← Luxembourg

Circulaire CSSF 24/860 — Circulaire CSSF 24/860

Circulaire CSSF 24/860 Mise à jour de la circulaire CSSF 12/552, telle que modifiée par les circulaires CSSF 13/563, 14/597, 16/642, 16/647, 17/655, 20/750, 20/759, 21/785 et 22/807, relative à l’administration centrale, la gouvernance interne et la gestion des risques Circulaire CSSF 24/860 Mise à jour de la circulaire CSSF 12/552, telle que modifiée par les circulaires CSSF 13/563, 14/597, 16/642, 16/647, 17/655, 20/750, 20/759, 21/785 et 22/807, relative à l’administration centrale, la gouvernance interne et la gestion des risques À tous les établissements de crédit et professionnels effectuant des opérations de prêt Luxembourg, le 29 août 2024 Mesdames, Messieurs, L’objet de la présente circulaire est d’apporter des précisions à certaines dispositions de la circulaire CSSF 12/552 (« la Circulaire »). Elle précise notamment la définition d’établissements d’importance significative dans la partie I de la Circulaire et introduit la définition de « transactions avec des parties liées ». Le champ d’application de la Circulaire a également été clarifié pour les compagnies financières holding (mixtes) lorsqu’elles sont intermédiaires dans la chaîne de détention, afin de promouvoir la proportionnalité. Certains éléments de la Circulaire ont par ailleurs été adaptés dans un souci de cohérence avec la réglementation applicable. o o L’obligation d’établir un comité d’audit dans la partie II a été alignée avec la loi du 23 juillet 2016 relative à la profession de l’audit. Les dispositions relatives au droit de veto du responsable de la fonction de gestion des risques et sa capacité à remettre en cause les décisions de la direction ont été adaptées afin d’être pleinement conformes avec les Orientations de l’Autorité Bancaire Européenne (« EBA ») en matière de gouvernance interne (EBA/GL/2021/05). Certains ajustements visant à être en ligne avec la circulaire CSSF 22/806 relative à l’externalisation ont également été apportés. o Dans la partie III, chapitre 3 sur le risque de crédit, la Circulaire établit désormais des liens directs avec la circulaire CSSF 22/824 adoptant les Orientations de l’EBA sur l’octroi et le suivi des prêts (EBA/GL/2020/06) et la circulaire CSSF 17/675 adoptant les Orientations de l’EBA relatives aux pratiques de gestion du risque de crédit et à la comptabilisation des pertes de crédit attendues par les établissements de crédit (EBA/GL/2017/06) et développe le contenu des exigences applicables pour les expositions aux particuliers garanties par une hypothèque sur un bien immobilier résidentiel et pour les expositions aux promotions immobilières. o Enfin, conformément à la directive 2013/36/UE, le terme de « fonction de contrôle des risques » a été remplacé par celui de « fonction de gestion des risques » dans l’ensemble de la Circulaire, et les références légales ont été mises à jour. CIRCULAIRE CSSF 24/860 2/3 Une version de la Circulaire faisant apparaître les modifications apportées est annexée à la présente. La CSSF compte prochainement publier une version consolidée et amendée de toutes les Questions/Réponses (« FAQs ») applicables à la Circulaire. La présente circulaire est applicable à partir du 30 septembre

  1. Claude WAMPACH Directeur Françoise KAUTHEN Directeur Annexe Marco ZWICK Directeur Jean-Pierre FABER Directeur Claude MARX Directeur général Circulaire CSSF 12/552 telle que modifiée par les circulaires CSSF 13/563, 14/597, 16/642, 16/647, 17/655, 20/750, 20/759, 21/785, 22/807 et 24/860 CIRCULAIRE CSSF 24/860 3/3 Circulaire CSSF 12/552 telle que modifiée par les circulaires CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 et CSSF 24/860 Administration centrale, gouvernance interne et gestion des risques Circulaire CSSF 12/552 telle que modifiée par les circulaires CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 et CSSF 24/840 Concerne : Administration centrale, gouvernance interne et gestion des risques 1 Luxembourg, le 11 décembre 2012 À tous les établissements de crédit et professionnels effectuant des opérations de prêt1 Mesdames, Messieurs, Les articles 5 paragraphe 1bis et 38-1 de la loi du 5 avril 1993 relative au secteur financier (« LSF »), complétés par le règlement CSSF N° 15-02 relatif au processus de contrôle et d’évaluation prudentiels (« RCSSF 15-02 »), exigent des établissements de crédit qu’ils disposent d’un solide dispositif de gouvernance interne, comprenant notamment une structure organisationnelle claire avec un partage des responsabilités qui soit bien défini, transparent et cohérent, des processus efficaces de détection, de gestion, de contrôle et de déclaration des risques auxquels ils sont ou pourraient être exposés, des mécanismes adéquats de contrôle interne, y compris des procédures administratives et comptables saines et des politiques et pratiques de rémunération permettant et promouvant une gestion saine et efficace des risques, ainsi que des mécanismes de contrôle et de sécurité de leurs systèmes informatiques. 1 Pour les professionnels effectuant des opérations de prêt, tels que définis à l’article 28-4 de la loi du 5 avril 1993 relative au secteur financier, le chapitre 3 de la partie III est applicable à l'exception du sous-chapitre 3.4 « Expositions présentant un risque particulièrement élevé ». Le paragraphe 12 du chapitre 2 de la partie III est également applicable. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 2/91 La présente circulaire précise les mesures que doivent prendre les établissements de crédit en exécution des dispositions de la LSF et du RCSSF 15-02 en matière d’administration centrale, de gouvernance interne et de gestion des risques et par le règlement CSSF N° 15-02 relatif au processus de contrôle et d’évaluation prudentiels (« RCSSF 15-02 »). Elle reprend les principes, orientations et recommandations européennes et internationales qui s’appliquent en la matière, en les inscrivant de manière proportionnée dans le contexte du secteur bancaire luxembourgeois. Lorsqu’en raison de la taille, de la nature et de la complexité des activités et de l’organisation, l’application du principe de proportionnalité demande une administration centrale, une gouvernance interne ou une gestion des risques renforcées, les établissements de crédit se reportent aux principes énoncés à la partie I, chapitre 2 ainsi qu’aux orientations et recommandations listées en partie IV de la présente circulaire pour guider cette mise en œuvre. Ceci vaut en particulier pour les orientations de l’Autorité bancaire européenne (« EBA ») en matière de gouvernance interne, telles que mises à jour le 2 juillet 2021 (Guidelines on internal governance « EBA/GL/2021/05 »), et les orientations communes de l’EBA et de l’Autorité européenne des marchés financiers (« ESMA ») en matière d’éligibilité des membres d’organes de direction, telles que mises à jour le 2 juillet 2021 (Joint ESMA and EBA Guidelines on the assessment of the suitability of members of the management body and key function holders » EBA/GL/2021/06 »). Les principes et bonnes pratiques découlant d’autres sources déjà repris dans les versions précédentes de la circulaire sont maintenus dans la mesure où ceuxci ne sont pas devenus obsolètes. S’agissant de nominations de membres de l’organe de direction et de titulaires de fonctions clés, la présente circulaire doit se lire en parallèle avec la Procédure prudentielle en la matière publiée sur le site internet de la CSSF. La circulaire est divisée en quatre parties : la première partie contient le champ d’application ; la deuxième partie, les exigences de structure en matière d’administration centrale et de gouvernance interne ; la troisième partie, les exigences spécifiques en matière de gestion des risques et la quatrième partie, l’entrée en vigueur et la chronologie des mises à jour permettant au lecteur de retracer les modifications opérées par les mises à jour successives. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 3/91 TABLE DES MATIÈRES Définitions et champ d’application 7 Chapitre
  2. Définitions et abréviations 7 Chapitre
  3. Champ d’application et proportionnalité 1010 Partie II. Dispositif en matière d’administration centrale et de gouvernance interne 12 Chapitre
  4. L’administration centrale 12 Chapitre
  5. Le dispositif de gouvernance interne 13 Chapitre
  6. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne 14 Chapitre
  7. Organe de surveillance et direction autorisée 16 Sous-chapitre 4.
  8. L’organe de surveillance 16 Section 4.1.
  9. Responsabilités de l’organe de surveillance 16 Section 4.1.
  10. Composition et qualification de l’organe de surveillance 21 Section 4.1.
  11. Organisation et fonctionnement de l’organe de surveillance 22 Section 4.1.
  12. Comités spécialisés 23 Partie I. Sous-section 4.1.4.
  13. Le comité d'audit 25 Sous-section 4.1.4.
  14. Le comité des risques 27 Sous-chapitre 4.
  15. La direction autorisée 28 Section 4.2.
  16. Responsabilités de la direction autorisée 28 Section 4.2.
  17. Qualification de la direction autorisée 32 Chapitre
  18. Organisation administrative, comptable et informatique 33 Sous-chapitre 5.
  19. L’organigramme et les ressources humaines 33 Sous-chapitre 5.
  20. Les procédures et la documentation interne 34 Sous-chapitre 5.
  21. L'infrastructure administrative et technique 35 Section 5.3.
  22. L'infrastructure administrative des fonctions commerciales 35 Section 5.3.
  23. La fonction financière et comptable 35 Section 5.3.
  24. La fonction informatique 37 Section 5.3.
  25. Le dispositif de communication et d’alerte interne et externe 38 Section 5.3.
  26. Le dispositif de gestion de crises 38 Chapitre
  27. Le contrôle interne 39 Sous-chapitre 6.
  28. Les contrôles opérationnels 40 Section 6.1.
  29. Contrôles quotidiens réalisés par le personnel exécutant 40 Section 6.1.
  30. Contrôles critiques continus40 CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 4/91 Section 6.1.
  31. Contrôles réalisés par les membres de la direction autorisée sur les activités ou fonctions qui tombent sous leur responsabilité directe 41 Sous-chapitre 6.
  32. Les fonctions de contrôle interne 42 Section 6.2.
  33. Responsabilités génériques des fonctions de contrôle interne 42 Section 6.2.
  34. Caractéristiques des fonctions de contrôle interne 43 Section 6.2.
  35. Exécution des travaux des fonctions de contrôle interne 44 Section 6.2.
  36. Organisation des fonctions de contrôle interne 46 Section 6.2.
  37. La fonction de gestion des risques 49 Sous-section 6.2.5.
  38. Champ d’application et responsabilités spécifiques de la fonction de gestion des risques Sous-section 6.2.5.
  39. 49 Organisation de la fonction de gestion des risques 51 Section 6.2.
  40. La fonction compliance 5252 Sous-section 6.2.6.
  41. La charte de compliance 52 Sous-section 6.2.6.
  42. Champ d’application et responsabilités spécifiques de la fonction compliance 53 Sous-section 6.2.6.
  43. 56 Organisation de la fonction compliance Section 6.2.
  44. La fonction d’audit interne 56 Sous-section 6.2.7.
  45. La charte d’audit interne 56 Sous-section 6.2.7.
  46. Responsabilités spécifiques et champ d’application de la fonction d’audit interne 58 Sous-section 6.2.7.
  47. Exécution des travaux d’audit interne 59 Sous-section 6.2.7.
  48. Organisation de la fonction d’audit interne6161 Chapitre
  49. Exigences spécifiques 6161 Sous-chapitre 7.
  50. Structure organisationnelle et entités juridiques (« Know-your-structure ») 6161 Section 7.1.
  51. Structures complexes et activités inhabituelles ou potentiellement non transparentes 6262 Sous-chapitre 7.
  52. Gestion des conflits d’intérêts 6363 Section 7.2.
  53. Exigences spécifiques relatives aux conflits d’intérêts en relation avec des parties liées 64 Section 7.2.
  54. Documentation des prêts accordés aux membres de l’organe de direction et à leurs parties liées 65 Sous-chapitre 7.
  55. Procédure d’approbation des nouveaux produits (« New Product Approval Process ») 66 Sous-chapitre 7.
  56. Externalisation (« Outsourcing ») 67 CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 5/91 Chapitre
  57. Reporting légal 68 Partie III. Gestion des risques 68 Chapitre
  58. Principes généraux en matière de mesure et de gestion des risques 68 Sous-chapitre 1.
  59. Le cadre de gestion des risques à l’échelle de l’établissement 68 Section 1.1.
  60. Généralités 68 Section 1.1.
  61. Politiques spécifiques (de risque, de fonds propres et de liquidités) 68 Section 1.1.
  62. Détection, gestion, mesure et déclaration des risques 70 Chapitre
  63. Risques de concentration 71 Chapitre
  64. Risque de crédit 72 Sous-chapitre 3.
  65. Principes généraux 72 Sous-chapitre 3.
  66. Expositions aux particuliers garanties par une hypothèque sur un bien immobilier résidentiel 73 Sous-chapitre 3.
  67. Expositions aux promotions immobilières 73 Sous-chapitre 3.
  68. Expositions présentant un risque particulièrement élevé 7575 Sous-chapitre 3.
  69. Expositions non performantes et expositions restructurées 75 Chapitre
  70. Tarification du risque (« Risk Transfer Pricing ») 76 Chapitre
  71. Gestion patrimoniale privée (« banque privée ») 7777 Chapitre
  72. Risques liés aux entités shadow banking 7878 Sous-chapitre 6.
  73. Mise en œuvre de principes de contrôle interne solides 7878 Sous-chapitre 6.
  74. Application de limites quantitatives 7979 Chapitre
  75. Risque de charge pesant sur les actifs (« asset encumbrance ») 80 Chapitre
  76. Risque de taux d’intérêt 81 Sous-chapitre 8.1 Risque de taux d’intérêt inhérent aux activités autres que de négociation 81 Sous-chapitre 8.
