, lorsque la situation du groupe sur le point en question est largement déterminée par la société en question et sous condition que le compte rendu analytique consolidé de révision fournisse néanmoins les informations essentielles sur le sujet en question. Le compte rendu analytique consolidé de révision doit fournir plus particulièrement les éléments supplémentaires suivants, spécifiques aux comptes consolidés: Prémisses de travail : • • un organigramme du groupe, le périmètre de consolidation et les changements du périmètre au cours de l’exercice sous revue, avec indication du réviseur d'entreprises en charge du contrôle des documents annuels de chaque participation consolidée, • la liste des participations de la banque qui ne sont pas, respectivement qui ne sont plus, incluses dans la consolidation, avec indication des motifs,  les méthodes de consolidation. ad Organisation et administration : • une appréciation de l’adéquation de l’organisation du groupe par rapport aux circulaires de la Commission, et de l’application des principes de gestion établis par le groupe, • • une description des pouvoirs au niveau des filiales consolidées, une description et une appréciation des moyens de contrôle des filiales (suivi de l’activité, de la rentabilité, de la gestion, des risques): personnel et techniques mis en oeuvre (tant du point de vue gestion que du point de vue comptable et informatique), • une description des systèmes et traitements informatiques de chaque filiale et leur intégration dans les systèmes et traitements informatiques de l’établissement de crédit. ad Contrôle interne : • Le compte rendu analytique doit se prononcer d’une part sur les procédures en matière de contrôle interne appliquées dans les filiales et l’existence d’une fonction d’audit interne propre à chaque filiale et d’autre part sur les modalités de CIRCULAIRE CSSF 21/765 55/74 l’intégration des filiales dans le plan d’inspection du service audit interne de la maison-mère. • Le compte rendu analytique doit indiquer si le contrôle de l’audit interne auprès des filiales a révélé des déficiences graves qui sont alors à signaler. ad Activités : Le compte rendu analytique doit fournir une description des activités de chaque filiale et sous-filiale consolidée. ad Coefficients prudentiels : Alors que le ratio de liquidité n’est pas applicable au niveau consolidé, le ratio de solvabilité doit être respecté tant au niveau individuel qu’au niveau consolidé. Le compte rendu analytique doit décrire et apprécier en détail le calcul des fonds propres consolidés et le respect au niveau consolidé du coefficient de solvabilité défini dans la circulaire CSSF 2000/
Il y a lieu de se référer aux instructions relatives au ratio de solvabilité reprises au point 7.
du compte rendu analytique annuel de révision. ad Analyse des comptes consolidés : • Le compte rendu analytique doit d’abord fournir une description de la méthodologie d’établissement de la situation comptable

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.