  77. Corrections de la duration modifiée des titres de créance 81 Chapitre
  78. Risques liés à la conservation d’actifs financiers par des tiers 8282 Partie IV. Chronologie 8383 CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 6/91 Partie I. Définitions et champ d’application Chapitre
  79. Définitions et abréviations
  80. On entend aux fins de la présente circulaire par : 1) « autorité compétente » : la Banque centrale européenne (« BCE ») pour les établissements de crédit importants (« significant institutions », « SI ») ou la Commission de Surveillance du Secteur Financier (« CSSF ») pour les établissements de crédit moins importants (« less significant institutions », « LSI »)2 et les succursales établies au Luxembourg d’établissements de crédit de pays tiers. La CSSF conserve par ailleurs en tant qu’autorité d’accueil des succursales luxembourgeoises d’établissements de crédit agréés dans un autre Etat membre une responsabilité de contrôle de certains domaines non liés à la surveillance prudentielle bancaire, à savoir notamment la lutte contre le blanchiment et le financement du terrorisme, les règles applicables à la fourniture de services d’investissement et le contrôle des obligations applicables aux dépositaires d’OPC luxembourgeois ; 2) « direction autorisée » ou « directeurs autorisés » : la direction autorisée est assimilée à l’organe de direction dans sa fonction exécutive selon les orientations de l’EBA en matière de gouvernance interne (Guidelines on internal governance « EBA/GL/2021/05 »). Les directeurs autorisés correspondent aux personnes visées à l’article 1er, 7quinqies et à l’article 7 paragraphe 2 de la LSF ainsi qu’à la direction générale, telle que définie à l’article 3 de la CRD ; D’un point de vue prudentiel, la direction autorisée est responsable de la gestion journalière d’un établissement, conformément aux orientations stratégiques et politiques clés approuvées par l’organe de surveillance. Dans un système moniste, les directeurs autorisés peuvent être également membres du conseil d’administration, alors que dans un système dualiste, la direction autorisée correspond strictement au directoire ; 2 Conformément aux dispositions du règlement UE N°1024/2013 du Conseil du 15 octobre 2013 (« règlement MSU ») confiant à la BCE des missions spécifiques ayant trait aux politiques en matière de surveillance prudentielle des établissements de crédit et du règlement UE N° 468/2014 de la Banque centrale européenne établissant le cadre de la coopération au sein du mécanisme de surveillance unique entre la Banque centrale européenne, les autorités compétentes nationales et les autorités désignées nationales (« règlement-cadre MSU »). CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 7/91 3) « établissement » : (i) les établissements de crédit tels que définis à l’article 4, paragraphe 1, point 1) du règlement (UE) 575/2013 du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement CRR, y compris leurs succursales, les succursales luxembourgeoises d’établissements de pays tiers ainsi que les succursales luxembourgeoises d’établissements agréés dans un autre Etat membre ; 4) « établissement d’importance significative » : les établissements de crédit d’importance systémique suivant l’article 59-3 de la LSF. et, lLe cas échéant, l'autorité compétente peut déterminer si d’les autres établissements de crédit sont à considérer comme étant significatifs aux fins de la présente circulairedéterminés par l'autorité compétente sur base de l'évaluation de la taille et de l'organisation interne des établissements ainsi que de la nature, de l’échelle et de la complexité de leurs activités ; 5) « organe de direction » : l’organe de direction correspond à l’organe de direction dans sa fonction de surveillance et dans sa fonction exécutive selon les orientations de l’EBA en matière de gouvernance interne (Guidelines on internal governance « EBA/GL/2021/05 »). Il désigne le conseil d’administration et la direction autorisée d’un établissement pourvu d’une organisation moniste ou le conseil de surveillance et le directoire d’un établissement pourvu d’une organisation dualiste ; 6) « organe de surveillance » : l’organe de surveillance correspond à l’organe de direction dans sa fonction de surveillance selon les orientations de l’EBA en matière de gouvernance interne (Guidelines on internal governance « EBA/GL/2021/05 »). La réglementation du secteur financier alloue aux conseils d’administration et aux conseils de surveillance des établissements de crédit des responsabilités en matière de surveillance et de contrôle, ainsi qu’en matière de détermination et d’approbation des orientations stratégiques et des principes directeurs ; 7) « parties liées » : a. les entités (structures) juridiques appartenant au groupe auquel l’établissement appartient ; b. les actionnaires ; c. les membres de l’organe de direction de l’établissement ou des entités mentionnées au point a., leurs conjoints ou partenaires enregistrés conformément au droit national applicable et leurs enfants et parents ; d. les entités commerciales dans lesquelles un membre de l'organe de direction, ou un membre proche de sa famille tel que visé au point c., détient une participation qualifiée représentant au moins 10 % du capital ou des droits de vote, dans laquelle ces personnes peuvent exercer une influence notable ou dans laquelle ces personnes occupent des postes au sein de la direction générale ou de l'organe de direction ; CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 8/91 8) « Procédure prudentielle » : procédure prudentielle de nomination des membres de l’organe de direction et des titulaires de fonctions clés auprès des établissements de crédit ; 9) « titulaires de fonctions clés » : les responsables des fonctions dont l’exercice permet d’avoir une influence notable sur la conduite ou le contrôle des activités des établissements. Ils comprennent au moins les responsables des trois fonctions de contrôle interne auprès de l’ensemble des établissements, à savoir : le Chief Risk Officer (« CRO ») pour la fonction de contrôlegestion des risques, le Chief Compliance Officer (« CCO ») pour la fonction compliance et le Chief Internal Auditor (« CIA ») pour la fonction d’audit interne, ainsi que le responsable de la fonction financière (Chief Financial Officer, « CFO ») auprès des établissements d’importance significative. Les établissements peuvent identifier d’autres titulaires de fonctions clés selon une approche fondée sur les risques ; 10) « transactions avec des parties liées » : ces transactions comprennent tous les types de transactions. Il s’agit non seulement des expositions et créances figurant au bilan et hors bilan, mais aussi des contrats de service, des achats et ventes d’actifs, des contrats de construction, des contrats de crédit-bail, des opérations sur produits dérivés, des emprunts ou encore annulations de créances. Sont à inclure les transactions avec des parties qui, à la suite de la transaction, deviendraient des parties liées ou dont au moment de la transaction, il est avéré que la partie contractante deviendra partie liée; 10)11) « ESG » : (Risques) environnementaux, sociaux et de gouvernance ; 11)12) « CEBS » : Committee of European Banking Supervisors ; 12)13) « CRD » : Directive 2013/36/UE du 26 juin 2013 concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement, telle que modifiée ; 13)14) « CRR » : le règlement européen n° 575/2013 du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement, tel que modifié ; 14)15) « EEE » : Espace Economique Européen ; 15)16) « ICAAP » : Internal Capital Adequacy Assessment Process ; 16)17) « ILAAP » : Internal Liquidity Adequacy Assessment Process ; 17)18) « LSF » : la loi modifiée du 5 avril 1993 relative au secteur financier ; 18)19) « MiFID » : Markets in Financial Instruments Directive. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 9/91 Chapitre
  81. Champ d’application et proportionnalité
  82. La circulaire s’applique aux établissements de droit luxembourgeois, y compris leurs succursales, ainsi qu’aux succursales luxembourgeoises d’établissements de pays tiers. Pour les domaines où la CSSF conserve une responsabilité de contrôle en tant qu’autorité d’accueil, respectivement en tant qu’autorité en charge d’un domaine ne faisant pas partie de la surveillance prudentielle bancaire - il s’agit notamment des mesures en matière de lutte contre le blanchiment et le financement du terrorisme, des règles applicables en matière de fourniture de services d’investissement et des obligations applicables aux dépositaires d’OPC luxembourgeois - les succursales luxembourgeoises d’établissements de crédit agréés dans un autre Etat membre mettent en place en coordination avec cet établissement agréé un dispositif en matière d’administration centrale et de gouvernance interne ainsi qu’une gestion des risques qui sont comparables à ceux prescrits par la présente circulaire.
  83. La circulaire s’applique aux établissements sur une base individuelle, sousconsolidée et consolidée,. En outre la circulaire s’applique aux compagnies financières holding ou aux compagnies financières holding mixtes visées à l’article 21bis

(1)de la CRD et aux établissements de crédit visés à l’article 21bis
(4)c) de la CRD. Toutefois, pour ce type de compagnies, lorsqu’elles sont intermédiaires dans la chaîne de détention, sans incidence matérielle sur la conduite et la conformité à la fois de leur établissement mère consolidante et de leurs établissements filiales, une approche proportionnée est pratiquée dont l’étendue est à déterminer d’un commun accord avec l’autorité compétente. Si l’établissement est une entreprise mère (tête de groupe), la circulaire s’applique alors au « groupe » dans son ensemble : à l’entreprise mère ainsi qu’aux différentes entités juridiques qui composent ce groupe - qu’elles soient incluses ou non dans le périmètre de consolidation prudentielle suivant le CRR - y compris les succursales, dans le respect des lois et des dispositions réglementaires nationales qui s’appliquent aux entités en question. Ainsi, quelle que soitIndépendamment de la structure organisationnelle et opérationnelle dedans laquelle l’établissement ou d’un groupeest intégré, la mise en œuvre de la présente circulaire permet à l’établissement d’avoirde maintenir une maîtrise complète de ses activités et des risques auxquels il est exposé ou pourrait être exposé, y compris les activités et les risques intragroupe et peu importe la localisation des risques. Il en est de même pour les compagnies financières holding ou les compagnies financières holding mixtes visées à l’article 21bis
(1)de la CRD. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 10/91 Les mesures d’exécution que les établissements prennent en vertu de la présente circulaire sont proportionnelles à leur taille et à leur organisation interne ainsi qu’à la nature, à l’échelle et à la complexité de leurs activités, y compris les risques. En pratique, l’application du principe de proportionnalité conduit les établissements qui sont plus importants, complexes ou risqués à se doter d’un dispositif renforcé en matière d’administration centrale, de gouvernance interne et de gestion des risques. Ce dispositif renforcé comprend par exemple, l’instauration de comités spécialisés, la nomination de membres indépendants additionnels à l’organe de surveillance ou encore de directeurs autorisés supplémentaires pour faciliter la gestion journalière. A l’opposé, pour des établissements dont la taille, l’organisation interne ainsi que la nature, l'échelle et la complexité des activités sont moindres, le principe de proportionnalité peut jouer à la baisse. Ainsi, un établissement ayant des activités limitées et peu complexes peut fonctionner adéquatement au sens de la présente circulaire en désignant des responsables des fonctions compliance et de contrôle gestion des risques à temps partiel (sans remettre en cause le principe de permanence de la fonction) ou en externalisant l’exécution des tâches opérationnelles de l’audit interne entièrement ou partiellement. L’application à la baisse du principe de proportionnalité est limitée en particulier par le principe de la ségrégation des tâches qui exige que les tâches et responsabilités doivent être attribuées de façon à éviter les conflits d’intérêts dans le chef d'une même personne. Les seuls critères de la taille ou de l’importance systémique ne suffisent cependant pas à refléter le degré selon lequel un établissement est exposé à certains risques. Au niveau de la direction autorisée, alors que la répartition des tâches s’effectue dans le respect du principe de la ségrégation des tâches, la responsabilité reste collective. La mise en œuvre du principe de proportionnalité tient compte des éléments suivants : a. la forme juridique et la structure de propriété et de financement de l’établissement ; b. le modèle d’affaires et la stratégie en matière de risque ; c. la taille de l’établissement et de ses filiales ainsi que la nature et la complexité des activités (y compris le type de clientèle et la complexité des produits ou contrats) ; d. la nature et la complexité de la structure organisationnelle et opérationnelle, y compris l’empreinte géographique, les canaux de distribution et les activités externalisées ; e. la nature et l’état des systèmes d'information et dispositifs de continuité ; CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 11/91 f. le fait que l’établissement est un « établissement de petite taille et non complexe » ou un « établissement de grande taille », tels que définis à l’article 4, paragraphe 1, points 145 et 146, du CRR et reproduit à l’annexe II de la présente. Quelle que soit l’organisation retenue, les arrangements en la matière permettent à l’établissement d’opérer dans le plein respect des dispositions prévues à la partie II de la présente circulaire. Les établissements documentent par écrit leur analyse en matière de proportionnalité et en font approuver les conclusions par l’organe de surveillance. Partie II. Dispositif en matière d’administration centrale et de gouvernance interne Chapitre
  1. L’administration centrale
  2. Les établissements disposent au Luxembourg d’une solide administration centrale, comportant leur « centre de prise de décision » et leur « centre administratif ». L’administration centrale, qui englobe au sens large, les fonctions de direction et de gestion, d'exécution et de contrôle, permet à l’établissement d’avoir la maîtrise de l’ensemble de ses activités.
  3. Le centre de prise de décision comprend la direction autorisée ainsi que les responsables des fonctions commerciales, des fonctions de support et de contrôle et des différentes unités opérationnelles existant à l'intérieur de l'établissement.
  4. Le centre administratif comprend l’organisation administrative, comptable et informatique qui assure en permanence la bonne administration des valeurs et des biens, l'exécution adéquate des opérations, l'enregistrement correct et exhaustif des opérations et la production d'une information de gestion correcte, complète, pertinente, compréhensible et disponible sans délai.
  5. Lorsque l’établissement est tête de groupe, l’administration centrale permet à l’établissement de concentrer en son siège à Luxembourg toute l’information de gestion nécessaire pour gérer, suivre et contrôler de façon continue les activités du groupe. De même, l’administration centrale permet à l’établissement d’atteindre toutes les entités juridiques et succursales qui composent le groupe afin de leur fournir toute l’information de gestion nécessaire. La notion d’information de gestion s’entend au sens le plus large, incluant l’information financière et le reporting légal. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 12/91 Chapitre
  6. Le dispositif de gouvernance interne
  7. La gouvernance interne est une composante cruciale de la gouvernance d’entreprise, se concentrant sur la structure interne et l’organisation d’un établissement. La gouvernance d’entreprise est un concept plus vaste qui peut être décrit comme étant l’ensemble des relations entre un établissement, son organe de surveillance, sa direction autorisée, ses actionnaires et les autres parties prenantes.
  8. La gouvernance interne doit assurer la gestion saine et prudente des activités, y compris des risques qui leur sont inhérents. Le dispositif de gouvernance interne comprend notamment :  une structure organisationnelle et opérationnelle claire et cohérente comportant des pouvoirs fonctionnels et un de partage décision, des des liens responsabilités hiérarchiques clairement et définis, transparents, cohérents, complets et exempts de conflits d’intérêts ;  des mécanismes adéquats de contrôle interne qui répondent aux dispositions du chapitre 6 de cette partie. Ces mécanismes comprennent des procédures administratives, comptables et informatiques saines et des politiques et pratiques de rémunération permettant et promouvant une gestion saine et efficace des risques, en ligne avec la stratégie de l’établissement en matière de risques, ainsi que des mécanismes de contrôle et de sécurité des systèmes d’information de gestion. La notion de système d’information de gestion comprend les systèmes informatiques ;  un processus clair de prise de risques comprenant un appétit au risque formellement et précisément arrêté dans tous les domaines d’activité, un processus décisionnel rigoureux, des analyses de qualité et des limites ;  des processus de détection, de mesure, de déclaration, de gestion, d’atténuation et de contrôle des risques auxquels les établissements sont ou pourraient être exposés ;  un système d’information de gestion, y compris en matière de risques, ainsi qu’un dispositif de communication interne comprenant un dispositif interne d’alerte et de signalement des infractions (« whistleblowing »), qui permet au personnel de l’établissement d’attirer l'attention des responsables sur toutes leurs préoccupations importantes et légitimes liées à la gouvernance interne de l’établissement, au respect des politiques et procédures internes, du cadre réglementaire national et du droit de l’Union (conformément à la directive 2019/1937 sur la protection des personnes qui signalent des violations du droit de l’Union);  une procédure formelle d’escalade, de règlement et de sanction des problèmes, déficiences et irrégularités relevés par le biais des mécanismes de contrôle et d’alerte internes ; CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 13/91  un dispositif de gestion de continuité des activités visant à limiter les risques de perturbation grave des activités et à assurer le maintien des opérations clés telles que définies par l’organe de surveillance sur proposition de la direction autorisée. Ce dispositif comprend un plan de continuité qui décrit les actions à mettre en œuvre afin de poursuivre les activités en cas d’incident ou sinistre ;  un dispositif de gestion de crises qui assure une capacité de réaction appropriée en cas de crise, y compris un plan de redressement conforme aux exigences du chapitre 2 de la partie IV de la LSF.
  9. Tout établissement promeut une culture interne du risque et de la conformité qui vise à assurer que tout le personnel de l’établissement participe activement au contrôle interne ainsi qu’à la détection, à la déclaration et au contrôle des risques encourus par l’établissement et adopte une attitude positive à l’égard du contrôle interne. Cette culture généralisée des risques et de la conformité, forte et omniprésente, doit également se refléter dans les stratégies, politiques et procédures de l’établissement, les formations proposées et les messages véhiculés aux membres du personnel en ce qui concerne la prise et la gestion des risques au sein de l’établissement. Une telle culture se caractérise par l’exemple donné par l’organe de direction (« tone from the top ») et implique la responsabilisation de tous les membres du personnel pour leurs actes et comportements, un dialogue ouvert et critique et l’absence d’incitation à une prise de risque inappropriée. Chapitre
  10. Propriétés génériques d’un dispositif « solide » en matière d’administration centrale et de gouvernance interne
  11. Le dispositif en matière d’administration centrale et de gouvernance interne est élaboré et mis en œuvre de sorte à ce qu’il :  fonctionne de manière intègre (« intégrité »). Ce volet inclut aussi bien la gestion des conflits d’intérêts que la sécurité, en particulier en matière de systèmes d’information ;  soit fiable et fonctionne de manière continue (« robustesse »). En vertu du principe de continuité, tout établissement se dote également d’arrangements visant à rétablir le fonctionnement du dispositif de gouvernance interne en cas de discontinuité ;  soit efficace (« efficacité »). L'efficacité s’apprécie en particulier par rapport au fait que les risques sont effectivement gérés et contrôlés ;  réponde aux besoins de l’établissement dans son ensemble et de toutes ses unités organisationnelles et opérationnelles (« adéquation ») ;  soit cohérent dans son ensemble et dans ses parties (« cohérence ») ; CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 14/91  soit complet (« exhaustivité »). En ce qui concerne les risques, l’exhaustivité signifie que l’ensemble des risques doit être inclus dans le périmètre du dispositif de gouvernance interne. Ce périmètre ne s’arrête pas au seul périmètre (consolidé) prudentiel ou comptable. Il doit permettre à l’établissement de disposer d’une vue exhaustive sur tous ses risques, en termes de substance économique, en tenant compte de toutes les interactions existant à travers l’établissement. S’agissant du contrôle interne, le principe d’exhaustivité implique que le contrôle interne porte sur tous les domaines du fonctionnement de l’établissement ;  soit transparent (« transparence »). La transparence comprend une attribution et une communication claires et visibles des rôles et des responsabilités aux différents membres du personnel, à la direction autorisée et aux unités opérationnelles et organisationnelles de l’établissement ;  soit conforme aux exigences légales et réglementaires, y compris aux exigences de la présente circulaire, aux exigences réglementaires applicables dans le domaine de la prévention du blanchiment et du financement du terrorisme, ou encore celles applicables en matière de fourniture de services d’investissement (« conformité »).
  12. En vue d’assurer et de maintenir la solidité du dispositif en matière d’administration centrale et de gouvernance interne, ce dernier fait l'objet d’une révision objective, critique et régulière, au moins une fois par an. Cette révision tient compte de tous les changements internes et externes qui peuvent avoir une influence significative défavorable sur la solidité de ce dispositif dans son ensemble et sur le profil de risque et la capacité de l’établissement à gérer et à supporter ses risques en particulier.
  13. Les établissements publient les éléments clés en matière de gouvernance interne et de gestion des risques conformément aux dispositions du CRR (article 435 et titre Ier de la huitième partie) ainsi qu’aux orientations relatives aux exigences de publication de l’EBA (Guidelines on disclosure requirements under part eight of regulation (EU) no 575/2013, « EBA/GL/2016/11 »). qu’au règlement d’exécution (UE) 2021/637 de la Commission. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 15/91 Chapitre
  14. Organe de surveillance et direction autorisée Sous-chapitre 4.
  15. Section 4.1.
  16. L’organe de surveillance Responsabilités de l’organe de surveillance
  17. L’organe de surveillance a la responsabilité globale de l’établissement. Il définit, surveille et porte la responsabilité de la mise en place d’un solide dispositif en matière d’administration centrale, de gouvernance et de contrôle interne, qui comprend une organisation interne clairement structurée et des fonctions de contrôle interne indépendantes ayant une autorité, une importance et des ressources appropriées à leurs responsabilités. Le cadre mis en place doit permettre d’assurer la gestion saine et prudente de l’établissement, d’en préserver la continuité et, d’en protéger la réputation. A cette fin, l’organe de surveillance approuve et arrête par écrit, après avoir entendu la direction autorisée et les responsables des fonctions de contrôle interne, les éléments clés suivants du dispositif en matière d’administration centrale, de gouvernance interne et de gestion des risques :  la stratégie commerciale (modèle d’affaires) de l’établissement dans le respect des intérêts financiers de l’établissement à long terme, de sa solvabilité, de sa situation des liquidités et de son appétit au risque. Le développement et le maintien d’un modèle d’affaires durable exige la prise en compte de tous les risques matériels, y compris les risques environnementaux, sociaux et de gouvernance ;  la stratégie de l’établissement en matière de risques, y compris l’appétit au risque et le cadre global de prise, de gestion, de suivi et d’atténuation de l’ensemble des risques auxquels l’établissement est ou pourrait être exposé, y compris les risques générés par l’environnement macroéconomique ;  la stratégie de l’établissement en matière de fonds propres et de réserves de liquidités réglementaires et internes ;  une structure organisationnelle et opérationnelle claire et cohérente qui règle en particulier la création et le maintien par l’établissement d’entités (structures) juridiques ;  les principes directeurs en matière de systèmes, de technologie et de sécurité de l’information conformément à la circulaire CSSF 20/750, y compris les dispositifs internes de communication et d’alerte ;  les principes directeurs relatifs aux mécanismes de contrôle interne, qui incluent les fonctions de contrôle interne ;  les principes directeurs en matière de politique de rémunération ;  les principes directeurs en matière de déontologie, de valeurs d’entreprise et de gestion des conflits d’intérêts ; CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 16/91  les principes directeurs en matière d’égalité et de non-discrimination sur base du sexe, de l’orientation sexuelle, du changement de sexe, de l’identité de genre, de la couleur de peau, des origines sociales, des caractéristiques génétiques, de la langue, des mœurs, des convictions et opinions, politiques ou autres, de la fortune, de la naissance, de la situation de famille, de l’état de santé, du handicap, de l’âge ou de l’appartenance, respectivement de la non-appartenance, vraie ou supposée, à une ethnie, une nation, une race, une minorité ou une religion déterminée. L’organe de surveillance, respectivement son comité de nomination vise à améliorer la représentation du sexe sous-représenté parmi les membres du personnel identifiés exerçant des fonctions de direction conformément au règlement délégué 2021/
  18.  les principes directeurs en matière d’escalade et de sanctions visant à assurer que tout comportement non respectueux des règles applicables soit adéquatement poursuivi et sanctionné ;  les principes directeurs en matière d’administration centrale au Luxembourg, comprenant : ▪ les moyens humains et matériels que nécessite la mise en œuvre de la structure organisationnelle et opérationnelle ainsi que des stratégies de l’établissement, ▪ une organisation administrative, comptable et informatique intègre et respectant les lois et standards applicables, ▪ les principes directeurs en matière d’externalisation (« outsourcing ») , ainsi que ▪ les principes directeurs régissant la modification de l’activité (en termes de couverture de marchés et de clientèle, de nouveaux produits et de services) et l’approbation et le maintien d’activités inhabituelles ou potentiellement non transparentes ;  les principes directeurs en matière de continuité des activités et de gestion de crises ; 3 Règlement délégué (UE) 2021/923 de la Commission du 25 mars 2021 complétant la directive 2013/36/UE du Parlement européen et du Conseil par des normes techniques de réglementation fixant les critères permettant de définir les responsabilités dirigeantes, les fonctions de contrôle, l’unité opérationnelle importante et l’incidence significative sur le profil de risque de cette unité CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 17/91  les principes directeurs régissant la nomination et la succession à l’organe de direction et aux fonctions clés de l’établissement, ainsi que les procédures régissant l’organe de direction en termes de composition, comprenant les aspects de diversité, de responsabilités, d’organisation, de fonctionnement et d’évaluation individuelle et collective de ses membres.4 Les aspects de diversité font référence aux caractéristiques des membres de l’organe de direction, y compris leur âge, sexe, origine géographique et parcours éducatif et professionnel. La promotion de la diversité repose sur le principe de non-discrimination et sur des mesures garantissant l’égalité des chances.
  19. L’organe de surveillance charge la direction autorisée de mettre en œuvre les stratégies et principes directeurs par le biais de politiques et de procédures internes écrites (à l’exception des principes directeurs qui régissent la nomination et la succession au sein de l’organe de surveillance et les procédures déterminant son fonctionnement).
  20. L’organe de surveillance surveille la mise en œuvre par la direction autorisée des stratégies et principes directeurs et approuve les politiques que la direction autorisée arrête en vertu de ces stratégies et principes. En ce faisant, l’organe de surveillance vise à garantir un modèle d’entreprise, un dispositif de gouvernance interne et un cadre de gestion des risques qui tiennent compte de tous les risques et de tous les facteurs de risque pertinents, y compris les risques de blanchiment et de financement du terrorisme, les risques en matière de fourniture de services d’investissement et les risques environnementaux, sociaux et de gouvernance
  21. Ces derniers peuvent influencer les risques prudentiels, comme le risque de crédit (par exemple en raison de facteurs de risque liés à la transition vers une économie durable ou à des événements climatiques6 affectant les débiteurs, le marché ou la liquidité), le risque opérationnel et le risque de réputation (par exemple en cas d’externalisation). On peut y rencontrer les risques juridiques liés au droit contractuel ou au droit du travail, les risques liés aux potentielles violations des droits de l’homme et d’autres facteurs de risque ESG pouvant affecter le pays dans lequel un prestataire de services est implanté, ainsi que la capacité de ce dernier à fournir les niveaux de service convenus. 4 Dans le respect de la gouvernance d’entreprise, les principes directeurs et procédures applicables aux membres de l’organe de surveillance sont à soumettre, le cas échéant aux actionnaires pour accord, dans le respect de la procédure prudentielle, telle que publiée sur le site de la CSSF. 5 Rapport de l’EBA sur la gestion et la supervision des risques ESG (EBA/REP/2021/18) 6 Voir également circulaire CSSF 21/773 sur la gestion des risques climatiques et environnementaux. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 18/91
  22. L’organe de surveillance évalue d’une manière critique, adapte en cas de besoin et réapprouve à des intervalles réguliers et au moins une fois par an, le dispositif de gouvernance interne, comprenant les stratégies clés et principes directeurs et leur implémentation au sein de l’établissement, les mécanismes de contrôle interne et le cadre de prise et de gestion des risques. Ces évaluations et ré-approbations visent à assurer que le dispositif de gouvernance interne continue à répondre aux exigences de la présente circulaire et aux objectifs d’une gestion efficace, saine et prudente des activités. L’évaluation et la ré-approbation par l’organe de surveillance portent en particulier sur :  l’adéquation entre les risques encourus, la capacité de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires, compte tenu des stratégies et principes directeurs fixés par l’organe de surveillance et la réglementation applicable, y compris la circulaire CSSF 11/506 ;  les stratégies et principes directeurs en vue de les améliorer et de les adapter aux changements internes et externes, actuels et anticipés, ainsi qu’aux enseignements tirés du passé ;  la manière dont la direction autorisée s’acquitte de ses responsabilités et les performances de ses membres. Dans ce contexte, l’organe de surveillance revoit et évalue d’une manière critique et constructive les actions, propositions, décisions de, et informations fournies par, la direction autorisée et veille en particulier à ce que la direction autorisée mette en œuvre de manière prompte et efficace les mesures correctrices requises pour remédier aux problèmes, déficiences et irrégularités relevés par les fonctions de contrôle interne, le réviseur d’entreprises agréé et l’autorité compétente ;  l’adéquation de la structure organisationnelle et opérationnelle. L’organe de surveillance doit avoir une compréhension parfaite de la structure organisationnelle de l’établissement, en particulier en termes des entités (structures) juridiques sous-jacentes, de leur raison d’être, des liens et interactions intra-groupe qui les relient ainsi que des risques y liés. Il vérifie que la structure organisationnelle et opérationnelle correspond aux stratégies et principes directeurs, qu’elle permet une gestion saine et prudente des activités qui est exempte d’opacité et de complexité indue, et qu’elle reste justifiée par rapport aux objectifs assignés. Cette exigence s’applique tout particulièrement aux activités inhabituelles ou potentiellement non transparentes ;  l’efficacité et l’efficience des mécanismes de contrôle interne mis en place par la direction autorisée. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 19/91 Les évaluations en question peuvent être préparées par les comités spécialisés. Elles se font en particulier sur base des informations reçues de la part de la direction autorisée, des rapports de révision émis par le réviseur d’entreprises agréé (rapports sur les comptes annuels, comptes rendus analytiques et, le cas échéant, « management letters »), des rapports ICAAP, ILAAP et des rapports des fonctions de contrôle interne que l’organe de surveillance est appelé à approuver à cette occasion.
  23. Il appartient à l’organe de surveillance de promouvoir une culture interne en matière de risque et de compliance qui sensibilise le personnel de l’établissement aux impératifs d’une gestion saine et prudente des risques et qui favorise une attitude positive à l’égard du contrôle interne et de la compliance, et de stimuler le développement d’un dispositif de gouvernance interne qui permet d’atteindre ces objectifs. S’agissant des fonctions de contrôle interne, l’organe de surveillance veille à ce que les travaux de ces fonctions soient exécutés suivant des normes reconnues et dans le cadre de politiques approuvées.
  24. L’organe de surveillance veillera à consacrer un temps suffisant aux thématiques du risque, s’engageant activement et s’assurant que l’établissement y consacre des ressources adéquates.
  25. Lorsque l’organe de surveillance prend connaissance que le dispositif en matière d’administration centrale ou de gouvernance interne ne permet plus une gestion saine et prudente des activités ou que les risques encourus ne sont ou ne seront plus adéquatement supportés par la capacité de l’établissement à gérer ces risques, par des fonds propres ou des réserves de liquidités réglementaires ou internes, il exige de la direction autorisée de lui présenter sans délais des mesures correctrices et en notifie immédiatement l’autorité compétente. L’obligation de notification à l’autorité compétente porte aussi sur toutes les informations qui remettent en cause la qualification ou l’honorabilité de membres de l’organe de direction ou de la direction autorisée ou d’un responsable d’une fonction clé. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 20/91 Section 4.1.
  26. surveillance Composition et qualification de l’organe de
  27. Les membres de l’organe de surveillance doivent être suffisants en nombre et présenter dans leur ensemble une composition adéquate qui permet à l’organe de surveillance de s'acquitter pleinement de toutes ses responsabilités. Le caractère adéquat se réfère en particulier aux qualités professionnelles (connaissances, compétences et expérience adéquates), ainsi qu’aux qualités personnelles des membres de l’organe de surveillance. Par ailleurs, chaque membre doit justifier son honorabilité professionnelle. Les principes directeurs régissant la nomination et la succession des membres de l’organe de surveillance expliquent et arrêtent les facultés jugées nécessaires en vue d’assurer une composition et une qualification appropriées de l’organe de surveillance.
  28. L’organe de surveillance doit disposer collectivement de connaissances, compétences et d’une expérience appropriées à la nature, à l’échelle et à la complexité des activités et de l’organisation de l’établissement. L’organe de surveillance doit avoir collectivement une compréhension parfaite de l’ensemble des activités (et des risques qui leur sont inhérents) ainsi que de l’environnement économique et réglementaire dans lequel évolue l’établissement. Les membres de l’organe de surveillance disposent individuellement d’une parfaite compréhension du dispositif de gouvernance interne et de leurs responsabilités au sein de l’établissement. Ils maîtrisent les activités qui sont du ressort de leur domaine d’expertise et disposent d’une bonne compréhension des autres activités significatives de l’établissement.
  29. Les membres de l’organe de surveillance veillent à ce que leurs qualités personnelles leur permettent d’exécuter leur mandat de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance d’esprit requis. A ce titre, l’organe de surveillance ne peut pas compter parmi ses membres une majorité de personnes qui assument un rôle exécutif au sein de l’établissement (directeurs autorisés ou autres membres du personnel de l’établissement, à l’exception des représentants du personnel élus conformément à la réglementation applicable). La prise de décisions au sein de l’organe de surveillance ne doit pas être dominée par un seul membre ou un petit groupe de membres. Les membres de l’organe de surveillance veillent à ce que leur mandat soit et reste compatible avec leurs autres emplois, mandats et intérêts éventuels, en particulier en termes de conflits d’intérêts et de disponibilité. Ils informent l’organe de surveillance des mandats qu’ils ont en dehors de l’établissement. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 21/91
  30. Les termes des mandats doivent être fixés de manière à permettre à l’organe de surveillance d’exercer ses responsabilités de manière continue et efficace. La reconduction de membres existants doit s’orienter en particulier à leurs performances passées. La continuité du fonctionnement de l’organe de surveillance doit être assurée.
  31. Les principes directeurs régissant la nomination et la succession des membres de l’organe de surveillance prévoient les mesures nécessaires pour que ces membres soient et restent qualifiés tout au long de leur mandat. Ces mesures comprennent une initiation spécifique pour comprendre la structure, le modèle d’affaires, le profil de risque et les dispositifs de gouvernance et ensuite des programmes de formation professionnelle qui permettent aux membres de l’organe de surveillance de comprendre d’une part, les opérations de l’établissement, leur rôle et d’autre part, de maintenir à jour et d’approfondir leurs compétences.
  32. Chaque établissement devrait nommer au moins un membre à son organe de surveillance qui peut être considéré comme « membre indépendant ». Un membre indépendant de l’organe de surveillance ne connaît pas de conflits d'intérêts de nature à altérer sa capacité de jugement, du fait qu’il est, ou a été dans un passé récent, lié par une relation quelconque - professionnelle, familiale ou autre - avec l’établissement, l'actionnaire qui le contrôle ou la direction de l'un ou de l'autre. Pour l’appréciation du caractère d’indépendance, les établissements appliquent les critères de la section 9.3 des EBA/GL/2021/06 telle que reproduite en annexe I. Les établissements qui sont d’importance significative ou dont les actions sont admises à la négociation sur un marché réglementé veilleront à doter leur organe de surveillance d’un nombre suffisant de membres indépendants, compte tenu de leur organisation ainsi que de la nature, de l’échelle et de la complexité de leurs activités. Section 4.1.
  33. surveillance Organisation et fonctionnement de l’organe de
  34. L’organe de surveillance se réunit régulièrement en vue de s’acquitter de manière efficace de ses responsabilités. A cette fin, une majorité des réunions de l’organe de surveillance devraient se tenir au siège de l’établissement luxembourgeois en présence (sur place) d’une majorité de ses membres. L’organisation et le fonctionnement de l’organe de surveillance sont consignés par écrit. Les objectifs et les responsabilités de ses membres sont également documentés par des mandats écrits. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 22/91
  35. Les travaux de l’organe de surveillance doivent être documentés par écrit. Cette documentation inclut l’agenda et les procès-verbaux des réunions avec les décisions et mesures prises par l’organe de surveillance. Les procèsverbaux sont un outil important qui doit aider l’organe de surveillance et ses membres à faire le suivi des décisions d’une part, et permettre à l’organe et à ses membres de rendre des comptes aux actionnaires et aux autorités compétentes, d’autre part. Ainsi, des points de routine peuvent figurer de façon succincte sous forme de simple décision au procès-verbal d’une réunion, alors que des points importants de l’ordre du jour impliquant des risques pour l’établissement ou débattus contradictoirement doivent être rapportés plus en détail, permettant au lecteur de suivre les débats et d’identifier les positions défendues.
  36. L’organe de surveillance évalue régulièrement les procédures régissant son mode de fonctionnement et ses travaux en vue de les améliorer, d’en assurer l’efficacité et de vérifier si les procédures qui lui sont applicables sont respectées dans la pratique. Il veille à ce que tous ses membres aient une vision claire de leurs obligations, leurs responsabilités et de la répartition des tâches au sein de l’organe de surveillance et des comités spécialisés qui en dépendent.
  37. Il appartient au président de l’organe de surveillance d’en assurer une composition équilibrée, notamment en termes de diversité, de veiller à son bon fonctionnement, de promouvoir au sein de l’organe de surveillance une culture de discussion informée et contradictoire et de proposer la nomination de membres indépendants. Le président de l’organe de surveillance n’exerce pas de fonctions exécutives au sein de l’établissement, hormis situations exceptionnelles à autoriser par l’autorité compétente. Section 4.1.
  38. Comités spécialisés
  39. L’organe de surveillance peut se faire assister par des comités spécialisés dans les domaines notamment de l’audit, des risques, de la compliance, de la rémunération et des nominations, de la gouvernance interne et de la déontologie ou encore de la lutte contre le blanchiment et le financement du terrorisme, en fonction de ses besoins et compte tenu de l’organisation, de la nature, de l’échelle et de la complexité des activités de l’établissement. Leurs missions consistent à fournir à l’organe de surveillance des appréciations critiques concernant l’organisation et le fonctionnement de l’établissement dans leurs domaines de compétences spécifiques. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 23/91
  40. Les établissements d’importance significative tels que définis au point 1, paragraphe 4) de la partie I de la présente circulaire doivent mettre en place un comité d’audit, un comité des risques, un comité de nomination et un comité de rémunération. Par ailleurs, les établissements soumis à l’article 52 de la loi du 23 juillet 2016 concernant la profession d’audit, telle que modifiée, (« Loi Audit »), et qui ne bénéficient pas de l’exemption prévue au paragraphe 5 dudit article, doivent se doter d’un comité d’audit.
  41. En application du principe de proportionnalité, les établissements qui ne sont pas d’importance significative peuvent mettre en place des comités dédiés combinant différents domaines de responsabilités, par exemple un comité d’audit et des risques, un comité d’audit et compliance ou encore un comité des risques et de rémunération. Les membres de tels comités combinés doivent posséder, individuellement et collectivement, les connaissances, les compétences et l’expertise nécessaires à l’exercice de leurs fonctions.
  42. Sans préjudice d’exigences légales et réglementaires spécifiques en la matière, les membres permanents des comités spécialisés sont, selon le cas, des membres de l’organe de surveillance qui n’exercent pas de fonction exécutive au sein de l’établissement ou des membres indépendants. Chaque comité est composé d’au moins trois membres dont les connaissances, compétences et expertises sont en adéquation avec les missions du comité. Lorsqu’il existe au sein d’un établissement plusieurs comités spécialisés, l’établissement devrait, dans la mesure où le nombre de membres non-exécutifs et indépendants de l’organe de surveillance le permet, veiller à ce que les membres des comités respectifs soient différents. L’établissement devrait par ailleurs essayer d’assurer une rotation occasionnelle des présidents et membres des comités, compte tenu de l’expérience, des connaissances et des compétences spécifiques individuelles et collectives requises.
  43. Les comités spécialisés sont présidés par un de leurs membres. Ces présidents de comité disposent de connaissances approfondies dans le domaine d’activité du comité qu’ils président et assurent un débat critique et constructif au sein du comité.
  44. La CSSF recommande aux établissements d’importance significative que leur comité des risques comporte une majorité de membres indépendants, y compris son président. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 24/91
  45. Les comités spécialisés se réunissent régulièrement, afin de se décharger des tâches et travaux qui leur sont alloués ou encore pour préparer les réunions de l’organe de surveillance. Ils peuvent, suivant leurs besoins, se faire assister par des experts externes, indépendants de l’établissement, et peuvent associer à leurs travaux le réviseur d’entreprises agréé, les directeurs autorisés, les autres comités spécialisés, les responsables des fonctions de contrôle interne ainsi que d’autres personnes travaillant pour l’établissement, sans que ces personnes ne soient membres et sans qu’elles ne participent aux recommandations du comité.
  46. L’organe de surveillance fixe par écrit les missions, la composition et les procédures de travail des comités spécialisés. En vertu de ces procédures, les comités spécialisés reçoivent des rapports réguliers des fonctions de contrôle interne sur l’évolution du profil de risque de l’établissement, les infractions par rapport au cadre réglementaire, à la gouvernance interne et à la gestion des risques ainsi que les préoccupations soulevées par l’intermédiaire du dispositif interne d’alerte et les mesures pour y remédier. Les comités spécialisés revoient régulièrement la pertinence des informations devant leur être communiquées. Ils doivent pouvoir demander tout document et toute information qu’ils jugent utiles pour l’exercice de leur mission, y compris des informations sur le respect des règles en matière de lutte contre le blanchiment et le financement du terrorisme, sur les déclarations de transactions suspectes et sur les facteurs de risque BC/FT. Les comités documentent les agendas de leurs réunions ainsi que les conclusions et recommandations selon les mêmes principes qu’au point
  47. Par ailleurs, les procédures prévoient les conditions dans lesquelles les experts externes fournissent leur assistance et les modalités selon lesquelles d’autres personnes sont associées aux travaux des comités spécialisés.
  48. L’organe de surveillance veille à ce que les différents comités interagissent efficacement, communiquent entre eux et avec les fonctions de contrôle interne et le réviseur d’entreprises agréé et rapportent régulièrement à l’organe de surveillance.
  49. L’organe de surveillance ne peut pas déléguer aux comités spécialisés ses pouvoirs et responsabilités en vertu de la présente circulaire. Lorsqu’il ne se fait pas assister par des comités spécialisés, les tâches énoncées aux soussections 4.1.4.1 et 4.1.4.2 lui incombent directement. Sous-section 4.1.4.
  50. Le comité d'audit
  51. Le comité d’audit a pour objet d’assister l’organe de surveillance dans les domaines de l’information financière, du contrôle interne, y compris l’audit interne, ainsi que du contrôle par le réviseur d’entreprises agréé. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 25/91
  52. Sans préjudice des autres dispositions prévues au point 29 de la section 4.1.4présente partie, les établissements doivent créer se doter d’un comité d’audit lorsqu’ils y sont tenus par l’article 52 de la loi modifiée du 23 juillet 2016 relative à la profession de l’audit (« Loi Audit »). .
  53. Le comité d’audit est en charge du processus de nomination, de reconduction, de révocation et de rémunération du réviseur d’entreprises agréé.
  54. Le comité d’audit confirme la charte d’audit interne ainsi que le plan d’audit pluriannuel et ses révisions. Il apprécie si les moyens humains et matériels engagés au niveau de l’audit interne sont suffisants et s’assure que les auditeurs internes possèdent les compétences et l’indépendance nécessaires.
  55. Le comité d’audit délibère régulièrement et de manière critique sur les sujets suivants7 :  le respect des règles comptables et le processus d’élaboration de l’information financière ;  l’état du contrôle interne et le respect des règles fixées à ce sujet dans la présente circulaire, sur base notamment des rapports de la fonction d’audit interne ;  la qualité du travail réalisé par la fonction d’audit interne et le respect des règles fixées à ce sujet ;  la qualité du travail réalisé par le réviseur d’entreprises agréé, son indépendance et objectivité, son respect des règles déontologiques en vigueur ainsi que la portée et la fréquence d’audit. A ce titre, le comité d’audit analyse et évalue les rapports sur les comptes annuels, les « management letters », les comptes rendus analytiques et, le cas échéant, la nature appropriée des services autres que ceux liés à l’audit des comptes qui auraient été fournis par le réviseur d’entreprises agréé ;  le suivi approprié et sans délai indu par la direction autorisée des recommandations de la fonction d’audit interne et du réviseur d’entreprises agréé et les actions entreprises pour remédier aux problèmes, déficiences et irrégularités relevés.
  56. En rendant compte à l’organe de surveillance dans son ensemble, le comité d’audit propose les mesures nécessaires pour corriger rapidement les problèmes, déficiences et irrégularités constatés. Le comité d’audit informe l’organe de surveillance des conclusions de l’audit externe, de ses travaux pour s’assurer de l’intégrité du reporting légal et du rôle assumé par le comité d’audit dans ce processus. 7 L’annexe 2 des lignes directrices du BCBS en matière d’audit interne du 28 juin 2012 (« The internal audit function in banks ») contient une liste plus exhaustive de tâches généralement assignées au comité d’audit. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 26/91 Sous-section 4.1.4.
  57. Le comité des risques
  58. Le comité des risques a pour objet de conseiller l’organe de surveillance pour les aspects liés à la stratégie globale en matière de risques et d’appétit au risque et également de l’assister pour l’évaluation de l’adéquation entre les risques encourus, la capacité de l’établissement à gérer ces risques et les fonds propres et réserves de liquidités internes et réglementaires.
  59. Les établissements d’importance significative doivent créer un comité des risques, dans le respect des dispositions du point 29 de la présente partie, de l’article 53-13 de la LSF, respectivement de l’article 7 du RCSSF 15-
  61. Le comité des risques confirme les politiques spécifiques de la direction autorisée suivant la section 1.1.2 de la partie III. Il assiste l’organe de surveillance dans sa mission de surveillance de la mise en application de la stratégie en matière de risques, du cadre global de prise et de gestion des risques et de l’adéquation de l’ensemble des risques encourus en lien avec la stratégie, l’appétit au risque et les mesures d’atténuation de risque de l’établissement.
  62. Le comité des risques apprécie si les moyens humains et matériels, ainsi que l’organisation de la fonction de contrôlegestion des risques sont suffisants et s’assure que les membres de la fonction de contrôlegestion des risques possèdent les compétences nécessaires.
  63. Le comité des risques conseille et assiste l’organe de surveillance en ce qui concerne le recrutement d’experts externes que l’organe de surveillance se proposerait d’engager pour apporter du conseil ou du support.
  64. Le comité des risques délibère régulièrement et de manière critique sur les sujets suivants :  le profil de risque de l’établissement, son évolution en conséquence d’événements internes et externes, son adéquation avec la stratégie approuvée en matière de risques, l’appétit aux risques, les politiques et systèmes de limites en matière de risques ainsi que la capacité de l’établissement à gérer et à supporter ces risques sur une base continue compte tenu de ses fonds propres et réserves de liquidités internes et réglementaires ;  l’adéquation du cadre de prise et de gestion des risques avec la stratégie et les objectifs commerciaux, la culture d’entreprise et le cadre de valeurs de l’établissement ;  la qualité du travail réalisé par la fonction de contrôlegestion des risques et le respect des règles fixées à ce sujet dans la présente circulaire ;  l’évaluation, par le biais de scénarios et de tests d’endurance, de l’influence d’événements externes et internes sur le profil de risque de l’établissement et de la capacité de l’établissement à supporter ses risques ; CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 27/91  le suivi approprié et sans délai indu par la direction autorisée, des recommandations de la fonction de contrôlegestion des risques et les actions entreprises pour remédier aux problèmes, déficiences et irrégularités relevés ;  la conformité et la tarification des produits et services clés offerts aux clients avec le modèle d’affaires et la stratégie approuvée en matière de risques ;  sans préjudice des responsabilités du comité de rémunération, le caractère approprié des avantages prévus dans les politiques et pratiques de rémunération, compte tenu du niveau de risques de l’établissement, de ses fonds propres et de ses réserves de liquidités internes et réglementaires ainsi que de sa profitabilité. Le comité des risques rend compte à l’organe de surveillance dans son ensemble du résultat de ses délibérations en proposant les mesures nécessaires pour corriger rapidement les problèmes, déficiences et irrégularités constatés.
  65. Le président du comité des risques ne peut être en même temps président de l’organe de surveillance ni d’aucun autre comité spécialisé. Sous-chapitre 4.
  66. La direction autorisée Section 4.2.
  67. Responsabilités de la direction autorisée
  68. La direction autorisée est responsable de la gestion journalière efficace, saine et prudente des activités (et des risques qui leur sont inhérents). Cette gestion s’exerce dans le respect des stratégies et principes directeurs approuvés par l’organe de surveillance et de la réglementation applicable, en prenant en considération et en préservant les intérêts financiers de l’établissement à long terme, sa solvabilité et sa situation des liquidités. La direction autorisée évalue de façon constructive et critique toutes les propositions, explications et informations qui lui sont soumises pour décision. La direction autorisée documente ses décisions à l’aide de procès-verbaux de réunions, qui doivent l’aider à faire le suivi des décisions prises d’une part, et lui permettre de rendre compte de sa gestion à l'organe de surveillance et aux autorités compétentes d’autre part. Ainsi, des points de routine peuvent figurer de façon succincte sous forme de simple décision au procès-verbal d’une réunion, alors que des points importants de l’ordre du jour impliquant des risques pour l’établissement ou débattus contradictoirement doivent être rapportés plus en détail, permettant au lecteur de suivre les débats et d’identifier les positions défendues. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 28/91
  69. Conformément à l’article 7, paragraphe 2 de la LSF, les membres de la direction autorisée doivent être habilités à déterminer effectivement l'orientation de l'activité. Par conséquent, lorsque des décisions de gestion sont prises par des comités de gestion plus larges que la seule direction autorisée, il est requis qu’au moins un membre de la direction autorisée en fasse partie et qu’il existe un droit de veto à son bénéfice.
  70. La direction autorisée exerce une fonction permanente à l’intérieur de l’établissement ; elle doit se trouver sur place.
  71. La direction autorisée met en œuvre à travers des politiques et procédures internes écrites l’ensemble des stratégies et principes directeurs arrêtés par l’organe de gouvernance surveillance interne, en dans matière le d’administration respect des centrale dispositions et de légales et réglementaires et après avoir entendu les fonctions de contrôle interne. Les politiques contiennent les mesures détaillées à mettre en œuvre ; les procédures sont les instructions de travail qui régissent cette mise en œuvre. Le terme « procédures » est à prendre au sens large, comprenant l’ensemble des mesures, instructions et règles qui régissent l’organisation et le fonctionnement interne. La direction autorisée veille à ce que l’établissement dispose des mécanismes de contrôle interne, des infrastructures techniques et des ressources humaines nécessaires pour assurer la gestion saine et prudente des activités (et des risques qui leur sont inhérents) dans le cadre d’un solide dispositif de gouvernance interne conformément à la présente circulaire.
  72. En application des principes directeurs en matière de déontologie, de valeurs d’entreprise et de gestion des conflits d’intérêts arrêtés par l’organe de surveillance, la direction autorisée définit un code de conduite interne applicable à toutes les personnes travaillant dans l’établissement. Elle veille à son application correcte sur base de contrôles réguliers effectués par les fonctions compliance et d’audit interne. L’objectif de ce code de conduite doit être la prévention des risques opérationnels et de réputation dont l’établissement pourrait souffrir du fait de sanctions administratives ou pénales, de mesures restrictives à son encontre ou de litiges juridiques, de la perte de son image de marque ou de la confiance de ses clients et des consommateurs. Le code de conduite doit rappeler au personnel et aux membres de l’organe de direction le respect de la réglementation applicable, des règles et limites internes, des principes soustendant un comportement honnête et intègre, en fournissant des exemples de comportements et pratiques professionnelles acceptables et inacceptables ou interdites, y compris dans le domaine de la lutte contre le blanchiment et le financement du terrorisme, ainsi que les mesures de sanction qui découleraient du non-respect de ce cadre. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 29/91
  73. En application du point 11, 9ème tiret de la partie II, la direction autorisée s’assure que les politiques de l’établissement sont neutres du point de vue genre et garantissent un traitement équitable et l’égalité des chances à tous les membres du personnel, y compris dans le cadre de leurs perspectives professionnelles. Les politiques en question devraient faciliter la réintégration des membres du personnel après un congé de maternité, de paternité ou parental.
  74. La direction autorisée doit avoir une compréhension parfaite de la structure organisationnelle et opérationnelle de l’établissement, en particulier en termes d’entités (structures) juridiques sous-jacentes, de leur raison d’être, des liens et interactions intra-groupe qui les relient ainsi que des risques y liés. Elle veille à ce que les informations de gestion requises soient disponibles en temps utile à tous les niveaux de prise de décision et de contrôle de l’établissement et des entités juridiques qui le composent.
  75. Dans sa gestion journalière, la direction autorisée tient compte des conseils et avis formulés par les fonctions de contrôle interne. Lorsque les décisions prises par la direction autorisée ont ou pourraient avoir une incidence matérielle sur le profil de risque de l’établissement, la direction autorisée recueille au préalable l’avis de la fonction de contrôlegestion des risques et de la fonction compliance. La direction autorisée met en œuvre de manière prompte et efficace les mesures correctrices pour remédier aux faiblesses (problèmes, déficiences, irrégularités ou préoccupations) relevées par les fonctions de contrôle interne, le réviseur d’entreprises agréé ou par l’intermédiaire du dispositif d’alerte interne en prenant en compte les recommandations émises dans ce contexte. Cette manière de procéder est arrêtée dans une procédure écrite que l’organe de surveillance approuve sur proposition des fonctions de contrôle interne. Suivant cette procédure, les fonctions de contrôle interne classent les différentes faiblesses qu’elles ont identifiées par priorité et fixent, après accord de la direction autorisée, les délais (rapprochés) dans lesquels ces faiblesses sont corrigées. La direction autorisée désigne les unités opérationnelles ou personnes responsables pour la mise en œuvre des mesures correctrices en leur allouant les ressources (budgets, ressources humaines et infrastructure technique) nécessaires à cet effet. Il appartient aux fonctions de contrôle interne de suivre la mise en application des mesures correctrices. Pour tout retard significatif dans l’implémentation des mesures correctrices, la direction autorisée en informe l’organe de surveillance qui doit autoriser les prorogations des délais d’implémentation des mesures correctrices. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 30/91 L’établissement met en place une procédure analogue, approuvée par l’organe de surveillance, qui s’applique lorsque l’autorité compétente demande à l’établissement de prendre des mesures (correctrices). Dans ce cas, tout retard significatif dans l’implémentation de ces mesures est à signaler par la direction autorisée à l’organe de surveillance et à l’autorité compétente.
  76. La direction autorisée vérifie la mise en application et le respect des politiques et procédures internes. Toute violation des politiques et procédures internes doit entraîner des mesures correctrices promptes et adaptées.
  77. La direction autorisée s'assure régulièrement de la solidité du dispositif en matière d’administration centrale et de gouvernance interne. Elle adapte les politiques et procédures internes au regard des changements internes et externes, actuels et anticipés, et des enseignements tirés du passé.
  78. La direction autorisée informe les fonctions de contrôle interne des changements majeurs en matière d’activités ou d’organisation afin de leur permettre de détecter et d’évaluer les risques qui peuvent en résulter.
  79. La direction autorisée informe, de manière complète et par écrit, régulièrement et au moins une fois par an, l’organe de surveillance sur l’implémentation, l’adéquation, l’efficacité et le respect du dispositif de gouvernance interne, comprenant l’état de la compliance (y compris les préoccupations soulevées par l’intermédiaire du dispositif d’alerte interne) et celui du contrôle interne, ainsi que les rapports ICAAP/ILAAP sur la situation et la gestion des risques, des fonds propres et des réserves de liquidités réglementaires et internes.
  80. Une fois par an, la direction autorisée confirme à l’autorité compétente le respect de la présente circulaire par le biais d’une phrase écrite unique suivie des signatures de toute la direction autorisée. Lorsqu’en raison d’un manque de conformité, la direction autorisée n’est pas en mesure de confirmer le respect intégral de la circulaire, la déclaration précitée prend la forme d’une réserve qui énonce sommairement les points de non-conformité en donnant des explications sur leurs raisons d’être. Les informations à fournir en vertu du premier paragraphe doivent être soumises à l’autorité compétente ensemble avec les comptes annuels à publier.
  81. Lorsque la direction autorisée prend connaissance que le dispositif en matière d’administration centrale et de gouvernance interne ne permet plus une gestion saine et prudente des activités ou que les risques encourus ne sont ou ne seront plus adéquatement supportés par la capacité de l’établissement à gérer ces risques, par des fonds propres ou des réserves de liquidités réglementaires ou internes, elle en informe l’organe de surveillance et l’autorité compétente en leur fournissant sans délai toute l’information nécessaire pour apprécier la situation. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 31/91
  82. Nonobstant la responsabilité collective des membres de la direction autorisée, cette dernière désigne au moins un de ses membres qui est en charge de l'organisation administrative, comptable et informatique et qui assume la responsabilité de la mise en œuvre de la politique et des règles qu'elle a fixées dans ce domaine. Ce membre est responsable en particulier de l'établissement de l’organigramme et de la description des tâches qu'il soumet, avant leur mise en application, à l'approbation de la direction autorisée. Il veille ensuite à leur application correcte. Le membre en question est aussi responsable de la production et de la publication des informations comptables destinées aux tiers et de la communication des informations périodiques à l’autorité compétente. Il veillera donc à ce que la forme et le contenu de ces informations soient conformes aux prescriptions légales et aux instructions de l’autorité compétente en la matière. La direction autorisée désigne également parmi ses membres la ou les personnes en charge des fonctions de contrôle interne et, conformément au règlement CSSF 12-02, le responsable du respect des obligations professionnelles en matière de lutte contre le blanchiment et le financement du terrorisme.
  83. Les établissements informent l’autorité compétente des nominations et révocations des membres de la direction autorisée, conformément aux dispositions de la présente circulaire et de la Procédure prudentielle, en communiquant par ailleurs les motifs expliquant la révocation. Section 4.2.
  84. Qualification de la direction autorisée
  85. Les membres de la direction autorisée possèdent, à la fois individuellement et collectivement, les qualités professionnelles (connaissances, compétences et expérience), l’honorabilité et les qualités personnelles nécessaires pour gérer l’établissement et déterminer effectivement l’orientation de son activité. Les qualités personnelles sont celles qui leur permettent d’exécuter leur mandat de directeur autorisé de manière efficace, avec l’engagement, la disponibilité, l’objectivité, le sens critique et l’indépendance d’esprit requis. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 32/91 Chapitre
  86. Organisation administrative, comptable et informatique Sous-chapitre 5.
  87. L’organigramme et les ressources humaines
  88. L'établissement doit disposer sur place de ressources humaines suffisantes en nombre et disposant de compétences professionnelles individuelles et collectives appropriées afin de prendre des décisions dans le cadre des politiques fixées par la direction autorisée et sur base de pouvoirs délégués, et afin d'exécuter les décisions prises dans le respect des procédures et de la réglementation existantes. L’organigramme et la description des tâches sont arrêtés par écrit et mis à la disposition de l'ensemble du personnel concerné sous une forme facilement accessible.
  89. L'organigramme retient pour les différentes fonctions (commerciales, de support, de contrôle) ainsi que pour les différentes unités opérationnelles leur structure et les liens hiérarchiques et fonctionnels entre elles et avec la direction autorisée et l’organe de surveillance.
  90. La description des tâches à remplir par le personnel exécutant explique la fonction, les pouvoirs et la responsabilité de chaque exécutant.
  91. L'organigramme et la description des tâches sont établis sur base du principe de la séparation des tâches. En vertu de ce principe, les tâches et responsabilités doivent être attribuées de façon à éviter qu'elles ne soient incompatibles dans le chef d'une même personne. Le but poursuivi est d’écarter les conflits d’intérêts et de prévenir au moyen d'un environnement de contrôles réciproques qu'une personne puisse commettre des erreurs et irrégularités qui ne seraient pas découvertes.
  92. Conformément à l’article 7, paragraphe 2 de la LSF, la direction autorisée a une responsabilité collective en ce qui concerne la gestion de l’établissement. Le principe de la séparation des tâches ne déroge pas à cette responsabilité conjointe. Cette dernière reste compatible avec la pratique suivant laquelle les membres de la direction autorisée se répartissent les tâches journalières du suivi rapproché des différentes activités. L’établissement doit organiser cette répartition de manière à éviter les conflits d’intérêts. Ainsi, un même membre de la direction autorisée ne peut se voir attribuer la charge ou la responsabilité à la fois de fonctions de prise de risque et de contrôle indépendant de ces mêmes risques. Par ailleurs, si dans un établissement de taille et d’activité limitées avec seulement deux directeurs agréés, il subsiste des conflits d’intérêt après l’attribution des fonctions de prises de risques et de contrôle entre ces deux directeurs et que ces conflits d’intérêt ne peuvent être mitigés de manière efficace, la nomination d’un troisième directeur autorisé est nécessaire. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 33/91
  93. L’établissement dispose d’un programme de formation professionnelle continue qui assure que les membres du personnel et de l’organe de direction restent compétents et comprennent le dispositif de gouvernance interne ainsi que leurs propres rôles et responsabilités à cet égard.
  94. Chaque membre du personnel doit prendre annuellement au moins deux semaines calendaires consécutives de congés personnels. Il doit être assuré que chaque membre du personnel soit effectivement absent pendant ce congé et que son remplaçant prenne effectivement en charge le travail de la personne absente. Sous-chapitre 5.
  95. Les procédures et la documentation interne
  96. Les établissements documentent par écrit l’ensemble du dispositif en matière d’administration centrale et de gouvernance interne. Cette documentation porte sur les stratégies, les principes directeurs, les politiques et les procédures relatifs à l’administration centrale et à la gouvernance interne. Elle comprend un manuel des procédures clair, complet, détaillé et accessible dont les procédures sont connues de l’ensemble du personnel concerné et qui est tenu à jour en continu.
  97. La description des procédures pour assurer l'exécution correcte des activités porte sur les points suivants :  les étapes successives et logiques du traitement des opérations, de leur initiation à l’archivage de leur documentation (« workflow »), et  les contrôles à réaliser, ainsi que les moyens pour s'assurer que ceux-ci ont été réalisés.
  98. Les établissements documentent par écrit l’ensemble de leurs opérations, c’est-à-dire tout processus qui crée un engagement dans le chef de l'établissement ainsi que les décisions y relatives. La documentation doit être tenue à jour et conservée par l'établissement conformément à la loi. Elle doit être organisée de telle manière qu'elle puisse être aisément consultée par un tiers autorisé. A titre d'illustration en ce qui concerne les opérations de crédit, une documentation complète des décisions d'accorder, de modifier ou de résilier les crédits se trouve dans les dossiers de l'établissement au Luxembourg, de même que les contrats et toutes pièces relatives au suivi du service de la dette et de l'évolution financière du débiteur. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 34/91
  99. Les dossiers, documents de travail et rapports de contrôle des fonctions de contrôle interne, des experts et des prestataires de services visés au souschapitre 6.2 ainsi que les rapports de révision établis par le réviseur d’entreprises agréé sont conservés pendant au moins cinq ans, sans préjudice d’autres législations applicables, dans l’établissement luxembourgeois afin de permettre à l’établissement de retracer les contrôles effectués, les problèmes, déficiences ou irrégularités relevés ainsi que les recommandations et conclusions. L’autorité compétente ainsi que le réviseur d’entreprises agréé doivent toujours pouvoir accéder à ces pièces.
  100. Tous les ordres d'opérations initiées par l’établissement et toute la correspondance avec les clients ou leurs mandataires émanent de l'établissement ; toute la correspondance y est adressée. Au cas où l'établissement dispose d'une succursale à l'étranger, cette dernière constitue le point de contact pour sa propre clientèle. Sous-chapitre 5.
  101. L'infrastructure administrative et technique
  102. L'établissement se dote des fonctions de support, des moyens matériels et techniques nécessaires et suffisants à l'exécution de ses activités. Section 5.3.
  103. commerciales
  104. Chaque fonction L'infrastructure administrative des fonctions commerciale doit reposer sur une infrastructure administrative qui garantit la mise en œuvre des décisions commerciales prises et leur bonne exécution, ainsi que le respect des pouvoirs et des procédures pour le domaine en question. Section 5.3.
  105. La fonction financière et comptable
  106. L'établissement dispose d'un service comptable et financier dont la mission est d'assumer la gestion comptable et financière de l'établissement. Il est permis qu'à l'intérieur de l'établissement certaines parties de la fonction financière et comptable soient décentralisées sous condition toutefois que le service comptable et financier central centralise et contrôle l'ensemble des écritures passées dans les différents services et établisse les comptes globaux. Le service comptable et financier doit veiller à ce que l'intervention d'autres services se fasse dans le strict respect du plan comptable et des instructions y relatives. Le service central reste responsable de la préparation des comptes annuels et de la préparation des informations à fournir à l’autorité compétente. Dans les établissements d’importance significative, le CFO est sélectionné, nommé et révoqué suivant une procédure interne écrite, avec approbation au préalable par l'organe de surveillance.
  107. La fonction financière et comptable opère sur base de procédures écrites qui prévoient : CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 35/91  d'identifier et d'enregistrer toutes les transactions entreprises par l'établissement ;  d'expliquer l'évolution des soldes comptables d'un arrêté à l'autre par la conservation des mouvements ayant affecté les postes comptables ;  d'établir les comptes par application des règles de comptabilisation et d'évaluation définies par la législation comptable et la réglementation y afférente ;  de s’assurer de la fiabilité et de la pertinence des prix de marché et justes valeurs (« fair values ») utilisés dans l’établissement des comptes et du reporting à l’autorité compétente ;  de produire et de communiquer des informations périodiques à l’autorité compétente, comprenant en premier lieu le reporting légal et réglementaire, et d’en assurer la fiabilité, notamment en matière de solvabilité, de liquidité, d’expositions de crédits non performants, de crédits restructurés et de grands risques ;  de conserver toutes les pièces comptables suivant les dispositions légales en vigueur ;  d'établir, le cas échéant, des comptes suivant le schéma comptable en vigueur dans le pays d'origine de l'actionnaire en vue de l'établissement des comptes consolidés ;  de réaliser les réconciliations des comptes et des écritures comptables ;  de produire une information de gestion correcte, complète, pertinente, compréhensible et disponible sans délais qui permet à la direction autorisée la prise de décisions informées et de suivre de près l'évolution de la situation financière de l'établissement et sa conformité aux données budgétaires. Cette information servira comme instrument de contrôle de gestion et sera d'autant plus efficace si elle est basée sur une comptabilité analytique ;  de s’assurer de la fiabilité du reporting financier.
  108. Les établissements se dotent d'un contrôle de gestion qui est soit rattaché au service comptable et financier, soit rattaché dans l'organigramme directement à la direction autorisée de l'établissement.
  109. Les tâches exercées au sein du service comptable et financier ne peuvent pas être cumulées avec d’autres tâches incompatibles, tant commerciales qu’administratives.
  110. Dans le cadre de l'ouverture de comptes de tiers (bilan et hors-bilan), chaque établissement définit des règles précises d'enregistrement des comptes dans sa comptabilité. Il précise par ailleurs les conditions d’ouverture, de clôture et de fonctionnement de ces comptes. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 36/91 L'établissement doit éviter d'avoir dans la comptabilité une multitude de comptes avec des contenus incontrôlables, qui se prêteraient à exécuter des opérations non autorisées voire frauduleuses ; une attention particulière devra être accordée aux comptes dormants. A cet effet, l'établissement mettra en place des procédures de vérification et de suivi appropriées.
  111. L'ouverture et la clôture des comptes internes dans la comptabilité doivent être validées par le service comptable et financier. En cas d’ouverture de comptes, cette validation doit intervenir avant que ces comptes ne commencent à devenir opérationnels. L'établissement fixe des règles concernant l'utilisation de pareils comptes et les pouvoirs pour leur ouverture et leur clôture. Le service comptable et financier veille à ce que les comptes internes soient soumis périodiquement à une procédure de justification de leur nécessité. Il y a lieu de veiller à ne pas tenir ouverts des comptes internes et des comptes de passage qui ne répondraient plus à une utilisation définie par les règles fixées.
  112. Les écritures ayant un effet rétroactif ne peuvent servir qu’à des fins de régularisation. Les écritures ayant un effet rétroactif ainsi que les écritures en matière d’extournes sont à autoriser et surveiller à la fois au sein des services qui sont à l’origine de ces écritures et par le service comptable et financier.
  113. L'ensemble de l'organisation et des procédures comptables sont décrites dans un manuel des procédures comptables. Dans la définition et la mise en œuvre de ces procédures, les établissements veillent au respect du principe d’intégrité afin d’éviter en particulier que le système comptable ne puisse être utilisé à des fins frauduleuses. Section 5.3.
  114. La fonction informatique
  115. Les établissements organisent leur fonction informatique de manière à en avoir le contrôle et à en assurer la robustesse, l’efficacité, la cohérence et l’intégrité conformément au chapitre 3 de cette partie. Pour ce faire, ils respectent les exigences de la circulaire CSSF 20/750 relative aux exigences en matière de gestion des risques liés aux technologies de l’information et de la communication et à la sécurité.
  116. Les établissements qui, en matière de fonction informatique, recourent à des prestataires de services respectent en particulier les conditions prévues dans la circulaire CSSF 22/806 dédiée à l’externalisation. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 37/91 Section 5.3.
  117. Le dispositif de communication et d’alerte interne et externe
  118. Le dispositif de communication interne assure que les stratégies, politiques et procédures de l’établissement ainsi que les décisions et mesures prises par l’organe de direction, directement ou par voie de délégation, sont communiquées de manière claire et exhaustive à tous les membres du personnel de l’établissement en tenant compte de leurs besoins d'information et de leurs responsabilités au sein de l'établissement. Le dispositif de communication interne permet au personnel un accès aisé et permanent à ces informations.
  119. Le système d’information de gestion assure que toute l’information de gestion, en temps normal et en situation de crise, est communiquée de manière claire, exhaustive et sans délais à tous les membres de l’organe de direction et du personnel de l’établissement en tenant compte de leurs besoins d'information, de leurs responsabilités au sein de l'établissement et de l’objectif d’assurer une gestion saine et prudente des activités.
  120. Les établissements maintiennent un dispositif interne d'alerte (« whistleblowing ») qui permet à l’ensemble du personnel de l’établissement d’attirer l'attention sur des préoccupations légitimes liées à la gouvernance interne, aux exigences internes ou au cadre réglementaire national et de l’Union. Ce dispositif respecte la confidentialité de l’identité tant des personnes qui soulèvent de telles préoccupations que des personnes qui sont présumées responsables de violations. Le dispositif prévoit la possibilité de soulever ces préoccupations en dehors des lignes hiérarchiques établies ainsi qu’au niveau de l’organe de surveillance. Il en garantit le suivi approprié et la conservation des dossiers. Les alertes données de bonne foi n’entraînent aucune responsabilité ou retombée défavorable d’aucune sorte dans le chef des personnes qui les ont données.
  121. La CSSF met également à disposition sur son site internet un outil et une procédure permettant la déclaration d’incidents directement à la CSSF. (https://whistleblowing.apps.cssf.lu/index.html?language=fr). Section 5.3.
  122. Le dispositif de gestion de crises
  123. Le dispositif de gestion de crises repose sur des ressources (ressources humaines, infrastructure administrative et technique et documentation) qui doivent être aisément accessibles et disponibles en cas d’urgence.
  124. Le dispositif de gestion de crises garantit qu’en situation de crise, les établissements de crédit fournissent au public les informations visées par les lignes directrices du CEBS publiées le 26 avril 2010 (« Principles for disclosures in times of stress (Lessons learnt from the financial crisis) »).
  125. Le dispositif de gestion de crises comprend un plan de redressement qui est conforme aux exigences du chapitre 2 de la partie IV de la LSF. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 38/91
  126. Le dispositif de gestion de crises fait l’objet de tests réguliers et de mises à jour en vue d’assurer et de maintenir son efficacité. Chapitre
  127. Le contrôle interne
  128. Le contrôle interne est un dispositif composé de règles et de procédures qui ont pour but de s’assurer que les objectifs posés par l’établissement sont atteints, que les ressources sont utilisées de façon efficiente, que les risques sont contrôlés et que le patrimoine est protégé, que l’information financière et l’information de gestion sont correctes, complètes, pertinentes, compréhensibles et disponibles sans délais, que les lois et réglementations ainsi que les politiques et les procédures internes sont respectées, que les demandes et exigences de l’autorité compétente sont respectées
  129. Le dispositif de contrôle interne doit comprendre des processus et procédures efficaces prévenant la fraude et assurant le respect des obligations en matière de lutte contre le blanchiment et le financement du terrorisme. Les établissements devraient évaluer leur exposition au risque d’être abusés à des fins de blanchiment ou de financement du terrorisme, adapter leur dispositif de contrôle au niveau du risque identifié (approche basée sur le risque) et prendre des mesures efficaces d’atténuation visant à réduire ce risque, ainsi que les risques opérationnels et de réputation associés. Le dispositif garantit l’information et la formation adéquate du personnel par rapport à ces risques.
  130. Le dispositif de contrôle interne d’un établissement doit être adapté à son organisation et à la nature, à l’échelle et à la complexité de ses activités et des risques associés et respecter les principes du modèle des « trois lignes de défense » : La première ligne de défense est constituée par les unités opérationnelles qui prennent ou acquièrent des risques, qui assument la responsabilité pour leur gestion et qui contrôlent de manière permanente le respect des politiques, procédures et limites qui leur sont imposées. 8 Les mécanismes de contrôle interne prévoient ainsi des mécanismes destinés à prévenir les erreurs d’exécution et les fraudes et à permettre leur détection rapide. Conformément au principe de proportionnalité, les établissements, dont l’activité de gestion patrimoniale et les activités de services liées notamment à l’administration des OPC sont importantes, définissent des mécanismes de contrôle interne adéquats pour ces activités, notamment pour les domaines de la gestion discrétionnaire, du traitement du courrier domicilié, de la conservation de valeurs de tiers (banque dépositaire), de tenue de comptabilité et de calcul de la valeur nette d’inventaire de fonds d’investissement. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 39/91 La seconde ligne est formée par des fonctions de support, comme la fonction financière et comptable, mais surtout les fonctions compliance et de contrôle gestion des risques, qui assurent un contrôle indépendant des risques et supportent les unités opérationnelles dans le respect des politiques et procédures qui leur sont applicables. La troisième ligne est constituée par la fonction d’audit interne qui effectue une évaluation indépendante, objective et critique des deux premières lignes de défense et du dispositif de gouvernance interne dans son ensemble. Les trois lignes de défense sont complémentaires, chaque ligne de défense assumant ses responsabilités de contrôle indépendamment des autres lignes. La mise en place d’un dispositif de contrôle interne solide va de pair avec une séparation pertinente des fonctions, tâches et responsabilités, la mise en place d’une gestion des accès à l’information et la séparation physique de certaines fonctions et de certains départements afin de sécuriser les données et les transactions. Sous-chapitre 6.
  131. Les contrôles opérationnels Un environnement de contrôle interne solide comporte les types de contrôles suivants : Section 6.1.
  132. exécutant Contrôles quotidiens réalisés par le personnel
  133. Les procédures en matière de contrôle interne prévoient que les exécutants contrôlent sur une base quotidienne les opérations qu’ils exécutent, ceci afin de détecter le plus rapidement possible des erreurs et omissions survenues dans le traitement des transactions courantes. On peut citer à titre d’exemples de tels contrôles, la vérification du solde de caisse, la vérification de ses positions par le trader, le suivi de ses suspens par chaque membre du personnel. Section 6.1.
  134. Contrôles critiques continus
  135. Dans cette catégorie de contrôle tombent notamment :  le contrôle hiérarchique ;  la validation (par exemple la double signature, les codes d’accès à des fonctionnalités données) associée au contrôle du respect de la procédure d’autorisation et de délégation de pouvoirs arrêtée par la direction autorisée (notamment en matière de crédits) ;  les contrôles réciproques ;  le relevé régulier de l’existence et de la valeur des éléments du patrimoine, notamment au moyen de la vérification des inventaires ;  la réconciliation et la confirmation des comptes ; CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 40/91  le contrôle de l’exactitude et de l’exhaustivité des données communiquées par les personnes en charge des fonctions commerciales et opérationnelles en vue d’un suivi administratif des opérations ;  le contrôle du respect des limites internes imposées par la direction autorisée (notamment en matière d’activités de marché et de crédits) ;  le caractère normal des opérations conclues notamment quant à leur prix, à leur ampleur, aux garanties éventuelles à recevoir ou à fournir, aux bénéfices générés et aux pertes subies, à l’ampleur des frais de courtage éventuels. Le bon fonctionnement des contrôles critiques continus n’est garanti que si le principe de la séparation des tâches est respecté. Section 6.1.
  136. Contrôles réalisés par les membres de la direction autorisée sur les activités ou fonctions qui tombent sous leur responsabilité directe
  137. Les membres de la direction autorisée contrôlent personnellement et de manière régulière les activités et fonctions qui tombent sous leur responsabilité directe. Ces contrôles sont effectués sur base des données qui leur sont remises à cet effet par les fonctions commerciales, de support et de contrôle, ou les différentes unités opérationnelles de l’établissement. Les points à surveiller plus particulièrement par ces personnes sont notamment :  les risques liés aux activités et fonctions dont ils sont directement responsables ;  le respect des lois et normes applicables à l’établissement, avec une attention particulière pour les normes prudentielles en matière de solvabilité, de liquidité, d’exposition de crédits non performants, de crédits restructurés et de la réglementation en matière de grands risques ;  le respect des politiques et procédures arrêtées par la direction autorisée ;  le respect des budgets établis : examen des réalisations effectives et des écarts ;  le respect des limites (notamment sur base d’« exception reports ») ;  les caractéristiques des opérations, notamment leur prix, leur rentabilité individuelle ;  l’évolution de la rentabilité globale d’une activité. Les membres de la direction autorisée informent régulièrement leurs collègues de la direction autorisée sur l’exercice de leur mission de contrôle. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 41/91 Sous-chapitre 6.
  138. Les fonctions de contrôle interne
  139. Les politiques mises en œuvre en matière de contrôle des risques, de compliance et d’audit interne instaurent trois fonctions de contrôle interne distinctes : d’une part, la fonction de contrôlegestion des risques et la fonction compliance qui relèvent de la deuxième ligne de défense et d’autre part, la fonction d’audit interne qui relève de la troisième ligne de défense. Ces politiques décrivent par ailleurs les domaines d’intervention relevant directement de chaque fonction de contrôle interne, règlent clairement les responsabilités en matière de domaines d’intervention communs afin d’éviter les redondances et conflits de compétences, et définissent les objectifs ainsi que l'indépendance, l’autorité, l’objectivité et la permanence des fonctions de contrôle interne. Section 6.2.
  140. Responsabilités génériques des fonctions de contrôle interne
  141. Les fonctions de contrôle interne ont pour objectif principal de vérifier le respect de l’ensemble des politiques et des procédures internes qui tombent dans leur champ d’attribution, d’en évaluer régulièrement l’adéquation par rapport à la structure organisationnelle et opérationnelle, aux stratégies, aux activités et aux risques de l’établissement ainsi que par rapport aux exigences légales et réglementaires applicables et d’en rendre compte directement à la direction autorisée ainsi qu’à l’organe de surveillance et, le cas échéant, aux comités spécialisés. Elles fournissent à la direction autorisée ainsi qu’à l’organe de surveillance et, le cas échéant, aux comités spécialisés les avis et conseils qu’elles jugent utiles ou qui leur sont demandés par ces organes ou comités. Nonobstant les responsabilités spécifiques en la matière attribuées à la fonction Compliance, toutes les fonctions de contrôle interne contribuent à la lutte efficace contre le blanchiment et le financement du terrorisme.
  142. Lorsqu’ils estiment que la gestion efficace, saine ou prudente des activités est compromise, les responsables des fonctions de contrôle interne en informent promptement et de leur propre initiative la direction autorisée et l’organe de surveillance ou les comités spécialisés, le cas échéant.
  143. Lorsque l’établissement est tête de groupe, ses fonctions de contrôle interne surveillent et contrôlent les fonctions de contrôle interne des différentes entités du groupe. Les fonctions de contrôle interne de l’établissement veillent à ce que les problèmes, déficiences, irrégularités et risques relevés à travers l’ensemble du groupe soient rapportés aux organes de direction et de surveillance locaux ainsi qu’à la direction autorisée et à l’organe de surveillance de tête de groupe. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 42/91 Section 6.2.
  144. interne Caractéristiques des fonctions de contrôle
  145. Les fonctions de contrôle interne sont des fonctions permanentes et indépendantes dotées chacune d’une autorité suffisante. Les responsables de ces fonctions ont le droit d’accès direct à l’organe de surveillance ou à son président, ou, le cas échéant, aux comités spécialisés qui en émanent, au réviseur d’entreprises agréé de l’établissement ainsi qu’à l’autorité compétente. L’indépendance des fonctions de contrôle interne est incompatible avec une situation dans laquelle :  le personnel des fonctions de contrôle interne est chargé de tâches qu’il est appelé à contrôler ;  la rémunération du personnel des fonctions de contrôle interne est liée à la performance des activités qu’elles contrôlent ou déterminée suivant d’autres critères qui compromettent l’objectivité du travail accompli par les fonctions de contrôle interne ;  les fonctions de contrôle interne sont intégrées d’un point de vue organisationnel dans les unités opérationnelles qu’elles contrôlent ou dépendent hiérarchiquement d’elles ;  les responsables des fonctions de contrôle interne sont subordonnés aux personnes en charge de, ou responsables pour, les activités que les fonctions de contrôle internes sont appelées à contrôler.
  146. L’autorité dont doivent jouir les fonctions de contrôle interne requiert que ces fonctions puissent exercer leurs responsabilités de leur propre initiative, s’exprimer librement et accéder à toutes les données et informations externes et internes (dans l’ensemble des unités opérationnelles de l’établissement qu’elles contrôlent) qu’elles jugent nécessaires pour l'accomplissement de leurs missions.
  147. Les fonctions de contrôle interne ou les tiers agissant pour compte de ces fonctions doivent effectuer leurs travaux avec objectivité. Afin de garantir leur objectivité, les personnes relevant de fonctions de contrôle interne possèdent l’indépendance d’esprit ; elles ne doivent pas subordonner leur propre jugement à celui d’autres personnes, dont surtout les personnes contrôlées, et veillent à éviter les conflits d’intérêts. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 43/91
  148. Les membres des fonctions de contrôle interne doivent posséder un niveau individuel et collectif des connaissances, des compétences et une expérience professionnelles élevées dans le domaine des activités bancaires et financières et plus particulièrement dans leur domaine de responsabilités en ce qui concerne les normes applicables. Conformément au principe de proportionnalité, le niveau de compétences requis augmente en fonction de l’organisation de l’établissement et de la nature, de l’échelle et de la complexité des activités et des risques. La compétence individuelle doit comporter la capacité de porter des jugements critiques et d’être écouté par les directeurs autorisés de l’établissement. Les fonctions de contrôle interne maintiennent à jour les connaissances acquises et assurent une formation continue et actualisée à chacun de leurs collaborateurs. En sus de leur expérience professionnelle élevée, les responsables de fonctions de contrôle interne qui accèdent pour la première fois à une telle position possèdent des connaissances théoriques nécessaires.
  149. Pour garantir l'exécution des tâches qui leur incombent, les fonctions de contrôle interne disposent des ressources humaines, de l’infrastructure et des budgets nécessaires et suffisants, conformément au principe de proportionnalité. Le budget doit être suffisamment flexible pour tenir compte d’une adaptation des missions des fonctions de contrôle interne en réponse à des changements au niveau de l’organisation, des activités et des risques de l’établissement ou en cas de survenance d’événements spécifiques.
  150. Le champ d’intervention des fonctions de contrôle interne couvre l’ensemble de l’établissement, dans le respect de leurs compétences respectives. Il inclut les activités inhabituelles et potentiellement non transparentes.
  151. Chaque établissement prend les mesures nécessaires pour assurer que les membres des fonctions de contrôle interne exercent leurs fonctions avec intégrité et discrétion. Section 6.2.
  152. interne Exécution des travaux des fonctions de contrôle
  153. Les fonctions de contrôle interne documentent les travaux effectués conformément aux responsabilités assignées, notamment afin de permettre de retracer les interventions ainsi que les conclusions retenues. CIRCULAIRE CSSF 12/552 TELLE QUE MODIFIÉE PAR LES CIRCULAIRES CSSF 13/563, CSSF 14/597, CSSF 16/642, CSSF 16/647, CSSF 17/655, CSSF 20/750, CSSF 20/759, CSSF 21/785, CSSF 22/807 ET CSSF 24/860 44/91
  154. Les fonctions de contrôle interne rapportent par écrit régulièrement et si nécessaire sur base ad hoc à la direction autorisée et à l’organe de surveillance ou, le cas échéant, aux comités spécialisés. Ces rapports portent sur le suivi des recommandations, problèmes, déficiences et irrégularités relevés par le passé ainsi que sur les nouveaux problèmes, déficiences et irrégularités identifiés. Chaque rapport spécifie les risques y liés ainsi que leur degré de gravité (mesure de l’impact) et propose des mesures correctrices, de même qu’en règle générale une prise de position des personnes concernées. Chaque fonction de contrôle interne prépare au moins une fois par an un rapport de synthèse sur ses activités et son fonctionnement couvrant l’ensemble des activités qui lui sont attribuées. Au titre des activités, chaque rapport de synthèse fournit le relevé des activités de la fonction depuis le dernier rapport, des principales recommandations adressées à la direction autorisée, des problèmes (existants ou émergents), déficiences et irrégularités majeures survenus depuis le dernier rapport, des mesures prises à leur égard ainsi que le relevé des problèmes, déficiences et irrégularités relevés dans le dernier rapport mais qui n’ont pas encore fait l’objet de mesures correctrices appropriées. Enfin, le rapport se prononce sur l’état de leur domaine de contrôle dans son ensemble. S’agissant du fonctionnement, le rapport se prononce en particul

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.